Politica de confidențialitate

Prezenta Politică de Confidențialitate descrie modul în care …………… S.R.L. colectează, utilizează, stochează și protejează datele cu caracter personal ale persoanelor care interacționează cu Platforma ePsiholog (mai departe „Platforma”).

Prezenta Politică de Confidențialitate trebuie citită împreună cu Termenii și Condițiile de Utilizare și cu Acordul de Prelucrare a Datelor, documente care formează împreună cadrul contractual și de conformitate GDPR al Platformei ePsiholog.

Limitări importante ale Platformei ePsiholog: Platforma nu este o platformă clinică și nu oferă servicii medicale, psihologice sau de sănătate. Platforma nu permite și nu este destinată stocării sau gestionării documentației clinice detaliate (rapoarte psihologice complete, evaluări psihodiagnostice complexe, note terapeutice detaliate, alte documente clinice detaliate).

Platforma poate găzdui anumite date administrative limitate privind relația profesională dintre Utilizator și clientul final (de exemplu: programări, tipul serviciului sau mențiuni administrative), responsabilitatea pentru legalitatea prelucrării acestor date aparținând exclusiv Utilizatorului.

Orice fișiere sau documente sunt stocate exclusiv în contul personal Google Drive al utilizatorului, printr-o integrare obligatorie, controlată integral de Utilizator. Platforma ePsiholog nu deține control autonom, permanent sau generalizat asupra conținutului acestor fișiere.

Aplicația software ePsiholog este o platformă web de management profesional și administrativ, destinată exclusiv următoarelor categorii de utilizatori:

a) psihologi cu drept de liberă practică, atestați de Colegiul Psihologilor din România în condițiile Legii nr. 213/2004, indiferent de forma de exercitare a profesiei (cabinet individual, cabinete asociate sau societate civilă profesională);

b) psihologi aflați în supervizare, care dețin atestat de liberă practică în regim de exercitare sub supervizare, emis de Colegiul Psihologilor din România;

c) persoane aflate în formare profesională în domeniul psihologiei (studenți și masteranzi înscriși în programe de învățământ superior acreditate), în scop educațional și formativ.

Conținutul Platformei este proprietatea exclusivă a …………… S.R.L. (denumită în continuare „……………”), cu sediul în ……………, înregistrată la Registrul Comerțului sub nr. ……………, CUI ……………, adresă de e-mail: contact@epsih.ro. Punct de contact Responsabil cu protecția datelor (DPO): privacy@epsih.ro

În Uniunea Europeană, datele cu caracter personal ale persoanelor fizice sunt protejate conform prevederilor Regulamentului (UE) nr. 679/2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (denumit în continuare „GDPR” sau „Regulamentul”), aplicabil în România începând cu 25 mai 2018.

În calitate de operator de date cu caracter personal, …………… se asigură că prelucrarea datelor cu caracter personal respectă cu strictețe principiile și normele GDPR, în special principiile de legalitate, echitate și transparență, limitare a scopului, minimizare a datelor, exactitate, limitare a stocării, integritate și confidențialitate, prevăzute la articolul 5 din GDPR.

Prezenta Politică de Confidențialitate are rolul de a vă informa cu privire la:

• prelucrările de date cu caracter personal ale utilizatorilor platformei ePsiholog derulate de …………… în calitate de Operator, în temeiul relației contractuale dintre …………… și aceștia;
• prelucrările de date cu caracter personal ale clienților finali ai utilizatorilor platformei ePsiholog, derulate de …………… în calitate de Persoană Împuternicită de Operator;
• prelucrările de date cu caracter personal ale vizitatorilor Platformei;
• prelucrările de date ale reprezentanților partenerilor comerciali și colaboratorilor ……………, în vederea îndeplinirii obligațiilor legale;
• drepturile persoanelor vizate, ale căror date sunt prelucrate de …………… prin intermediul Platformei, și modalitățile de exercitare a acestora.

Dacă aveți întrebări sau comentarii despre această Politică de Confidențialitate, vă rugăm să ne contactați prin e-mail la adresa contact@epsih.ro

Date cu caracter personal: orice informații privind o persoană fizică identificată sau identificabilă (denumită persoană vizată). O persoană identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare cum ar fi un nume, un număr de identificare, date de localizare, un identificator online sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale.

