Acord de Prelucrare a Datelor — Yapp Med

1. Definiții

• „Operator" — clinica sau cabinetul medical, client Yapp, care folosește Yapp Med pentru evidența clinică a propriilor pacienți și care decide scopurile și mijloacele prelucrării.
• „Împuternicit" — 8BITS INNOVATION SRL, ca furnizor al aplicației Yapp Med.
• „Sub-împuternicit" — un furnizor angajat de Împuternicit care prelucrează date cu caracter personal în numele Operatorului.
• „Date privind sănătatea" — date din categoria specială prevăzută la art. 9 GDPR.
• „GDPR" — Regulamentul (UE) 2016/679; „Legea 190/2018" — legea română de punere în aplicare a GDPR.

2. Obiectul, natura, scopul și durata prelucrării

Împuternicitul operează Yapp Med în numele Operatorului exclusiv pentru ținerea evidenței clinice a pacienților Operatorului: fișa pacientului, consultații, odontogramă și parodontogramă, diagnostice, tratamente, planuri de tratament, medicație, documente, scrisori medicale, export și transmiterea rezumatelor clinice la cererea Operatorului. Natura prelucrării: colectare, stocare, organizare, consultare, afișare, export, transmitere la acțiunea Operatorului, ștergere. Nu există prelucrare în scop de marketing, profilare, partajare cu terți sau antrenarea vreunui model AI. Durata: pe toată durata utilizării Yapp Med, plus perioada prevăzută la secțiunea 11. Detaliile sunt în Anexa I.

Categorii speciale de date. Spre deosebire de platforma de programări Yapp, Yapp Med este destinată prelucrării datelor privind sănătatea (art. 9 GDPR). Operatorul prelucrează aceste date în temeiul art. 9 alin. (2) lit. (h) GDPR, sub responsabilitatea unor profesioniști supuși secretului profesional, și răspunde de existența acestui temei.

3. Instrucțiunile Operatorului

Împuternicitul prelucrează datele numai pe baza instrucțiunilor documentate ale Operatorului, inclusiv în ceea ce privește transferurile în afara SEE, cu excepția cazului în care prelucrarea este impusă de dreptul Uniunii sau al României; în acest caz informează Operatorul înainte de prelucrare, dacă legea nu interzice acest lucru. Utilizarea funcțiilor Yapp Med de către Operator (introducerea și modificarea datelor, exportul, trimiterea unui rezumat pe email, ștergerea) constituie instrucțiuni documentate. Împuternicitul informează imediat Operatorul dacă, în opinia sa, o instrucțiune încalcă GDPR sau alte dispoziții privind protecția datelor.

4. Obligațiile Operatorului

• Să aibă un temei legal pentru prelucrare și să informeze pacienții (art. 13–14 GDPR), inclusiv despre utilizarea Yapp Med ca împuternicit.
• Să stabilească perioada de arhivare a documentelor medicale potrivit obligațiilor sale legale și propriului nomenclator arhivistic.
• Să acorde acces în Yapp Med doar persoanelor care au nevoie de el și care sunt supuse secretului profesional sau unei obligații de confidențialitate, și să atribuie rolurile (Owner, Manager, Staff) în consecință.
• Să trateze cererile pacienților privind drepturile lor; Împuternicitul asistă conform secțiunii 8.

5. Confidențialitate

Împuternicitul se asigură că persoanele autorizate să aibă acces la datele din Yapp Med s-au angajat să respecte confidențialitatea sau au o obligație legală de confidențialitate și că accesul personalului propriu la infrastructură este limitat la ce este necesar pentru operarea, securitatea și suportul aplicației.

6. Securitatea prelucrării

Împuternicitul implementează măsurile tehnice și organizatorice descrise în Anexa II (art. 32 GDPR) și le poate actualiza, cu condiția ca nivelul general de securitate să nu scadă.

7. Sub-împuterniciți

Operatorul acordă o autorizare generală pentru sub-împuterniciții din Anexa III. Împuternicitul notifică Operatorul prin email sau în platformă cu minimum 30 de zile înainte de adăugarea sau înlocuirea unui sub-împuternicit. Operatorul poate ridica obiecții motivate în acest interval; dacă părțile nu găsesc o soluție, Operatorul poate înceta utilizarea Yapp Med înainte de intrarea în vigoare a schimbării.

