Acord de prelucrare a datelor

Încheiat între

1. Utilizatorul Platformei, psiholog sau cabinet de psihologie, identificat prin datele contului său, denumit în continuare „Utilizatorul" sau „Operatorul".

2. BENESCARPE INC S.R.L., cu sediul în Str. Avram Iancu nr. 460E, Florești, județul Cluj, CUI 33670112, J2014000481183, denumită în continuare „Praxio" sau „Persoana împuternicită".

1. Părțile și obiectul

Prezentul acord („Acordul") reglementează prelucrarea de către BENESCARPE INC S.R.L. („Praxio"), în numele utilizatorului Platformei, psiholog sau cabinet de psihologie („Utilizatorul"), a datelor cu caracter personal ale clienților acestuia („Datele Clientului"). Acordul constituie actul juridic scris cerut de art. 28 alin. (3) din Regulamentul (UE) 2016/679 („GDPR"), este anexă la Termenii și condițiile Platformei și prevalează asupra acestora în privința protecției datelor.

1.1 Utilizatorul este operator. Praxio este persoană împuternicită de operator. Părțile nu sunt operatori asociați.

1.2 Datele Utilizatorului însuși (cont, abonament, facturarea Praxio către el, jurnale de autentificare, corespondență de asistență) sunt prelucrate de Praxio în calitate de operator, potrivit Politicii de confidențialitate. Acordul se aplică exclusiv Datelor Clientului.

1.3 Obiectul, durata, natura, scopul, categoriile de date și de persoane vizate sunt prevăzute în Anexa 1.

1.4 Praxio nu utilizează Datele Clientului în scopuri proprii, în special pentru publicitate, revânzare sau antrenarea de modele de inteligență artificială.

2. Răspunderea Utilizatorului în calitate de operator

2.1 Faptul că Datele Clientului sunt stocate în infrastructura utilizată de Praxio nu transferă către Praxio calitatea de operator. Praxio păstrează datele; deciziile asupra lor rămân ale Utilizatorului.

2.2 Utilizatorul răspunde pentru: existența unui temei legal valabil (art. 6 GDPR) și, la datele privind sănătatea, a unei condiții de la art. 9 alin. (2); informarea clienților potrivit art. 13-14; ce date alege să introducă în Platformă și caracterul lor adecvat și limitat; exactitatea și actualizarea acestora; perioadele de păstrare, potrivit legii și normelor deontologice; ținerea evidenței activităților de prelucrare (art. 30), evaluarea impactului (art. 35) și desemnarea unui responsabil cu protecția datelor, dacă îi revin.

2.3 Utilizatorul răspunde pentru confidențialitatea credențialelor, pentru securitatea dispozitivelor de pe care accesează Platforma și pentru orice persoană căreia îi permite accesul la cont, ca pentru fapta proprie.

2.4 Activarea funcțiilor de inteligență artificială (secțiunea 6), a comunicărilor automate către clienți, a portalului clientului, a paginii publice de programare și a integrărilor fiscale reprezintă decizii ale Utilizatorului. Praxio pune la dispoziție instrumentul; alegerea de a-l folosi îi aparține.

2.5 Utilizatorul garantează că instrucțiunile transmise Praxio respectă legislația aplicabilă.

3. Instrucțiuni, confidențialitate, securitate

3.1 Instrucțiuni documentate (art. 28 alin. 3 lit. a). Praxio prelucrează Datele Clientului exclusiv pe baza instrucțiunilor documentate ale Utilizatorului, inclusiv privind transferurile către țări terțe. Constituie instrucțiuni: prezentul Acord, Termenii, configurările contului și fiecare operațiune efectuată de Utilizator prin interfața Platformei. Praxio îl informează de îndată dacă o instrucțiune încalcă legea și poate suspenda executarea ei. Prelucrarea în afara instrucțiunilor are loc numai dacă o impune dreptul Uniunii sau dreptul român, cu informarea prealabilă a Utilizatorului, în măsura permisă de lege.

3.2 Confidențialitate (lit. b). Persoanele autorizate să prelucreze Datele Clientului sunt ținute de o obligație de confidențialitate cu caracter permanent, iar accesul este limitat la ce este strict necesar. Praxio nu accesează contul Utilizatorului și nu utilizează funcții de impersonare, cu excepția cazurilor în care Utilizatorul solicită expres asistență, în care accesul este strict necesar pentru remedierea unui incident ce afectează integritatea sau disponibilitatea datelor, ori în care este impus printr-o obligație legală.

3.3 Securitate (lit. c). Praxio implementează măsurile prevăzute la art. 32 GDPR, descrise în Anexa 3. Măsurile pot fi actualizate, fără diminuarea nivelului de securitate. Praxio nu declară certificări pe care nu le deține.

