Acord de prelucrare a datelor

1. Părțile și definițiile

Contractul se încheie între:

• Clinica care folosește platforma RADAR Dental, în calitate de operator („Clinica”), identificată prin datele legale introduse la acceptare; și
• Vitanic Sales LLC, societate înregistrată în statul Wyoming, SUA, cu sediul la 2232 Dell Range Blvd, Cheyenne, WY 82009, SUA, care operează platforma RADAR Dental, în calitate de persoană împuternicită („RADAR”), reprezentată de Octavian Alupoaie, administrator (Managing Member). Contact: contact@radardental.ro.

Contractul se încheie în temeiul art. 28 din Regulamentul (UE) 2016/679 („GDPR”) și al Legii nr. 190/2018. Face parte din Termenii și condițiile RADAR Dental și, pentru protecția datelor, are prioritate față de aceștia.

Definiții. Termenii „date personale”, „prelucrare”, „operator”, „persoană împuternicită”, „persoană vizată” și „încălcarea securității datelor” au înțelesul din art. 4 GDPR. În plus:

• Platforma: aplicația RADAR Dental (chestionarul pacientului, Smart Briefing, transcrierea și analiza consultației, auditul, scripturile de follow-up, lista „De sunat”, statisticile).
• Sub-împuternicit: un furnizor folosit de RADAR care prelucrează date personale în numele Clinicii (Anexa 1).
• Acordul pacientului: consimțământul exprimat de pacient în chestionar sau confirmat de medic în Platformă, cu data, ora și versiunea textului.

2. Ce date se prelucrează, de ce și cât timp

RADAR prelucrează date personale numai în numele Clinicii, numai pentru furnizarea Platformei și numai pe baza instrucțiunilor documentate ale Clinicii. Instrucțiunile sunt cele din acest contract și cele date prin folosirea funcțiilor Platformei. Dacă o instrucțiune pare să încalce legea, RADAR anunță Clinica de îndată.

Natura prelucrării: colectare prin chestionar, stocare, transcriere automată, analiză cu inteligență artificială, afișarea rezultatelor către echipa Clinicii, trimiterea emailurilor de confirmare către pacient.

Scopurile sunt exclusiv cele acceptate de pacient: pregătirea consultației, documentarea discuției, feedback pentru echipa Clinicii despre felul în care a explicat și a prezentat tratamentul și pregătirea revenirii cu informații despre planul de tratament propus.

Ce nu face RADAR cu datele: nu le folosește în scopuri proprii, nu le vinde, nu le folosește pentru publicitate și nu le folosește pentru antrenarea modelelor de inteligență artificială.

Durata: pe durata abonamentului Clinicii și până la ștergerea datelor, potrivit punctului 7.

3. Obligațiile RADAR

1. Instrucțiuni. Prelucrează datele doar la instrucțiunile documentate ale Clinicii, inclusiv în privința transferurilor (art. 28 alin. 3 lit. a GDPR), în afara cazului în care legea îl obligă altfel. În acest caz anunță Clinica înainte, dacă legea permite.
2. Confidențialitate. Persoanele autorizate să prelucreze datele s-au angajat în scris să păstreze confidențialitatea. Personalul RADAR accesează datele pacienților doar pentru asistența cerută de Clinică sau pentru remedierea unei probleme tehnice.
3. Securitate. Aplică măsurile de la art. 32 GDPR, descrise în Anexa 2, și le actualizează după evoluția tehnologiei și a riscurilor.
4. Sub-împuterniciți. Respectă condițiile de la punctul 5.
5. Cererile pacienților. Ajută Clinica, prin funcțiile Platformei și la cerere, să răspundă cererilor de acces, rectificare, ștergere, restricționare, portabilitate și opoziție. Retragerea acordului din linkul chestionarului blochează automat analiza consultațiilor pacientului. Cererile primite direct de la pacienți sunt transmise Clinicii în cel mult 5 zile lucrătoare.
6. Asistență pentru obligațiile Clinicii. Ajută Clinica să își îndeplinească obligațiile de la art. 32–36 GDPR: securitate, notificarea încălcărilor, evaluarea de impact (inclusiv prin modelul de DPIA pus la dispoziție) și consultarea prealabilă.
7. Incidente. Anunță Clinica potrivit punctului 6.
8. Ștergere. Șterge sau returnează datele potrivit punctului 7.
9. Audit. Pune la dispoziție informațiile necesare pentru a demonstra respectarea art. 28 GDPR, potrivit punctului 8.
10. Inteligența artificială. Rezultatele Platformei sunt sugestii pentru echipa Clinicii. Platforma nu ia decizii automate cu efecte juridice sau similare asupra pacienților (art. 22 GDPR), iar regulile după care scrie scripturile interzic urgența falsă și promisiunile pe care Clinica nu le-a configurat (reduceri, rate, beneficii).

