Acordul de prelucrare a datelor (DPA)
Între cabinetul medical care folosește SimpluMed (operatorul) și furnizorul platformei (persoana împuternicită), în sensul art. 28 din Regulamentul (UE) 2016/679. Face parte din termenii și condițiile acceptate la crearea contului.
1. Obiectul, durata, natura și scopul
Împuternicitul găzduiește și prelucrează datele pe care operatorul le introduce în platformă, cu singurul scop de a-i furniza serviciul: dosarul electronic al pacienților, consultațiile, rețetele, documentele, programările, portalul pacientului, exporturile. Prelucrarea durează cât contractul și, după el, cât e nevoie pentru predarea și ștergerea datelor (punctul 9).
2. Datele și persoanele vizate
- Pacienții operatorului: date de identificare (nume, CNP, data nașterii), de contact, date despre sănătate (categorie specială, art. 9: consultații, diagnostice, tratamente, analize, fișiere medicale), date despre reprezentantul legal, programări, jurnalul accesărilor.
- Personalul operatorului: nume, email, rol, codul de parafă, semnătura încărcată, autentificările. Pentru acestea, SimpluMed e și operator în nume propriu, după politica de confidențialitate.
3. Instrucțiunile operatorului
Împuternicitul prelucrează datele numai după instrucțiunile documentate ale operatorului — acest acord, termenii și ce face operatorul în platformă — și îl anunță dacă o instrucțiune i se pare contrară legii. Nu folosește datele pacienților în scopuri proprii, nu le vinde și nu le transmite altcuiva decât subîmputerniciților de la punctul 6.
4. Confidențialitatea și accesul personalului
Persoanele împuternicitului cu acces la date sunt obligate la confidențialitate. Contul de administrator al platformei are acces tehnic la toate datele, inclusiv la cele medicale, și e folosit numai pentru suportul cerut de operator, investigarea unei erori sau a unui incident și obligații legale. Fiecare deschidere a datelor unui pacient rămâne în jurnalul lui, vizibil operatorului și pacientului. Conturile de administrator sunt cât mai puține, iar lista lor se verifică anual.
5. Măsurile de securitate (art. 32)
- conexiune criptată (HTTPS) între browser și server;
- CNP-ul, telefonul, emailul, adresa, telefonul de urgență și actul reprezentantului legal criptate în baza de date cu AES-256-GCM, cu o cheie ținută separat de date și de copiile de siguranță; căutarea după CNP și telefon se face prin amprente, nu pe text clar;
- parolele păstrate ireversibil; cod pe email la prima intrare de pe un dispozitiv nou; limite la încercările repetate; închiderea sesiunilor la schimbarea parolei;
- drepturi pe roluri (medic, manager, recepție — recepția nu vede conținutul clinic) și fișe private, pe care le vede doar medicul care le-a creat;
- jurnalul fiecărei accesări și modificări a datelor unui pacient, păstrat 2 ani;
- versiunile consultațiilor: o corectură nu șterge ce era scris înainte;
- copii de siguranță ale bazei și ale fișierelor, fără cheia de criptare în ele;
- o procedură scrisă pentru incidente și o unealtă de schimbare a cheii de criptare (rotație), încercată pe o copie a bazei.
6. Subîmputerniciții
Lista subîmputerniciților (găzduirea, furnizorul de email) se comunică la încheierea contractului și oricând, la cerere, la contact@simplumed.ro.
Operatorul își dă prin acest acord autorizarea generală pentru subîmputerniciți. Un subîmputernicit nou sau înlocuit se anunță cu cel puțin 30 de zile înainte; operatorul se poate opune și, dacă nu se găsește o soluție, poate înceta contractul. Fiecare subîmputernicit are, prin contract, aceleași obligații de protecție. Datele nu se transferă în afara Spațiului Economic European fără garanțiile cerute de capitolul V din GDPR și fără anunțarea operatorului.
7. Ajutorul la cererile pacienților și la obligațiile operatorului
Platforma îi dă operatorului uneltele pentru cererile pacienților: exportul datelor unui pacient (acces, portabilitate), corectarea, anonimizarea (ștergere, în limita obligației de arhivare), jurnalul accesărilor. Pentru ce nu se poate face din platformă, împuternicitul ajută la cerere. Ajută, de asemenea, la evaluarea de impact și la consultarea autorității, cu informațiile pe care le are.
8. Încălcarea securității datelor
Împuternicitul anunță operatorul fără întârzieri nejustificate, în cel mult 48 de ore de la constatarea unei încălcări care îi privește datele, cu ce se știe: natura încălcării, categoriile și numărul aproximativ de persoane și de înregistrări, consecințele probabile și măsurile luate. Notificarea autorității (72 de ore) și a pacienților rămâne în sarcina operatorului, cu ajutorul împuternicitului.
9. La încetarea contractului
Operatorul își descarcă datele prin exportul complet al cabinetului (pacienți, consultații, documente, rețete, programări, analize, fișiere). După ce operatorul confirmă în scris că le-a preluat, împuternicitul le șterge din platformă; din copiile de siguranță dispar odată cu expirarea acestora, în cel mult 30 de zile. Păstrarea documentelor medicale pe termenul cerut de lege, după export, e obligația operatorului.
10. Informații și audit
Împuternicitul pune la dispoziția operatorului informațiile necesare pentru a demonstra respectarea art. 28 și permite audituri, inclusiv inspecții, făcute de operator sau de un auditor mandatat de el, cu un preaviz rezonabil (de regulă 30 de zile), în timpul programului de lucru și fără acces la datele altor clienți.
Contact
Pentru orice privește acest acord: contact@simplumed.ro.