Politica de confidențialitate
CRAFTWORKS LABS S.R.L.
Versiunea 1.0 · În vigoare din 14 octombrie 2026
1. Pe scurt
- Estecard este o platformă folosită de clinici pentru registrul electronic al dispozitivelor medicale folosite la tratamente și pentru punerea la dispoziția pacienților a cardului digital Estecard, o evidență digitală complementară a tratamentului, fără date de identificare.
- Pentru datele pacienților, clinica este operatorul, iar CRAFTWORKS LABS S.R.L. este persoana împuternicită (art. 4 pct. 7 și 8 și art. 28 din Regulamentul (UE) 2016/679, „GDPR”). Prelucrăm aceste date doar după instrucțiunile clinicii, pe baza unui acord de prelucrare a datelor (DPA).
- Pentru datele clinicilor-clienți, ale utilizatorilor conturilor și ale celor care ne contactează, CRAFTWORKS LABS S.R.L. este operator.
- Folosim date minime, pseudonimizate, stocate în UE. Datele pseudonimizate sunt în continuare date cu caracter personal și le protejăm ca atare.
2. Cine suntem
CRAFTWORKS LABS S.R.L., cu sediul social în București, Sector 6, Str. Moise Constantin nr. 5D, bl. 2, sc. 2, et. 1, ap. 156, cam. 1, nr. de înregistrare J2023003740230, CUI 48293568. Pentru orice întrebare sau cerere privind datele personale: [EMAIL SUPORT].
3. Datele pacienților (CRAFTWORKS LABS = persoană împuternicită)
3.1. Ce date prelucrăm
| Categorie | Ce conține |
|---|---|
| Cod de pacient | un cod ales de clinică (de exemplu „P-0042”); nu conține numele, CNP-ul sau datele de contact |
| Date despre tratament și dispozitiv | produs, producător, cod GTIN/UDI, lot, serie, dată de expirare și de fabricație, data tratamentului, zona tratată, cantitatea, medicul care a efectuat tratamentul |
| Cardul digital Estecard | un identificator aleator al cardului (folosit în linkul QR) și starea acestuia (activ sau anulat) |
| Alerte | legătura dintre un anunț public de siguranță și tratamentele din registru, cu starea verificării de către clinică |
Nu stocăm în Estecard numele, CNP-ul, adresa, telefonul sau e-mailul pacienților, diagnostice, fotografii sau note clinice. Legătura dintre codul de pacient și identitatea pacientului rămâne la clinică, în afara Estecard. Cardul digital Estecard nu este cardul de implant prevăzut de art. 5 din OUG nr. 46/2021; dacă legea i se aplică, clinica emite acel card, cu datele de identificare ale pacientului, prin mijloacele proprii, iar datele de identificare rămân numai la clinică.
3.2. De ce sunt totuși date personale
Pseudonimizarea înseamnă că datele nu mai pot fi atribuite unei persoane fără informații suplimentare, păstrate separat (art. 4 pct. 5 GDPR). Clinica are aceste informații suplimentare și poate identifica pacientul, de exemplu pentru a-l contacta dacă un lot folosit face obiectul unui anunț de siguranță. De aceea, datele din Estecard sunt date cu caracter personal, iar cele despre tratamente sunt date privind sănătatea (art. 4 pct. 15 și art. 9 GDPR). Le aplicăm toate garanțiile prevăzute de GDPR.
3.3. Scop și temei (stabilite de clinică)
- Scop: ținerea registrului de dispozitive și UDI, punerea la dispoziția pacientului a cardului digital Estecard, trasabilitatea loturilor și verificarea anunțurilor publice de siguranță, inclusiv în vederea îndeplinirii obligațiilor clinicii prevăzute de Regulamentul (UE) 2017/745 și de OUG nr. 46/2021, în măsura în care acestea i se aplică.