Prelucrare: orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea.

Operator: persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal. În relația cu Utilizatorii propriei Platforme, …………… are calitatea de operator de date.

Persoană Împuternicită de operator: persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care prelucrează datele cu caracter personal în numele Operatorului. …………… acționează ca Persoană Împuternicită în relația cu Utilizatorii platformei, în ceea ce privește datele clienților finali ai acestora.

Platforma - aplicația software ePsiholog, inclusiv interfața web (……………), modulele, API-urile și toate serviciile conexe.

Servicii - totalitatea funcționalităților puse la dispoziție prin platforma ePsiholog.

Utilizator: psihologul cu drept de liberă practică atestat de Colegiul Psihologilor din România în condițiile Legii nr. 213/2004 (indiferent de forma de exercitare a profesiei: cabinet individual, cabinete asociate sau societate civilă profesională), psihologul aflat în supervizare care deține atestat de liberă practică în regim de exercitare sub supervizare emis de Colegiul Psihologilor din România, precum și studentul/masterandul înscris într-un program de învățământ superior acreditat în domeniul psihologiei, care creează un cont și utilizează serviciile Platformei în scop educațional și formativ.

Utilizatorul care exercită profesia de psiholog cu drept de liberă practică (în oricare dintre formele de exercitare prevăzute de lege) acționează în calitate de Operator de date pentru datele clienților săi, în sensul Art. 4 alin. (7) din Regulamentul (UE) 2016/679.

Client final: persoana fizică beneficiară a serviciilor psihologice profesionale oferite de Utilizatorul cu drept de liberă practică, ale cărei date cu caracter personal — inclusiv, după caz, date de natură administrativă privind relația profesională — sunt prelucrate prin intermediul Platformei de către Utilizator, în calitatea acestuia de operator de date, în sensul art. 4 alin. (7) din GDPR.

Date fiscale ale Utilizatorului: datele cu caracter personal conținute în documentele fiscale emise de Utilizator către clienții săi finali prin modulul de facturare al Platformei (facturi, proforme, stornouri), inclusiv datele de identificare ale clienților finali care apar ca beneficiari în aceste documente. Aceste documente fiscale reprezintă documente proprii ale Utilizatorului, emise în numele și pe seama acestuia în raporturile cu clienții săi finali. Nici ……………, nici sub-procesatorii săi tehnici nu sunt titularii acestor documente și nu au obligații legale proprii de arhivare fiscală în legătură cu acestea.

Vizitator: orice persoană care accesează Platforma fără a crea un cont de utilizator.

Persoană vizată: orice persoană fizică ale cărei date cu caracter personal sunt prelucrate de ……………, în calitate de Operator sau Persoană Împuternicită.

Consimțământ: orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate, prin care aceasta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate.

Încălcarea securității datelor cu caracter personal: încălcarea securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea sau divulgarea neautorizată a datelor cu caracter personal transmise, stocate sau prelucrate într-un alt mod, sau la accesul neautorizat la acestea.

Sub-procesator: orice terț angajat de …………… pentru a desfășura activități specifice de prelucrare în numele Utilizatorului (Operatorului de date), în cadrul relației reglementate prin Acordul de Prelucrare a Datelor.

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal: autoritate națională publică, autonomă și independentă, instituită în temeiul articolului 51 din GDPR, cu sediul în București, Bulevardul General Gheorghe Magheru nr. 28-30, Sector 1, telefon 0318.059.211, adresă de e-mail anspdcp@dataprotection.ro.

În funcție de contextul prelucrării, …………… poate acționa în două calități distincte:

3.1. Operator de date

…………… acționează în calitate de operator de date pentru prelucrarea datelor cu caracter personal ale:

• Utilizatorilor platformei ePsiholog (persoane fizice sau reprezentanți ai Utilizatorilor persoane juridice) care creează un cont și utilizează serviciile Platformei;
• Vizitatorilor Platformei.

În aceste situații, …………… stabilește scopurile și mijloacele prelucrării datelor.

