Politica de confidențialitate — weakestlink
Ultima actualizare: 29 septembrie 2026
Această politică descrie modul în care weakestlink prelucrează datele cu caracter personal pentru care suntem noi înșine operator de date. Dacă angajatorul tău folosește weakestlink pentru instruire în securitate, angajatorul este operatorul datelor angajaților, iar weakestlink este persoană împuternicită — vezi Anexa A.
1. Operatorul de date
WEAKESTLINK ApS (CVR 46614011, registrul comerțului danez) este operatorul datelor cu caracter personal prelucrate pe weakestlink.io. Contact: info@weakestlink.io.
2. Ce date prelucrăm, în ce scop și cu ce temei juridic
| Date | Scop | Temei juridic (RGPD art. 6) | Se șterge |
|---|---|---|---|
| Persoana de contact a clientului (nume, e-mail, funcție) | Crearea și administrarea contului organizației | Contract (art. 6 alin. (1) lit. b) | La încetarea relației cu clientul |
| Date de facturare | Facturare și contabilitate | Obligație legală (art. 6 alin. (1) lit. c) | 5 ani, conform legii daneze a contabilității (bogføringsloven) |
| Jurnale de server (IP, oră) | Operare și securitate | Interes legitim (art. 6 alin. (1) lit. f) | 90 de zile |
| Adresa de e-mail, atunci când te înscrii singur pentru a afla despre un modul viitor (AI-Klar, deepfake) | Să te anunțăm când modulul este gata | Consimțământ (art. 6 alin. (1) lit. (a)) — îl poți retrage oricând scriindu-ne | Cel mult 12 luni de la înscriere |
| ID-ul de clic Google, atunci când vii de la un anunț Google, momentul clicului și dacă a fost creat un cont sau dacă acesta a început să plătească | Măsurarea anunțurilor: să vedem dacă un anunț Google a dus la crearea unui cont | Interes legitim (art. 6(1)(f)) — te poți opune, vezi secțiunea 7 | 90 de zile de la clic. Dacă o conversie a fost raportată către Google, aceasta se șterge la 90 de zile de la raportare |
| Statistici de vizitare: afișări de pagini și clicuri pe butoane, cu tipul de browser, dispozitivul și țara. Fără cookie-uri, iar adresa IP nu este stocată | Să vedem ce pagini sunt folosite, ca să le putem îmbunătăți. Statisticile rulează pe propriul nostru server (Umami) și nu sunt partajate cu terți | Interes legitim (art. 6(1)(f)) | Se stochează ca statistici agregate, fără nume, e-mail sau adresă IP |
Nu prelucrăm coduri numerice personale (CNP) și nicio informație sensibilă (GDPR art. 9).
3. Prelucrare cu ajutorul AI
Folosim AI (Claude de la Anthropic) pentru a redacta conținutul de instruire și șabloanele de simulare — lecții, teste și e-mailuri-capcană — intern, înainte de publicare. Nu trimitem către servicii AI date ale clienților și nici date cu caracter personal despre angajații voștri și nu rulăm AI pe datele voastre în producție.
4. Persoane împuternicite și subîmputernicite
Folosim următoarele persoane împuternicite. Pentru furnizorii din afara UE/SEE, transferul se face în baza deciziei de adecvare a Comisiei Europene (EU-U.S. Data Privacy Framework) și/sau a clauzelor contractuale standard (SCC):
| Furnizor | Serviciu | Țară | Temei al transferului |
|---|---|---|---|
| Anthropic PBC | Redactare cu AI a conținutului de instruire (offline) | USA | DPF/SCC |
| Brevo (Sendinblue SAS) | E-mail tranzacțional și de notificare trimis (de ex. confirmarea adresei de e-mail) | Frankrig | — |
| Cloudflare, Inc. | Rețea, TLS și protecție DDoS | USA | DPF/SCC |
Găzduirea se face pe infrastructură proprie în Danemarca.
Dacă plătești cu cardul, datele de card și de plată sunt prelucrate de procesatorul nostru de plăți QuickPay (QuickPay ApS, Danemarca) și de acceptatorul de carduri Clearhaus (Clearhaus A/S, Danemarca) în calitate de operatori de date independenți, conform legislației privind serviciile de plată — nu ca persoane împuternicite de noi. Nu primim niciodată numărul complet al cardului tău. Pentru această prelucrare se aplică politicile de confidențialitate proprii ale QuickPay și Clearhaus.
