Acord de Prelucrare a Datelor (DPA)

1. Părțile

Acest DPA se încheie între:

Operator de date („Cabinetul"): cabinetul stomatologic care contractează serviciul DentAIM. Datele complete (denumire, CUI, sediu, reprezentant) se completează la semnarea contractului de abonament.

Împuternicit („DentAIM"):

• Denumire: AIM BUSINESS ADVISORY & DEVELOPMENT S.R.L.
• Sediu social: București, Sectorul 3, Bulevardul Decebal, Nr. 12, CAMERA 1, Bl. S7, Scara 1, Etaj 5, Ap. 15
• Cod unic de înregistrare (CUI): 55090434
• Nr. Registrul Comerțului: J2026042337003
• EUID: ROONRC.J2026042337003
• Reprezentant: Cătălin Mareși, Administrator

Contact operațional:

• Email: catalinmaresi@gmail.com
• Telefon: 0722 401 511

2. Obiectul prelucrării

DentAIM prelucrează date cu caracter personal în numele Cabinetului, exclusiv pentru furnizarea serviciilor descrise în contractul principal (generare mesaje WhatsApp, fișe pacient, instrucțiuni post-tratament, prescripții, devize etc.).

Temei legal al Cabinetului (operator). Pentru datele privind sănătatea, Cabinetul confirmă că prelucrează în principal în baza art. 9 alin. (2) lit. (h) GDPR (medicină preventivă, diagnostic medical, furnizarea de asistență medicală), coroborat cu Legea 46/2003 privind drepturile pacientului și cu obligațiile profesiei de medic dentist. Pentru comunicările non-clinice (marketing, cereri de recenzie Google), temeiul rămâne consimțământul explicit al pacientului, obținut și evidențiat de Cabinet, conform art. 9 alin. (2) lit. (a) GDPR și art. 12 din Legea 506/2004.

3. Detalii ale prelucrării

4. Obligațiile DentAIM (împuternicit)

DentAIM se obligă:

1. Să prelucreze datele exclusiv pe baza instrucțiunilor documentate ale Cabinetului, inclusiv pentru transferuri către o țară terță;
2. Să se asigure că persoanele autorizate să prelucreze datele s-au angajat să respecte confidențialitatea;
3. Să implementeze măsuri tehnice și organizatorice adecvate (art. 32 GDPR), inclusiv:
   • Criptare TLS/HTTPS pentru toate transmisiile;
   • Autentificare Firebase Auth per utilizator, cu roluri (owner / membru) și permisiuni granulare;
   • Stocare Firebase Firestore cu reguli de acces per cabinet (site_id) și verificare token la fiecare funcție server-side;
   • Cheia API Google Gemini vizibilă și editabilă doar de owner-ul cabinetului — modelul BYOK (Bring Your Own Key), cabinetul păstrează controlul deplin asupra cheii;
   • Cheia API pentru rezerva OpenRouter e stocată exclusiv într-o variabilă de mediu server-side (Netlify Environment Variables), nu ajunge niciodată în codul frontend livrat cabinetelor;
   • Pseudonimizare în trei straturi aplicată pe toate fluxurile AI: (i) numele pacientului din câmpul dedicat este înlocuit cu placeholder-ul [PACIENT] în prompt; (ii) filtrul scrubPatientName curăță automat numele din câmpurile libere (observații clinice, descrierea intervenției) înainte de trimitere; (iii) protecție la afișarea progresivă (streaming) — placeholder-ul nu apare niciodată vizibil, nici în forma parțială, când textul apare progresiv;
   • Pentru răspunsuri la recenzii Google: filtrul maskReviewerName curăță numele recenzentului din text; promptul conține interdicții explicite privind confirmarea publică a relației medic-pacient (art. 9 GDPR);
   • Capacitate de restaurare a accesului în caz de incident.
4. Să asiste Cabinetul cu măsuri tehnice și organizatorice pentru îndeplinirea obligației de a răspunde solicitărilor persoanelor vizate (acces, rectificare, ștergere, portabilitate);
5. Să asiste Cabinetul în asigurarea conformității cu art. 32-36 GDPR (securitate, notificarea breșelor, DPIA). În mod specific, pentru evaluarea impactului asupra protecției datelor (DPIA, art. 35 GDPR), DentAIM pune la dispoziția Cabinetului, la cerere:
   • descrierea prelucrărilor efectuate prin Software;
   • lista sub-împuterniciților și localizarea datelor;
   • măsurile tehnice și organizatorice implementate;
   • descrierea fluxului de date către furnizorii de modele AI.
   DentAIM poate furniza, ca material de sprijin, un model de DPIA pre-completat pe care Cabinetul îl personalizează pe propria răspundere;
6. Să notifice Cabinetul fără întârziere nejustificată (max. 48 de ore) în cazul unei breșe de securitate care afectează datele pacienților;
7. La încetarea contractului, la alegerea Cabinetului, să șteargă sau să returneze toate datele și să elimine copiile existente, exceptând cazul în care legislația UE/română impune păstrarea lor;
8. Să pună la dispoziția Cabinetului toate informațiile necesare pentru a demonstra respectarea obligațiilor și să permită audituri.

