Configurație
Datele stau în Uniunea Europeană
Baza de date la Paris, aplicația la Frankfurt. Nu e o intenție — e configurația de producție.
Securitate & încredere
Spus pe față: unde stau datele tale și ce facem cu ele.
Un produs de conformitate n-are voie să fie el însuși opac. Mai jos e postura noastră reală — inclusiv ce nu avem încă.
Verificat la 25 iulie 2026
Găzduire
UE
Paris (stocare) & Frankfurt (aplicație). Ies din UE doar datele trimise la generarea cu AI; accesul posibil al entităților-mamă din SUA ale furnizorilor e acoperit prin SCC — vezi 02.
Pierdere max. — baza de date
24 de ore
Backup automat zilnic, retenție 7 zile
Subîmputerniciți
4, toți cu DPA
Listă publică, cu regiune și bază de transfer
Antrenare AI pe datele tale
Exclusă contractual
Prevăzut în contractul cu furnizorul de AI, nu doar promis pe site
01 — Arhitectură
Traseul unei date, de la tastatura ta până la disc.
Patru opriri, fiecare cu o regiune declarată. Nimic nu iese din UE, cu o singură excepție punctuală — și aceea doar la cererea ta explicită.
1
Livrare (edge / CDN)
Rețeaua care aduce interfața în browserul tău e distribuită global, dar nu stochează date. Transportă doar fișierele aplicației.
Fără stocareBrowserul tău → edge
2
Aplicația
Funcțiile rulează în Uniunea Europeană. Aici se aplică rolurile, se validează cererea și se scrie jurnalul de audit.
UE · FrankfurtVercel (DE)
3
Baza de date & fișierele
Aici se opresc datele tale, definitiv: Supabase pe infrastructură AWS eu-west-3. Criptate în tranzit și în repaus, izolate pe rând prin Row Level Security.
UE · ParisAWS eu-west-3
4
Generare cu AI — singura excepție
Doar la cererea ta explicită, textul necesar generării trece prin Anthropic (SUA), pe clauze contractuale standard (SCC) și fără antrenare pe datele tale.
SUA · la cerereSCC · fără antrenare
Izolare & acces
Fiecare organizație e izolată la nivelul bazei de date (Row Level Security), nu doar în interfață. Accesul e pe roluri — proprietar, administrator, editor, vizualizare — iar accesul administrativ al operatorului la datele unui client e jurnalizat ca activitate de prelucrare.
Ce facem la un incident
Avem un proces de răspuns la incidente și un runbook de notificare a breșei aliniat la GDPR (72h). Ironia utilă: chiar produsul îți dă ceasurile legale (DNSC 24h/72h, DORA) — le folosim și pentru noi. Un endpoint /api/health permite monitorizarea disponibilității.
02 — Subîmputerniciți
Patru furnizori. Fără listă ascunsă.
Îți notificăm administratorii pe email înainte de a adăuga un subîmputernicit nou. Contractele sunt arhivate și pot fi prezentate la cerere.
FurnizorSupabaseSupabase Inc. (SUA), infrastructură AWS
RolBază de date, autentificare, fișiere
RegiuneUE · Paris (AWS eu-west-3)
Bază de transferStocare în UE; SCC pentru accesul entității-mamă din SUA
DPAÎncheiat
FurnizorVercelVercel Inc. (SUA)
RolGăzduirea și rularea aplicației
RegiuneUE · Frankfurt (fra1); rețeaua edge e globală
Bază de transferSCC, plus certificarea EU–US Data Privacy Framework
DPAÎncheiat
FurnizorResendResend Inc. (SUA)
RolTrimiterea emailurilor de serviciu
RegiuneUE · eu-west-1
Bază de transferProcesare în UE; SCC pentru accesul entității-mamă din SUA
DPAÎncheiat
FurnizorAnthropicAnthropic PBC (SUA)
RolGenerare cu AI, doar la cererea explicită a utilizatorului
RegiuneSUA
Bază de transferSCC (Modulele 2 și 3); datele nu se folosesc pentru antrenare
DPAÎncheiat
Lista completă, cu regiuni și baze de transfer, e în acordul de prelucrare (DPA) și în politica de confidențialitate.
03 — Continuitate
Datele tale nu depind de o singură mașină.
Nu publicăm un timp garantat de revenire cât timp nu îl putem susține cu o probă de restaurare — preferăm o cifră lipsă unei cifre nesusținute.
Fereastră max. de pierdere — baza de date
24h
Într-un scenariu de dezastru, atât se poate pierde între două backupuri zilnice.
Retenție backup
7 zile
Acoperă baza de date. Fișierele încărcate stau într-un depozit de obiecte în UE, cu regim propriu de durabilitate — nu intră în backupul zilnic al bazei de date.
Ultima probă de restaurare
25 iul. 2026
Restaurare efectivă într-un mediu separat, comparată rând cu rând cu producția.
Ceasul unui incident — același pe care ți-l dă produsul
Ora 0
Detectare prin monitorizare sau alertă de aplicație. Erorile ajung la operator, nu doar în jurnale.
24h
Alertă timpurie către autoritate, dacă e cazul — termenul de 24 de ore din OUG nr. 155/2024 art. 15, pentru entitățile în scop.
72h
Pragul GDPR de notificare către autoritate, când operatorul suntem noi. Pe datele clienților suntem persoană împuternicită: îi anunțăm fără întârzieri nejustificate, cu mult înaintea acestui prag, ca termenul lor de 72h să rămână întreg.
1 lună de la notificare
Raport final: cauză, impact, măsuri luate și ce am schimbat ca să nu se repete.
04 — Ce putem dovedi
Fapte verificabile, nu insigne.
