Trust center

Sub-procesatori

Mai jos sunt principalii sub-procesatori; lista completă, inclusiv integrările opționale, este pe pagina Sub-procesatori. Modificările materiale sunt anunțate cu cel puțin 30 de zile înainte, iar tenanții primesc notificare prin email pe adresa contactului DPO.

Reziliență și verificare

Răspundem explicit la întrebările pe care le pune orice cabinet în due diligence: cât de des salvăm datele, cât durează restaurarea și ce audituri de securitate există. Publicăm doar cifre pe care le putem dovedi din infrastructură.

Izolarea pe organizație

Organizația este granița de tenant în Brivio. Mai jos scriem cum este aplicată tehnic, unde este verificată automat și ce nu acoperă acea verificare.

Un caz real, din interior: pe 4 septembrie 2026 am găsit și am reparat o problemă în portalul de clienți: documentele erau filtrate pe organizație și pe marcajul „vizibil în portal”, dar nu și pe contactul care le încărcase, astfel încât un client putea vedea încărcările altui client din aceeași organizație. Nicio organizație nu a văzut datele altei organizații. Publicăm cazul pentru că el arată exact limita de mai sus: un gate dovedește ce verifică, nu mai mult.

Certificări și audit

Acestea sunt întrebările pe care le pune un cabinet care răspunde profesional pentru datele clienților săi. Le răspundem direct, inclusiv atunci când răspunsul este „nu”.

Aveți certificare ISO 27001?

Nu. Brivio nu este certificat ISO 27001 și nu suntem în curs de certificare, deci nu putem anunța o dată. Ce facem în locul acesteia sunt controalele descrise pe această pagină: găzduire exclusiv în UE, criptare envelope cu KEK rotabil, jurnal de audit append-only cu lanț de hash-uri, izolare pe organizație verificată în CI, backup cu RPO/RTO publicate și scanare automată de securitate săptămânal. Sunt controale verificabile, nu un certificat — și le numim ca atare.

Aveți o confirmare de la DNSC?

Nu. DNSC nu emite o certificare de securitate pentru furnizorii de software, iar noi nu avem nicio atestare din partea sa. Raportăm incidentele de securitate conform obligațiilor legale aplicabile și tratăm raportările de vulnerabilități prin canalul de divulgare coordonată de mai sus.

Există un test de penetrare independent?

Primul pentest independent este planificat pentru Q1 2027; un rezumat al raportului va fi publicat pe această pagină. Alte certificări (de exemplu rapoarte de audit de tip american) le pregătim doar dacă un client le cere prin contract.

Există un program de bug bounty?

Nu. Nu avem un program de bug bounty și nu plătim recompense. Acceptăm raportări prin divulgare coordonată, la adresa de securitate din secțiunea de mai sus, și răspundem la ele.

Nu revendicăm nicio certificare pe care nu o deținem. Dacă o afirmație de pe această pagină nu poate fi verificată, tratează-o ca pe o eroare și semnalează-ne-o.

Drepturi GDPR & DSR

Subiecții datelor (utilizatori finali) și clienții (controllers) pot exercita oricare dintre drepturile GDPR Art. 15-22.

• Art. 15 — acces la datele personale.
• Art. 16 — rectificare.
• Art. 17 — ștergere („dreptul de a fi uitat”).
• Art. 18 — restricționarea prelucrării.
• Art. 20 — portabilitate (export ZIP cu toate datele organizației).
• Art. 21 — opoziție la prelucrare.

Pe lângă cererile GDPR, orice organizație își poate descărca singură arhiva completă, per firmă, din Setări → Arhivă firmă. Arhiva conține datele de business ale firmei respective — nu ale celorlalte firme din cont — și include un digest per secțiune, astfel încât conținutul poate fi verificat că nu a fost modificat după export. Este disponibilă oricând, fără să ne ceri voie, fără aprobare din partea noastră și fără taxă.

Trimite cererea la privacy@brivio.ro sau, dacă ești client, deschide tichet la Setări → Conformitate.