Acord de prelucrare a datelor (DPA)

Versiune de lucru, în curs de revizuire juridică. Acesta este un schelet de acord, nu documentul final. Elementele marcate „de completat” vor fi definitivate înainte de semnare. Pentru întrebări, scrieți-ne la privacy@clinesto.ro.

1. Părțile

• Operatorul: clinica sau cabinetul care a încheiat abonamentul Clinesto („Operatorul”), astfel cum este identificat în cont și pe factură.
• Persoana împuternicită: [Denumirea societății], CUI [CUI], nr. Registrul Comerțului [Nr. Registrul Comerțului], cu sediul în [Adresa sediului] („Clinesto”).

Acest acord completează Termenii și condițiile. În caz de conflict privind datele cu caracter personal, prevalează acest acord.

2. Obiectul și durata

Clinesto prelucrează date cu caracter personal în numele Operatorului pentru a furniza aplicația Clinesto (app.clinesto.ro).

Acordul se aplică pe durata abonamentului și până la ștergerea sau returnarea datelor, conform secțiunii 10.

3. Natura și scopul prelucrării

Prelucrarea constă în găzduirea, stocarea, organizarea, afișarea, transmiterea și ștergerea datelor, în scopul:

• programării și gestionării pacienților;
• ținerii evidenței medicale și administrative;
• facturării;
• comunicării cu pacienții prin e-mail, SMS sau WhatsApp;
• funcțiilor asistate de inteligență artificială, cum ar fi redactarea de ciorne de documente.

Detaliile sunt descrise în Anexa A.

4. Categorii de persoane vizate și de date

Persoane vizate:

• pacienții Operatorului și, după caz, reprezentanții lor legali;
• personalul Operatorului (medici, recepție, administrativ);
• persoane de contact ale Operatorului și ale partenerilor săi.

Categorii de date:

• date de identificare și contact;
• date administrative și de facturare;
• date privind programările și comunicările;
• date privind sănătatea (categorii speciale, art. 9 GDPR), introduse de Operator;
• date tehnice de utilizare a contului (jurnale de acces și de audit).

5. Instrucțiunile Operatorului

Clinesto prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului. Acest acord, configurarea contului și utilizarea aplicației constituie instrucțiunile Operatorului.

Clinesto informează imediat Operatorul dacă, în opinia sa, o instrucțiune încalcă GDPR sau altă lege aplicabilă.

6. Confidențialitate și securitate

• Persoanele autorizate să prelucreze datele s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate.
• Clinesto aplică măsurile tehnice și organizatorice prevăzute la art. 32 GDPR, descrise în Anexa B.
• Clinesto poate actualiza aceste măsuri, fără a reduce nivelul general de protecție.

7. Persoane împuternicite secundare

• Operatorul acordă o autorizare generală prealabilă pentru utilizarea persoanelor împuternicite secundare enumerate în Anexa C.
• Clinesto informează Operatorul cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unei persoane împuternicite secundare.
• Operatorul se poate opune, motivat, în acest termen. Dacă părțile nu găsesc o soluție, Operatorul poate rezilia serviciul afectat, fără penalități.
• Clinesto impune fiecărei persoane împuternicite secundare obligații de protecție a datelor echivalente cu cele din acest acord și rămâne răspunzătoare față de Operator pentru acestea.

8. Asistență acordată Operatorului

Clinesto asistă Operatorul, ținând seama de natura prelucrării:

• în soluționarea cererilor persoanelor vizate (acces, rectificare, ștergere, restricționare, portabilitate, opoziție), în principal prin funcțiile aplicației; Clinesto transmite Operatorului orice cerere primită direct, fără a răspunde în numele acestuia;
• în realizarea evaluărilor de impact asupra protecției datelor (DPIA) și în consultarea prealabilă a autorității de supraveghere;
• în respectarea obligațiilor privind securitatea prelucrării.