3.2. Persoană Împuternicită (Processor)

În ceea ce privește datele clienților finali introduse în Platformă de către Utilizatori, …………… acționează exclusiv ca Persoană Împuternicită, prelucrând datele numai pe baza instrucțiunilor documentate ale Utilizatorilor (Operatorii de date). Această relație este reglementată în detaliu prin Acordul de Prelucrare a Datelor, care face parte integrantă din contractul de furnizare a serviciilor platformei. …………… nu stabilește scopurile sau mijloacele prelucrării datelor clienților finali ai Utilizatorilor și nu utilizează aceste date în scopuri proprii.

3.3. Regimul specific al datelor fiscale ale Utilizatorului

Documentele fiscale emise de Utilizator către clienții săi finali prin modulul de facturare al Platformei (facturi, proforme, stornouri) sunt documente proprii ale Utilizatorului, generate în numele și pe seama acestuia. …………… intervine exclusiv ca intermediar tehnic pentru transmiterea acestor documente către providerul de facturare electronică pe care Utilizatorul îl conectează la alegere (Oblio, SmartBill sau FGO), folosind propriul cont și propriile credențiale API ale Utilizatorului la acel provider.

Nici ……………, nici providerul de facturare ales de Utilizator nu sunt titularii documentelor fiscale ale Utilizatorului și nu au obligații legale proprii de arhivare fiscală a acestora. Obligația de arhivare fiscală pentru perioada prevăzută de lege revine exclusiv Utilizatorului, conform pct. 7 din prezenta Politică.

Categoriile de date prelucrate depind de contextul interacțiunilor și raporturilor pe care dumneavoastră, în calitate de persoană vizată, le stabiliți cu …………… și cu Platforma.

4.1. Date prelucrate de …………… în cazul Utilizatorilor, în calitate de Operator

• Date de identificare de bază: adresă de e-mail (necesară pentru crearea contului); nume și prenume (după completarea profilului); număr de telefon (pentru securitate sau notificări); județ, localitate, adresă.
• Date profesionale: cod psiholog, titlu profesional, specializări și domenii de expertiză, număr de înregistrare în Colegiul Psihologilor din România, informații biografice profesionale, experiență profesională, educație, limbi vorbite, abordări terapeutice, certificări, acreditări, prețul sesiunilor, program de lucru, disponibilitate.
• Date fiscale și de facturare: informații necesare procesării plăților și evidenței tranzacțiilor, cum ar fi: statusul plăților, istoricul tranzacțiilor, metode de plată utilizate și alte informații asociate procesării plăților.
• Date financiare: date necesare emiterii documentelor fiscale și gestionării relației contractuale, cum ar fi: nume, prenume, adresă, cod de identificare fiscală, precum și alte informații necesare emiterii facturilor sau documentelor justificative.

4.2. Date prelucrate de …………… în cazul Clienților finali ai Utilizatorilor, în calitate de Persoană Împuternicită

Date de identificare: nume, prenume, adresă de email, număr de telefon.

Date de programare și utilizare a serviciilor: dată, oră, durată, locație, status sesiune, link-uri pentru sesiuni online, istoricul programărilor și al serviciilor accesate.

Date fiscale ale Utilizatorului conținute în documentele emise de acesta către clienții finali: nume, prenume/denumire, adresă, cod de identificare fiscală (CIF/CNP după caz), și alte informații necesare emiterii facturilor sau documentelor justificative, transmise prin modulul de facturare exclusiv la instrucțiunile Utilizatorului în calitate de operator de date. Aceste date sunt stocate de …………… (prin Supabase) și transmise, la instrucțiunile Utilizatorului, către providerul de facturare electronică pe care acesta l-a conectat la alegere (Oblio, SmartBill sau FGO), unde sunt prelucrate în temeiul contului propriu al Utilizatorului la acel provider. Datele din sistemele …………… sunt șterse conform procedurii prevăzute la pct. 7.1 din prezenta Politică.