N-o să găsești aici sigilii de certificare. Fiecare rând de mai jos e ceva ce putem arăta la cerere — iar eticheta din dreapta spune exact ce formă are dovada.
Dovadă datată
Backup zilnic, păstrat 7 zile — și testat
Pe 25 iulie 2026 am restaurat efectiv o copie într-un mediu separat și am comparat-o rând cu rând cu producția. Un backup neprobat e o ipoteză, nu o măsură.
Configurație
Fiecare client e izolat la nivelul bazei de date
Izolarea e impusă de baza de date (Row Level Security), nu doar ascunsă în interfață, și e verificată automat la fiecare modificare de cod.
Contract
Datele tale nu antrenează modele de inteligență artificială
Prevăzut contractual cu furnizorul de AI, nu doar promis pe site.
Configurație
Acces pe roluri, cu autentificare în doi pași
Proprietar, administrator, editor, vizualizare — fiecare vede doar ce îi trebuie. Accesul nostru administrativ la datele tale se jurnalizează ca prelucrare.
Contract
Patru subîmputerniciți, toți cu contract de prelucrare (DPA) încheiat
Lista completă e publică, cu rolul, regiunea și mecanismul de transfer al fiecăruia. Contractele sunt arhivate și pot fi prezentate la cerere.
Dovadă datată
Registrul propriu de prelucrări, ținut la zi
Obligația din art. 30 GDPR pe care o cerem clienților o îndeplinim și noi, plus analiza de transfer pentru componenta de AI.
Public
Operator identificat, nu o firmă anonimă
ENVISIONITE S.R.L., cu CUI și număr de registru afișate pe fiecare pagină legală.
Configurație
Alertare la incidente de aplicație
Erorile și joburile eșuate ajung la operator, nu doar în jurnale. Un endpoint de sănătate permite monitorizarea externă.
Angajament
Notificare înainte de un subîmputernicit nou
Administratorii primesc email înainte de a adăuga un furnizor nou în lanț, nu după.
05 — Fișa noastră, pe față
Îți arătăm și ce încă nu avem.
Cerem clienților noștri să-și evalueze onest propriile lacune. Ar fi ciudat să nu facem la fel. Stare verificată la 25 iulie 2026.
12 măsuri urmărite
8 făcute · 2 în consolidare · 2 nefăcute
Făcut — 8
Rezidența datelor în UE
Bază de date și aplicație găzduite în UE.
Izolarea între clienți
Impusă în baza de date, verificată automat.
Criptare în tranzit și în repaus
Standard la toți furnizorii de infrastructură folosiți.
Control al accesului pe roluri
Patru roluri + acces separat de operare al platformei.
Autentificare în doi pași
Disponibilă pe cont, cu verificare centralizată.
Jurnal de audit
Acțiunile din cont și accesul administrativ se înregistrează.
Backup al bazei de date
Zilnic, păstrat 7 zile, cu restaurare probată în iulie 2026.
Alertare la incidente de aplicație
Erorile și joburile eșuate ajung la operator, nu doar în jurnale.
În consolidare — 2
Plan de recuperare în caz de dezastru
Plan scris, cu obiective declarate intern, și restaurare probată. Nu am simulat încă o revenire completă în producție — de aceea nu publicăm un timp garantat de revenire.
Managementul cheilor și al accesului privilegiat
Procedurile există; formalizarea și rotația periodică sunt în consolidare.
Nefăcut — 2
Test de penetrare extern
Neefectuat până acum. Planificat înainte de creșterea bazei de clienți.
Certificare ISO 27001 sau SOC 2
Neîncepută formal. Platforma te ajută să te pregătești pentru astfel de standarde; certificarea noastră e pe foaia de parcurs, nu în prezent.
„Dacă un furnizor îți arată doar realizările, nu ai cum să știi ce e omis. Preferăm să afli de la noi, cu date alături — și să ne întrebi despre orice rând.”
07 — Vulnerabilități
Ai găsit o problemă? Îți mulțumim înainte să ne-o spui.
Orice produs are vulnerabilități; diferența o face ce se întâmplă după ce cineva găsește una. Mai jos e canalul, regulile și ce ne asumăm — fără termene inventate și fără recompense pe care nu le-am putea onora.
Unde raportezi
contact@cremene.ro — cu subiectul „Vulnerabilitate”
Aceleași date sunt publicate și în /.well-known/security.txt, formatul standard (RFC 9116) pe care îl caută uneltele automate.
Ce te rugăm să faci
Trimite-ne pașii de reproducere și impactul, cât de concret poți. Lucrează doar pe conturi proprii, cu date de test. Dă-ne un răgaz rezonabil să reparăm înainte de a publica.
Ce te rugăm să NU faci
Fără atacuri de indisponibilitate, fără spam, fără inginerie socială asupra oamenilor noștri sau ai clienților. Nu accesa, nu modifica și nu extrage date care nu-ți aparțin — dacă dai peste ele, oprește-te și spune-ne.
Ce facem noi
Confirmăm primirea, îți spunem ce am înțeles din raport și te ținem la curent până la remediere. Dacă vrei, te menționăm public după ce problema e reparată.
Angajamentul nostru
Nu întreprindem acțiuni legale împotriva cercetării făcute cu bună-credință, care respectă regulile de mai sus. Dacă greșești ceva din bună-credință, discutăm — nu escaladăm.
06 — Operator
Cine operează Cremene
Platforma e operată de ENVISIONITE S.R.L. — operator identificat, nu o firmă anonimă. Datele de identificare sunt afișate pe fiecare pagină legală.
- CUI
- 46365692
- Nr. registru
- J17/1092/2022
- Date personale
- gdpr@cremene.ro
- Securitate
- contact@cremene.ro
- Disponibilitate
- /api/health