9. Încălcarea securității datelor

Clinesto notifică Operatorul fără întârzieri nejustificate după ce a luat cunoștință de o încălcare a securității datelor cu caracter personal, cu o țintă de cel mult 48 de ore.

Notificarea include, în măsura în care sunt disponibile: natura încălcării, categoriile și numărul aproximativ de persoane vizate și de înregistrări, consecințele probabile și măsurile luate sau propuse. Informațiile pot fi furnizate treptat.

Notificarea către autoritatea de supraveghere și către persoanele vizate rămâne responsabilitatea Operatorului.

10. Ștergerea sau returnarea datelor

La încetarea serviciului, Operatorul poate exporta gratuit toate datele, într-un format structurat.

Clinesto păstrează datele 30 de zile după încetare, pentru export, apoi le șterge, inclusiv copiile, cu excepția cazului în care legea impune păstrarea lor. Copiile de rezervă sunt șterse la finalul ciclului de rotație, descris în Anexa B.

11. Audit

Clinesto pune la dispoziția Operatorului informațiile necesare pentru a demonstra respectarea art. 28 GDPR.

Operatorul poate efectua un audit, direct sau printr-un auditor independent supus confidențialității, cu o notificare prealabilă de cel puțin 30 de zile, cel mult o dată pe an, cu excepția cazului unei încălcări a securității sau al unei cereri a autorității. Costurile auditului sunt suportate de Operator.

12. Transferuri internaționale

Implicit, datele sunt găzduite în Uniunea Europeană și nu sunt transferate în afara Spațiului Economic European.

Orice transfer viitor se face numai cu informarea prealabilă a Operatorului, conform secțiunii 7, și cu garanțiile prevăzute de capitolul V GDPR.

13. Legea aplicabilă

Acordul este guvernat de legea română. Litigiile sunt soluționate de instanțele competente de la [sediul social al Clinesto], cu excepția cazului în care legea impune altfel.

Anexa A. Descrierea prelucrării

Element	Descriere
Persoane vizate	Pacienți, personal, persoane de contact
Categorii de date	Identificare, contact, administrative, facturare, programări, comunicări, date privind sănătatea (art. 9), jurnale tehnice
Operațiuni	Găzduire, stocare, organizare, afișare, transmitere, export, ștergere
Scop	Furnizarea aplicației Clinesto către Operator
Durată	Durata abonamentului plus 30 de zile, apoi ștergere
Locația datelor	Uniunea Europeană

Anexa B. Măsuri tehnice și organizatorice

• Roluri și control al accesului: drepturi de acces pe roluri (medic, recepție, administrator), principiul privilegiului minim.
• Jurnal de audit: înregistrarea accesărilor și a modificărilor asupra datelor sensibile.
• Criptare: în tranzit (TLS) și în repaus (stocare și copii de rezervă).
• Copii de rezervă: zilnice, cu teste periodice de restaurare. Perioada de retenție: [de completat].
• Autentificare în doi pași (2FA): disponibilă pentru toți utilizatorii; [obligatorie pentru administratori, de confirmat].
• Găzduire în UE: centre de date situate în Uniunea Europeană.
• Confidențialitatea personalului: angajamente scrise de confidențialitate și instruire privind protecția datelor.
• Gestionarea vulnerabilităților: actualizări de securitate periodice, monitorizarea dependențelor și remedierea prioritară a vulnerabilităților critice.

Anexa C. Persoane împuternicite secundare

De completat. Rândurile de mai jos sunt provizorii.

Furnizor	Serviciu	Locația datelor	Garanții de transfer
[Furnizor de găzduire, regiune UE]	Găzduire și stocare	[de completat]	[de completat]
[Furnizor de e-mail]	Trimiterea e-mailurilor	[de completat]	[de completat]
[Furnizor SMS/WhatsApp]	Mesaje către pacienți	[de completat]	[de completat]
[Furnizor de model AI, endpoint UE]	Funcții asistate de AI	[de completat]	[de completat]