Subprocessor List
Lista furnizorilor și a persoanelor împuternicite ulterioare
Ultima actualizare: 4 octombrie 2026 Versiunea: 1.1
1. Ce este această listă
Această pagină enumeră toți furnizorii externi care primesc sau stochează date cu caracter personal atunci când folosiți INVOLVO (https://involvo.io). Operatorul platformei este Victor Chilari, persoană fizică din Republica Moldova (contact: support@involvo.io).
Lista are două roluri:
- Pentru toți utilizatorii, completează Politica de confidențialitate: arată cine primește date, unde și în baza cărei garanții de transfer.
- Pentru organizatori, este anexa privind persoanele împuternicite ulterioare din Acordul de prelucrare a datelor pentru organizatori. Rândurile marcate „Da” în coloana „Sub-împuternicit pentru organizatori” prelucrează și datele pe care INVOLVO le prelucrează în numele organizatorilor (răspunsurile la întrebările proprii ale organizatorului, lista de participanți gestionată de organizator, e-mailurile trimise de organizator).
Lista este împărțită în: (A) persoane împuternicite (furnizori care prelucrează date în numele nostru); (B) destinatari independenți (furnizori care prelucrează datele în nume propriu, după propriile politici); (C) infrastructură operată de INVOLVO; (D) servicii pe care nu le folosim.
Cum citiți coloana „Mecanism de transfer”. Datele sunt prelucrate din Republica Moldova; transferurile către statele Spațiului Economic European (SEE) nu necesită garanții suplimentare (art. 44 alin. (2) din Legea nr. 195/2024). Statele Unite și Singapore nu figurează pe lista statelor adecvate a autorității din Republica Moldova (Decizia nr. 41/2026), iar Cadrul UE–SUA privind confidențialitatea datelor („DPF”) nu este recunoscut acolo; pentru ele ne bazăm pe clauzele contractuale standard ale Comisiei Europene („CCS”) din acordul furnizorului (art. 46 alin. (2) lit. c) din Legea nr. 195/2024). Pentru persoanele din Uniunea Europeană indicăm și mecanismul din Regulamentul (UE) 2016/679 („GDPR”). Ne puteți cere o copie a garanțiilor la support@involvo.io.
2. (A) Persoane împuternicite
| Furnizor | Scop | Date | Locație | Mecanism de transfer | Acord de prelucrare (DPA) | Sub-împuternicit pentru organizatori | Verificat |
|---|---|---|---|---|---|---|---|
| Vercel Inc. (SUA) | Găzduirea aplicației și procesarea cererilor | Toate cererile către involvo.io, inclusiv datele personale din cereri și răspunsuri (de exemplu, răspunsurile la formulare); jurnale de execuție. Păstrarea jurnalelor: conform planului Vercel | Servere Vercel din UE (Frankfurt) și SUA; rețea de livrare globală | Niciuna în sensul Legii nr. 195/2024. Pentru utilizatorii din UE: EU–US DPF (Vercel certificată, statut activ) | Nu. Planul gratuit folosit în prezent nu include un acord de prelucrare a datelor. Vom trece la un plan cu acord înainte de lansarea publică sau de orice activitate comercială | Da | 30.09.2026 (regiunea funcțiilor: Frankfurt) |
| Supabase — Supabase Pte. Ltd (Singapore); asistență: Supabase, Inc. (SUA) | Baza de date și stocarea fișierelor | Toate datele platformei: conturi, profiluri, aplicări și răspunsuri la formulare, participare și prezență, date de verificare a prezenței, portofele Stele de Impact, notificări, jurnale de audit. Fișiere: imagini de copertă, avatare și fotografii de verificare a prezenței (acestea din urmă se șterg cel târziu la 14 zile după trimitere; cele rămase fără o cerere înregistrată, cel târziu la 30.11.2026); certificatele de participare încărcate de utilizatori (paginile și, pentru un PDF, fișierul original), fără adrese publice | Producție: Germania (Frankfurt). Mediul de dezvoltare: Irlanda. Asistența tehnică poate accesa datele din afara UE | Stocare în SEE (fără transfer pentru stocare). Pentru accesul din Singapore/SUA: CCS ale Comisiei Europene (Modulele 2/3) din DPA-ul Supabase. Supabase nu este certificată DPF | Da — inclus în Termenii Supabase | Da | 27.09.2026 |