4. Obligațiile Clinicii

Clinica, ca operator, răspunde de legalitatea prelucrării. În special:

1. Temeiul legal. Prelucrează datele pacienților pe baza consimțământului explicit al acestora (art. 9 alin. 2 lit. a GDPR și art. 3 din Legea nr. 190/2018), obținut prin chestionar sau, dacă pacientul nu l-a completat, verbal la începutul consultației și confirmat în Platformă.
2. Fără acord, fără înregistrare. Nu înregistrează și nu încarcă o consultație fără acordul pacientului. Nu confirmă în Platformă un acord verbal care nu a fost dat.
3. Informarea pacienților. Își informează pacienții potrivit art. 13 GDPR. Poate folosi nota de informare pusă la dispoziție de RADAR, adaptată la datele Clinicii.
4. Scopurile acceptării. Folosește rezultatele Platformei doar în scopurile acceptate de pacient (punctul 2). Nu le folosește pentru marketing pentru alte servicii, nu le transmite terților și nu folosește temerile pacientului ca presiune în apelurile de follow-up.
5. Evaluarea de impact. Realizează evaluarea de impact (DPIA, art. 35 GDPR) înainte de prima înregistrare, folosind modelul pus la dispoziție de RADAR.
6. Retragerea acordului și cererile pacienților. Respectă retragerea acordului și răspunde cererilor pacienților în termenele legale.
7. Accesul echipei. Creează conturi doar pentru membrii propriei echipe, îi instruiește cu privire la confidențialitate și oprește accesul celor care pleacă.
8. Secretul profesional. Respectă obligațiile de secret profesional ale medicului dentist (Legea nr. 95/2006, Codul deontologic al medicului stomatolog și Legea nr. 46/2003 privind drepturile pacientului).
9. Fișa medicală. Platforma nu înlocuiește fișa medicală a pacientului. Datele pe care legea îi cere Clinicii să le păstreze se țin în sistemele proprii ale Clinicii.
10. Regulile înregistrării. Se asigură că persoanele care înregistrează consultații respectă regulile înregistrării comunicate de RADAR în Platformă: oprirea înregistrării la cererea pacientului, neînregistrarea minorilor fără acordul reprezentantului legal, nemenționarea altor pacienți și ștergerea copiilor locale ale înregistrărilor. Se asigură, de asemenea, că persoanele prezente alături de pacient sunt de acord cu înregistrarea. Clinica răspunde pentru respectarea acestor reguli de către personalul său.

5. Sub-împuterniciții și transferurile

Autorizare generală. Clinica autorizează folosirea sub-împuterniciților din Anexa 1. RADAR anunță Clinica prin email cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui sub-împuternicit. Clinica poate obiecta motivat în acest termen. Dacă părțile nu găsesc o soluție, Clinica poate înceta abonamentul fără penalități, cu rambursarea părții nefolosite din luna plătită.

Aceleași obligații. RADAR impune fiecărui sub-împuternicit, prin contract, obligații de protecție a datelor echivalente cu cele din acest contract. RADAR răspunde față de Clinică pentru felul în care sub-împuterniciții își respectă obligațiile.

