Acord de prelucrare a datelor (DPA/AVV)

1. Aplicabilitate și rolurile părților

Prezentul acord se aplică tuturor conturilor de terapeut din Echilibru International, găzduite la global.echilibru.app, indiferent de plan, și completează Termenii și Condițiile acceptate la crearea contului.

Terapeutul este operatorul datelor clienților introduse în platformă. SC Arta Monumentală SRL este persoana împuternicită și prelucrează datele numai pe baza instrucțiunilor documentate ale terapeutului și pentru furnizarea serviciului.

2. Obiectul, durata și natura prelucrării

Prelucrarea acoperă administrarea clienților, programărilor, documentelor, acordurilor, notelor private, temelor, chestionarelor, comunicărilor și facturilor din spațiul International.

Datele sunt prelucrate pe durata contului activ și în perioadele de retenție sau arhivare solicitate de operator ori impuse de lege. Operațiunile includ colectarea, stocarea, organizarea, afișarea, transmiterea la instrucțiunea operatorului, backupul, exportul și ștergerea.

Pot fi prelucrate date de identificare și contact, date administrative, date despre programări și documente, precum și date privind sănătatea în sensul Art. 9 GDPR. Persoanele vizate sunt clienții adulți sau minori și, după caz, reprezentanții lor legali.

3. Obligațiile persoanei împuternicite

• prelucrează datele numai pe baza instrucțiunilor documentate și asigură confidențialitatea persoanelor autorizate;
• aplică măsuri tehnice și organizatorice adecvate conform Art. 32 GDPR;
• asistă operatorul pentru drepturile persoanelor vizate, incidente, evaluări de impact și audituri;
• informează operatorul dacă o instrucțiune pare contrară legislației și notifică incidentele fără întârzieri nejustificate;
• șterge sau returnează datele la încetarea serviciului, cu excepția păstrării impuse de lege sau solicitate documentat de operator.

4. Subprocesatori autorizați

Operatorul acordă o autorizare generală pentru furnizorii de mai jos, numai în măsura în care serviciul corespunzător este utilizat. Furnizorul va impune obligații de protecție echivalente și va informa operatorul cu cel puțin 14 zile înainte de adăugarea sau înlocuirea unui subprocesator.

5. Integrări opționale alese de terapeut

Google Calendar și Google Meet. Când terapeutul își conectează contul Google, Echilibru transmite către serviciile Google numele clientului, data și ora, durata, fusul orar, tipul/locul programării și, după caz, linkul conferinței. Echilibru păstrează criptat tokenul OAuth, identificatorul evenimentului și linkul Meet.

Zoom. Când terapeutul își conectează contul Zoom, Echilibru transmite către Zoom numele clientului, data și ora, durata și fusul orar pentru crearea sau actualizarea întâlnirii. Echilibru păstrează criptat tokenul OAuth, identificatorul întâlnirii și linkul de participare.

Aceste integrări sunt dezactivate implicit și sunt activate prin instrucțiunea explicită a terapeutului, în propriul cont al acestuia. Terapeutul trebuie să verifice termenii, setările de protecție a datelor și acordul de prelucrare aplicabil contului său Google sau Zoom. În funcție de contractul acelui cont și de categoria datelor, furnizorul extern poate avea rol de persoană împuternicită ori rol propriu pentru anumite date de serviciu.

Documente oficiale: Google Cloud Data Processing Addendum · Zoom Privacy & Global DPA.

6. Localizarea datelor și transferurile internaționale

Platforma și bazele sale de date sunt găzduite în România, în Uniunea Europeană. Această afirmație privește infrastructura Echilibru, nu infrastructura furnizorilor opționali Google și Zoom.

Pentru furnizorii care pot prelucra date în afara SEE, se folosesc mecanismele prevăzute de Capitolul V GDPR, inclusiv decizii de adecvare și/sau Clauze Contractuale Standard, conform contractului aplicabil. Activarea unei integrări Google sau Zoom constituie instrucțiunea operatorului de a transmite datele necesare către furnizorul ales; operatorul este responsabil să verifice configurația contractuală potrivită practicii sale.

7. Obligațiile terapeutului

• stabilește temeiul juridic și furnizează informările prevăzute de Art. 13–14 GDPR;
• asigură condițiile pentru prelucrarea datelor de sănătate și a datelor minorilor;
• introduce numai date adecvate și necesare și gestionează accesul la cont;
• activează integrări externe numai după evaluarea furnizorului și informarea clienților;
• răspunde cererilor persoanelor vizate, cu asistența Echilibru atunci când este necesar.

8. Măsuri tehnice și organizatorice

• HTTPS/TLS 1.2+ pentru datele în transport;
• găzduire și stocare principală în România/UE, copii de siguranță și control al accesului;
• separarea autentificării și a spațiilor terapeut/client;
• tokenuri OAuth Google și Zoom criptate AES-256-GCM;
• cookie-uri de sesiune HttpOnly, Secure și SameSite și jurnale tehnice de audit;
• notele private ale terapeutului sunt separate de portalul clientului și nu sunt transmise serviciilor video.

9. Incidente, asistență și audit

Furnizorul informează operatorul fără întârzieri nejustificate după ce ia cunoștință de o încălcare a securității datelor și oferă informațiile disponibile pentru obligațiile prevăzute de Art. 33–34 GDPR. Operatorul poate solicita informații de conformitate și audituri rezonabile, cu notificare prealabilă de 30 de zile lucrătoare, fără acces la datele altor operatori.

10. Încetarea serviciului și datele

La încetare, operatorul poate solicita exportul datelor disponibile. Datele sunt apoi șterse sau returnate conform instrucțiunilor documentate, cu excepția informațiilor care trebuie păstrate în baza unei obligații legale sau a unei solicitări de arhivare conforme legii.

11. Modificări și obiecții

Modificările materiale ale acestui DPA și schimbările listei de subprocesatori se comunică înainte de intrarea în vigoare. Operatorul poate formula o obiecție justificată. Dacă nu poate fi oferită o soluție rezonabilă, operatorul poate înceta utilizarea serviciului afectat.

12. Contact

Pentru întrebări privind prezentul DPA sau prelucrarea datelor: contact@echilibru.app · +40 760 676 990. Clienții terapeuților își exercită drepturile în primul rând față de terapeutul lor, în calitate de operator.