← Înapoi Politica de Confidențialitate — Yapp Med
Ultima actualizare: Iunie 2026
Yapp Med prelucrează
date privind sănătatea — o categorie specială de date conform Art. 9 GDPR. Această notă explică rolurile, temeiurile legale și garanțiile specifice aplicației clinice. Pentru pagina de prezentare yapp.ro și platforma de programări Yapp Book se aplică
Politica de Confidențialitate generală.
1. Roluri: cine este operator, cine este împuternicit
- Clinica / cabinetul medical (clientul Yapp) este operatorul datelor pacienților — decide de ce și cum sunt prelucrate datele medicale.
- 8BITS INNOVATION SRL (CUI RO46310158, Dumbrăvița, Jud. Timiș) este persoana împuternicită — operează Yapp Med în numele și pe instrucțiunile clinicii.
Yapp Med este un serviciu exclusiv B2B: clienții noștri sunt clinicile, nu pacienții. Înainte de introducerea datelor reale de pacienți, între clinică și 8BITS INNOVATION SRL se încheie un Acord de Prelucrare a Datelor (DPA) care include lista sub-împuterniciților de mai jos.
2. Ce date sunt prelucrate
- Identitatea pacientului: nume, telefon (cheie de corelare cu programările); opțional: data nașterii, CNP, email, sex, profesie, adresă.
- Date clinice: anamneză, alergii, status per dinte (odontogramă FDI), vizite, diagnostice, tratamente și prețuri, planuri de tratament, medicație.
- Documente: radiografii, fotografii, consimțăminte, rapoarte.
Minimizare: dincolo de nume și telefon, toate câmpurile de identitate sunt opționale. Datele sunt introduse exclusiv de personalul clinicii.
3. Temeiul legal
- Art. 6(1)(b) GDPR (contract) — pentru datele de cont și de tenant ale clinicii.
- Art. 9(2)(h) GDPR — pentru datele clinice: prelucrarea este necesară pentru stabilirea unui diagnostic medical și pentru furnizarea de asistență medicală, sub responsabilitatea unor profesioniști supuși obligației de secret profesional (medicii clinicii).
Consimțământul pacientului nu este temeiul pentru fișa medicală în sine — retragerea unui consimțământ nu determină ștergerea dosarului clinic (vezi secțiunea 5).
4. Sub-împuterniciți și localizarea datelor
| Furnizor | Rol | Localizare |
|---|
| Amazon Web Services (AWS) | Găzduire aplicație, bază de date și stocare documente (S3, criptate) | UE — eu-central-1 (Frankfurt) |
| Furnizor SMTP (Apple iCloud) | Releu email pentru rezumatele clinice — doar la acțiunea explicită a clinicii | Conform politicii furnizorului |
Datele clinice sunt stocate exclusiv în Uniunea Europeană. Nu există partajare cu terți în scop de marketing, nu se face profilare și datele medicale nu sunt folosite pentru antrenarea vreunui model AI.
5. Retenție și ștergere
Dreptul la ștergere (Art. 17 GDPR) este limitat de excepția prevăzută la Art. 17(3)(c) (motive de sănătate) și de obligațiile românești de arhivare a documentelor medicale (Legea 95/2006 și ordinele Ministerului Sănătății):
- Fișele clinice (vizite, tratamente, istoric odontogramă, radiografii, prescripții) sunt păstrate pe durata legal obligatorie, chiar dacă pacientul solicită ștergerea.
- Datele de contact de conveniență (ex. emailul folosit doar pentru rezumate) pot fi șterse la cerere.
- Cererile de ștergere se adresează clinicii (operatorul); 8Bits le execută doar pe instrucțiunea documentată a clinicii.
- La încetarea contractului cu o clinică, datele acesteia sunt exportate și predate clinicii, apoi șterse la instrucțiunea ei — obligațiile de arhivare se transferă clinicii, care rămâne operator.
6. Măsuri de securitate
- Izolare per clinică: fiecare interogare este restricționată la clinica autenticată; o clinică nu poate accesa datele alteia.
- Acces per medic: medicii văd doar pacienții pe care îi tratează; ștergerile sunt rezervate rolurilor Owner/Manager.
- Jurnal de audit permanent: orice modificare a unei fișe medicale este înregistrată istoric, cu autor și moment — inclusiv ștergerile.
- Protecție la nivel de bază de date: aplicația clinică are drepturi doar de citire asupra datelor platformei de programări, impuse la nivelul bazei de date.
- Documente criptate: radiografiile și documentele sunt stocate în S3 cu criptare implicită, acces blocat public, căi generate de server (numele fișierelor clientului nu ating sistemul de stocare).
- Transport securizat: TLS pe toate conexiunile, redirect automat HTTP→HTTPS.
- Sesiuni securizate: autentificare unică (SSO) cu token-uri de unică folosință valabile 60 de secunde, niciodată jurnalizate pe server.
- Backup: baze de date cu backup automat; versionare pentru documentele stocate.
7. Drepturile pacienților
Pacienții își exercită drepturile GDPR (acces, rectificare, ștergere — în limitele secțiunii 5, restricționare, portabilitate) direct la clinica la care sunt tratați, în calitate de operator. 8BITS INNOVATION SRL asistă clinica în soluționarea cererilor, conform DPA:
- Acces / portabilitate: export per pacient — date generale, odontogramă, tratamente și documente.
- Rectificare: fluxuri standard de editare, cu istoricul păstrat în jurnalul de audit.
- Ștergere: datele clinice se refuză motivat (temei legal de arhivare); datele de conveniență se șterg.
8. Notificarea încălcărilor de securitate
În cazul unei încălcări a securității datelor, 8BITS INNOVATION SRL notifică clinica afectată fără întârzieri nejustificate, astfel încât clinica să își poată îndeplini obligația de notificare a ANSPDCP în termen de 72 de ore și, după caz, a pacienților.
9. Autoritatea de supraveghere
Plângerile pot fi depuse la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP):
Site: www.dataprotection.ro
10. Contact
Pentru întrebări despre această notă sau despre DPA, scrie-ne la contact@yapp.ro.