Transferurile în afara Spațiului Economic European au loc doar în condițiile capitolului V GDPR:

• către un destinatar certificat în cadrul EU-U.S. Data Privacy Framework (decizia de adecvare a Comisiei Europene din 10 iulie 2023); sau
• pe baza clauzelor contractuale standard aprobate prin Decizia (UE) 2021/914, cu măsuri suplimentare acolo unde evaluarea transferului o cere.

Vitanic Sales LLC are sediul în SUA. Clinica recunoaște că transferul către RADAR are loc pe baza clauzelor contractuale standard (modulul 2, operator către persoană împuternicită), care fac parte din acest contract prin trimitere.

Clinicile din Regatul Unit. Se aplică UK GDPR și Data Protection Act 2018. Transferurile au loc pe baza addendumului britanic la clauzele contractuale standard (International Data Transfer Addendum) sau a extensiei britanice a Data Privacy Framework.

6. Încălcarea securității datelor

RADAR anunță Clinica fără întârzieri nejustificate, dar în cel mult 48 de ore de la constatare, despre orice încălcare a securității datelor ei. Anunțul cuprinde, în măsura în care sunt cunoscute: natura încălcării, categoriile și numărul aproximativ de persoane și înregistrări afectate, consecințele probabile, măsurile luate și o persoană de contact. Informațiile lipsă se transmit pe măsură ce sunt aflate. Clinica rămâne responsabilă de notificarea autorității (ANSPDCP, respectiv ICO în UK) în 72 de ore și, după caz, a pacienților.

7. Ștergerea și returnarea datelor

• Înregistrarea audio se șterge automat imediat după transcriere.
• Clinica poate șterge oricând din Platformă o consultație (raportul, transcrierea și scripturile) sau un dosar de pacient.
• La încetarea abonamentului sau la expirarea accesului gratuit fără trecerea la un pachet plătit, Clinica își poate cere exportul datelor timp de 30 de zile. Apoi RADAR șterge datele, inclusiv de la sub-împuterniciți, în afara cazului în care legea cere păstrarea lor.
• Copiile de siguranță se suprascriu în ciclul lor normal de rotație, de cel mult 30 de zile.
• La cerere, RADAR confirmă în scris ștergerea.

8. Auditul

RADAR pune la dispoziția Clinicii informațiile necesare pentru a demonstra respectarea art. 28 GDPR: acest contract, lista actualizată a sub-împuterniciților, descrierea măsurilor de securitate și certificările furnizorilor. RADAR permite audituri, inclusiv inspecții, efectuate de Clinică sau de un auditor mandatat, cu un preaviz de cel puțin 30 de zile, cu respectarea confidențialității și cel mult o dată pe an. Limita anuală nu se aplică după o încălcare a securității sau la cererea unei autorități. Costurile auditului le suportă Clinica.

9. Răspunderea

Fiecare parte răspunde pentru prejudiciile cauzate prin încălcarea obligațiilor sale din acest contract și din GDPR (art. 82 GDPR). În măsura permisă de lege, răspunderea totală a RADAR se limitează potrivit Termenilor și condițiilor. Limitarea nu se aplică în cazul fraudei, al intenției sau al culpei grave.

10. Durata, legea aplicabilă, modificările

Contractul se aplică de la acceptarea lui în Platformă până la ștergerea tuturor datelor Clinicii. Legea aplicabilă și instanța competentă sunt cele de la punctele 11 (România și UE), 12 (Regatul Unit), 13 (SUA) și 14 (Australia), după țara Clinicii. Modificările se anunță prin email cu cel puțin 30 de zile înainte. Clinica le acceptă în Platformă sau poate înceta abonamentul.

11. Prevederi pentru România și Uniunea Europeană

Se aplică dacă Clinica are sediul sau tratează pacienți în Spațiul Economic European.