- Temei: stabilit de clinică, în calitate de operator, care informează pacienții despre temeiul ales. Estecard este destinat prelucrării datelor privind sănătatea de către clinici, în scopul asistenței medicale, sub responsabilitatea unui profesionist supus obligației de secret profesional (art. 9 alin. (2) lit. h) și alin. (3) GDPR). CRAFTWORKS LABS nu stabilește temeiul și nu prelucrează aceste date în scopuri proprii.
- Clinica îi informează pe pacienți despre prelucrare. Datele pacienților nu sunt folosite de noi în scopuri proprii, de marketing sau de profilare și nu sunt vândute ori transmise producătorilor sau distribuitorilor.
3.4. Pagina cardului (codul QR)
Cine scanează codul QR vede produsul, lotul, UDI-ul, data tratamentului și clinica, fără identitatea pacientului. Identificatorul din link este generat aleator (128 de biți), nu poate fi ghicit și poate fi anulat de clinică oricând. Pagina nu folosește cookie-uri de marketing sau de analiză și nu este indexată de motoarele de căutare.
3.5. Cine are acces
Doar utilizatorii autorizați ai clinicii, personalul nostru, strict pentru suport tehnic și securitate, și sub-împuterniciții noștri: furnizorii de găzduire și de bază de date, cu baza de date în UE. Lista completă și actualizată este în DPA (vezi și secțiunea 7).
3.6. Cât timp păstrăm datele
Cât timp clinica folosește Estecard și conform instrucțiunilor ei. După anulare, registrul și cardurile emise rămân salvate, iar linkurile QR rămân active. Datele se șterg la cererea scrisă a clinicii, conform DPA. Titularul contului clinicii poate exporta registrul din aplicație, din registrul în mod doar citire (CSV sau PDF), în orice plan, inclusiv după anulare; așa se face returnarea datelor (art. 28 alin. (3) lit. g) GDPR). La cererea scrisă a clinicii, ștergem datele: ștergerea din sistemele active se face în cel mult 30 de zile de la cerere, iar copiile de rezervă se suprascriu automat în cel mult 30 de zile după aceea.
3.7. Drepturile pacienților
Pacienții au dreptul de acces, rectificare, ștergere, restricționare, opoziție și, unde se aplică, portabilitate (art. 15–22 GDPR). Cererile se adresează clinicii. Pentru că nu cunoaștem identitatea pacienților, nu putem verifica singuri cui aparțin datele; dacă primim o cerere, o transmitem clinicii în cel mult 3 zile lucrătoare și o ajutăm să răspundă.
4. Datele pentru care CRAFTWORKS LABS este operator
| Persoane | Date | Scop | Temei | Cât timp |
|---|---|---|---|---|
| Utilizatori ai conturilor clinicilor (medici, asistenți, personal) | nume, e-mail, rol, date de autentificare, sesiuni (adresă IP, browser), jurnal de acțiuni | furnizarea Serviciului, securitate, audit | art. 6 alin. (1) lit. b) (contract) și lit. f) (interes legitim: securitatea Serviciului) | pe durata contului; jurnalele de acțiuni 12 luni |
| Persoane de contact și date de facturare ale clinicilor | denumire, cod fiscal, oraș, e-mail, persoană de contact, istoricul abonamentului și al plăților | contract, facturare, contabilitate | art. 6 alin. (1) lit. b) și lit. c) (obligații legale fiscale și contabile) | pe durata contractului și apoi 3 ani; documentele contabile, cât cere legislația financiar-contabilă |
| Plăți | procesate de procesatorul nostru de plăți; noi nu primim datele complete ale cardului | încasarea abonamentului | art. 6 alin. (1) lit. b) | conform obligațiilor legale ale procesatorului nostru de plăți |
| Persoane care ne contactează | nume, e-mail, telefon, conținutul mesajului | răspuns la cereri, suport | art. 6 alin. (1) lit. b) sau f) | 24 de luni de la ultima corespondență |
| Reprezentanți ai clinicilor contactate pentru o ofertă | nume, funcție, date de contact profesionale publice ale clinicii, sursa datelor | prezentarea Estecard către clinici | art. 6 alin. (1) lit. f) (interes legitim: dezvoltarea relațiilor de afaceri), cu respectarea Legii nr. 506/2004 | până la opoziție sau 12 luni fără răspuns |
| Vizitatori ai site-ului | date tehnice de conexiune (adresă IP, dată/oră, pagina accesată) în jurnalele serverului de găzduire | funcționarea și securitatea site-ului | art. 6 alin. (1) lit. f) | conform politicii de retenție a jurnalelor furnizorului de găzduire |
Pentru cookie-uri, vezi Politica de cookie-uri.
