Cum protejăm documentele și datele firmei tale

Izolarea datelor fiecărui client

• Fiecare firmă este un cont separat (tenant); fiecare înregistrare din baza de date poartă identificatorul firmei, iar toate interogările îl filtrează.
• Documentele descărcate stau pe disc în foldere separate per firmă; un utilizator nu poate accesa fișierele altei firme nici prin manipularea adreselor.
• Testele automate verifică izolarea: un cont nu vede și nu poate modifica sursele, notele sau analizele altui cont.

Conturi, parole și sesiuni

• Parolele sunt stocate doar ca hash scrypt cu sare unică; nu pot fi recuperate, doar resetate prin link trimis pe email, valabil 2 ore.
• Sesiunile stau în baza de date și sunt legate de un cookie HttpOnly, Secure, SameSite; schimbarea parolei închide toate sesiunile.
• Autentificarea este limitată la 10 încercări eșuate în 15 minute per adresă; invitațiile în echipă expiră în 7 zile și se pot retrage.
• Roluri: proprietar, administrator și membru. Doar administratorii modifică profilul firmei, sursele, echipa și abonamentul.

Criptare

• Tot traficul este criptat (TLS 1.2+, certificate reînnoite automat), cu HSTS activ.
• Credențialele portalurilor cu cont, introduse de clienți pentru descoperirea automată, sunt criptate în baza de date cu AES-256; cheia stă doar pe server, nu în bază.
• Backup-urile bazei de date se fac zilnic, criptate la copierea în afara serverului, și se păstrează 30 de zile.

Modelele AI și datele tale

• Analizele folosesc modele AI apelate prin API-uri comerciale; conform termenilor comerciali ai furnizorilor, datele trimise nu sunt folosite pentru antrenarea modelelor.
• Modelul primește documentația licitației și profilul firmei tale doar pentru analiza ta; nu există niciun context partajat între clienți.
• Fiecare concluzie a agenților este verificată automat față de documente (citat și pagină); statusurile fără dovadă sunt marcate „necunoscut”.

Trasabilitate

• Fiecare acțiune (analiză pornită, document descărcat, decizie, aprobare, modificare de setări, autentificare) este înregistrată în jurnalul de audit al firmei, cu utilizatorul și momentul.
• Costul și consumul fiecărei analize sunt vizibile administratorilor firmei în pagina Cont.

Găzduire și GDPR

• Aplicația și baza de date sunt găzduite în Uniunea Europeană; plățile sunt procesate de Stripe, iar datele cardului nu ajung niciodată la noi.
• Prelucrăm datele conform GDPR: pentru documentele firmei tale acționăm ca persoană împuternicită; semnăm un acord de prelucrare a datelor (DPA) la cerere.
• Poți cere oricând exportul sau ștergerea datelor contului; detalii în politica de confidențialitate.

Ce urmează

• Autentificare în doi pași (2FA) pentru administratori.
• Autentificare unică (SSO) cu Microsoft Entra ID și Google Workspace pentru clienții mari.
• Test de penetrare extern anual și pregătirea certificării ISO 27001.
• Instalare pe serverul clientului (on-premise) pentru cerințe speciale de confidențialitate.

Raportarea unei probleme de securitate

Dacă ai găsit o vulnerabilitate, scrie-ne la contact@busolapro.ro înainte de a o face publică. Răspundem în cel mult 2 zile lucrătoare și nu luăm măsuri împotriva cercetătorilor care raportează responsabil.