Prelucrarea datelor

Ce este pagina asta

Firma ta introduce în Xavio datele personale ale clienților, furnizorilor și angajaților ei. În termenii GDPR, firma ta e operatorul acelor date, iar noi suntem persoana împuternicită. Pagina asta scrie condițiile în care le prelucrăm și face parte din contractul de folosire a Xavio.

Dacă firma ta are nevoie de un acord de prelucrare semnat separat, scrie la contact@xavio.ro.

Obiectul și instrucțiunile

Prelucrăm datele numai ca să furnizăm Xavio: să le păstrăm, să le arătăm utilizatorilor pe care firma ta îi autorizează, să întocmim documentele pe care firma ta le cere, să le trimitem unde firma ta spune, și să ținem tot ansamblul în funcțiune și salvat.

Lucrăm după instrucțiunile firmei tale. Folosirea aplicației așa cum e documentată este instrucțiunea aceea; orice în afara ei se convine în scris. Nu folosim datele în scopuri proprii, nu le vindem și nu antrenăm nimic cu ele.

Categorii de persoane și de date

Persoane: clienții și furnizorii firmei tale (inclusiv persoane fizice și persoanele de contact ale firmelor), angajații și colaboratorii ei, și utilizatorii spațiului tău de lucru.

Date: nume, denumire, cod fiscal, adresă, telefon, e-mail, cont bancar; documentele comerciale și contabile, cu sumele și istoricul din ele; și urma tehnică a folosirii — cine a făcut ce și când.

Xavio nu e construit pentru categorii speciale de date (sănătate, biometrie, convingeri politice sau religioase) și nu ne așteptăm la ele. Dacă firma ta alege să pună astfel de date într-un câmp de text liber, o face ca operator și pe propria evaluare.

Subîmputerniciți

Folosim subîmputerniciții de mai jos, fiecare ținut la obligații echivalente:

• Hetzner Online GmbH Germania (Nürnberg)
  Găzduirea aplicației și a bazei de date.
• Hetzner Online GmbH — Storage Box Germania (Falkenstein)
  Copiile de siguranță, criptate înainte de a pleca de pe server.
• Cyber_Folks SRL România
  Serverul de e-mail prin care pleacă mesajele platformei și documentele către clienții firmei.
• Anthropic Ireland, Limited (Anthropic) Irlanda (contractul); datele se stochează în SUA
  Modelul de limbaj din spatele lui Xavi, asistentul AI — numai pentru firmele pe care Xavi e folosit. Detaliile, în Declarația de transparență Xavi.
• sendSMS.ro / SMSO.ro România
  Trimiterea de SMS-uri — numai dacă firma activează canalul și își configurează propria cheie de acces.

Când adăugăm un subîmputernicit nou care atinge datele firmei tale, îi spunem înainte, ca să aibă timp să se opună.

Transferuri în afara SEE: numai prin Xavi

Aplicația, baza de date, copiile de siguranță și serverul de e-mail sunt în Spațiul Economic European — Germania și România.

Singura excepție e Xavi, asistentul AI. Pe o firmă pe care Xavi e folosit, întrebările puse lui și datele firmei pe care le citește ca să răspundă ajung la Anthropic, care stochează datele în SUA și le poate procesa în SUA, Europa, Asia și Australia. Garanția sunt clauzele contractuale standard ale Comisiei Europene (Decizia (UE) 2021/914), încorporate în Anexa de prelucrare a datelor a Anthropic. Ce pleacă exact și cât se păstrează e scris în pagina Declarație de transparență Xavi.

În afară de Xavi, nu transferăm date personale în afara SEE. Dacă asta trebuie să se schimbe, firma ta e informată înainte, împreună cu garanția pe care ne sprijinim.

Măsurile de securitate, concret

• Doar HTTPS; serverul acceptă intrare cu cheie, pentru un singur cont de administrare.
• Parole păstrate ca amprentă; autentificare în doi pași disponibilă pentru orice cont.
• Fiecare firmă izolată în spațiul ei de lucru; drepturile se judecă pe fiecare firmă în parte.
• Jurnal de audit al acțiunilor asupra documentelor, drepturilor, rolurilor și setărilor, pe care firma îl poate citi singură.
• Salvare nocturnă a bazei, verificată, păstrată 7 zile local, plus o copie criptată în afara serverului (7 zilnice / 4 săptămânale / 6 lunare), supravegheată de un câine de pază care dă alarma dacă o noapte e ratată.
• Modificările ajung pe server numai din depozitul de cod, niciodată editate pe loc.

Ajutor la cererile persoanelor

Când o persoană cere firmei tale accesul, rectificarea, ștergerea sau o copie a datelor ei, firma răspunde; noi ajutăm cu ce nu poate face aplicația singură. Cea mai mare parte o poate: listele, exporturile și documentele sunt la îndemâna firmei.

Dacă o astfel de cerere ajunge direct la noi, nu o soluționăm pe fond. O transmitem firmei tale și spunem persoanei cine e operatorul.

Incidente

Dacă descoperim o încălcare a securității care atinge datele firmei tale, îi spunem fără întârziere nejustificată, cu ce știm în acel moment: ce s-a întâmplat, ce date par atinse și ce facem. Nu așteptăm tabloul complet înainte de primul mesaj.

Cât ținem datele și ce se întâmplă la sfârșit

Ținem datele cât timp firma ta folosește Xavio. La încetare, spațiul de lucru rămâne disponibil pentru export 30 de zile, apoi se șterge. Copiile de siguranță care îl conțin expiră după calendarul lor, cel mai târziu în șase luni.

Proprietarul firmei poate porni ștergerea completă a spațiului de lucru și mai devreme, din Setări → General → Organizație. Calea aceea e dinadins strictă: doar proprietarul, doar când nu mai e atașat alt utilizator, și cu confirmare repetată — fiindcă nu se poate întoarce.

Dovezi

La cerere dăm informațiile de care firma ta are nevoie ca să arate că a ales o persoană împuternicită cu garanții suficiente: lista subîmputerniciților, locul datelor, măsurile de securitate și felul în care tratăm incidentele. Nu dăm acces la sistemele altor firme, din același motiv din care nu dăm nimănui acces la ale tale.