Salt la continut
← Înapoi la pagina principală
Securitate & Transparență

Securitate la nivel de avocat — transparență completă

Avocații sunt obligați prin Legea 51/1995 să protejeze secretul profesional al clienților. LexLord respectă această obligație constitutional la fiecare nivel — de la rețea la model AI. Mai jos: arhitectura completă, sub-procesatorii pe care îi folosim, ce date trec prin fiecare, certificările pe care le avem și pe care le pregătim.

1. Garanții fundamentale

100% UE

Date NICIODATĂ în afara UE

Toate datele tale și ale clienților tăi sunt stocate exclusiv în UE (Hetzner Germania primary). Zero transfer transatlantic. Schrems II compatible.

Zero training

Datele tale NU antrenează AI-ul

Conținutul prelucrat de tine NU se folosește pentru antrenarea modelelor noastre sau ale terților. Zero retention pe partea de inferență LLM.

Local AI

Embed + Reranker rulează LOCAL

Modelele AI de căutare semantică rulează direct pe serverele noastre din Germania. Zero call extern către OpenAI, Google, Anthropic.

Multi-tenant

Izolare absolută între cabinete

Fiecare cabinet are propriul tenant ID. Toate query-urile Qdrant + PostgreSQL sunt filtrate strict. Zero scurgere între clienții noștri.

2. Sub-procesatori (lista publică completă)

Conform Art. 28 GDPR + Schrems II, suntem obligați să listăm public toți sub-procesatorii cu care lucrăm și ce date trec prin ei. Aceasta este lista completă, actualizată mai 2026:

Hetzner Online GmbHGermania (Nürnberg)
Hosting servere primare, baza de date, index de căutare juridică, modele AI specializate — toate rulează local
Certificări: ISO 27001, EU GDPRDPA →
Vercel Inc.UE (Frankfurt edge)
Hosting frontend Next.js, edge functions. Configurat să rămână EU-only
Certificări: SOC 2 Type II, ISO 27001, GDPR DPADPA →
Weights & Biases (W&B Inference)UE (regiune dedicată)
Inferență LLM (Qwen3-235B + Qwen3-30B). Configurat exclusiv regiune EU. Zero retention
Certificări: SOC 2 Type II, ISO 27001, GDPR DPADPA →
Cloudflare Inc.UE (edge global, configurat EU-priority)
DNS, DDoS protection, CDN static assets. Zero PII trecut
Certificări: ISO 27001, SOC 2 Type IIDPA →
Stripe Payments Europe LtdIrlanda (UE)
Procesare plăți abonament. Zero date juridice clienți. Doar billing info
Certificări: PCI DSS Level 1, SOC 1/2, ISO 27001DPA →
Sentry GmbHGermania (UE)
Error tracking application. PII scrubbing activ. Self-hosted EU instance
Certificări: SOC 2 Type II, GDPR DPADPA →

Notificare modificări: orice adăugare sau eliminare de sub-procesator este anunțată cu minim 30 zile înainte clienților Cabinet și Enterprise prin email. Clienții au drept de obiecție conform GDPR.

3. Arhitectura de securitate — 7 straturi

Network

  • TLS 1.3 obligatoriu (HSTS preload)
  • DDoS protection Cloudflare
  • Rate limiting per IP + per user
  • Firewall WAF rules
  • Geo-blocking sensitive endpoints

Application

  • Helmet.js CSP strict (no unsafe-inline)
  • CORS whitelist explicit
  • JWT short-lived (15min) + refresh rotation
  • Prompt Injection Guard pe fiecare apel LLM
  • Input validation Zod pe fiecare endpoint
  • SQL exclusiv parameterized statements

Data at rest

  • PostgreSQL encryption at rest
  • Qdrant payload encrypted
  • S3 backups encrypted SSE-KMS
  • Keychain iOS pentru tokens client
  • Secrets în .env-uri criptate cu sops

Data in transit

  • TLS 1.3 client-server
  • Internal mTLS între servicii backend
  • VPN dedicat pentru acces admin

Access control

  • RBAC (Role-Based Access Control) granular
  • MFA obligatoriu pentru admin
  • FaceID/TouchID pe iOS
  • Multi-tenant isolation Qdrant + PostgreSQL
  • Row Level Security pe tabele multi-tenant

Audit & Logging

  • Audit trail imutabil append-only (toate operațiunile pe date client)
  • Query hash SHA-256 (zero plaintext în loguri)
  • Winston structured logging JSON
  • Retention loguri 5 ani (cerinta Legea 51/1995)
  • Sentry cu PII scrubbing activ

AI-specific

  • Modele de căutare semantică rulează LOCAL pe Hetzner (zero call extern)
  • Conținutul tău NU se folosește pentru antrenarea modelelor AI
  • Verificare multiplă independentă înainte de livrarea fiecărui răspuns
  • Citation Validator (verifică fiecare articol citat EXISTĂ și e în vigoare)

