Acord de prelucrare a datelor (DPA)

1. Obiectul și durata

Persoana împuternicită prelucrează date personale în numele Operatorului, în scopul furnizării platformei DentStorm, pe durata contractului și până la ștergerea datelor conform secțiunii 8.

2. Categorii de persoane și de date

• pacienții Operatorului: date de identificare și contact, programări, lucrări și tratamente, plăți, semnături și documente semnate – inclusiv date privind sănătatea (art. 9 GDPR);
• personalul Operatorului: nume, email, rol și permisiuni;
• medicii: nume, specializare, clinici.

3. Instrucțiunile Operatorului

Prelucrăm datele doar pentru furnizarea serviciului și conform instrucțiunilor documentate ale Operatorului, care sunt date prin folosirea aplicației și prin acest acord. Operatorul răspunde de existența temeiului legal pentru prelucrare și de informarea pacienților.

4. Confidențialitate

Persoanele care au acces la date în numele nostru sunt obligate să păstreze confidențialitatea. Nu accesăm datele pacienților decât dacă este necesar pentru suport tehnic solicitat de Operator sau pentru respectarea legii.

5. Măsuri de securitate

• criptarea conexiunii (HTTPS/TLS) și a parolelor;
• separarea datelor fiecărui cont și restricționarea accesului la nivel de bază de date, în funcție de permisiunile fiecărui utilizator;
• fișierele (semnăturile) sunt stocate privat și accesibile doar prin linkuri temporare;
• copii de siguranță și acces administrativ limitat la persoane autorizate.

6. Subîmputerniciți

Operatorul este de acord cu folosirea următorilor subîmputerniciți. Vom anunța în prealabil orice schimbare, iar Operatorul se poate opune.

• Supabase – bază de date, autentificare și stocare fișiere
• Vercel – găzduirea aplicației
• Resend – trimiterea emailurilor (confirmare cont, invitații, resetare parolă)
• SMSLink.ro – trimiterea SMS-urilor de reamintire către pacienți
• Stripe – procesarea plăților cu cardul pentru abonamente

7. Asistență și încălcări de securitate

Ajutăm Operatorul, în măsura posibilă, să răspundă cererilor pacienților (acces, rectificare, ștergere) și să își îndeplinească obligațiile privind securitatea și evaluările de impact.

Notificăm Operatorul fără întârzieri nejustificate, și în cel mult 48 de ore de la constatare, despre orice încălcare a securității datelor care îl afectează.

8. Returnarea și ștergerea datelor

La încetarea contractului, Operatorul poate solicita exportul datelor în termen de 30 de zile. După acest termen ștergem datele, cu excepția cazului în care legea ne obligă să le păstrăm.

9. Audit

Punem la dispoziția Operatorului informațiile necesare pentru a demonstra respectarea acestui acord. Solicitările se trimit la [email de contact].