Ai dreptul de acces, rectificare, ștergere, restricționare, portabilitate și opoziție, precum și dreptul de a te opune oricând, gratuit și fără justificare, prelucrării în scop de marketing direct (art. 21 alin. (2)–(3) GDPR). Scrie-ne la [EMAIL SUPORT]; răspundem în cel mult o lună (art. 12 alin. (3) GDPR).
5. Unde sunt datele și transferuri
Folosim găzduire și bază de date în UE: baza de date Estecard și funcțiile aplicației sunt găzduite în Uniunea Europeană. Unii furnizori au societăți-mamă în afara Spațiului Economic European, iar furnizorul de găzduire folosește o rețea globală de livrare a conținutului; în măsura în care furnizorii noștri prelucrează date în afara Spațiului Economic European, transferul se face în temeiul Deciziei (UE) 2023/1795 privind Cadrul UE–SUA pentru protecția datelor (pentru entitățile certificate) sau al clauzelor contractuale standard adoptate prin Decizia (UE) 2021/914, prevăzute în acordurile de prelucrare ale acestor furnizori.
6. Securitate
Transmisia datelor este criptată prin HTTPS. Baza de date este găzduită la un furnizor care criptează datele stocate. Folosim, de asemenea, separarea datelor pe clinică, roluri de acces (titular, medic, asistent, personal), jurnal de audit pentru citirea, crearea, modificarea și anularea datelor, identificatori aleatori pentru carduri și acces minim al personalului nostru. Detaliile sunt în DPA, Anexa 2.
7. Cui transmitem datele
Folosim un număr restrâns de furnizori care ne ajută să operăm serviciul: furnizori de găzduire și infrastructură cloud (servere și bază de date) și procesatorul nostru de plăți (doar pentru facturarea clinicilor). Aceștia acționează ca persoane împuternicite, în baza unor contracte conforme art. 28 GDPR. Registrul, cardurile și conturile clinicilor conțin date minime, pseudonimizate, stocate în Uniunea Europeană. Unii furnizori au societăți-mamă în afara SEE; în măsura în care ar putea avea loc un transfer, acesta se face în baza Cadrului UE–SUA privind protecția datelor sau a clauzelor contractuale standard ale Comisiei Europene. Lista completă și actualizată a furnizorilor este inclusă în Acordul de prelucrare a datelor încheiat cu clinicile și o puteți obține oricând la [EMAIL SUPORT].
8. Decizii automate
Nu luăm decizii bazate exclusiv pe prelucrare automată care să producă efecte juridice asupra persoanelor (art. 22 GDPR). Potrivirea automată dintre un lot și un anunț de siguranță creează doar o alertă pentru clinică; decizia aparține medicului.
9. Plângeri
Poți depune plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru nr. 28-30, Sector 1, cod poștal 010336, București, anspdcp@dataprotection.ro, www.dataprotection.ro. Te rugăm să ne scrii întâi nouă, ca să putem rezolva problema.
10. Modificări
Anunțăm clinicile printr-o notificare afișată în aplicație, în contul clinicii, cu cel puțin 30 de zile înainte de modificările importante și păstrăm versiunile anterioare la cerere.