Acord de prelucrare a datelor (DPA) — Neocliniq

1. Părțile, natura acordului și încheierea lui

1.1. Prezentul acord de prelucrare a datelor (denumit în continuare „DPA”) se încheie între:

• Microsec International SRL, cu sediul social în Str. Lungă, Nr. 53, Sibiu, jud. Sibiu, România, înregistrată la Registrul Comerțului sub nr. J32/937/2022, CUI 46116608 (TVA: RO46116608), e-mail: contact@neocliniq.com — operatorul platformei Neocliniq, denumită în continuare „Neocliniq” sau „Persoana împuternicită”; și
• Clientul — entitatea (de regulă, un laborator de tehnică dentară) care a acceptat Termenii și condițiile Platformei (denumiți în continuare „Termenii”), denumită în continuare și „Operatorul”.

1.2. DPA face parte integrantă din Termeni (a se vedea art. 7.4 și 15.4 din Termeni) și se încheie automat, fără semnătură separată, odată cu acceptarea Termenilor — prin crearea contului, prin bifarea opțiunii de acceptare la înregistrare sau prin utilizarea efectivă a Serviciului. Termenii scriși cu majusculă și nedefiniți aici au înțelesul din Termeni.

1.3. DPA reglementează prelucrarea de către Neocliniq, în calitate de persoană împuternicită în sensul art. 28 din Regulamentul (UE) 2016/679 („GDPR”), a datelor cu caracter personal pe care Clientul, în calitate de operator, le introduce în Spațiul său de lucru („Datele prelucrate”, parte a Datelor Clientului). Pentru datele pe care Neocliniq le prelucrează în calitate de operator propriu (date de cont, de facturare, tehnice), se aplică Politica de confidențialitate, nu prezentul DPA.

1.4. În caz de neconcordanță între DPA și Termeni cu privire la protecția datelor cu caracter personal, prevalează DPA.

2. Descrierea prelucrării

2.1. Obiectul și natura prelucrării: găzduirea, stocarea, structurarea, afișarea, transmiterea, copierea de siguranță (backup) și ștergerea Datelor prelucrate, precum și operațiunile tehnice conexe necesare furnizării Serviciului, inclusiv suport tehnic la cererea Clientului.

2.2. Scopul prelucrării: exclusiv furnizarea Serviciului către Client, conform Termenilor. Neocliniq nu prelucrează Datele prelucrate în scopuri proprii.

2.3. Durata prelucrării: pe durata contractului (Abonament sau Perioadă de probă), plus perioada de grație de 90 de zile prevăzută la art. 8.4 din Termeni, până la ștergerea sau returnarea datelor conform art. 10 de mai jos.

2.4. Categoriile de persoane vizate și categoriile de date sunt descrise în Anexa A. Acestea pot include date privind sănătatea (art. 9 GDPR) în măsura în care Clientul alege să introducă astfel de date (de exemplu, detalii clinice ale unei lucrări dentare); Clientul este singurul care stabilește ce date introduce.

3. Obligațiile Clientului (Operatorului)

3.1. Clientul garantează că deține temeiurile legale necesare pentru prelucrarea Datelor prelucrate și pentru transmiterea lor către Neocliniq, inclusiv, unde este cazul, informarea adecvată a persoanelor vizate (art. 13–14 GDPR) și, dacă este necesar, consimțământul acestora.

3.2. Clientul se asigură că introduce în Platformă numai datele necesare scopurilor sale (principiul reducerii la minimum a datelor) și că instrucțiunile sale de prelucrare respectă legislația aplicabilă.

3.3. Clientul își îndeplinește propriile obligații de operator: registrul activităților de prelucrare, evaluări de impact atunci când sunt necesare, răspunsul către persoanele vizate și notificarea încălcărilor către autoritate și persoanele vizate, cu asistența Neocliniq conform art. 7 și 9 de mai jos.

4. Instrucțiunile de prelucrare

4.1. Neocliniq prelucrează Datele prelucrate numai pe baza instrucțiunilor documentate ale Clientului. Instrucțiunile sunt materializate în: (a) prezentul DPA și Termenii; (b) configurarea și utilizarea funcționalităților Platformei de către Client și Utilizatorii săi; (c) solicitările punctuale transmise în scris (inclusiv prin e-mail) în cadrul suportului tehnic.

4.2. Prin excepție, Neocliniq poate prelucra Datele prelucrate fără instrucțiunile Clientului atunci când obligația rezultă din dreptul Uniunii sau din dreptul român; în acest caz, Neocliniq informează Clientul înainte de prelucrare, cu excepția cazului în care legea interzice această informare din motive importante de interes public.

4.3. Neocliniq informează imediat Clientul dacă, în opinia sa, o instrucțiune încalcă GDPR sau alte dispoziții privind protecția datelor, fără ca aceasta să constituie consultanță juridică.

5. Confidențialitate

Persoanele autorizate de Neocliniq să prelucreze Datele prelucrate s-au angajat să respecte confidențialitatea sau au o obligație statutară adecvată de confidențialitate, iar accesul lor este limitat la ceea ce este necesar pentru furnizarea Serviciului (principiul necesității de a cunoaște).

