1. Domeniu de aplicare și definiții
Un Incident de securitate este un eveniment care compromite efectiv sau prezintă un risc important și credibil pentru confidențialitatea, integritatea sau disponibilitatea sistemelor ori a datelor DIRI AI. O Încălcare a securității datelor cu caracter personal este distrugerea, pierderea sau modificarea accidentală ori ilegală a datelor cu caracter personal, sau divulgarea ori accesul neautorizat la acestea, odată confirmate.
Scanările blocate, încercările de autentificare nereușite și alertele de disponibilitate nepericuloase nu sunt automat încălcări ale securității datelor cu caracter personal, dar pot fi totuși investigate.
2. Raportare
Clienții și cercetătorii ar trebui să raporteze incidentele suspectate la security@diriai.com. Solicitările privind confidențialitatea sau suspiciunea de expunere a datelor cu caracter personal pot fi trimise și la privacy@diriai.com. Mesajul inițial trebuie să includă ora, contul sau ruta afectată, comportamentul observat și detalii pentru o reproducere sigură, dar nu trebuie să includă parole, datele complete ale cardului sau conținut expus în mod inutil.
3. Gravitate și răspuns
DIRI AI clasifică un eveniment în funcție de sensibilitatea datelor, de numărul și vulnerabilitatea persoanelor afectate, de impactul asupra granițelor dintre chiriași, de privilegii, de exploatarea activă, de disponibilitate și de obligațiile legale și contractuale.
| Gravitate | Exemplu | Prioritatea răspunsului |
|---|---|---|
| Critică | divulgare confirmată între chiriași, preluare cu privilegii, compromitere distructivă activă | escaladare imediată la responsabil, limitare și evaluare juridică și privind confidențialitatea |
| Ridicată | acces neautorizat probabil la Date cu Caracter Personal ale Clientului sau defecțiune gravă a integrității serviciului | limitare urgentă și evaluare în aceeași zi |
| Medie | impact limitat confirmat, fără date sensibile sau vulnerabilitate controlată | investigare și remediere prioritizate |
| Scăzută | încercare blocată, slăbiciune minoră sau lipsa unei compromiteri confirmate | coada obișnuită de securitate și analiza tendințelor |
Acestea sunt priorități interne, nu termene garantate de soluționare.
4. Ciclul de răspuns
Responsabilul de incident va, în mod proporțional:
- înregistra și valida raportul;
- păstra marcajele de timp, jurnalele și alte dovezi cu acces restricționat;
- limita credențialele, rutele, furnizorii sau fluxurile de date afectate;
- determina datele, clienții, persoanele, țările și perioada afectate;
- evalua obligațiile de notificare împreună cu responsabilii pentru confidențialitate și pentru aspectele juridice;
- elimina cauza, restabili serviciul în siguranță și monitoriza reapariția;
- furniza actualizările necesare; și
- documenta cauza principală, lecțiile învățate și acțiunile corective.
5. Notificarea clientului atunci când DIRI AI este persoană împuternicită de operator
În cazul Datelor cu Caracter Personal ale Clientului, DIRI AI va notifica clientul organizațional afectat fără întârzieri nejustificate după ce ia cunoștință de o Încălcare a securității datelor cu caracter personal. Obiectivul operațional este o primă notificare în termen de 48 de ore, atunci când este posibil în mod rezonabil. Informațiile pot fi furnizate pe etape și vor include natura, consecințele probabile, datele și persoanele afectate, măsurile de atenuare și punctul de contact, pe măsură ce devin disponibile.
Clientul rămâne responsabil pentru deciziile sale față de autoritatea de supraveghere și de persoanele vizate, cu excepția cazului în care DIRI AI are o obligație legală distinctă. Obiectivul de 48 de ore nu amână o notificare anterioară și este un scop operațional, nu un termen contractual garantat.
6. Notificări atunci când DIRI AI este operator
Atunci când DIRI AI este operator, va documenta fiecare Încălcare a securității datelor cu caracter personal și va evalua riscul pentru persoane. Dacă GDPR impune notificarea autorității de supraveghere, DIRI AI va notifica autoritatea competentă fără întârzieri nejustificate și, dacă este posibil, în termen de 72 de ore de la luarea la cunoștință, explicând orice întârziere. Dacă încălcarea este susceptibilă să genereze un risc ridicat, persoanele afectate vor fi informate fără întârzieri nejustificate, cu excepția cazului în care se aplică o excepție legală.
Alte teritorii acceptate pot impune un conținut diferit sau termene mai scurte; prevalează cel mai apropiat termen aplicabil.
7. Comunicări privind starea serviciului
Incidentele importante de disponibilitate pot fi comunicate printr-un aviz în aplicație, un canal de stare verificat sau prin e-mail. Un aviz public nu trebuie să expună detalii exploatabile, date ale altui client sau o cauză neverificată. Obligațiile de notificare privind securitatea și confidențialitatea nu depind de existența unei pagini publice de stare.
8. Actualizări și analiza ulterioară incidentului
Pentru un incident important notificat, DIRI AI ar trebui să furnizeze actualizări importante până la limitarea incidentului și un rezumat de închidere atunci când este rezonabil de sigur. Un raport comercial ulterior incidentului poate descrie cronologia, impactul, cauza principală și acțiunile corective, sub rezerva securității, a privilegiilor, a confidențialității și a legii. Nicio notificare nu reprezintă o recunoaștere a răspunderii.
9. Dovezi și păstrare
Dovezile incidentului au acces restricționat și se păstrează numai pentru răspuns, obligațiile legale, reclamații și îmbunătățirea controalelor. Termenul implicit este durata cazului plus cinci ani, ajustat în funcție de gravitate, termenele de prescripție, instrucțiunile autorităților și blocările legale. Datele cu caracter personal fără legătură trebuie șterse sau reduse la minimum.
10. Contact și versiune
Contact pentru securitate: security@diriai.com. Contact pentru confidențialitate: privacy@diriai.com. Versiunea: 1.2.0. Data: 30 august 2026.