| Sentry — Functional Software, Inc. (SUA) | Monitorizarea erorilor și a performanței, înregistrarea sesiunilor | Rapoarte de eroare (mesajul erorii, adresa paginii, browserul și dispozitivul, istoricul interacțiunilor, valori din variabilele serverului, care pot conține un nume, un e-mail sau un răspuns dintr-un formular), înregistrări de sesiune mascate, date de performanță; fără adresă IP, cookie-uri sau ID de cont. Păstrare: 30 de zile | Stocare: UE (Frankfurt, Germania); asistență și unii subcontractanți: SUA | EU–US DPF; CCS, Modulele 2/3 | Da | Da | 27.09.2026 |
| Resend — Plus Five Five, Inc. (SUA) | Trimiterea e-mailurilor | Adresa destinatarului, numele, subiectul și conținutul mesajului: linkuri de autentificare și coduri, notificări, rezumate, mesaje de schimbare a statutului aplicării și mesaje compuse de organizatori către aplicanții lor | SUA (jurnalele și metadatele sunt păstrate în SUA indiferent de regiunea de trimitere) | Legea nr. 195/2024: CCS ale Comisiei Europene din DPA-ul Resend. GDPR: EU–US DPF + CCS Modulul 2 | Da — inclus în Termenii Resend | Da | 27.09.2026 |
| Upstash — Upstash, Inc. (SUA) | Limitarea ratei cererilor (protecție împotriva abuzului) și cache | Adrese IP și adrese de e-mail folosite drept chei de limitare, ID-uri de utilizator; o copie temporară (60 de minute) a profilului de acces (ID, rol, apartenența la organizații, plan). Cheile expiră automat | UE — AWS Frankfurt (regiunea principală) | Stocare în SEE (regiunea principală). Pentru accesul furnizorului din SUA: Legea nr. 195/2024 — CCS din DPA-ul Upstash; GDPR — EU–US DPF, cu CCS ca soluție de rezervă | Da — inclus în Termenii Upstash | Nu (doar date pentru care INVOLVO este operator) | 27.09.2026 |
| Plausible Analytics — Plausible Insights OÜ (Estonia) | Statistici de trafic, fără cookie-uri | Adresa paginii și sursa de trimitere (fără parametrii din adresă, cu excepția celor de campanie, și fără codurile secrete din linkuri, eliminate pe serverul nostru înainte de trimitere); dimensiunea ecranului, derularea și timpul petrecut pe pagină; adresa IP și browserul sunt transmise de serverul nostru, iar Plausible declară că nu le stochează în formă brută | UE (Germania) | Fără transfer (UE) | Da — acceptat prin utilizarea serviciului | Nu | 27.09.2026 |
| Cloudflare, Inc. (SUA) | DNS pentru involvo.io; protecție și tunel pentru wiki.involvo.io (unde sunt publicate documentele legale) | Pentru vizitatorii wiki-ului: adresa IP și datele tehnice ale cererii. Nu prelucrează datele din aplicația involvo.io | Rețea globală | EU–US DPF; CCS, Modulele 2/3 | Da — inclus în acordul de abonament Cloudflare | Nu | 27.09.2026 |
| Brevo (Franța) | Releu pentru e-mailurile trimise de la support@involvo.io și victor@involvo.io | Conținutul și destinatarii mesajelor de asistență, inclusiv răspunsurile la cererile privind drepturile persoanelor vizate | UE (Franța) | Fără transfer (UE) | În curs de verificare | Da (doar corespondența de asistență) | 28.09.2026 (utilizare confirmată; condițiile contractuale în curs de verificare) |
3. (B) Destinatari independenți
Acești furnizori nu prelucrează date la instrucțiunile noastre. Ei primesc date doar în situațiile descrise și le prelucrează în calitate de operatori independenți, după propriile politici de confidențialitate.
