Anexa 1 — Acord de prelucrare a datelor pentru medici și cabinete (DPA)

Versiune 28.09.2026 — revizia 2 · În vigoare din 28.09.2026

Această anexă completează Termenii și condițiile DrAtlas (Partea III) și este acceptată de medic sau de reprezentantul cabinetului la crearea profilului de medic. Este încheiată potrivit art. 28 din Regulamentul (UE) 2016/679 („GDPR”).

A1. Părțile și rolurile

Pentru fișa pacientului și operațiunile clinice stabilite de medic/cabinet, acesta este „Operator”, iar ALTANET S.R.L., CUI 15748710, Str. Amilcar Sandulescu 11 Bl. A32 Sc. 1 Ap. 13 Cod 200689 este „Persoană împuternicită”.

ALTANET rămâne operator separat pentru contul propriu al medicului, facturare, verificare, securitatea generală și obligațiile sale legale, potrivit Politicii de confidențialitate.

A2. Obiect, durată, natură și scop

ALTANET găzduiește, organizează, securizează, face disponibile și, la instrucțiunea Operatorului, transmite ori șterge datele necesare programărilor, mesajelor, documentelor și fișelor.

Prelucrarea durează pe durata contractului și perioada limitată de returnare/ștergere din secțiunea 53 a Termenilor (90 de zile după închiderea contului).

A3. Persoane și date

Persoane vizate: pacienți, membri de familie/reprezentanți, personalul Operatorului și persoanele de contact.

Date: identificare, contact, programări, mesaje, documente, date privind sănătatea (categorie specială, art. 9 GDPR), note medicale, jurnale de acces și alte informații introduse legitim de Operator.

A4. Instrucțiuni și confidențialitate

ALTANET prelucrează numai pe baza instrucțiunilor documentate ale Operatorului, inclusiv pentru transferuri, dacă legea nu impune altceva. Folosirea funcțiilor aplicației (de exemplu adăugarea, modificarea, transmiterea sau ștergerea unei fișe) reprezintă instrucțiunile Operatorului. Dacă o instrucțiune pare să încalce GDPR, ALTANET informează Operatorul și poate suspenda executarea până la clarificare.

Persoanele autorizate sunt obligate la confidențialitate și primesc acces numai în măsura necesară.

A5. Securitate

ALTANET aplică măsuri proporționale riscului (art. 32 GDPR), inclusiv control pe roluri, criptare în tranzit (HTTPS), stocare privată a documentelor cu acces prin linkuri temporare, parole sub formă de hash, blocarea temporară a conturilor după parole greșite, jurnalizarea accesului administrativ, copii de siguranță zilnice, gestionarea vulnerabilităților și a incidentelor, continuitate și testare periodică.

Operatorul răspunde pentru configurarea accesului personalului, dispozitivele sale și legalitatea datelor introduse.

A6. Subîmputerniciți

Operatorul autorizează subîmputerniciții următori:

• ALTANET — găzduire, bază de date, fișiere și e-mail, pe infrastructură proprie, în România;
• Twilio Inc. — SMS-uri de confirmare și reminder (SUA);
• Expo (650 Industries, Inc.), Apple Inc. (APNs) și Google LLC (FCM) — notificări push (SUA).

Lista este pusă la dispoziția Operatorului și se actualizează prin notificare la adresa de e-mail asociată contului profesional. ALTANET informează cu cel puțin 30 de zile în avans despre adăugarea ori înlocuirea unui subîmputernicit și oferă o posibilitate rezonabilă de obiecție justificată; dacă nu se găsește o soluție, Operatorul poate înceta contractul fără costuri suplimentare. ALTANET impune subîmputernicitului obligații echivalente și rămâne răspunzătoare față de Operator pentru executarea lor.

A7. Drepturile persoanelor

ALTANET asistă Operatorul, prin măsuri tehnice și organizatorice adecvate, la soluționarea cererilor de acces, rectificare, ștergere, restricționare, portabilitate și opoziție. Cererile primite de ALTANET privind fișele Operatorului îi sunt transmise fără întârziere. ALTANET nu răspunde direct în numele Operatorului fără instrucțiune, cu excepția obligațiilor proprii.

A8. Incidente

ALTANET notifică Operatorul fără întârziere nejustificată, în cel mult 48 de ore după ce ia cunoștință de o încălcare a securității datelor prelucrate în numele său, și furnizează informațiile disponibile pentru evaluare și notificare.

Operatorul decide notificarea autorității și a pacientului pentru prelucrările sale, cu asistența ALTANET.

A9. DPIA și autorități

ALTANET furnizează informațiile rezonabil necesare pentru evaluarea impactului asupra protecției datelor (DPIA) și consultarea prealabilă, ținând cont de natura prelucrării și informațiile disponibile.

A10. Returnare și ștergere

La încetare, ALTANET, la alegerea Operatorului și în limitele legii, returnează datele — lista pacienților, istoricul medical și documentele, în format JSON/CSV plus fișierele originale, la cererea trimisă la hello@medi-max.ro, în cel mult 30 de zile — și le șterge definitiv, automat, după 90 de zile de la închiderea contului. Din copiile de siguranță, datele dispar la suprascrierea acestora (backup zilnic, păstrat cel mult 30 de zile). Excepțiile legale sunt izolate și nu sunt folosite în alte scopuri.

A11. Audit și dovezi

ALTANET pune la dispoziție informațiile necesare demonstrării conformității cu art. 28 GDPR și permite audituri rezonabile, planificate cu un preaviz scris de cel puțin 30 de zile, supuse confidențialității și limitelor de securitate. Operatorul suportă costurile unui audit suplimentar nejustificat, dacă părțile nu convin altfel.

A12. Transferuri

Datele fișelor sunt stocate în România. Orice transfer în afara SEE se realizează numai cu mecanism legal și garanții aplicabile: pentru subîmputerniciții din SUA (Twilio, Expo, Apple, Google), pe baza deciziei de adecvare UE–SUA (EU–US Data Privacy Framework) pentru furnizorii certificați, altfel pe baza clauzelor contractuale standard ale Comisiei Europene. Prin aceștia ies doar datele strict necesare notificărilor (telefon sau token și textul mesajului), nu fișa, documentele sau mesajele.

Contact

ALTANET S.R.L., Str. Amilcar Sandulescu 11 Bl. A32 Sc. 1 Ap. 13 Cod 200689
E-mail: hello@medi-max.ro