Acord de prelucrare a datelor (DPA)

Acordul cerut de Art. 28 GDPR între specialist (operator) și furnizorul aplicației (împuternicit). Se acceptă de specialist odată cu Termenii.

Părțile

Operatorul: specialistul / cabinetul care folosește aplicația. Împuternicitul: COTVISION IT SERVICES S.R.L („Cabinetul Digital"), CUI 55202066, Toplița, jud. Harghita, Str. Cerbului bl. H, contact@cabinetuldigital.ro.

Când operatorul e altcineva. Specialistul poate consulta pacienți și în numele unei clinici sau al altei entități. Pentru acei pacienți, operatorul e entitatea respectivă, iar specialistul e împuternicitul ei. Acordul de față se aplică la fel: specialistul acționează cu autorizarea operatorului terț, iar noi devenim sub-împuternicit în același lanț, cu aceleași obligații (Art. 28(4)). Autorizarea generală pentru sub-împuterniciții de la secțiunea 5 se consideră dată de operatorul terț prin intermediul specialistului, iar specialistul răspunde de existența acestei autorizări. Peste tot în acest acord, „operatorul" înseamnă, după caz, specialistul sau entitatea în numele căreia lucrează.

1. Obiect, durată, natură, scop

• Obiect și natură: găzduirea și prelucrarea tehnică a datelor introduse de operator, pentru funcționarea aplicației.
• Scop: exclusiv furnizarea Serviciului, conform instrucțiunilor operatorului.
• Durată: pe durata contractului de utilizare, plus perioada de ștergere.
• Persoane vizate: pacienții operatorului (și persoanele lor de contact).
• Categorii de date: identificare și contact; date privind sănătatea (Art. 9): măsurători, obiective, alergii, note medicale, anamneză, jurnal alimentar și poze, aderență, check-in-uri, mesajele din chatul dintre specialist și pacient; date de cont portal.

2. Obligațiile împuternicitului (Art. 28(3))

Împuternicitul: (a) prelucrează datele doar pe baza instrucțiunilor documentate ale operatorului (inclusiv transferuri); (b) asigură confidențialitatea persoanelor autorizate; (c) implementează măsuri tehnice și organizatorice (Art. 32): criptare în transport, izolare pe cabinet, bucket-uri private cu link temporar, autentificare cu chei asimetrice, jurnal de acces, secrete pe server, copii de siguranță (lista completă în Măsurile tehnice și organizatorice, anexă la acest acord); (d) nu angajează sub-împuterniciți fără autorizarea generală (lista la secțiunea 5), anunță schimbările și răspunde pentru ei; (e) asistă operatorul la cererile persoanelor vizate (export, ștergere fișă cu fișiere); (f) asistă la securitate, notificarea încălcărilor (Art. 33-34), evaluări de impact (Art. 35), consultare prealabilă (Art. 36) și notifică fără întârziere o încălcare; (g) la încetare, șterge sau returnează toate datele (mai puțin ce cere legea); (h) pune la dispoziție informații pentru conformitate și permite audituri rezonabile.

3. Obligațiile operatorului

Operatorul garantează că are un temei legal, își informează pacienții și introduce date corecte și minime. Răspunde de legalitatea instrucțiunilor sale.

4. Încălcări de securitate

Împuternicitul notifică operatorul fără întârziere nejustificată după ce ia cunoștință de o încălcare, cu informațiile disponibile, ca operatorul să poată notifica ANSPDCP în 72 de ore.

5. Sub-împuterniciți autorizați

Doi furnizori din politica noastră de confidențialitate nu apar în lista de mai sus, fiindcă nu ating date ale pacienților: Microsoft Clarity (statistici) rulează exclusiv pe site-ul public de prezentare, cu acordul vizitatorului, și niciodată în aplicație sau în portalul pacientului; SmartBill emite facturile de abonament și primește doar datele de facturare ale operatorului.

6. Transferuri

Datele se păstrează în UE. Orice transfer în afara UE se face doar cu garanțiile GDPR (adecvare sau clauze contractuale standard).

7. Durată și ștergere

Acordul durează cât contractul de utilizare. La încetare, datele se șterg conform secțiunii 2(g) și politicii de retenție a operatorului. În caz de conflict cu alte acorduri, prevalează acest DPA.