Acord de prelucrare a datelor

Versiunea 1.0 · În vigoare din 14 octombrie 2026

Părți:

• Operatorul: clinica, cabinetul sau entitatea medicală care se abonează la Estecard, identificată prin datele din contul Estecard („Clinica” sau „Operatorul”); și
• Persoana împuternicită: CRAFTWORKS LABS S.R.L., cu sediul social în București, Sector 6, Str. Moise Constantin nr. 5D, bl. 2, sc. 2, et. 1, ap. 156, cam. 1, nr. de înregistrare J2023003740230, CUI 48293568 („Furnizorul”).

Acest Acord face parte integrantă din Termenii și condițiile Estecard („Contractul”) și se acceptă în format electronic odată cu acestea (art. 28 alin. (9) din Regulamentul (UE) 2016/679, „GDPR”). În privința datelor personale, Acordul prevalează asupra Contractului.

1. Definiții

Termenii folosiți au înțelesul din GDPR. „Datele Pacienților” sunt datele cu caracter personal ale pacienților Clinicii introduse în Estecard sau generate de Estecard. „Sub-împuternicit” este o terță persoană angajată de Furnizor care prelucrează Datele Pacienților.

2. Obiect, durată, natură și scop

2.1.Furnizorul prelucrează Datele Pacienților numai în numele Clinicii și numai pentru furnizarea Serviciului: registrul electronic al dispozitivelor și UDI, generarea și găzduirea cardului digital Estecard (evidență digitală complementară, fără date de identificare ale pacientului, care nu înlocuiește cardul de implant emis de Clinică potrivit legii), potrivirea loturilor cu anunțurile publice de siguranță, suport tehnic, copii de rezervă și securitate.

2.2.Acordul se aplică pe durata Contractului și, după încetarea acestuia, până la ștergerea datelor potrivit art. 11.

2.3.Detaliile prelucrării sunt în Anexa 1.

3. Instrucțiunile Operatorului

3.1.Furnizorul prelucrează datele numai pe baza instrucțiunilor documentate ale Clinicii (art. 28 alin. (3) lit. a) GDPR). Contractul, prezentul Acord și configurarea Serviciului de către Clinică reprezintă instrucțiunile complete. Instrucțiunile suplimentare se transmit în scris, inclusiv prin e-mail, de persoane autorizate ale Clinicii.

3.2.Furnizorul informează imediat Clinica, printr-o notificare în aplicație, dacă apreciază că o instrucțiune încalcă GDPR sau alte dispoziții privind protecția datelor și poate suspenda executarea ei până la clarificare.

3.3.Dacă dreptul Uniunii sau dreptul român obligă Furnizorul la o prelucrare, Furnizorul informează Clinica, printr-o notificare în aplicație, înainte de prelucrare, cu excepția cazului în care legea interzice informarea.

3.4.Furnizorul nu folosește Datele Pacienților în scopuri proprii.

4. Date minime și pseudonimizare

4.1.Estecard folosește date minime, pseudonimizate, stocate în UE: pacientul este înregistrat doar printr-un cod stabilit de Clinică. Datele de identificare ale pacientului (nume, CNP, date de contact) nu se introduc în Estecard; legătura dintre cod și identitate rămâne la Clinică.

4.2.Părțile recunosc că datele pseudonimizate rămân date cu caracter personal (considerentul 26 GDPR), iar datele despre tratamente legate de un cod de pacient sunt date privind sănătatea (art. 4 pct. 15 și art. 9 GDPR). Furnizorul nu va încerca să identifice pacienții.

4.3.Clinica nu introduce în Estecard date de identificare a pacienților, diagnostice, fotografii sau note clinice și folosește coduri de pacient care nu permit deducerea identității (de exemplu fără inițiale, CNP sau dată de naștere).

4.4.Clinica răspunde de securitatea și confidențialitatea evidenței proprii care leagă codurile de pacienți, precum și de emiterea, prin mijloacele proprii, a cardului de implant cu datele de identificare ale pacientului, în măsura în care această obligație i se aplică.

4.5.Clinica stabilește temeiul juridic al prelucrării, inclusiv condiția aplicabilă din art. 9 alin. (2) GDPR pentru datele privind sănătatea, și informează pacienții.

5. Confidențialitate

Furnizorul se asigură că persoanele autorizate să prelucreze Datele Pacienților s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate (art. 28 alin. (3) lit. b) GDPR). Accesul personalului Furnizorului este limitat la ce este strict necesar pentru suport, la cererea Clinicii, pentru securitate și mentenanță.

6. Securitate

Furnizorul aplică măsurile tehnice și organizatorice din Anexa 2 (art. 32 GDPR) și le poate îmbunătăți, fără a reduce nivelul de protecție.