1. Legea aplicabilă. GDPR, Legea nr. 190/2018 și legea statului membru al Clinicii. Pentru clinicile din România, autoritatea de supraveghere este ANSPDCP.
2. Profilarea cu date de sănătate. Analiza consultației și a chestionarului cu inteligență artificială are loc numai pe baza consimțământului explicit al pacientului și cu măsurile de protecție din Anexa 2, potrivit art. 3 alin. (1) din Legea nr. 190/2018.
3. Confidențialitatea medicală. Clinica respectă art. 21–25 din Legea nr. 46/2003 privind drepturile pacientului. Informațiile confidențiale ale pacientului ajung la RADAR numai cu consimțământul lui explicit, potrivit art. 22 din aceeași lege. RADAR și personalul său păstrează confidențialitatea acestor informații în aceleași condiții.
4. Secretul profesional. Folosirea Platformei nu îl scutește pe medicul dentist de obligația secretului profesional prevăzută de Legea nr. 95/2006 și de Codul deontologic al medicului stomatolog. RADAR nu transmite datele nimănui în afara sub-împuterniciților din Anexa 1.
5. Evaluarea de impact. Prelucrarea intră în categoriile pentru care Decizia ANSPDCP nr. 174/2018 cere evaluarea de impact: date privind sănătatea, tehnologii noi și evaluarea sistematică a persoanelor. Clinica o realizează înainte de prima înregistrare, folosind modelul RADAR.
6. Reprezentantul în UE. Reprezentantul Vitanic Sales LLC în Uniunea Europeană, potrivit art. 27 GDPR, este Octavian Alupoaie, Bd. 1 Mai nr. 4, bl. J4, sc. A, ap. 16, Constanța, România, contact@radardental.ro. ANSPDCP, Clinica și persoanele vizate se pot adresa reprezentantului pentru orice aspect legat de prelucrare.
7. Transferul către SUA. Se face pe baza clauzelor contractuale standard (Decizia (UE) 2021/914, modulul 2 pentru Clinică către RADAR și modulul 3 pentru RADAR către sub-împuterniciți), cu evaluarea transferului și măsurile suplimentare din Anexa 2.
8. Legea contractului și instanța. Legea română; instanțele competente de la sediul Clinicii.

12. Prevederi pentru Regatul Unit

Se aplică dacă Clinica are sediul sau tratează pacienți în Regatul Unit.

1. Legea aplicabilă. UK GDPR și Data Protection Act 2018. Trimiterile la GDPR din acest contract se citesc ca trimiteri la UK GDPR. Autoritatea de supraveghere este Information Commissioner’s Office (ICO).
2. Temeiul pentru datele de sănătate. Consimțământul explicit al pacientului (art. 9 alin. 2 lit. a UK GDPR), obținut potrivit punctului 4.
3. Transferul către SUA. Se face pe baza International Data Transfer Addendum emis de ICO la clauzele contractuale standard ale UE, sau către destinatari certificați în cadrul extensiei britanice a EU-U.S. Data Privacy Framework (UK Extension).
4. Reprezentantul în UK. Vitanic Sales LLC desemnează un reprezentant în Regatul Unit, potrivit art. 27 UK GDPR.
5. Evaluarea de impact. Clinica realizează evaluarea de impact (DPIA) cerută de art. 35 UK GDPR și de ghidurile ICO, folosind modelul RADAR.
6. Obligațiile profesionale. Clinica și echipa ei respectă standardele General Dental Council privind confidențialitatea și protecția informațiilor pacienților. Folosirea Platformei nu le schimbă.
7. Incidentele. Clinica notifică ICO în 72 de ore, pe baza anunțului RADAR de la punctul 6.
8. Legea contractului și instanța. Legea Angliei și Țării Galilor; instanțele din Anglia și Țara Galilor.

13. Prevederi pentru SUA: addendum HIPAA (Business Associate Agreement)

Se aplică dacă Clinica este „covered entity” în sensul HIPAA (45 C.F.R. Parts 160 și 164). În acest caz, RADAR este „business associate”, iar datele pacienților sunt „protected health information” (PHI). Addendumul prevalează asupra restului contractului pentru PHI.

