1. Cine răspunde pentru ce
| Rol | Cine | Pentru ce date |
|---|---|---|
| Operator | Invitendi | Datele de cont, facturare și comunicare ale clienților noștri |
| Operator | Organizatorul evenimentului (clientul) | Datele invitaților colectate prin formularul RSVP al invitației sale |
| Persoană împuternicită | Invitendi | Stocăm și prelucrăm datele invitaților exclusiv la instrucțiunile organizatorului, conform Acordului de prelucrare |
2. Unde sunt stocate datele
Toată infrastructura care stochează date personale rulează pe Amazon Web Services, în centre de date din Uniunea Europeană:
- Regiunea principală: UE — Frankfurt, Germania (eu-central-1), unde rulează aplicația, bazele de date și fișierele încărcate (fotografii, muzică);
- Copii de siguranță: UE — Irlanda (eu-west-1), criptate, pentru recuperare în caz de dezastru;
- E-mail tranzacțional: Amazon SES, în regiunea UE;
- Conținut public: fișierele statice (imagini, fonturi, stiluri) pot fi livrate printr-o rețea de distribuție (CDN) pentru viteză. Datele personale din formulare nu sunt stocate în CDN.
Furnizorul nostru de infrastructură, Amazon Web Services EMEA SARL (Luxemburg), deține certificări ISO/IEC 27001, 27017, 27018 și SOC 2 și oferă un acord de prelucrare a datelor conform GDPR, care include Clauzele Contractuale Standard ale Comisiei Europene.
3. Măsuri tehnice de securitate
- Criptare în tranzit cu TLS 1.2 sau mai nou, pe toate domeniile și subdomeniile, cu HSTS activat;
- Criptare la stocare (AES-256) pentru baze de date, fișiere și copii de siguranță, cu chei gestionate prin AWS KMS;
- Parolele utilizatorilor sunt stocate doar sub formă de hash cu algoritmi moderni (bcrypt / Argon2);
- Rețele private izolate, firewall de aplicație (WAF) și protecție anti-DDoS;
- Acces la producție doar pentru personalul autorizat, cu autentificare în doi factori și jurnalizarea fiecărei acțiuni;
- Copii de siguranță automate zilnice, testate periodic;
- Protecție anti-spam pentru formularele RSVP și limitarea numărului de cereri;
- Actualizări de securitate aplicate regulat și scanarea automată a dependențelor.
4. Măsuri organizatorice
- Personalul are obligații contractuale de confidențialitate și acces doar la datele strict necesare;
- Procedură de gestionare a incidentelor: notificăm ANSPDCP în cel mult 72 de ore și clienții afectați fără întârzieri nejustificate;
- Evidența activităților de prelucrare, conform art. 30 GDPR;
- Evaluăm furnizorii înainte de a-i folosi și îi listăm public mai jos.
5. Minimizarea datelor în formularul RSVP
Formularul de confirmare cere doar ce este necesar pentru organizarea evenimentului. Organizatorul alege ce câmpuri activează (meniu, copii). Câmpurile despre alergii sunt opționale și sunt însoțite de o informare. Invitații nu au nevoie de cont, iar invitația nu folosește cookie-uri de urmărire.
6. Cât păstrăm datele
| Categorie | Perioadă |
|---|---|
| Invitația publicată | Până la eveniment plus 12 luni (Premium) sau 6 luni (Esențial) |
| Confirmările invitaților | Șterse definitiv la 90 de zile după dezactivarea invitației, sau imediat la cererea organizatorului |
| Copii de siguranță | Rotite automat, maximum 35 de zile |
| Datele de cont | Până la ștergerea contului, plus 30 de zile |
| Documente de facturare | Conform legislației contabile |
Organizatorul poate exporta sau șterge oricând confirmările din panoul de administrare.
7. Subprocesatori
| Furnizor | Scop | Locație |
|---|---|---|
| Amazon Web Services EMEA SARL | Găzduire aplicație, baze de date, stocare fișiere, copii de siguranță, e-mail tranzacțional (Amazon SES) | Uniunea Europeană (Frankfurt, Irlanda) |
| [COMPLETEAZĂ] Procesator plăți (ex: Stripe Payments Europe Ltd. / Netopia Payments S.A.) | Procesarea plăților cu cardul. Invitendi nu stochează datele cardului. | Uniunea Europeană |
| [COMPLETEAZĂ] Furnizor facturare electronică (ex: SmartBill / Oblio) | Emiterea facturilor și transmiterea în sistemul RO e-Factura | România |
Anunțăm clienții cu cel puțin 30 de zile înainte de a adăuga un subprocesator nou.
8. Drepturile invitaților
Dacă ai completat un formular de confirmare pe o invitație Invitendi, poți cere accesul, corectarea sau ștergerea datelor tale organizatorului evenimentului. Ne poți scrie și direct la gdpr@invitendi.ro, menționând adresa invitației (ex: nume.invitendi.ro). Vom transmite solicitarea organizatorului și te vom ajuta să o rezolvi în cel mult 30 de zile.
9. Pentru organizatori: obligațiile voastre, pe scurt
- Folosiți datele invitaților doar pentru organizarea evenimentului;
- Nu le transmiteți altor persoane decât celor implicate (restaurant, organizator);
- Ștergeți exporturile (fișiere Excel) după eveniment;
- Nu solicitați prin câmpurile libere informații care nu sunt necesare.
10. Contact pentru protecția datelor
Pentru orice întrebare despre GDPR ne poți scrie la gdpr@invitendi.ro. Ai dreptul să depui o plângere la ANSPDCP (dataprotection.ro).