Împuternicitul impune fiecărui sub-împuternicit, printr-un contract scris, obligații de protecție a datelor echivalente celor din prezentul APD Med și rămâne pe deplin răspunzător față de Operator pentru îndeplinirea obligațiilor acestora. Transferurile în afara SEE au loc numai către sub-împuterniciții din Anexa III și numai în baza unei decizii de adecvare (inclusiv EU-U.S. Data Privacy Framework) sau a Clauzelor Contractuale Standard.

8. Asistență

• Drepturile pacienților: Yapp Med pune la dispoziția Operatorului funcții pentru acces și portabilitate (export complet al fișei — arhivă ZIP cu date structurate, rezumat tipăribil și documente — și rezumat FHIR R4), rectificare (cu istoricul modificărilor păstrat) și ștergere în limitele secțiunii 10. Pentru ce nu se poate face din aplicație, Împuternicitul asistă în cel mult 5 zile lucrătoare de la solicitare. Dacă un pacient se adresează direct Împuternicitului, cererea este transmisă Operatorului fără întârziere, fără răspuns pe fond.
• Evaluarea impactului și consultarea prealabilă: Împuternicitul pune la dispoziție descrierea prelucrării, a măsurilor de securitate și a riscurilor cunoscute, pentru evaluarea de impact (art. 35 GDPR) și, dacă este cazul, consultarea ANSPDCP (art. 36 GDPR).
• Jurnalul de accesări: la cererea Operatorului sau a pacientului prin Operator, Yapp Med arată cine a consultat sau modificat o fișă și când.

9. Notificarea încălcărilor de securitate

Împuternicitul notifică Operatorul fără întârziere nejustificată și în cel mult 24 de ore de la constatarea unei încălcări a securității datelor cu caracter personal care afectează datele Operatorului, pentru ca acesta să își poată îndeplini obligația de notificare a ANSPDCP în 72 de ore și, după caz, a pacienților. Notificarea cuprinde, în măsura în care sunt disponibile: natura încălcării, categoriile și numărul aproximativ de persoane și înregistrări afectate, consecințele probabile, măsurile luate sau propuse și o persoană de contact. Informațiile care nu sunt disponibile inițial se transmit pe măsură ce devin disponibile.

10. Păstrarea și ștergerea datelor

• Operatorul stabilește perioada de arhivare a documentelor medicale, conform obligațiilor sale legale.
• Ștergerea unui pacient din Yapp Med îl ascunde din evidența curentă, fără a distruge fișa; Owner-ul îl poate restaura.
• Distrugerea definitivă a unei fișe de pacient (inclusiv istoricul modificărilor și documentele) este blocată de aplicație până la împlinirea a 10 ani de la ultima consultație a pacientului; după acest termen o poate efectua Owner-ul Operatorului.
• Cât timp există fișe în această perioadă, aplicația refuză și ștergerea contului Operatorului și a membrilor personalului care apar în fișe sau în jurnalul de accesări; aceștia pot fi dezactivați.
• Documentele încărcate individual (de exemplu radiografii primite de la terți) pot fi șterse de Operator; ștergerea rămâne consemnată în istoricul modificărilor.

11. Încetarea

APD Med rămâne în vigoare cât timp Operatorul folosește Yapp Med și, după aceea, cât timp Împuternicitul mai deține date ale Operatorului. La încetare, Operatorul își poate exporta datele din aplicație (export complet per pacient — arhivă ZIP și rezumat FHIR R4); la cerere, Împuternicitul asistă exportul. Ștergerea datelor rămase se face la instrucțiunea scrisă a Operatorului, după ce acesta a primit datele, ținând seama de obligațiile legale de arhivare ale Operatorului, care rămân în sarcina acestuia. Pașii concreți (calendarul exportului, predarea și confirmarea ștergerii) se stabilesc de comun acord, de la caz la caz. Copiile din backup-uri sunt eliminate odată cu ciclul de retenție al acestora.

12. Audit

Împuternicitul pune la dispoziția Operatorului informațiile necesare pentru a demonstra respectarea art. 28 GDPR (în primul rând documentația de securitate și răspunsuri scrise la chestionare). Dacă acestea nu sunt suficiente, Operatorul sau un auditor independent supus confidențialității poate efectua un audit, cu preaviz de minimum 14 zile, cel mult o dată pe an calendaristic (sau oricând după o încălcare a securității care îl afectează), în timpul programului de lucru și fără acces la datele altor clienți. Costurile sunt suportate de Operator, cu excepția cazului în care se constată o neconformitate a Împuternicitului.

