Acord de prelucrare a datelor cu caracter personal (DPA)

Prezentul acord („Acordul”) se încheie, în temeiul art. 28 din Regulamentul (UE) 2016/679 („GDPR”), între:

• Utilizatorul — medicul sau profesionistul din domeniul medical care își creează un cont în aplicația Doctor Estimator, în calitate de operator al datelor pacienților săi; și
• CODEMARS SRL, cu sediul în Șelimbăr, str. Armoniei nr. 2, jud. Sibiu, România, CUI RO45431372 („Doctor Estimator”), în calitate de persoană împuternicită de operator.

Pentru datele proprii ale Utilizatorului (date de cont, date de facturare), Doctor Estimator acționează ca operator, conform Politicii de confidențialitate.

Doctor Estimator prelucrează date cu caracter personal în numele Utilizatorului exclusiv pentru furnizarea funcționalităților aplicației: evidența pacienților, programarea și urmărirea procedurilor medicale, calendarul de lucru, statistici de activitate și import asistat de AI al programărilor.

Prelucrarea durează pe toată perioada existenței contului Utilizatorului și încetează la închiderea contului, cu respectarea secțiunii 9 (Ștergerea datelor).

Persoane vizate: pacienții Utilizatorului.

Categorii de date: nume (sau inițiale/pseudonime), număr de telefon, date privind programările și procedurile medicale efectuate, note introduse de Utilizator. Aceste date pot constitui date privind sănătatea (categorie specială, art. 9 GDPR). Utilizatorul, în calitate de operator, este responsabil de temeiul legal al prelucrării acestor date (de regulă art. 9 alin. (2) lit. h) GDPR — furnizarea de asistență medicală, sub obligația secretului profesional).

Recomandăm introducerea doar a datelor strict necesare și, acolo unde este posibil, folosirea inițialelor sau pseudonimelor, conform Termenilor și condițiilor.

Doctor Estimator prelucrează datele numai pe baza instrucțiunilor documentate ale Utilizatorului, materializate prin utilizarea funcționalităților aplicației, și nu folosește datele pacienților în scopuri proprii (inclusiv marketing sau antrenarea de modele AI). Dacă apreciem că o instrucțiune încalcă GDPR, informăm Utilizatorul fără întârziere.

Persoanele autorizate să prelucreze datele (personalul și colaboratorii Doctor Estimator) sunt supuse unor obligații de confidențialitate contractuale sau legale.

• criptarea datelor în tranzit (TLS/SSL) și în repaus, la nivelul bazei de date;
• găzduirea datelor în infrastructură cloud din Uniunea Europeană;
• parole stocate exclusiv sub formă de hash criptografic (bcrypt);
• autentificare pe bază de cookie-uri HTTP-only, protecție CSRF și limitarea încercărilor de autentificare;
• izolarea datelor per cont: fiecare Utilizator are acces numai la datele proprii;
• jurnalizare tehnică cu redactarea parametrilor sensibili;
• imaginile încărcate pentru importul AI nu sunt stocate pe serverele noastre — sunt procesate în memorie și eliminate imediat după extragere.

Utilizatorul autorizează în mod general folosirea următorilor sub-împuterniciți:

• Vercel Inc. — găzduirea și livrarea aplicațiilor web (website-ul public și aplicația de dashboard);
• Railway Corp. — găzduirea infrastructurii backend (API);
• Neon Inc. — găzduirea bazei de date PostgreSQL;
• Anthropic — extragerea programărilor din imaginile încărcate de Utilizator (funcția de import AI);
• Twilio SendGrid — emailuri operaționale (procesare configurată în UE);
• Sentry (Functional Software, Inc.) — monitorizarea erorilor tehnice (regiunea UE).

Vom informa Utilizatorii cu privire la adăugarea sau înlocuirea sub-împuterniciților, oferind posibilitatea de a formula obiecții rezonabile. Transferurile în afara SEE se realizează pe baza clauzelor contractuale standard sau a deciziilor de adecvare (inclusiv EU-US Data Privacy Framework).

Ținând cont de natura prelucrării, Doctor Estimator asistă Utilizatorul, în măsura posibilului, în îndeplinirea obligației de a răspunde cererilor persoanelor vizate (acces, rectificare, ștergere, portabilitate) și în asigurarea securității prelucrării, inclusiv în realizarea evaluărilor de impact (DPIA), dacă este cazul.

Notificăm Utilizatorul fără întârzieri nejustificate după ce luăm cunoștință de o încălcare a securității datelor cu caracter personal, furnizând informațiile necesare pentru ca Utilizatorul să își poată îndeplini obligația de notificare a autorității în termen de 72 de ore (art. 33 GDPR).

La închiderea contului sau la cererea scrisă a Utilizatorului (trimisă la contact@doctorestimator.ro), ștergem sau returnăm datele pacienților în cel mult 30 de zile, cu excepția datelor a căror păstrare este impusă de lege. Copiile de siguranță sunt eliminate în ciclul normal de rotație a backupurilor.

La cerere, punem la dispoziția Utilizatorului informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la art. 28 GDPR și permitem, în condiții rezonabile de confidențialitate și programare, audituri sau verificări efectuate de Utilizator ori de un auditor mandatat.

Acest Acord se acceptă la activarea contului, împreună cu Termenii și condițiile, iar data și versiunea acceptată sunt înregistrate în contul Utilizatorului. Versiunea curentă este disponibilă permanent pe această pagină; modificările semnificative vor fi notificate și pot necesita re-acceptare.

Pentru orice întrebări legate de acest Acord sau de protecția datelor, ne poți scrie la contact@doctorestimator.ro.