7. Sub-împuterniciți

7.1.Clinica acordă Furnizorului o autorizare generală scrisă pentru a angaja sub-împuterniciții din Anexa 3 (art. 28 alin. (2) GDPR).

7.2.Furnizorul notifică Clinica printr-o notificare afișată în aplicație, în contul Clinicii, cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui sub-împuternicit. Clinica poate obiecta motivat în acest termen. Dacă nu se găsește o soluție, Clinica poate înceta Contractul fără penalități, cu rambursarea proporțională a sumelor plătite în avans pentru perioada neconsumată.

7.3.Furnizorul impune fiecărui sub-împuternicit, prin contract, obligații de protecție a datelor cel puțin echivalente celor din prezentul Acord (art. 28 alin. (4) GDPR) și răspunde față de Clinică pentru îndeplinirea acestora.

8. Transferuri în afara SEE

8.1.Baza de date Estecard este găzduită în Uniunea Europeană (Anexa 3).

8.2.În măsura în care un sub-împuternicit prelucrează date în afara Spațiului Economic European, transferul se face numai în temeiul capitolului V GDPR: o decizie de adecvare (art. 45), inclusiv Decizia (UE) 2023/1795 privind Cadrul UE–SUA pentru protecția datelor pentru entitățile certificate, sau clauzele contractuale standard adoptate prin Decizia (UE) 2021/914 (art. 46), astfel cum sunt prevăzute în acordurile de prelucrare ale sub-împuterniciților.

9. Asistență pentru Operator

9.1.Cererile pacienților: Serviciul permite Clinicii să caute și să corecteze înregistrările unui cod de pacient; ștergerea se face de Clinică în aplicație sau de Furnizor, la cererea scrisă a Clinicii. Furnizorul transmite Clinicii, printr-o notificare în aplicație, în cel mult 3 zile lucrătoare, orice cerere primită direct de la un pacient și nu răspunde pe fond fără instrucțiunile Clinicii (art. 28 alin. (3) lit. e) GDPR).

9.2.Evaluarea impactului și consultarea prealabilă: Furnizorul pune la dispoziția Clinicii, la cerere, informațiile despre Serviciu necesare pentru evaluarea impactului asupra protecției datelor și, dacă este cazul, pentru consultarea ANSPDCP (art. 35–36 GDPR).

9.3.Furnizorul asistă Clinica în îndeplinirea obligațiilor prevăzute la art. 32–36 GDPR, ținând seama de natura prelucrării și de informațiile de care dispune (art. 28 alin. (3) lit. f) GDPR).

10. Încălcarea securității datelor

10.1.Furnizorul notifică Clinica fără întârzieri nejustificate, și în orice caz în cel mult 24 de ore, după ce ia cunoștință de o încălcare a securității Datelor Pacienților (art. 33 alin. (2) GDPR). Prin excepție de la regula notificărilor în aplicație, notificarea privind o încălcare a securității datelor se trimite prin e-mail, manual, de personalul Furnizorului, la adresa de e-mail a titularului contului Clinicii. Furnizorul poate afișa și o notificare în aplicație, dar aceasta nu înlocuiește e-mailul.

10.2.Notificarea cuprinde, în măsura în care sunt cunoscute (informațiile pot fi transmise treptat): natura încălcării, categoriile și numărul aproximativ de înregistrări vizate, consecințele probabile, măsurile luate sau propuse și persoana de contact a Furnizorului.

10.3.Furnizorul ia imediat măsuri de limitare a efectelor, păstrează dovezile și documentează incidentul.

10.4.Clinica, în calitate de operator, decide notificarea ANSPDCP (în cel mult 72 de ore de la momentul în care a luat cunoștință, art. 33 alin. (1) GDPR) și informarea pacienților (art. 34 GDPR). Furnizorul nu notifică autoritatea sau pacienții în numele Clinicii fără instrucțiunile acesteia, cu excepția cazurilor prevăzute de lege.

11. Returnare și ștergere

11.1.După anularea abonamentului sau încetarea Contractului, registrul și cardurile emise rămân salvate, iar linkurile QR rămân active. Datele se șterg la cererea scrisă a Clinicii, conform prezentului articol.

11.2.Returnarea datelor. Titularul contului Clinicii poate exporta registrul din aplicație, din registrul în mod doar citire, în format CSV sau PDF, în orice plan, inclusiv după anularea abonamentului sau încetarea Contractului. Returnarea Datelor Pacienților către Clinică (art. 28 alin. (3) lit. g) GDPR) se face prin acest export, efectuat de Clinică. 11.2a. Ștergerea datelor. La cererea scrisă a Clinicii, transmisă la [EMAIL SUPORT], Furnizorul șterge Datele Pacienților și copiile existente (art. 28 alin. (3) lit. g) GDPR). Clinica decide dacă exportă registrul înainte de a cere ștergerea. Ștergerea din sistemele active se face în cel mult 30 de zile de la cerere; copiile de rezervă se suprascriu automat în cel mult 30 de zile după aceea. La cerere, Furnizorul confirmă în scris ștergerea.