Condiție de pornire. RADAR prelucrează PHI pentru o clinică din SUA numai după ce fiecare sub-împuternicit care atinge PHI are semnat un acord de tip business associate cu RADAR (45 C.F.R. § 164.502(e)(1)(ii)). Emailurile către pacienții din SUA nu conțin PHI sau pleacă printr-un furnizor care semnează un astfel de acord.

RADAR se obligă să:

1. Folosească și dezvăluie PHI numai pentru furnizarea Platformei către Clinică, potrivit acestui contract sau cum cere legea, și numai în măsura minimă necesară.
2. Aplice măsurile de protecție administrative, fizice și tehnice cerute de HIPAA Security Rule (45 C.F.R. Part 164, Subpart C) pentru PHI în format electronic.
3. Raporteze Clinicii orice folosire sau dezvăluire nepermisă, orice incident de securitate și orice încălcare a securității PHI neprotejate (45 C.F.R. § 164.410), în cel mult 5 zile lucrătoare de la constatare. Legea permite 60 de zile.
4. Impună sub-împuterniciților aceleași restricții și condiții, prin acorduri scrise.
5. Pună PHI la dispoziție pentru accesul pacientului (§ 164.524), pentru rectificare (§ 164.526) și pentru evidența dezvăluirilor (§ 164.528), la cererea Clinicii.
6. Pună la dispoziția Departamentului de Sănătate al SUA (HHS) practicile, registrele și documentele privind PHI, pentru verificarea conformității.
7. Nu vândă PHI, nu îl folosească pentru marketing și nu îl folosească pentru antrenarea modelelor de inteligență artificială.
8. Returneze sau distrugă PHI la încetarea contractului. Dacă acest lucru nu e posibil, extinde protecțiile și limitează folosirea la ce face returnarea imposibilă.

Încetarea. Dacă RADAR încalcă substanțial addendumul și nu remediază în 30 de zile, Clinica poate înceta contractul.

Legile statelor. Clinica răspunde de respectarea legilor statului său, în special:

• Înregistrarea convorbirilor. În statele care cer acordul tuturor participanților (de exemplu California, Florida, Washington, Illinois, Pennsylvania, Massachusetts), Clinica obține acordul pacientului și al fiecărui membru al echipei prezent în consultație.
• Datele de sănătate ale consumatorilor care nu sunt PHI, potrivit legilor statale aplicabile (de exemplu Washington My Health My Data Act). Pentru aceste date, RADAR acționează ca furnizor de servicii („service provider” sau „processor”) al Clinicii.

Legea contractului. Legea statului Clinicii, fără a afecta HIPAA.

14. Prevederi pentru Australia

Se aplică dacă Clinica este stabilită în Australia sau tratează pacienți în Australia.