4. Subîmputerniciți și transferuri

4.1 Autorizare generală (lit. d). Utilizatorul autorizează subîmputerniciții enumerați în Anexa 2. Praxio notifică orice adăugare sau înlocuire cu cel puțin 30 de zile înainte, prin email la adresa contului. În acest termen Utilizatorul se poate opune motivat; în lipsa unui acord, poate înceta utilizarea Serviciilor fără penalități. Continuarea utilizării după data schimbării valorează acceptare.

4.2 Praxio impune fiecărui subîmputernicit, prin contract scris, obligații cel puțin echivalente celor din prezentul Acord și rămâne pe deplin răspunzător pentru acesta.

4.3 Transferuri internaționale. Datele Clientului sunt stocate în Uniunea Europeană, cu excepția subîmputerniciților identificați ca atare în Anexa 2. Pentru aceștia, transferul se întemeiază pe o decizie de adecvare sau pe clauzele contractuale standard adoptate prin Decizia (UE) 2021/914, completate cu măsuri suplimentare. Dovada temeiului se comunică la cerere.

5. Asistență, incidente, ștergere, audit

5.1 Drepturile persoanelor vizate (lit. e). Platforma pune la dispoziția Utilizatorului funcțiile prin care răspunde direct cererilor: export integral al datelor în format structurat (art. 15 și 20), modificare și ștergere (art. 16 și 17), ștergerea completă a contului. Cererile adresate direct Praxio nu se soluționează pe fond, ci se redirecționează Utilizatorului fără întârziere. Asistența care depășește vădit sfera unui sprijin rezonabil poate fi tarifată, cu informare prealabilă.

5.2 Incidente de securitate (lit. f). Praxio notifică Utilizatorul fără întârziere nejustificată și în cel mult 48 de ore de la luarea la cunoștință a unei încălcări a securității Datelor Clientului, prin email la adresa contului, cu informațiile disponibile la acel moment, completate ulterior pe măsura obținerii lor. Notificarea autorității de supraveghere (art. 33) și informarea persoanelor vizate (art. 34) revin Utilizatorului; Praxio nu le efectuează în numele său. Praxio acordă, la cerere, asistență rezonabilă pentru art. 32-36.

5.3 Ștergere și returnare (lit. g). Utilizatorul își poate exporta oricând datele din Platformă și are obligația de a face acest lucru înainte de încetare; Praxio nu returnează datele în alt format. La solicitarea de ștergere a contului, datele se elimină definitiv după o perioadă de grație de 14 zile, ulterior ireversibil. Copiile de siguranță se elimină prin rotația normală, în termen de 7 zile. Praxio poate păstra date după ștergere numai în măsura impusă de lege, cu informarea Utilizatorului.

5.4 Audit (lit. h). Praxio pune la dispoziție informațiile necesare pentru a demonstra respectarea art. 28, inclusiv prin completarea unui chestionar de securitate rezonabil. Utilizatorul poate solicita un audit cel mult o dată pe an, cu preaviz scris de 30 de zile, în timpul programului de lucru, sub obligație de confidențialitate și pe cheltuiala sa; termenul și frecvența nu se aplică auditului solicitat în urma unei încălcări confirmate sau impus de autoritatea de supraveghere. Auditul nu poate viza infrastructura subîmputerniciților, nu poate include teste de penetrare fără acord scris prealabil și nu poate conduce la accesul la datele altor operatori.

6. Funcțiile de inteligență artificială

6.1 Funcțiile asistate de inteligență artificială (recunoașterea textului scris de mână, corectarea textului, organizarea notelor, transpunerea în secțiuni de evaluare, transcrierea audio, rezumatul premergător ședinței) nu se execută automat. Fiecare utilizare este declanșată printr-o acțiune explicită a Utilizatorului.

6.2 Se transmite doar textul, imaginea sau înregistrarea selectată de Utilizator, prin furnizorul de rutare indicat în Anexa 2, către modelul de limbaj. Nu se transmit dosarul complet al clientului sau identitatea acestuia.

6.3 Materialul transmis poate conține date privind sănătatea. Utilizarea acestor funcții se face pe răspunderea Utilizatorului, în temeiul condiției de la art. 9 alin. (2) GDPR de care dispune în relația cu persoana vizată. Transferul poate implica o țară terță, potrivit pct. 4.3.

6.4 Utilizatorul poate să nu utilizeze niciodată aceste funcții, fără efect asupra celorlalte funcționalități.

7. Răspundere, durată, modificare, lege aplicabilă

7.1 Fiecare Parte răspunde pentru nerespectarea obligațiilor proprii. În raport cu persoana vizată se aplică art. 82 GDPR, inclusiv răspunderea solidară; prezentul articol nu îi poate limita drepturile. Partea care a despăgubit integral o persoană vizată are drept de regres proporțional împotriva celeilalte.