13. Răspundere și legea aplicabilă

Răspunderea părților este cea prevăzută de art. 82 GDPR și, în rest, de Termenii și Condițiile Yapp. Prezentul APD Med este guvernat de legea română, de GDPR și de Legea 190/2018. Litigiile se soluționează conform Termenilor și Condițiilor Yapp.

Anexa I — Descrierea prelucrării

Persoane vizate

• Pacienții Operatorului, inclusiv minori
• Personalul Operatorului care folosește Yapp Med (medici, asistenți, recepție, administratori)

Categorii de date

• Identitatea pacientului: nume, telefon; după caz: data nașterii, CNP, email, sex, profesie, adresă
• Date privind sănătatea: anamneză, alergii, consultații și motivul prezentării, diagnostice (inclusiv coduri ICD-10), statusul fiecărui dinte (odontogramă), parodontogramă, tratamente efectuate și prețuri, planuri de tratament, medicație, semne vitale, vaccinări, lucrări de laborator, constatări pe schema corporală, scrisori medicale
• Documente: radiografii, fotografii, scanări, consimțăminte semnate, rapoarte și alte fișiere încărcate de Operator
• Evidențe GDPR: starea formularului de informare/consimțământ al pacientului și data semnării
• Date ale personalului: nume, email, rol, autorul fiecărei înregistrări și jurnalul de accesări (cine, ce fișă, când)

Operațiuni și locație

Stocare, organizare, afișare, export și ștergere în aplicația Yapp Med; transmiterea pe email a unui rezumat clinic doar la acțiunea explicită a Operatorului. Datele sunt stocate în Uniunea Europeană (AWS, regiunea eu-central-1, Frankfurt).

Anexa II — Măsuri tehnice și organizatorice

• Izolare per clinică: fiecare interogare este restricționată la clinica autentificată; o clinică nu poate accesa datele alteia.
• Control al accesului pe roluri: utilizatorii cu rol Staff văd doar pacienții la care sunt asociați; exportul, jurnalul de audit și ștergerile sunt rezervate rolurilor Owner/Manager, iar distrugerea definitivă doar Owner-ului.
• Autentificare: autentificare unică prin contul Yapp, cu parolă și cod unic trimis pe email; transferul de sesiune către Yapp Med folosește coduri de unică folosință valabile 60 de secunde; deconectare automată după 30 de minute de inactivitate.
• Jurnal de accesări: fiecare afișare a datelor clinice ale unui pacient (fișă, consultație, secțiuni, documente, exporturi, emailuri) este înregistrată cu utilizatorul și momentul; vizualizările repetate ale aceluiași conținut în 10 minute sunt consemnate o singură dată.
• Istoric al modificărilor: fiecare creare, modificare și ștergere a datelor clinice este păstrată istoric, cu autorul și momentul.
• Integritatea fișei: o consultație semnată nu mai poate fi modificată; corecturile se fac prin completări adăugate ulterior, iar datele introduse în acea consultație se blochează (rămân actualizabile doar starea și datele de evoluție — de exemplu rezolvarea unei probleme sau oprirea unui medicament).
• Documente: fișiere de cel mult 25 MB, acceptate doar dacă conținutul lor este de tip PDF, imagine, DICOM sau scanare 3D (verificat după conținut, nu după nume); servite izolat, fără a putea rula cod în aplicație; stocate în Amazon S3 cu acces public blocat, criptare implicită și căi generate de server.
• Criptare: TLS pentru toate conexiunile dinspre utilizator, cu redirecționare automată HTTP→HTTPS; baza de date criptată la repaus.
• Rețea: baza de date nu este accesibilă din internet, ci doar din rețeaua privată a aplicației.
• Backup: backup automat al bazei de date (Amazon RDS), stocat criptat.
• Protecție a aplicației web: politici stricte de securitate a conținutului (CSP, HSTS), limitarea numărului de cereri pe punctele de acces publice, date medicale niciodată în adresele URL sau în jurnalele serverului web.
• Fără AI pe date medicale: datele din Yapp Med nu sunt transmise niciunui furnizor de inteligență artificială.
• Retenție: blocarea distrugerii definitive conform secțiunii 10.

Anexa III — Sub-împuterniciți

Contact

Pentru orice aspect legat de prezentul APD Med: contact@yapp.ro. Informarea despre prelucrare pentru Yapp Med: Politica de Confidențialitate Yapp Med.