| Furnizor | Când primește date | Date | Locație | Mecanism de transfer | Verificat |
|---|---|---|---|---|---|
| GitHub, Inc. (SUA) | Copii de siguranță ale bazei de date și ale imaginilor personale și ale certificatelor, păstrate ca artefacte GitHub Actions | Producție: copie completă a bazei de date (inclusiv Datele de eveniment ale organizatorilor), criptată înainte de încărcare, păstrată 90 de zile; GitHub nu deține cheia. Producție, imagini și certificate: zilnic, fotografiile de profil, fotografiile de dovadă ale check-in-ului și fișierele certificatelor de participare, criptate cu aceeași cheie, păstrate 2 zile (nu și copertele evenimentelor și avatarele organizațiilor). Mediul de dezvoltare: copie necriptată a bazei de dezvoltare, păstrată 30 de zile | SUA și alte locații GitHub | EU–US DPF; CCS menționate în declarația de confidențialitate GitHub. Pe planul folosit nu există un acord de prelucrare; GitHub acționează ca operator independent (Acordul de prelucrare a datelor pentru organizatori, pct. 6.5) | 27.09.2026 |
| Google — Google LLC (SUA); pentru SEE: Google Ireland Limited | (1) Dacă alegeți „Conectare cu Google”; (2) la fiecare încărcare de pagină, pentru pictogramele Material Symbols de pe fonts.googleapis.com | (1) Google vă autentifică; noi primim identificatorul Google, e-mailul, numele și fotografia de profil. (2) Adresa IP, User-Agent și pagina de proveniență ale vizitatorului | SUA / global | EU–US DPF (Google certificată); nu este recunoscut în Republica Moldova | 27.09.2026 |
| Telegram — Telegram Messenger Inc.; Telegram FZ-LLC (Emiratele Arabe Unite) | Doar dacă vă conectați contul Telegram la botul @involvo_pulse_bot | ID-ul conversației, notificările (titlu, text, link către eveniment), inclusiv mesajele compuse de organizatori, doar pentru destinatarii care au conectat Telegram și au activat notificările pe Telegram; linkurile de autentificare și de resetare a parolei (trimise pe Telegram în loc de e-mail, dacă ați conectat Telegram); pentru administratori, rezumate orare ale erorilor | Global | Nicio garanție contractuală: Telegram nu oferă acord de prelucrare sau CCS operatorilor de boți (Acordul de prelucrare a datelor pentru organizatori, pct. 6.5). Datele ajung la Telegram pentru că ați ales să conectați contul; transferul este necesar pentru serviciul cerut (art. 49 alin. (1) lit. b) din Legea nr. 195/2024 și din GDPR) | 28.09.2026 |
| MyMemory — Translated S.r.l. (Italia) | Când textul întrebărilor unui formular de aplicare este tradus automat | Textul întrebărilor scrise de organizator (etichetă, text de ajutor, exemplu de răspuns) și adresa de contact a operatorului. Nu se trimit răspunsurile aplicanților sau descrierile evenimentelor. MyMemory păstrează textele trimise pe termen lung | UE (Italia) | Fără transfer (UE) | 27.09.2026 |
| Gazde externe de imagini alese de organizatori | Când o pagină afișează o imagine indicată printr-o adresă externă | Browserul vizitatorului descarcă imaginea direct, deci gazda vede adresa IP și browserul | Variabilă | — | 28.09.2026 |
| cron-job.org — Patrick Schlangen (Germania) | La fiecare rulare programată a unei sarcini (de exemplu, trimiterea notificărilor, ștergerea datelor expirate) | Doar răspunsuri numerice (câte elemente au fost procesate); nu primește date cu caracter personal | UE (Germania) | Fără transfer (UE) | — |
4. (C) Infrastructură operată de INVOLVO
Nu sunt furnizori terți, dar îi menționăm pentru transparență:
- Server de e-mail propriu (Stalwart) pentru căsuțele support@involvo.io și victor@involvo.io, găzduit în Republica Moldova. Mesajele trimise sunt transmise mai departe prin Brevo (vezi mai sus).