1. Legea aplicabilă. Privacy Act 1988 (Cth) și Principiile australiene privind viața privată (Australian Privacy Principles, APP), precum și legile statului sau teritoriului Clinicii privind dosarele de sănătate, acolo unde există: Health Records Act 2001 (Victoria), Health Records and Information Privacy Act 2002 (New South Wales) și Health Records (Privacy and Access) Act 1997 (Australian Capital Territory). Autoritatea este Office of the Australian Information Commissioner (OAIC). Trimiterile din acest contract la GDPR se citesc, pentru Australia, ca trimiteri la aceste legi, iar „operator” și „persoană împuternicită” desemnează Clinica și, respectiv, RADAR, care prelucrează datele doar pentru Clinică.
2. Informațiile de sănătate. Sunt informații sensibile. Clinica le colectează cu consimțământul pacientului (APP 3.3), obținut potrivit punctului 4, și îl informează despre colectare (APP 5), inclusiv despre faptul că datele sunt prelucrate în afara Australiei.
3. Prelucrarea în afara Australiei (APP 8). Datele sunt stocate în Uniunea Europeană și prelucrate de sub-împuterniciții din Anexa 1, inclusiv în SUA. RADAR se obligă să trateze informațiile în conformitate cu APP și impune aceleași obligații sub-împuterniciților. Clinica rămâne răspunzătoare față de pacient potrivit secțiunii 16C din Privacy Act; RADAR o sprijină cu informațiile necesare. Pentru clinicile din New South Wales, transferul respectă și principiul HPP 14 privind fluxurile transfrontaliere.
4. Angajamentul RADAR. Indiferent dacă RADAR intră sau nu sub excepția pentru întreprinderile mici din Privacy Act, RADAR se obligă contractual să respecte APP pentru datele Clinicii, în special APP 6 (folosire și dezvăluire), APP 11 (securitate și ștergere) și APP 12–13 (acces și corectare, prin Clinică).
5. Încălcarea securității (Notifiable Data Breaches). RADAR notifică Clinica fără întârzieri nejustificate, potrivit punctului 6, cu informațiile de care Clinica are nevoie pentru evaluare. Clinica evaluează dacă este o încălcare care trebuie notificată (eligible data breach) în cel mult 30 de zile și, dacă da, notifică OAIC și pacienții afectați cât mai repede posibil.
6. Evaluarea impactului. Clinica realizează o evaluare a impactului asupra vieții private (Privacy Impact Assessment), potrivit ghidului OAIC, folosind modelul RADAR.
7. Deciziile automate. Platforma nu ia decizii exclusiv automate cu efect semnificativ asupra pacienților. Dacă politica de confidențialitate a Clinicii trebuie să descrie folosirea programelor informatice în astfel de decizii, RADAR furnizează informațiile necesare.
8. Obligațiile profesionale. Clinica și echipa ei respectă cerințele Dental Board of Australia și AHPRA privind confidențialitatea, consimțământul informat și folosirea inteligenței artificiale. Folosirea Platformei nu le modifică. Platforma nu înlocuiește dosarul clinic, pe care Clinica îl păstrează potrivit legii statului ei.
9. Legea contractului și instanțele. Legea statului sau teritoriului în care este stabilită Clinica; instanțele acelui stat sau teritoriu.

15. Încheierea contractului

Contractul se încheie prin acceptarea electronică în Platformă de către reprezentantul Clinicii (art. 28 alin. 9 GDPR) sau prin semnătura ambelor părți. La acceptarea electronică, RADAR păstrează dovada: denumirea legală, numărul de înregistrare și sediul Clinicii, numele și funcția persoanei care acceptă, contul folosit, data, ora, adresa IP și versiunea contractului. Clinica primește pe email o confirmare a acceptării.

Anexa 1. Sub-împuterniciții

Plățile abonamentului (Stripe) nu conțin date ale pacienților. Pentru ele, RADAR este operator, nu persoană împuternicită.

Anexa 2. Măsurile tehnice și organizatorice

• Comunicații criptate (HTTPS/TLS) între browser, server și furnizori.
• Stocare criptată a bazei de date și a fișierelor, oferită de furnizorul de găzduire.
• Separarea datelor între clinici prin reguli de acces la nivel de bază de date.
• Conturi individuale pentru fiecare membru al echipei, cu roluri (administrator, medic, consilier). Doar administratorul vede performanța și poate șterge date.
• Linkuri individuale pentru chestionar, care expiră după 14 zile și pot fi anulate de Clinică.
• Fișierele audio stocate în spațiu privat, accesibile doar prin adrese temporare, șterse automat după transcriere.
• Jurnalul acordurilor: acordul pacientului cu data, ora și versiunea textului; analiza este blocată fără acord și după retragerea lui.
• Instrucțiunile date sistemului de inteligență artificială cer omiterea din rapoarte a numărului de telefon, a adresei, a emailului și a codului numeric personal.
• Jurnale tehnice fără conținutul consultațiilor.
• Acces restrâns al personalului RADAR, doar pentru asistență și remedieri.

Anexa 3. Detaliile prelucrării