6. Securitatea prelucrării

6.1. Luând în considerare stadiul actual al tehnologiei, costurile implementării și natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și riscurile pentru drepturile și libertățile persoanelor fizice, Neocliniq implementează măsurile tehnice și organizatorice adecvate prevăzute la art. 32 GDPR, descrise în Anexa C.

6.2. Neocliniq poate actualiza măsurile de securitate, cu condiția ca nivelul general de protecție să nu fie diminuat pe durata contractului.

7. Asistență pentru Operator

7.1. Drepturile persoanelor vizate. Ținând seama de natura prelucrării, Neocliniq asistă Clientul, prin măsuri tehnice și organizatorice adecvate (în primul rând prin funcționalitățile Platformei — acces, rectificare, export, ștergere), în îndeplinirea obligației de a răspunde cererilor persoanelor vizate (art. 12–23 GDPR). Dacă o persoană vizată se adresează direct Neocliniq în legătură cu date pentru care Clientul este operator, Neocliniq redirecționează cererea către Client fără întârzieri nejustificate și nu îi răspunde pe fond decât la instrucțiunea Clientului sau dacă legea o impune.

7.2. Obligațiile art. 32–36 GDPR. Neocliniq asistă Clientul, în măsura în care informațiile necesare îi sunt disponibile, în asigurarea respectării obligațiilor privind securitatea prelucrării, notificarea încălcărilor, evaluarea de impact asupra protecției datelor și consultarea prealabilă a autorității de supraveghere.

7.3. Asistența prevăzută în acest articol este inclusă în preț pentru solicitările rezonabile și ocazionale; pentru solicitări repetate, disproporționate sau care necesită dezvoltări specifice, părțile pot conveni un tarif rezonabil, comunicat în prealabil.

8. Sub-împuterniciți

8.1. Clientul acordă Neocliniq o autorizație generală scrisă pentru utilizarea de sub-împuterniciți în furnizarea Serviciului. Lista sub-împuterniciților autorizați la data acestui DPA este prevăzută în Anexa B; lista actualizată este disponibilă oricând la cerere, la contact@neocliniq.com.

8.2. Neocliniq informează Clientul, prin aplicație și/sau prin e-mail, cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui sub-împuternicit care prelucrează Datele prelucrate. Clientul poate formula obiecții, în termen de 15 zile de la informare, din motive rezonabile și documentate legate de protecția datelor. Dacă obiecția nu poate fi soluționată în mod rezonabil (de exemplu, printr-o măsură alternativă), Clientul poate înceta contractul conform Termenilor, cu efect de la data la care noul sub-împuternicit ar începe prelucrarea, fără penalități de încetare (sumele deja achitate rămân supuse art. 6.7 din Termeni).

8.3. Neocliniq impune fiecărui sub-împuternicit, printr-un contract sau alt act juridic, obligații de protecție a datelor cel puțin echivalente celor din prezentul DPA și rămâne pe deplin răspunzătoare față de Client pentru îndeplinirea obligațiilor sub-împuterniciților săi.

9. Notificarea încălcărilor securității datelor

9.1. Neocliniq notifică Clientul fără întârzieri nejustificate după ce a luat cunoștință de o încălcare a securității datelor cu caracter personal care afectează Datele prelucrate.

9.2. Notificarea include, în măsura în care informațiile sunt disponibile: natura încălcării, categoriile și numărul aproximativ de persoane vizate și de înregistrări afectate, consecințele probabile, măsurile luate sau propuse pentru remediere și atenuare, precum și un punct de contact. Informațiile pot fi furnizate în etape, pe măsură ce devin disponibile.

9.3. Obligațiile de notificare către autoritatea de supraveghere (art. 33 GDPR) și către persoanele vizate (art. 34 GDPR) revin Clientului, în calitate de operator; Neocliniq îi acordă asistență rezonabilă în acest scop și nu notifică autoritatea sau persoanele vizate în numele Clientului decât la instrucțiunea acestuia sau dacă legea o impune.

10. Ștergerea sau returnarea datelor la încetare

10.1. Pe durata contractului, Clientul își poate exporta oricând datele esențiale în format structurat (CSV), prin funcționalitățile Platformei (art. 7.3 din Termeni).

10.2. După încetarea contractului, indiferent de motiv, Datele prelucrate sunt păstrate în perioada de grație de 90 de zile prevăzută la art. 8.4 din Termeni, în care Clientul poate solicita exportul lor sau reactivarea Abonamentului. La expirarea perioadei de grație, Neocliniq șterge definitiv Datele prelucrate din sistemele active, iar din copiile de siguranță conform ciclului normal de rotație a acestora.

10.3. Prin excepție, Neocliniq poate păstra datele a căror stocare este impusă de dreptul Uniunii sau de dreptul român, exclusiv pe durata și în scopul prevăzute de lege.

