Politica de Confidențialitate

a) Date ale Clientului (organizația)

• Date de cont — adresa de email a persoanei desemnate, numele organizației.
• Cheia publică de criptare — generată și stocată pentru criptarea E2E a rapoartelor.
• Comunicări — conținutul emailurilor trimise către noi, cereri de suport.

b) Date ale Avertizorului

c) Date colectate automat (doar pe dashboard)

• Date tehnice — adresa IP, tipul browserului (doar pentru utilizatorii autentificați pe dashboard).
• Cookie-uri de sesiune — conform Politicii Cookie.

• Furnizarea Serviciilor — crearea și gestionarea contului, operarea canalului de raportare, criptarea și stocarea rapoartelor.
• Comunicări de serviciu — notificări despre rapoarte noi, expirarea termenelor legale, actualizări ale Platformei.
• Securitate — protejarea infrastructurii, detectarea utilizării abuzive, prevenirea accesului neautorizat.
• Conformitate legală — îndeplinirea obligațiilor legale (Legea 361/2022, GDPR, legislația fiscală).

Nu vindem, închiriem și nu partajăm datele personale ale utilizatorilor cu terți în scopuri de marketing.

Prelucrăm datele personale în baza următoarelor temeiuri legale (art. 6 GDPR):

• Date de cont — pe durata existenței contului și maximum 30 de zile după solicitarea ștergerii.
• Rapoarte criptate — conform politicii de retenție a Clientului și obligațiilor din Legea 361/2022 (minimum 5 ani de la data raportului).
• Date tehnice (dashboard) — maximum 12 luni de la colectare.
• Comunicări și cereri suport — maximum 3 ani de la ultima comunicare.
• Date de facturare — 10 ani conform legislației fiscale din România (Legea nr. 82/1991).

Datele personale pot fi accesate sau procesate de următorii sub-procesatori:

Pentru transferurile de date în afara SEE, ne bazăm pe Clauze Contractuale Standard (SCCs) aprobate de Comisia Europeană.

Important: Conținutul rapoartelor este criptat E2E și nu este accesibil niciunui sub-procesator.

Conform GDPR, beneficiați de următoarele drepturi:

• Dreptul de acces (art. 15) — obținerea unei copii a datelor personale prelucrate.
• Dreptul de rectificare (art. 16) — corectarea datelor inexacte sau incomplete.
• Dreptul de ștergere (art. 17) — ștergerea datelor în condițiile legii.
• Dreptul de restricționare (art. 18) — limitarea prelucrării în anumite situații.
• Dreptul de portabilitate (art. 20) — primirea datelor în format structurat (JSON/CSV).
• Dreptul de opoziție (art. 21) — opoziția la prelucrarea bazată pe interes legitim.
• Dreptul de retragere a consimțământului (art. 7) — retragerea oricând.
• Dreptul de a nu fi supus unei decizii automate (art. 22) — inclusiv profilarea.

Pentru exercitarea drepturilor, trimiteți un email la contact@whistle-box.eu cu subiectul „Cerere GDPR WhistleBox”.

Implementăm măsuri tehnice și organizatorice adecvate pentru protejarea datelor personale:

• Criptare end-to-end (E2E) a conținutului rapoartelor.
• Criptare în tranzit (TLS 1.2+) pentru toate comunicațiile cu serverul.
• Parolele sunt stocate folosind algoritmi de hashing securizați (bcrypt cu salt).
• Acces restricționat la baze de date și infrastructură, pe principiul privilegiului minim.
• Servere în Uniunea Europeană (Hetzner Online GmbH, Germania).
• Backup-uri regulate și criptate.
• Monitorizare continuă a accesului și a anomaliilor.
• Autentificare prin token JWT cu durată limitată.
• Paginile de raportare (/r/) nu setează cookie-uri și nu colectează date de identificare.

Operatorul poate actualiza această politică periodic. Utilizatorii vor fi notificați prin email și/sau anunț pe Platformă cu minimum 15 zile înainte de intrarea în vigoare a modificărilor semnificative.