Acord de Prelucrare a Datelor (DPA)

1. Părțile

Acest DPA se încheie între:

Operator de date („Cabinetul"): cabinetul stomatologic care contractează serviciul DentAIM. Datele complete (denumire, CUI, sediu, reprezentant) se completează la semnarea contractului de abonament.

Împuternicit („DentAIM"): furnizorul serviciului. Datele complete de identificare sunt comunicate la semnarea contractului și pe factură. Contact:

• Email: andrei.maresi@yahoo.com
• Telefon: 0735 029 207

2. Obiectul prelucrării

DentAIM prelucrează date cu caracter personal în numele Cabinetului, exclusiv pentru furnizarea serviciilor descrise în contractul principal (generare mesaje WhatsApp, fișe pacient, instrucțiuni post-tratament, prescripții, devize etc.).

3. Detalii ale prelucrării

4. Obligațiile DentAIM (împuternicit)

DentAIM se obligă:

1. Să prelucreze datele exclusiv pe baza instrucțiunilor documentate ale Cabinetului, inclusiv pentru transferuri către o țară terță;
2. Să se asigure că persoanele autorizate să prelucreze datele s-au angajat să respecte confidențialitatea;
3. Să implementeze măsuri tehnice și organizatorice adecvate (art. 32 GDPR), inclusiv:
   • Criptare TLS/HTTPS pentru toate transmisiile;
   • Stocare Firebase Firestore cu reguli de acces per cabinet (site_id);
   • Protejare acces setări cu PIN;
   • Cheia API stocată local în browser, nu pe servere centrale;
   • Pseudonimizare unde este posibil;
   • Capacitate de restaurare a accesului în caz de incident.
4. Să asiste Cabinetul cu măsuri tehnice și organizatorice pentru îndeplinirea obligației de a răspunde solicitărilor persoanelor vizate (acces, rectificare, ștergere, portabilitate);
5. Să asiste Cabinetul în asigurarea conformității cu art. 32-36 GDPR (securitate, notificarea breșelor, DPIA);
6. Să notifice Cabinetul fără întârziere nejustificată (max. 48 de ore) în cazul unei breșe de securitate care afectează datele pacienților;
7. La încetarea contractului, la alegerea Cabinetului, să șteargă sau să returneze toate datele și să elimine copiile existente, exceptând cazul în care legislația UE/română impune păstrarea lor;
8. Să pună la dispoziția Cabinetului toate informațiile necesare pentru a demonstra respectarea obligațiilor și să permită audituri.

5. Sub-procesatori autorizați

Cabinetul autorizează DentAIM să folosească următorii sub-procesatori:

DentAIM va notifica Cabinetul cu minimum 30 de zile înainte de orice intenție de schimbare a unui sub-procesator. Cabinetul are dreptul de a se opune motivat, caz în care părțile vor căuta o soluție; dacă nu se ajunge la un acord, Cabinetul poate rezilia contractul fără penalizare.

6. Transferuri internaționale

O parte a prelucrării (generare AI) are loc pe servere din Statele Unite ale Americii. Transferul se efectuează în baza Clauzelor Contractuale Standard adoptate de Comisia Europeană prin Decizia de punere în aplicare (UE) 2021/914 din 4 iunie 2021, modulul „Operator — Împuternicit" sau „Împuternicit — Sub-împuternicit", după caz.

7. Asistență privind drepturile persoanelor vizate

DentAIM va asista Cabinetul în răspunsul la solicitările pacienților privind drepturile lor (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). Solicitările pacienților se adresează direct Cabinetului, iar DentAIM va furniza la cerere extrase din datele prelucrate.

8. Notificarea breșelor de securitate

9. Audituri și inspecții

Cabinetul are dreptul, la cerere rezonabilă și cu un preaviz de minimum 14 zile, să auditeze conformitatea DentAIM cu obligațiile din acest DPA, fie direct, fie printr-un auditor independent. Auditurile se desfășoară în programul normal de lucru, fără a perturba operațiunile DentAIM, iar costurile auditului sunt suportate de Cabinet, cu excepția cazului în care se constată o încălcare semnificativă.

10. Răspundere

Răspunderea fiecărei părți pentru daune cauzate de prelucrarea contrară GDPR este reglementată de art. 82 GDPR. În relația dintre părți, răspunderea totală a DentAIM este limitată conform clauzei din Termenii și Condițiile generale.

11. Durata și încetarea

Acest DPA intră în vigoare la data semnării contractului principal și produce efecte pe toată durata acestuia. La încetare, DentAIM va șterge sau returna datele conform clauzei 4(7), în maximum 60 de zile.

12. Legea aplicabilă

Acest DPA este guvernat de legea română și de Regulamentul (UE) 2016/679. Pentru orice litigiu, competența revine instanțelor de la sediul DentAIM.

13. Dispoziții finale

În caz de conflict între acest DPA și Termenii și Condițiile generale, prevederile prezentului DPA prevalează în ceea ce privește prelucrarea datelor cu caracter personal.