Date de identificare suplimentare (în situații specifice) - cod numeric personal (CNP) sau alte identificatoare similare pot fi prelucrate exclusiv în situațiile în care: colectarea acestora este impusă de legislația aplicabilă; sunt necesare pentru proceduri de decontare sau raportare către autorități sau terți (de exemplu sisteme de asigurări de sănătate, programe publice sau alte mecanisme de finanțare); sunt necesare pentru identificarea beneficiarului serviciilor în contexte reglementate. Colectarea acestor date se realizează exclusiv la inițiativa și sub responsabilitatea Operatorului, în conformitate cu legislația aplicabilă.

Date cu caracter special: Platforma ePsiholog nu este destinată stocării sau gestionării datelor cu caracter special în sensul articolului 9 din GDPR (date privind sănătatea, date biometrice, date genetice etc.). Cu toate acestea, în funcție de modul de utilizare a Platformei, aceasta poate conține în mod incidental mențiuni administrative limitate. Astfel de date sunt introduse exclusiv la inițiativa Utilizatorului, iar responsabilitatea pentru stabilirea temeiului legal al prelucrării, informarea persoanelor vizate și respectarea articolului 9 din GDPR aparține în totalitate Utilizatorului, în calitate de operator de date. Pentru a gestiona corect din punct de vedere GDPR astfel de situații, …………… aplică măsuri tehnice și organizatorice suplimentare, inclusiv criptare sporită și controale de acces restrictive, conform art. 32 GDPR. Utilizatorul (Operatorul de date) este obligat să asigure temeiul legal conform art. 9 alin. 2 GDPR și să informeze …………… cu privire la natura acestor date.

4.3. Date tehnice prelucrate în cazul tuturor vizitatorilor și utilizatorilor Platformei

Date tehnice de utilizare: adresă de protocol Internet; identificatori ai dispozitivului; tip browser și sistem de operare; jurnale de autentificare; marcaje temporale ale activităților; informații privind accesarea funcționalităților platformei. Aceste date sunt prelucrate de …………… în calitate de operator de date independent, în temeiul interesului legitim (articolul 6 alineatul 1 litera f din GDPR), exclusiv în scopul securizării sistemelor proprii, prevenirii accesului neautorizat și îmbunătățirii funcționării Platformei.

4.4. Date privind minorii

Platforma este destinată a fi utilizată exclusiv de persoane cu capacitate juridică deplină de a încheia contracte, respectiv persoanelor cu vârsta de minimum 18 ani sau persoanelor juridice. Dacă identificăm că un Utilizator este minor, contul va fi închis imediat.

În cazul în care Utilizatorii introduc date ale minorilor în calitate de clienți ai serviciilor psihologice, aceștia sunt responsabili pentru respectarea legislației aplicabile, pentru obținerea consimțământului reprezentantului legal și pentru respectarea articolului 8 din GDPR.

Prelucrările de date efectuate de …………… au la bază prevederile:

• Regulamentului (UE) 2016/679 (GDPR) și ale legislației naționale de aplicare a acestuia, în special Legea nr. 190/2018 privind măsurile de punere în aplicare a GDPR;
• Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice;
• Legii nr. 365/2002 republicată, privind comerțul electronic;
• Legii nr. 213/2004 privind exercitarea profesiei de psiholog cu drept de liberă practică, înfiinţarea, organizarea şi funcţionarea Colegiului Psihologilor din România;
• Legii contabilității nr. 82/1991 republicată, cu modificările și completările ulterioare;
• Ordinului Ministrului Finanțelor Publice nr. 2634/2015 privind documentele financiar-contabile;
• Legii nr. 227/2015 privind Codul Fiscal și Legii nr. 207/2015 privind Codul de Procedură Fiscală.

Datele cu caracter personal colectate de …………… prin intermediul Platformei sunt necesare pentru prestarea serviciilor conform obiectului de activitate, pentru îndeplinirea obligațiilor legale sau pentru urmărirea intereselor legitime ale ……………, cu respectarea drepturilor utilizatorilor.