- Wiki-ul wiki.involvo.io (BookStack), unde sunt publicate documentele legale, găzduit în Republica Moldova și accesibil prin Cloudflare.
5. (D) Servicii pe care nu le folosim
Nu folosim procesatori de plăți, servicii de inteligență artificială pentru datele utilizatorilor, hărți sau geocodare externe, notificări push, Vercel Web Analytics sau alte instrumente de urmărire publicitară.
6. Cum vă anunțăm modificările
- Actualizăm această pagină înainte ca un furnizor nou să înceapă să prelucreze date cu caracter personal, iar orice modificare se înregistrează în istoricul de mai jos.
- Organizatorii sunt anunțați prin e-mail cu cel puțin 14 zile înainte ca un sub-împuternicit nou sau înlocuitor să prelucreze datele organizatorilor, cu dreptul de a formula obiecții; destinatarii, înlocuirea urgentă și obiecțiile sunt reglementate de Acordul de prelucrare a datelor pentru organizatori, pct. 6.2 și 6.3.
- Dacă trebuie să înlocuim urgent un furnizor pentru a menține securitatea sau funcționarea serviciului, vă anunțăm cât mai curând posibil după înlocuire, iar termenul de obiecție de 14 zile curge de la notificare.
- Oricine poate primi aceste notificări: scrieți la support@involvo.io cu subiectul „Abonare — listă furnizori”.
7. Istoricul modificărilor
| Data | Modificare |
|---|---|
| 27.09.2026 | Rândul Sentry verificat și adăugat. |
| 28.09.2026 | Rândul Vercel verificat și adăugat (plan Hobby, fără DPA). |
| 28.09.2026 | Versiunea 1.0: lista completă (Supabase, Resend, Upstash, Plausible, Cloudflare, Brevo; destinatari independenți: GitHub, Google, Telegram, MyMemory; infrastructură proprie; servicii nefolosite) și mecanismul de notificare a modificărilor. |
| 29.09.2026 | Versiunea 1.1: rândul Plausible actualizat — codurile secrete nu mai sunt trimise în adresele paginilor (remediere de securitate). |
| 30.09.2026 | Eliminată versiunea în limba engleză; textul în limba română este neschimbat. |
| 01.10.2026 | Rândul GitHub: copie zilnică criptată a fotografiilor de profil și de dovadă, 2 zile (completare de informare). |
| 01.10.2026 | Text simplificat (detalii contractuale și tehnice scurtate; notificarea organizatorilor trimite la Acordul de prelucrare a datelor pentru organizatori, pct. 6.2 și 6.3); cron-job.org mutat la destinatarii independenți; terminologie uniformizată („copii de siguranță”, „Stele de Impact”). (corectură) Vercel: regiunea funcțiilor (Frankfurt), verificată la 30.09.2026. Upstash: indicată regiunea principală. (completare) GitHub: copiile conțin și Datele de eveniment ale organizatorilor. Telegram: primește și mesajele compuse de organizatori, pentru destinatarii care au conectat Telegram și au activat notificările pe Telegram. |
| 02.10.2026 | Rândul Supabase: fotografiile de verificare a prezenței se șterg cel târziu la 14 zile după trimitere, nu la 30 de zile după decizie; cele rămase fără o cerere înregistrată, cel târziu la 30.11.2026 (completare). |
| 04.10.2026 | Rândurile Supabase și GitHub: certificatele de participare încărcate de utilizatori și copia lor zilnică criptată, 2 zile (completare de informare). |