4. Conformitate juridică

  • GDPR (Regulamentul UE 2016/679) — Full compliance. Registru prelucrări public, DPO desemnat, drepturi persoane vizate funcționale (acces, ștergere, portabilitate, rectificare), DPIA pentru fiecare prelucrare cu risc ridicat.
  • Legea 190/2018 (norme aplicare GDPR în RO) — Înregistrare ANSPDCP completă. Decizia 174/2018 DPIA respectată.
  • Legea 51/1995 (secret profesional avocat-client) — Datele client clasificate HIGH SENSITIVITY constituțional. Multi-tenant isolation absolută. Zero PII în loguri.
  • EU AI Act (Regulamentul UE 2024/1689) — Clasificat HIGH-RISK (legal tech). Human-in-the-loop obligatoriu. Disclaimer pe fiecare output AI. Log AI 5 ani.
  • Schrems II (CJUE C-311/18) — Zero transfer transatlantic. Toate datele rămân în UE. Sub-procesatori toți cu DPA și certificări UE.
  • NIS2 (Directiva UE 2022/2555) — Pregătire conformitate (intrare în vigoare Octombrie 2024 cu transpunere RO).

5. Certificări — status actual și roadmap

COMPLETĂ

GDPR Compliance

Registru prelucrări, DPO desemnat, drepturi vizați funcționale. Auditat trimestrial intern.

ÎN PREGĂTIRE — Q3 2026

ISO 27001:2022

Sistem management securitate informației. Auditor select, target certificare Q4 2026.

ÎN PREGĂTIRE — Q4 2026

SOC 2 Type I

Pentru enterprise sales internațional. Audit cu firmă specializată.

PLANIFICAT — 2027

ISO 27701 (Privacy)

Extension la ISO 27001 pentru privacy management. Pregătire 2027.

6. Responsible disclosure

Apreciem cercetătorii de securitate. Dacă descoperi o vulnerabilitate:

  • Email: [email protected] (PGP key disponibilă la cerere)
  • security.txt: /.well-known/security.txt
  • Răspuns: 48h pentru triaj inițial, 7 zile pentru evaluare completă
  • Recunoaștere: Hall of Fame public + bug bounty (în pregătire 2026)
  • NU exploatați: raportați și opriți. Vom investiga împreună.

7. Autentificare multi-factor — roadmap Q3 2026

Securitatea contului LexLord se sprijină pe autentificare multi-factor (MFA) graduală în funcție de tier:

Status actual (mai 2026)

  • JWT cu expirare scurtă — access token 15 min + refresh token 7 zile cu rotation
  • FaceID / TouchID pe iOS — autentificare biometric nativă cu Keychain Apple Secure Enclave
  • MFA obligatoriu pentru admin — TOTP prin Google Authenticator / Authy / 1Password
  • bcrypt 12 rounds pentru hashing parole + minimum 12 chars complexitate
  • reCAPTCHA v3 pe login, register, forgot-password — protecție contra bot attacks
  • Rate limiting sliding window per IP + per cont (anti brute-force)

Roadmap Q3 2026 — 2FA SMS pentru toți utilizatorii

  • 2FA SMS (Twilio / Vonage / WhatsApp Business) — opțional pentru Solo, recomandat pentru Cabinet, OBLIGATORIU pentru Enterprise. Cost absorbit de LexLord (nu trecut la utilizator).
  • 2FA prin app mobilă (TOTP) — extindere disponibilitate la toți utilizatorii (acum doar admin). Google Authenticator, Authy, 1Password compatible.
  • Hardware security keys (FIDO2 / WebAuthn) — YubiKey, Solo Keys pentru Enterprise. Cea mai sigură formă MFA, recomandată pentru avocați cu spețe sensibile.

Roadmap Q4 2026 — Biometric web

  • Web Authentication API (WebAuthn) pentru biometric pe browser desktop — Face/Touch ID pe macOS Safari, Windows Hello pe Edge, Android Fingerprint pe Chrome mobile.
  • Passkeys — autentificare fără parolă, sincronizat între dispozitive prin iCloud Keychain (Apple) sau Google Password Manager. Lansare în paralel cu Web Authentication.
  • Session attestation — fiecare query AI sensitive necesită re-autentificare biometric instant (similar Apple Pay confirm).

Compatibilitate cu standardul juridic

Important: autentificarea multi-factor LexLord NU echivalează cu semnătura electronică calificată (qualified electronic signature) conform eIDAS. Pentru documente cu valoare juridică (acte autentice, declarații sub semnătură olografă), folosește integrare cu providere RO autorizate (Certsign, AlfaSign, Trans Sped, DigiSign) — disponibilă în Q1 2027 prin Word add-in + LexLord Editor.

8. Contact și DPA