Construit defensiv. Auditat frecvent.

Nu avem ce să deținem. NIS2 se aplică entităților esențiale și importante; un sistem de management al transportului nu intră în niciun sector din Anexa I sau II, iar Druma este mult sub pragul de 50 de angajați / 10 mil. €. Orice furnizor care vă oferă un „certificat NIS2” descrie ceva ce nu există. Ce facem în schimb este să vă ușurăm răspunsul la propriile obligații privind lanțul de aprovizionare în legătură cu noi — această pagină, DPA, lista subprocesatorilor și politica noastră de divulgare a vulnerabilităților sunt toate publice, fără NDA. Bine de știut: dacă sunteți transportator, foarte probabil sunteți și dumneavoastră în afara domeniului. Subsectorul Rutier acoperă autoritățile rutiere și operatorii de sisteme de transport inteligente, nu transportatorii sau expeditorii. Cererea vine de obicei de la expeditorul dumneavoastră, care este în domeniu.

Baza de date, stocarea fișierelor și funcțiile de server sunt găzduite în UE (Irlanda). Front-end-ul web este servit prin rețeaua globală de margine Cloudflare, care nu este limitată la UE. Un număr de destinatari numiți pot prelucra date în afara SEE — de exemplu Cloudflare (CDN), Resend (e-mail tranzacțional) și Supabase pentru accesul de asistență de la distanță la baza de date găzduită în UE — fiecare menționat în Anexa III a Acordului nostru de prelucrare a datelor, împreună cu datele personale primite și garanția care le acoperă. Cererile noastre AI sunt procesate pe endpoint-ul multi-regional UE al Google Vertex AI; conform condițiilor Google, datele sunt stocate acolo, iar procesarea ML se desfășoară în UE, iar termenii Google Cloud (Service Specific Terms) exclud antrenarea pe datele dumneavoastră. Singura excepție este cercetarea web opțională despre companii și amplasamente (Google Search grounding), pe care condițiile Google o exclud din angajamentul pentru UE și care poate fi, deci, procesată în afara UE; Google păstrează interogările de grounding până la 3 zile, iar acest lucru nu poate fi dezactivat; aceasta trimite identificatori comerciali publici (numele companiei sau al amplasamentului, țara, orașul, codul de TVA și indicatorul de validitate, denumirea legală din VIES, adresa site-ului web și textul public al site-ului propriu al unui amplasament), fără date de comenzi, documente sau șoferi și fără înregistrări de contact din contul dumneavoastră Druma; textul public al site-ului unei companii și denumirea comercială a unui întreprinzător individual pot conține incidental date personale.

Da, pe companie, și este impusă în baza de date, nu doar în aplicația web — deci se aplică și accesului direct la API, nu doar cuiva care folosește browserul. Domeniul real: acoperă aplicația planificatorului și acțiunile privilegiate de server. Nu se aplică aplicației șoferului (șoferii se autentifică cu PIN și nu au flux de autentificator), linkurilor partajate de portal sau token-urilor API.

Nu, și nici nu pretindem. Ce există sunt șase audituri interne complete de securitate, cel mai recent în august 2026, și o descriere publicată a controalelor noastre pe care o puteți verifica pe acest produs. Ținta noastră este CyberFundamentals Basic — nivelul pe care Centrul pentru Securitate Cibernetică din Belgia recomandă explicit organizațiilor să îl ceară furnizorilor lor. Dacă un certificat este o cerință obligatorie pentru dumneavoastră, nu vom trece azi de acest prag.

În termen de 48 de ore de la luarea la cunoștință a unei încălcări a securității datelor cu caracter personal care vă afectează datele și, în orice caz, fără întârzieri nejustificate. Este un angajament contractual din DPA, iar procedura noastră internă urmărește un obiectiv mai strict, de 24 de ore. Sincer despre limită: acest angajament acoperă încălcările securității datelor cu caracter personal. Un incident de disponibilitate sau integritate fără element de date personale nu declanșează astăzi nicio notificare contractuală. Druma este operată de o singură persoană și nu există permanență 24/7.

Copii de rezervă automate zilnice, păstrate 7 zile. Obiectivele noastre documentate sunt un punct de recuperare de 24 de ore și un timp de recuperare de 8 ore lucrătoare, cu procedura, șapte scenarii și lacunele cunoscute scrise și disponibile la cerere. Două lucruri pe care nu vrem să le exagerăm: o restaurare completă nu a fost încă exersată, deci aceste cifre sunt derivate din comportamentul platformei, nu demonstrate; și copiile de rezervă se află în prezent în același cont de furnizor ca producția, ceea ce este primul punct din propriul nostru registru de riscuri.

Nu la ambele, astăzi. Autentificarea se face cu e-mail și parolă sau prin OAuth Google/Microsoft; nu există single sign-on SAML sau OIDC și nici impunerea domeniului. Nu există nici un procent de disponibilitate angajat — Termenii noștri de utilizare spun acest lucru explicit, în loc să-l lase subînțeles. Dacă oricare dintre ele este o cerință, spuneți-ne; niciuna nu este un secret, iar ambele sunt pe foaia de parcurs, nu în produs.