5. Sub-procesatori autorizați

Cabinetul autorizează DentAIM să folosească următorii sub-procesatori:

Fluxul AI principal (Google Gemini) folosește modelul BYOK: Cabinetul acceptă direct Termenii Google Gemini API la generarea cheii, iar relația contractuală și financiară pentru serviciul de inference este între Cabinet și Google. DentAIM nu are acces la cheie și nu prelucrează plățile aferente. Pentru tier-ul gratuit Google Gemini, prompturile pot fi folosite de Google pentru îmbunătățirea modelelor — de aceea DentAIM recomandă Cabinetului activarea Billing (chiar și cu 0€ consumat) pentru trecerea pe Paid tier, unde această utilizare este exclusă contractual. Rezerva tehnică OpenRouter este apelată doar când Gemini este indisponibil; DentAIM notifică Cabinetul cu minimum 30 de zile înainte de orice modificare structurală a lanțului de sub-procesatori, conform paragrafului următor.

DentAIM va notifica Cabinetul cu minimum 30 de zile înainte de orice intenție de schimbare a unui sub-procesator. Cabinetul are dreptul de a se opune motivat, caz în care părțile vor căuta o soluție; dacă nu se ajunge la un acord, Cabinetul poate rezilia contractul fără penalizare.

6. Transferuri internaționale

O parte a prelucrării (generare AI) are loc pe servere din Statele Unite ale Americii. Transferul se efectuează în baza Clauzelor Contractuale Standard adoptate de Comisia Europeană prin Decizia de punere în aplicare (UE) 2021/914 din 4 iunie 2021, modulul „Operator — Împuternicit" sau „Împuternicit — Sub-împuternicit", după caz.

7. Asistență privind drepturile persoanelor vizate

DentAIM va asista Cabinetul în răspunsul la solicitările pacienților privind drepturile lor (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). Solicitările pacienților se adresează direct Cabinetului, iar DentAIM va furniza la cerere extrase din datele prelucrate.

8. Notificarea breșelor de securitate

9. Audituri și inspecții

Cabinetul are dreptul, la cerere rezonabilă și cu un preaviz de minimum 14 zile, să auditeze conformitatea DentAIM cu obligațiile din acest DPA, fie direct, fie printr-un auditor independent. Auditurile se desfășoară în programul normal de lucru, fără a perturba operațiunile DentAIM, iar costurile auditului sunt suportate de Cabinet, cu excepția cazului în care se constată o încălcare semnificativă.

10. Răspundere

Răspunderea fiecărei părți pentru daune cauzate de prelucrarea contrară GDPR este reglementată de art. 82 GDPR. În relația dintre părți, răspunderea totală a DentAIM este limitată conform clauzei din Termenii și Condițiile generale.

11. Durata și încetarea

Acest DPA intră în vigoare la data semnării contractului principal și produce efecte pe toată durata acestuia. La încetare, datele sunt păstrate 30 de zile pentru eventuală reactivare, iar DentAIM va șterge sau returna datele conform clauzei 4(7), cu ștergere completă (inclusiv din backup-uri) finalizată în maximum 60 de zile de la încetare.

12. Legea aplicabilă

Acest DPA este guvernat de legea română și de Regulamentul (UE) 2016/679. Pentru orice litigiu, competența revine instanțelor de la sediul DentAIM.

13. Dispoziții finale

În caz de conflict între acest DPA și Termenii și Condițiile generale, prevederile prezentului DPA prevalează în ceea ce privește prelucrarea datelor cu caracter personal.

— template · se completează la semnarea contractului —