11.3.Până la ștergere, Furnizorul continuă să prelucreze datele numai pentru păstrarea lor în siguranță și afișarea cardurilor emise, conform prezentului Acord. Clinica poate anula oricând un card sau poate cere dezactivarea linkurilor QR.

11.4.Clinica se asigură că pacienții au informațiile necesare despre tratamentele lor și că își îndeplinește obligațiile legale proprii de păstrare a evidențelor. Datele pe care Furnizorul este obligat prin lege să le păstreze se păstrează numai cât este necesar și protejate corespunzător.

12. Audit

12.1.Furnizorul pune la dispoziția Clinicii informațiile necesare pentru a demonstra respectarea art. 28 GDPR și permite audituri, inclusiv inspecții, efectuate de Clinică sau de un auditor mandatat de aceasta (art. 28 alin. (3) lit. h) GDPR).

12.2.Auditul se face în primul rând pe bază de documente (descrierea măsurilor de securitate, documentația și certificările sub-împuterniciților, răspunsuri la un chestionar de securitate). Un audit la fața locului sau la distanță se programează cu o notificare de 30 de zile, cel mult o dată pe an (cu excepția situațiilor în care a avut loc un incident sau o autoritate o cere), în timpul programului de lucru, fără acces la datele altor clienți, de către un auditor obligat la confidențialitate. Fiecare parte își suportă propriile costuri.

12.3.Furnizorul cooperează, la cerere, cu ANSPDCP (art. 31 GDPR).

13. Evidența activităților de prelucrare

Furnizorul ține evidența categoriilor de activități de prelucrare efectuate în numele Clinicii (art. 30 alin. (2) GDPR).

14. Răspundere

Răspunderea părților se stabilește potrivit art. 82 GDPR și Contractului.

15. Durată și lege aplicabilă

Acordul produce efecte cât timp Furnizorul prelucrează Date ale Pacienților. Se aplică legea română și GDPR.

Anexa 1 – Descrierea prelucrării

Anexa 2 – Măsuri tehnice și organizatorice

1. Criptare: transmisia datelor este criptată prin HTTPS; baza de date este găzduită la un furnizor care criptează datele stocate. 2. Separarea clienților: fiecare înregistrare este legată de o singură clinică, iar accesul este limitat la utilizatorii acelei clinici. 3. Control al accesului: conturi individuale; roluri (titular, medic, asistent, personal); sesiuni cu expirare; retragerea imediată a accesului de către titularul contului. 4. Cardul digital Estecard: identificator aleator de 128 de biți, nesecvențial, care poate fi anulat; pagina cardului nu afișează identitatea pacientului și nu este indexată de motoarele de căutare. 5. Minimizare: fără câmpuri pentru nume, CNP, date de contact, diagnostice sau fotografii ale pacienților. 6. Jurnal de audit: înregistrarea operațiunilor de citire, creare, modificare, ștergere și anulare, cu utilizatorul, data și adresa IP; jurnalele se păstrează 12 luni. 7. Personalul Furnizorului: acces nominal și minim, angajamente de confidențialitate, instruire privind protecția datelor. 8. Copii de rezervă și restaurare: funcțiile de restaurare ale furnizorului bazei de date, în UE. 9. Dezvoltare: medii de test fără date reale ale pacienților; actualizări de securitate ale dependențelor software. 10. Incidente: procedură de răspuns la incidente, cu notificarea Clinicii în cel mult 24 de ore (art. 10).

Anexa 3 – Sub-împuterniciți

Autentificarea utilizatorilor Clinicii se face în aplicația Estecard, cu biblioteca software Better Auth, care rulează pe infrastructura de mai sus; Better Auth nu este un furnizor separat și nu primește date. Serviciul nu trimite e-mailuri automate și nu folosește un furnizor de e-mail; alertele și celelalte notificări se afișează în aplicație. Singura excepție este notificarea unei încălcări a securității datelor (art. 10.1), trimisă manual prin e-mail. Facturarea abonamentului nu intră sub incidența prezentului Acord: procesatorul nostru de plăți prelucrează doar datele de facturare ale Clinicii, pentru care CRAFTWORKS LABS S.R.L. este operator, nu primește Date ale Pacienților și nu este sub-împuternicit în sensul prezentului Acord.