Politica privind Securitatea Incidentelor și Raportarea Breșelor de Date

Ultima actualizare: 1 ianuarie 2025

1. Scopul politicii

Prezenta politică definește procedurile de identificare, raportare și gestionare a incidentelor de securitate care pot afecta datele prelucrate prin platforma Volera Pro (pro.volera.ro) și aplicațiile mobile aferente.

Obiectivul principal este de a minimiza impactul potențial asupra Partenerilor, Clienților și Volera, asigurând conformitatea cu Regulamentul (UE) 2016/679 (GDPR).

2. Definiții

• Incident de securitate – orice eveniment care compromite confidențialitatea, integritatea sau disponibilitatea datelor (ex: acces neautorizat, pierdere, corupție de fișiere, atac cibernetic).
• Breasă de date cu caracter personal – incident care duce la divulgarea, pierderea sau accesarea neautorizată a datelor personale.
• Persoană vizată – individul ale cărui date sunt afectate de breșă.
• Operator / Împuternicit – în funcție de rol, Volera sau Partenerul care deține controlul asupra datelor.

3. Domeniul de aplicare

Această politică se aplică tuturor sistemelor, conturilor, dispozitivelor, serviciilor cloud și persoanelor implicate în gestionarea datelor din ecosistemul Volera.

Include: infrastructura cloud, aplicațiile web și mobile, bazele de date, și comunicațiile interne sau externe care implică date personale.

4. Principiile de gestionare a incidentelor

• Transparență: notificarea promptă a Partenerilor și autorităților în caz de breșă.
• Responsabilitate: fiecare angajat sau colaborator Volera are obligația de a raporta imediat incidentele observate.
• Confidențialitate: toate investigațiile se desfășoară sub acord de confidențialitate.
• Documentare: fiecare incident este înregistrat, analizat și arhivat pentru audit intern.
• Îmbunătățire continuă: lecțiile învățate sunt integrate în politicile tehnice și organizaționale.

5. Etapele gestionării unui incident

1. Identificare: detectarea evenimentului de securitate prin sisteme automate (IDS/IPS, loguri) sau prin raportare internă.
2. Clasificare: evaluarea gravității (minoră / medie / critică) și stabilirea dacă incidentul implică date personale.
3. Izolare: limitarea imediată a impactului (ex: blocarea accesului compromis, izolarea serverului afectat).
4. Investigare: analiză tehnică detaliată pentru a determina cauzele, vectorii de atac și datele afectate.
5. Remediere: aplicarea măsurilor corective (patch-uri, resetare parole, restaurare din backup).
6. Notificare: informarea părților afectate, dacă este cazul (vezi secțiunea 6).
7. Documentare și raport final: raport intern ce descrie incidentul, impactul, măsurile și acțiunile preventive viitoare.

6. Obligațiile de notificare conform GDPR

În calitate de Împuternicit, Volera va notifica Operatorul (Partenerul) fără întârzieri nejustificate, dar nu mai târziu de 72 de ore de la identificarea unei breșe de date personale.

Notificarea va conține cel puțin:

• descrierea naturii breșei de securitate;
• categoriile și numărul estimat al persoanelor vizate;
• consecințele potențiale;
• măsurile luate sau propuse pentru remediere;
• persoana de contact pentru detalii suplimentare.

Dacă Partenerul este Operatorul, acesta este responsabil de notificarea autorității competente (ANSPDCP) și, dacă este necesar, a persoanelor vizate. Volera oferă sprijin complet în acest proces.

7. Canale de raportare a incidentelor

Incidentele pot fi raportate imediat la:

E-mail dedicat: support@volera.ro
Subiect recomandat: „Raport incident de securitate Volera"
Telefon (urgențe): disponibil pentru parteneri contractuali

Toate rapoartele sunt analizate de echipa Volera Security & Compliance în termen de maxim 4 ore de la primire.

8. Măsuri preventive

• revizuirea codului și testare automată a vulnerabilităților;
• autentificare multifactor și restricții de acces la sistemele interne;
• politici de parole stricte (lungime minimă 12 caractere, reînnoire periodică);
• criptare completă a bazelor de date și backup-urilor;
• audituri periodice de securitate (intern și extern);
• simulări de incidente (table-top exercises) de două ori pe an.

9. Evidența incidentelor și audit

Volera păstrează o evidență electronică a tuturor incidentelor raportate, care include: data, tipul, nivelul de risc, impactul și măsurile aplicate.

Această evidență este disponibilă, la cerere, pentru autoritățile de supraveghere sau partenerii contractuali, conform acordurilor DPA.

10. Revizuirea politicii

Această politică este revizuită anual sau ori de câte ori are loc o modificare semnificativă a proceselor interne sau a legislației aplicabile.

Versiunea actuală este disponibilă permanent la: pro.volera.ro/legal/data-breach

11. Contact

Pentru întrebări privind această politică sau pentru raportarea unui incident:

E-mail: support@volera.ro
Adresă: București, România