Securitate, conformitate și protecția datelor.

Jurnal de acces complet — fiecare cerere e înregistrată (utilizator, IP, rută, status, modul), căutabil, cu retenție de 90 de zile.

Detecție și blocare automată a atacurilor — scanările de vulnerabilități (.env, .git, wp-admin) sunt blocate automat, cu alertă în timp real.

Protecție anti-brute-force la autentificare — încercările repetate declanșează alerte și blocarea temporară a IP-ului.

Acces pe roluri (RBAC) și principiul need-to-know — datele conexiunilor personale nu sunt vizibile implicit altor utilizatori.

Kill-switch de urgență (panic mode) — accesul poate fi blocat instant, parțial sau total, cu revenire automată după 2 ore.

Criptare în tranzit (HTTPS/TLS) și la repaus; date sensibile (token-uri, IBAN) criptate suplimentar la nivel de aplicație.

Monitorizare continuă de disponibilitate și de securitate, cu dashboard intern de acces (jurnal, amenințări, IP-uri blocate).

Notificare de breșă de securitate către clienți în 48–72 de ore (termen contractual standard din DPA).

Operator de date: CIBINNO CONSULTING S.R.L. Punct de contact protecția datelor: contact@cibinno.ro.

Temeiuri juridice: interes legitim (informare comercială), executarea contractului (suport), consimțământ explicit (Open Banking / PSD2, Legea 209/2019).

Minimizarea datelor — colectăm doar ce e strict necesar scopului. Fără profilare și fără decizii automate cu efecte juridice asupra persoanelor.

Prelucrare în Spațiul Economic European. Datele bancare NU sunt trimise către modele de inteligență artificială externe.

Drepturile persoanelor: acces, rectificare, ștergere, restricționare, opoziție, portabilitate, retragerea consimțământului — la contact@cibinno.ro. Dezabonare într-un clic.

Retenție și ștergere — datele se păstrează până la atingerea scopului sau opoziție; pentru Open Banking, consimțământ limitat (uzual 90 de zile) cu reautorizare și ștergere ireversibilă la cerere.

Trasabilitate — fiecare operațiune relevantă (conectare, sincronizare, reautorizare, ștergere) e înregistrată într-un jurnal de audit.

Dreptul de plângere la ANSPDCP (dataprotection.ro).

Politică AI internă aplicată uniform pe toate platformele — aceleași reguli indiferent de furnizorul de model, plus clauze AI dedicate în contractele cu clienții.

Rol clar în sensul Regulamentului AI (AI Act): pentru fiecare funcție cu AI stabilim dacă acționăm ca furnizor sau ca utilizator, cu obligațiile care decurg din asta.

Fiecare concluzie vine cu dovada ei — citat și sursă. Unde datele lipsesc, sistemul răspunde explicit „necunoscut” în loc să estimeze; nu producem cifre fără document în spate.

Limite de autoritate per funcție: ce decide sistemul singur și ce escaladează obligatoriu la o persoană responsabilă sunt definite dinainte, nu lăsate la latitudinea modelului.

Om în circuit la deciziile cu efect financiar sau juridic — AI-ul pregătește, propune și argumentează; aprobă întotdeauna o persoană.

Jurnal de audit pe fiecare operațiune AI: ce s-a cerut, ce model a răspuns, pe ce sursă s-a bazat, cine a validat.

Kill-switch aplicabil și componentelor AI — pot fi oprite instant, separat de restul aplicației.

Datele bancare și cele cu caracter personal sensibil NU sunt trimise către modele externe. Procesarea AI rulează în regiune UE.

Supraveghere normativă continuă (AI Act, GDPR, NIS2, DORA) — modificările legislative sunt urmărite automat și convertite în sarcini cu termen.

Infrastructură Microsoft Azure, în centre de date din Uniunea Europeană (West Europe / Sweden Central).

Componenta AI folosește Azure OpenAI Service în regiune UE — datele rămân în jurisdicția europeană.

Email și productivitate prin Microsoft 365 și Azure Communication Services, cu prelucrare în SEE.

Criptare la repaus prin Azure; TLS terminat la ingress (HTTPS end-to-end).

Backup regulat, off-site — copii zilnice, retenție uzuală 30 de zile, plus copie off-site a datelor critice.

Disaster Recovery activ — verificări automate zilnice și teste periodice de restaurare, cu puncte de restaurare Azure verificate.

Rollback rapid la o versiune stabilă anterioară în caz de incident de deploy.