Versiune de lucru. Textul trebuie verificat de un avocat înainte de a fi folosit.

Acord de prelucrare a datelor (art. 28 GDPR)

Acordul se încheie între cabinetul care folosește PediJurnal („cabinetul”, operatorul) și Promotion Performance SRL, cu sediul social în Târgu Mureș, România („noi”, persoana împuternicită). Acordul face parte din termenii și condițiile PediJurnal și se aplică de la crearea contului.

1. Obiectul

Prelucrăm datele personale pe care cabinetul le introduce în PediJurnal, doar ca să îi oferim serviciul. Nu folosim aceste date în scopuri proprii.

2. Durata

Acordul este valabil cât timp există contul cabinetului și până la ștergerea datelor potrivit punctului 13.

3. Natura și scopul prelucrării

Stocăm, organizăm, afișăm, exportăm, arhivăm și ștergem datele, la cererea cabinetului și prin funcțiile aplicației. Scopul este ca echipa cabinetului să țină evidența pacienților, a vizitelor, a programărilor și a plăților.

4. Categoriile de date

• datele de identificare și de contact ale pacienților;
• date privind sănătatea, adică date din categorii speciale (art. 9 GDPR): istoricul medical, constatările de la vizite și fotografiile piciorului;
• consimțămintele semnate: imaginea semnăturii și textul exact semnat;
• programările, plățile pe vizită și cheltuielile;
• conturile membrilor echipei;
• jurnalul de acces: cine a văzut sau a exportat fișa unui pacient și când.

5. Persoanele vizate

• pacienții cabinetului;
• membrii echipei cabinetului care au cont în PediJurnal.

6. Instrucțiunile cabinetului

Prelucrăm datele doar pe baza instrucțiunilor documentate ale cabinetului. Instrucțiunile sunt termenii, acest acord și acțiunile pe care echipa le face în aplicație. Dacă o instrucțiune ni se pare contrară legii, vă anunțăm imediat. Dacă legea Uniunii sau legea română ne obligă la o altă prelucrare, vă informăm înainte, cu excepția cazului în care legea interzice acest lucru.

7. Confidențialitate

Persoanele din partea noastră care pot avea acces la date s-au angajat să păstreze confidențialitatea sau au această obligație prin lege. Le accesează doar când este necesar pentru funcționarea serviciului sau pentru o cerere de asistență a cabinetului.

8. Măsuri de securitate (art. 32 GDPR)

• Fiecare membru al echipei intră în aplicație cu propriul cont.
• Un jurnal de acces înregistrează cine a văzut sau a exportat fișa fiecărui pacient.
• Fotografiile pacienților sunt recodificate la încărcare, iar datele de localizare sunt eliminate. Fotografiile se afișează doar membrilor cabinetului autentificați și pacientului, atunci când cabinetul îi trimite în aplicație raportul vizitei cu fotografii.
• Datele cardului nu trec prin PediJurnal. Ajung doar la Stripe.
• Site-ul și aplicația nu folosesc instrumente de urmărire pentru publicitate sau statistici. Folosesc doar cookie-uri strict necesare: cel de sesiune și, dacă utilizatorul alege, unul care ține minte un dispozitiv de încredere la conectarea în doi pași.
• Elementele șterse rămân 30 de zile în arhivă, ca să poată fi restaurate. Apoi se șterg definitiv.
• Cabinetul poate exporta oricând un pacient sau toate datele, ca fișier ZIP.
• După ștergerea contului, copiile de rezervă, dacă există, se suprascriu în cel mult 30 de zile.

Revizuim aceste măsuri periodic și le adaptăm riscului, ținând cont că datele de sănătate sunt date sensibile.

9. Persoane împuternicite secundare

Cabinetul ne autorizează să folosim următoarele persoane împuternicite secundare:

• Stripe – plata abonamentului cabinetului;
• furnizorul de găzduire: Namecheap, Inc. (USA);
• serviciul de trimitere a e-mailurilor către conturile cabinetului: Namecheap, Inc. (USA).

Înainte să adăugăm sau să înlocuim o persoană împuternicită secundară, vă anunțăm prin e-mail cu cel puțin 30 de zile înainte. În acest timp vă puteți opune, cu motive. Dacă nu găsim o soluție, puteți anula abonamentul și șterge contul înainte de schimbare.

Impunem fiecărei persoane împuternicite secundare obligații de protecție a datelor echivalente cu cele din acest acord. Răspundem față de cabinet pentru felul în care acestea își îndeplinesc obligațiile.

10. Transferuri internaționale

Transferăm date în afara Spațiului Economic European doar cu garanțiile din capitolul V GDPR. Stripe poate prelucra date în afara SEE, pe baza clauzelor contractuale standard aprobate de Comisia Europeană. Dacă alegem un furnizor de găzduire sau de e-mail care prelucrează date în afara SEE, vă anunțăm potrivit punctului 9.

11. Asistență pentru cabinet

• Drepturile pacienților: aplicația vă permite să vedeți, să corectați, să exportați și să ștergeți datele unui pacient. Așa puteți răspunde la cererile de acces, rectificare, portabilitate și ștergere. Dacă un pacient ne scrie direct, îi transmitem cererea cabinetului fără întârziere și nu îi răspundem noi pe fond.
• Evaluarea impactului (DPIA) și consultarea autorității: vă punem la dispoziție informațiile pe care le avem despre prelucrare și despre măsurile de securitate.
• Securitate și notificări: vă ajutăm să vă îndepliniți obligațiile din art. 32–36 GDPR, în măsura informațiilor pe care le avem.

12. Încălcarea securității datelor

Dacă aflăm de o încălcare a securității care afectează datele cabinetului, vă anunțăm fără întârzieri nejustificate și cel târziu în 48 de ore de când am aflat. Vă spunem ce s-a întâmplat, ce date și câte persoane pot fi afectate, ce consecințe sunt probabile și ce măsuri am luat sau propunem. Dacă nu avem toate informațiile de la început, le trimitem pe măsură ce le aflăm.

Cabinetul, ca operator, decide dacă anunță ANSPDCP și pacienții.

13. La încetarea serviciului

• Cabinetul poate exporta oricând toate datele, ca fișier ZIP.
• După încheierea perioadei de probă sau a abonamentului, datele rămân în cont, disponibile pentru citire și export, dar nu mai pot fi modificate.
• Când cabinetul șterge contul, îi oferim mai întâi un export. Apoi ștergem toate datele deodată. Copiile de rezervă, dacă există, se suprascriu în cel mult 30 de zile.
• Păstrăm date după ștergere doar dacă legea Uniunii sau legea română ne obligă.

14. Audit

Vă punem la dispoziție informațiile necesare ca să arătați că obligațiile din art. 28 GDPR sunt respectate. Permitem audituri, inclusiv inspecții, făcute de cabinet sau de un auditor mandatat de cabinet și obligat la confidențialitate, cu un preaviz rezonabil. Auditul nu trebuie să dea acces la datele altor cabinete.

15. Dispoziții finale

Pentru protecția datelor, acest acord are prioritate față de termeni. Acordul este guvernat de legea română. Autoritatea de supraveghere este ANSPDCP. Dacă versiunile în română, maghiară, engleză și spaniolă diferă, versiunea în limba română prevalează.

Contact: motion@promotioncreative.ro.

Ultima actualizare: 2026-10-29