7.2 Răspunderea totală a Praxio față de Utilizator este limitată la sumele achitate în ultimele 12 luni, dar nu mai puțin de 5.000 lei. Limitarea nu operează în caz de dol, culpă gravă sau când legea o interzice.

7.3 Acordul produce efecte de la acceptare și rămâne în vigoare cât timp Praxio prelucrează Date ale Clientului. Clauzele privind confidențialitatea, ștergerea și răspunderea supraviețuiesc încetării.

7.4 Praxio poate publica o versiune nouă, notificată cu 30 de zile înainte, atunci când este necesară pentru conformarea la o cerință legală sau ca urmare a modificării Serviciilor. Modificările substanțiale necesită o nouă acceptare. Versiunea în vigoare, cea acceptată și data acceptării sunt afișate în Setări și pot fi descărcate în format PDF.

7.5 Legea aplicabilă este legea română și dreptul Uniunii. Autoritatea competentă este Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), București, B-dul G-ral. Gheorghe Magheru nr. 28-30, sector 1. Litigiile se soluționează amiabil, iar în caz contrar de instanțele competente de la sediul Praxio, sub rezerva normelor imperative de competență și a art. 79 GDPR. Nulitatea unei clauze nu afectează celelalte clauze.

Anexa 1. Descrierea prelucrării

Obiect: furnizarea unei platforme software de administrare a activității psihologice (dosare de clienți, programări și ședințe, contracte, evaluări și teste psihologice, facturare, comunicarea cu clienții, pagină de prezentare cu programare online).

Durata: pe durata existenței contului, plus termenele de la pct. 5.3.

Natura și scopul: colectare, înregistrare, organizare, stocare, adaptare, consultare, utilizare, transmitere, criptare și ștergere, prin mijloace automatizate, exclusiv în scopul furnizării Serviciilor.

Categorii de date:

Categorii de persoane vizate: clienți adulți; clienți minori; reprezentanți legali, părinți și tutori; partenerul din terapia de cuplu; cobeneficiari și persoane care suportă costul; persoane care solicită o programare fără a deveni clienți.

Anexa 2. Subîmputerniciți

Furnizorii marcați ca opționali prelucrează date numai dacă Utilizatorul activează funcția corespunzătoare.

Anexa 3. Măsuri tehnice și organizatorice

1 Criptare în repaus. Datele clienților sunt criptate la nivel de câmp (AES-256-GCM). Fiecare cabinet are o cheie proprie, distinctă, criptată la rândul ei cu o cheie principală păstrată într-un modul hardware de securitate operat în Uniunea Europeană. Sunt criptate, între altele: nume, telefon, email, adresă, CNP, tipul terapiei, motivul prezentării, notele de ședință, temele de lucru, rezumatele generate automat, conținutul evaluărilor.

2 Criptare în tranzit. TLS pe întreg traficul.

3 Izolare între operatori. Separare logică impusă la nivelul bazei de date, prin politici de securitate pe rând active pe toate tabelele cu date ale clienților.

4 Control al accesului. Autentificare individuală, autentificare în doi pași disponibilă, sesiuni cu durată limitată, privilegiu minim, fără impersonare.

5 Jurnalizare. Autentificări și evenimente de securitate, păstrate 90 de zile, apoi eliminate automat.

6 Copii de siguranță. Copie zilnică automată a bazei de date, cu retenție de 7 zile.

7 Securitatea documentelor. Stocare privată, accesibilă exclusiv prin adrese semnate cu durată limitată, generate la fiecare deschidere. Fără adrese publice permanente către documentele clienților.

8 Ștergere. Eliminare definitivă din baza de date și din spațiul de stocare după perioada de grație de 14 zile.

9 Organizatoric. Accesul la infrastructura de producție este limitat la o singură persoană, supusă obligației de confidențialitate; credențialele se rotesc la încetarea oricărei colaborări.

10 Reevaluare cel puțin anuală și la orice modificare semnificativă a Serviciilor.

Anexa 4. Contact

BENESCARPE INC S.R.L., Str. Avram Iancu nr. 460E, Florești, județul Cluj. Email: contact@mypraxio.ro

Acceptare

Acordul se acceptă electronic din contul Praxio. Acceptarea electronică îndeplinește cerința formei scrise prevăzută de art. 28 alin. (9) GDPR („în scris, inclusiv în format electronic"), fără a fi necesară o semnătură olografă. Versiunea în vigoare, versiunea acceptată și data acceptării sunt afișate în Setări, iar acordul personalizat cu datele cabinetului tău se descarcă de acolo în format PDF.

Pentru BENESCARPE INC S.R.L.: acord încheiat prin punerea la dispoziție a Serviciilor, fără semnătură olografă.