11. Transferuri internaționale

Datele prelucrate sunt găzduite în Uniunea Europeană. În măsura în care un sub-împuternicit efectuează, pentru anumite operațiuni, transferuri către țări terțe, acestea au loc numai cu respectarea capitolului V GDPR: decizii de adecvare (inclusiv Cadrul de confidențialitate a datelor UE–SUA, unde este aplicabil) și/sau clauze contractuale standard (SCC) adoptate de Comisia Europeană, completate, unde este necesar, cu măsuri suplimentare (a se vedea și art. 7 din Politica de confidențialitate).

12. Audituri și demonstrarea conformității

12.1. Neocliniq pune la dispoziția Clientului informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la art. 28 GDPR, inclusiv, la cerere, descrieri ale măsurilor de securitate, certificări sau rapoarte de audit ale furnizorilor de infrastructură.

12.2. Clientul (sau un auditor mandatat de acesta, care nu este concurent al Neocliniq și este ținut de confidențialitate) poate efectua un audit cel mult o dată pe an, cu o notificare prealabilă de 30 de zile, în timpul programului normal de lucru, fără a perturba activitatea Neocliniq și fără acces la datele altor clienți. Fiecare parte își suportă propriile costuri; dacă auditul nu constată încălcări semnificative, costurile rezonabile ale Neocliniq pot fi facturate Clientului. În caz de încălcare constatată sau la cererea unei autorități de supraveghere, limitarea de frecvență nu se aplică.

13. Răspundere

Răspunderea părților în legătură cu prezentul DPA urmează regimul din art. 11 din Termeni, în măsura permisă de lege. Nimic din prezentul DPA nu limitează răspunderea față de persoanele vizate prevăzută de art. 82 GDPR și nici drepturile acestora.

14. Durata, legea aplicabilă și dispoziții finale

14.1. DPA intră în vigoare la acceptarea Termenilor și rămâne în vigoare cât timp Neocliniq prelucrează Date prelucrate pentru Client (inclusiv în perioada de grație).

14.2. DPA este guvernat de legea română; litigiile urmează regimul din art. 14 din Termeni.

14.3. Modificarea DPA urmează regimul de modificare a Termenilor (art. 13 din Termeni). Dacă o clauză este declarată nulă, celelalte rămân în vigoare.

Anexa A — Descrierea prelucrării

• Obiectul prelucrării: Datele Clientului introduse în Spațiul de lucru, în măsura în care conțin date cu caracter personal.
• Natura și scopul: găzduire, stocare, structurare, afișare, transmitere, backup, export și ștergere — pentru furnizarea Serviciului (art. 2).
• Durata: durata contractului + perioada de grație de 90 de zile (art. 2.3 și 10).
• Categorii de persoane vizate:
  • pacienți ai clinicilor/medicilor colaboratori ai Clientului, în măsura asocierii lor cu comenzi/cazuri;
  • medici colaboratori și personalul clinicilor partenere (date de contact profesionale);
  • Utilizatorii Clientului (nume, e-mail, rol, activitate în Platformă);
  • alte persoane ale căror date sunt incluse de Client în documente sau fișiere încărcate.
• Categorii de date:
  • date de identificare și de contact (nume, e-mail, telefon, adrese profesionale);
  • date privind comenzile/cazurile: identificatori ai pacientului asociați unui caz, detalii tehnice ale lucrării, termene, statusuri;
  • date financiare aferente relației Clientului cu clinicile (prețuri, solduri, încasări, devize);
  • fișiere atașate cazurilor (de exemplu, scanări, fotografii, fișiere STL), care pot conține date privind sănătatea (art. 9 GDPR), în măsura în care Clientul alege să le încarce.

Anexa B — Sub-împuterniciți autorizați

Anexa C — Măsuri tehnice și organizatorice (art. 32 GDPR)

• criptarea datelor în tranzit (TLS/HTTPS) și criptarea la stocare oferită de infrastructura cloud;
• autentificare printr-un furnizor specializat (Auth0), fără stocarea parolelor în clar; suport pentru mecanisme moderne de autentificare;
• separarea logică a datelor fiecărui Spațiu de lucru (arhitectură multi-tenant cu izolare la nivel de tenant);
• control al accesului bazat pe roluri, atât în aplicație, cât și intern, pe principiul necesității de a cunoaște;
• jurnalizare, monitorizare și copii de siguranță periodice, cu cicluri de rotație definite;
• găzduire în centre de date certificate (Microsoft Azure, UE), cu măsuri fizice și organizatorice de nivel industrial;
• evaluarea furnizorilor și încheierea de acorduri de prelucrare cu fiecare sub-împuternicit;
• proceduri interne de gestionare a incidentelor de securitate și de notificare a încălcărilor (art. 9).

Contact

Microsec International SRL
Str. Lungă, Nr. 53, Sibiu, jud. Sibiu, România
CUI: 46116608 (TVA: RO46116608) | Registrul Comerțului: J32/937/2022
E-mail: contact@neocliniq.com

Ultima actualizare: august 2026