1. Scop
Această Politică GDPR stabilește principiile și măsurile interne pe care Asociația Clusterul de Excelență în Securitate Cibernetică (CYSCOE) le aplică tuturor prelucrărilor de date cu caracter personal efectuate în activitatea sa: site-ul, corespondența, relația cu membrii, grupurile de lucru, evenimentele și proiectele. Detaliile prelucrărilor efectuate prin site sunt prezentate în Politica de confidențialitate.
2. Cadrul legal
- Regulamentul (UE) 2016/679 (Regulamentul general privind protecția datelor, GDPR);
- Legea nr. 190/2018 privind măsurile de punere în aplicare a GDPR;
- Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice, cu modificările ulterioare (cookie-uri și comunicări electronice);
- ghidurile Comitetului European pentru Protecția Datelor și deciziile autorității naționale de supraveghere (ANSPDCP).
3. Operatorul de date
Asociația Clusterul de Excelență în Securitate Cibernetică (CYSCOE), Bd. Mareșal Alexandru Averescu nr. 8-10, et. 1, cam. 104, sector 1, 011455 București, România, [email protected]. Responsabilitatea pentru conformitate revine Consiliului Director al asociației.
4. Principiile pe care le aplicăm
- Legalitate, echitate și transparență: fiecare prelucrare are un temei legal și este descrisă într-un limbaj clar.
- Limitarea scopului: datele sunt folosite doar în scopurile pentru care au fost colectate.
- Reducerea la minimum a datelor: colectăm doar ceea ce ne este necesar; formularele conțin doar câmpurile necesare.
- Exactitate: corectăm datele inexacte de îndată ce aflăm despre ele.
- Limitarea stocării: aplicăm perioade de păstrare definite și ștergem datele la expirarea lor.
- Integritate și confidențialitate: protejăm datele prin măsuri de securitate adecvate riscului.
- Responsabilitate: documentăm prelucrările și putem demonstra conformitatea.
5. Evidență și durate de păstrare
CYSCOE ține o evidență internă a activităților de prelucrare. Principalele durate de păstrare sunt:
| Date | Durata păstrării |
|---|---|
| Jurnalele serverului și de securitate | până la 90 de zile, cu excepția cazului în care sunt necesare pentru un incident |
| Statisticile site-ului (Google Analytics, cu acord) | cel mult 14 luni |
| Înregistrările din formularul de contact stocate pe site | șterse cel puțin o dată la 12 luni |
| Corespondența | până la 3 ani de la ultimul schimb de mesaje |
| Abonările la newsletter | până la dezabonare |
| Evidența membrilor | pe durata calității de membru și până la 3 ani după |
| Documentele contabile | conform legislației contabile |
| Opțiunile de consimțământ (cookie-uri) | 365 de zile |
6. Persoane împuternicite
Folosim furnizori de servicii pentru găzduire, distribuirea conținutului și securitate, e-mail, statistici și întreținerea site-ului. Alegem furnizori care oferă garanții suficiente, încheiem cu aceștia clauze de prelucrare a datelor conform art. 28 din GDPR și îi reevaluăm atunci când nevoile noastre se schimbă. Transferurile în afara Spațiului Economic European au loc numai pe baza unei decizii de adecvare (inclusiv Cadrul UE-SUA pentru protecția datelor) sau a clauzelor contractuale standard ale Comisiei Europene.
7. Măsuri de securitate
- criptare HTTPS pentru întregul site;
- firewall pentru aplicații web și limitarea cererilor abuzive;
- conturi administrative limitate la persoanele care au nevoie de ele, cu conturi individuale;
- actualizarea periodică a platformei și a modulelor;
- copii de siguranță și proceduri de restaurare;
- gestionarea consimțământului pentru cookie-urile neesențiale;
- obligații de confidențialitate pentru membri, prin acordul de confidențialitate semnat la aderare.
8. Protecția datelor începând cu momentul conceperii și în mod implicit
Când introducem un instrument, un formular sau un serviciu nou, evaluăm ce date colectează, dacă sunt necesare și cum pot fi limitate. Cookie-urile neesențiale sunt dezactivate implicit, iar formularele noi colectează doar câmpurile necesare scopului lor. Atunci când o prelucrare poate genera un risc ridicat, efectuăm o evaluare a impactului asupra protecției datelor, conform art. 35 din GDPR.
9. Cererile persoanelor vizate
Cererile de exercitare a drepturilor prevăzute de GDPR se primesc la [email protected], se înregistrează și primesc răspuns în termen de o lună, termen care poate fi prelungit cu două luni pentru cererile complexe. Atunci când există îndoieli rezonabile privind identitatea solicitantului, cerem informațiile minime necesare pentru verificare.
10. Încălcarea securității datelor
Orice suspiciune de încălcare a securității datelor este analizată fără întârziere. Dacă încălcarea poate genera un risc pentru drepturile și libertățile persoanelor vizate, notificăm ANSPDCP în cel mult 72 de ore de la constatare, iar dacă riscul este ridicat, informăm persoanele vizate. Toate încălcările sunt documentate intern, indiferent dacă sunt sau nu notificate.
11. Responsabilul cu protecția datelor
CYSCOE nu a desemnat un responsabil cu protecția datelor, deoarece activitățile sale principale nu presupun monitorizarea periodică și sistematică pe scară largă a persoanelor și nici prelucrarea pe scară largă a unor categorii speciale de date (art. 37 din GDPR). Reevaluăm această situație ori de câte ori activitatea noastră se schimbă.
12. Categorii speciale de date și copii
Nu prelucrăm în mod intenționat categorii speciale de date cu caracter personal (art. 9 din GDPR) sau date privind condamnările penale și vă rugăm să nu transmiteți astfel de date prin site. Activitatea noastră nu se adresează copiilor sub 16 ani.
13. Autoritatea de supraveghere
Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, sector 1, 010336 București, România, [email protected], www.dataprotection.ro.
14. Revizuire
Această politică este revizuită cel puțin o dată pe an și ori de câte ori se schimbă prelucrările. În cazul unor neconcordanțe între versiunile lingvistice, prevalează versiunea în limba română.