5. Divulgarea datelor
Divulgăm informații doar atunci când este necesar pentru furnizarea serviciului, când legea o impune sau cu consimțământul tău. O singură excepție: dacă ai ajuns la noi dintr-un anunț Google, trimitem către Google Ireland Ltd. (Google Ads) ID-ul de clic al anunțului, momentul și dacă contul a fost creat sau plătit, ca să vedem ce anunțuri funcționează. Nu trimitem nici nume, nici e-mail, nici adresă IP. Google poate transfera informațiile către Google LLC din SUA. Potrivit Google, acest lucru se face în baza EU-U.S. Data Privacy Framework, în cadrul căruia Google LLC este certificată, iar în lipsa acestuia, în baza clauzelor contractuale standard (SCC). Nu vindem niciodată informații.
6. Păstrare și ștergere
Termenele concrete sunt indicate în tabelul din secțiunea 2. Documentele contabile se păstrează 5 ani de la sfârșitul anului fiscal, conform legii daneze a contabilității (bogføringsloven). După acest termen, informațiile sunt șterse sau anonimizate.
7. Drepturile tale
Ai dreptul de acces, rectificare, ștergere, restricționare a prelucrării, portabilitate a datelor și opoziție (GDPR art. 15–21). Dacă ți-ai dat consimțământul, îl poți retrage oricând, cu efect pentru viitor. Scrie-ne la info@weakestlink.io — îți răspundem în cel mult o lună de la primirea solicitării. Dacă nu vrei să folosim ID-ul de clic al anunțului (secțiunile 2 și 5), te poți opune (art. 21) scriind la aceeași adresă — vom șterge ID-ul de clic și nu vom raporta nimic despre contul tău către Google. Dacă ești angajat al unui client, te poți adresa și angajatorului tău, care este operatorul de date (vezi Anexa A).
8. Depunerea unei plângeri
Poți depune o plângere privind prelucrarea datelor de către noi la Datatilsynet (autoritatea daneză de supraveghere, care are rol principal), Carl Jacobsens Vej 35, 2500 Valby, www.datatilsynet.dk. Poți depune o plângere și la ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal), www.dataprotection.ro.
9. Module cookie
Setăm două cookie-uri: un cookie de sesiune, folosit pentru autentificare și securitate, și — dacă îți alegi singur limba din selectorul de limbă — un cookie care îți reține alegerea. Dacă vii dintr-un anunț Google, stocăm ID-ul de clic al anunțului în sesiunea de pe serverul nostru, ca să putem comunica Google dacă clicul a dus la crearea unui cont (vezi secțiunea 5). Cookie-ul în sine conține doar un ID de sesiune aleatoriu. Nu folosim alte cookie-uri de urmărire și niciun cookie terț, iar statisticile de vizitare (Umami) nu folosesc cookie-uri.
10. Modificări
Modificările importante ale acestei politici vor fi anunțate pe weakestlink.io și/sau prin e-mail.
Anexa A — repartizarea rolurilor la instruirea angajaților
Când o companie (angajatorul tău) folosește weakestlink pentru instruire de securitate și simulări de phishing, compania este operator de date pentru datele angajaților, iar weakestlink este persoană împuternicită. Prelucrarea se face pe baza instrucțiunilor dintr-un acord de prelucrare a datelor, încheiat la înființarea contului. Această politică se aplică deci doar datelor pentru care noi înșine suntem operator (datele de contact și de facturare ale clientului, precum și cele de operare).
Simulările de phishing se derulează doar pe un temei juridic documentat (acordul organizației și o evaluare aprobată a interesului legitim). Rapoartele sunt agregate și arată cifre doar pentru grupuri de cel puțin cinci persoane. Rezultatele unui angajat (scor de risc, progres la cursuri și evenimente din simulări) le poate vedea doar administratorul organizației — și managerii, dacă organizația activează asta. Scopul e instruirea suplimentară țintită, niciodată expunerea sau sancțiunile. Rezultatele sunt păstrate pe durata relației contractuale și șterse la încetarea ei, conform acordului de prelucrare a datelor. Nu salvăm niciodată ce introduce un angajat într-o simulare, ci doar faptul că a avut loc un eveniment.