6.1. Executarea contractului - articolul 6 alineatul 1 litera b) din GDPR

Prelucrarea este necesară pentru executarea contractului la distanță încheiat între dumneavoastră și …………… prin acceptarea Termenilor și Condițiilor de Utilizare, în vederea furnizării funcționalităților platformei:

• calendar și programări cu sincronizare între dispozitive;
• gestionarea relației cu clienții (modul de gestionare relații clienți de bază);
• facturare electronică și evidențe financiare, inclusiv integrare cu Sistemul Național de Facturare Electronică;
• registre și evidențe administrative și profesionale;
• notificări și mementouri pentru programări;
• afișarea link-urilor de sesiuni online introduse manual (Google Meet, Zoom sau alt serviciu, la alegerea dumneavoastră);
• director public de terapeuți (opțional).

Temei juridic: articolul 6 alineatul 1 litera b) din GDPR - executarea contractului. Refuzul furnizării datelor necesare poate avea drept consecință imposibilitatea utilizării funcționalităților Platformei.

6.2. Marketing și comunicări comerciale - articolul 6 alineatul 1 litera a) din GDPR (consimțământ)

Prelucrarea datelor în scop de marketing se realizează exclusiv pe baza consimțământului explicit exprimat de dumneavoastră. Aceasta include transmiterea prin e-mail a mesajelor comerciale privind activitățile ……………, informații organizatorice, oferte sau promoții.

Nu folosim, în acest moment, cookie-uri sau tehnologii de tip pixel în scopuri de marketing sau remarketing (vezi Politica de Cookie-uri). Comunicările comerciale prin e-mail se trimit doar cu consimțământul dumneavoastră și pot fi oprite oricând prin:

• accesarea opțiunii de dezabonare din orice comunicare comercială primită;
• modificarea preferințelor din Setări în cadrul platformei;
• transmiterea unei cereri la adresa contact@epsih.ro

Temei juridic: articolul 6 alineatul 1 litera a) din GDPR - consimțământ. Retragerea consimțământului nu afectează legalitatea prelucrărilor anterioare și nu are urmări negative pentru accesul la serviciile de bază ale platformei.

6.3. Îndeplinirea obligațiilor legale - articolul 6 alineatul 1 litera c) din GDPR

…………… prelucrează datele pentru îndeplinirea obligațiilor legale care îi revin în nume propriu, inclusiv obligații fiscale și contabile privind documentele emise de …………… față de Utilizatori (facturi de abonament). Temei juridic: articolul 6 alineatul 1 litera c) din GDPR - obligație legală. Furnizarea datelor este obligatorie; refuzul poate face imposibilă furnizarea serviciilor de facturare.

Precizare importantă privind documentele fiscale ale Utilizatorului: Documentele fiscale emise de Utilizator față de clienții săi finali prin modulul de facturare al Platformei sunt documente proprii ale Utilizatorului. Obligația de arhivare fiscală a acestor documente pentru o perioadă de 5 ani, calculați de la 1 iulie a anului următor exercițiului financiar în care au fost întocmite, conform Legii nr. 82/1991 (modificată prin Legea nr. 36/2023), revine exclusiv Utilizatorului și nu constituie un temei pentru …………… sau sub-procesatorii săi de a păstra aceste date după închiderea contului Utilizatorului. …………… nu invocă art. 6 alin. 1 lit. c) GDPR pentru retenția datelor fiscale ale Utilizatorului după închiderea contului acestuia.

Temei juridic: art. 6 alin. 1 lit. c) GDPR - aplicabil exclusiv obligațiilor legale proprii ale ……………

6.4. Interesul legitim - articolul 6 alineatul 1 litera f) din GDPR

Pe baza interesului legitim, …………… prelucrează date pentru:

• efectuarea de analize și rapoarte privind funcționarea Platformei, realizarea de profiluri de preferințe de utilizare, soluționarea reclamațiilor și îmbunătățirea experienței pe Platformă;
• utilizarea datelor colectate în cadrul folosirii serviciilor Platformei pentru realizarea de analize statistice și elaborarea de rapoarte sau insight-uri privind tendințele pieței serviciilor psihologice. Aceste analize sunt realizate exclusiv pe baza unor date ireversibil anonimizate, care nu mai constituie date cu caracter personal în sensul GDPR, conform art. 4 pct. 1 și considerentului 26. …………… nu utilizează date identificabile ale utilizatorilor sau clienților finali în aceste scopuri. Rezultatele acestor analize pot fi publicate sau utilizate în scopuri de marketing, comunicare publică, cercetare de piață sau dezvoltare a serviciilor Platformei.
• protecția Platformei și a utilizatorilor împotriva atacurilor cibernetice, identificarea și prevenirea fraudelor, monitorizarea riscurilor comerciale;
• verificarea credențialelor profesionale ale utilizatorilor prin Registrul Unic al Colegiului Psihologilor din România, în temeiul dreptului de reutilizare a informațiilor din sectorul public (Legea nr. 179/2022). Prelucrarea se limitează strict la datele profesionale (nume, cod personal, specializare, drept de liberă practică), cu excluderea datelor de contact sau a datelor sensibile;
• păstrarea înregistrărilor tehnice (log-urilor) privind acordarea, modificarea sau retragerea consimțământului de prelucrare a datelor cu caracter personal, exprimate de Utilizator în momentul creării contului sau ulterior în cadrul Platformei. Aceste log-uri sunt păstrate pe durata existenței contului de Utilizator și pentru o perioadă de 3 ani de la ștergerea sau dezactivarea acestuia, în scopul îndeplinirii obligației de demonstrare a conformității cu GDPR (accountability), prevăzută de articolul 5 alineatul 2 din Regulamentul (UE) 2016/679, precum și pentru a putea răspunde unor eventuale cereri, reclamații sau controale din partea autorității de supraveghere (ANSPDCP) sau a instanțelor judecătorești competente. Păstrarea acestor date reprezintă un interes legitim al ……………, proporțional cu drepturile și libertățile persoanelor vizate, termenul de 3 ani fiind corelat cu termenul general de prescripție extinctivă prevăzut de art. 2517 din Codul civil.

Temei juridic: articolul 6 alineatul 1 litera f) din GDPR - interes legitim. Orice persoană poate formula o cerere de opoziție în exercitarea dreptului prevăzut de articolul 21 din GDPR, prin transmiterea unei solicitări scrise la privacy@epsih.ro

…………… prelucrează datele cu caracter personal numai atât timp cât este necesar pentru realizarea scopurilor prevăzute în prezenta Politică de Confidențialitate, cu respectarea obligațiilor legale de păstrare și a termenelor de prescripție aplicabile.

7.1. Procedura de export și ștergere a datelor fiscale ale Utilizatorului la închiderea contului

La solicitarea închiderii contului, …………… pune la dispoziția Utilizatorului exportul complet al tuturor documentelor fiscale emise prin modulul de facturare, în format XML și/sau PDF, fără costuri suplimentare. După confirmarea de către Utilizator a recepționării exportului, …………… șterge definitiv datele fiscale ale Utilizatorului din propriile sisteme (Supabase), în termen de maximum 30 de zile. Datele existente în contul propriu al Utilizatorului la providerul de facturare ales (Oblio, SmartBill sau FGO) nu sunt afectate de această procedură și rămân sub controlul exclusiv al Utilizatorului, conform contractului său cu acel provider.

Utilizatorul are obligația legală proprie de a arhiva aceste documente pentru o perioadă de 5 ani, calculați de la 1 iulie a anului următor exercițiului financiar în care au fost întocmite, conform Legii nr. 82/1991 (modificată prin Legea nr. 36/2023). Această obligație se execută pe infrastructura proprie a Utilizatorului sau a unui arhivator electronic autorizat ales de acesta, independent de orice raport cu ……………

…………… nu răspunde pentru consecințele nearhivării documentelor fiscale proprii ale Utilizatorului după închiderea contului, în condițiile în care a respectat procedura de notificare și export prevăzută la secțiunea 7.3 din Termenii și Condițiile Platformei.

7.2. Limitarea dreptului la ștergere pentru datele fiscale proprii ale ……………

Prin excepție de la regula generală privind datele fiscale ale Utilizatorului descrisă mai sus, dreptul la ștergere prevăzut de art. 17 GDPR nu se aplică documentelor fiscale proprii ale …………… (facturile emise de …………… față de Utilizatori pentru abonamente), în temeiul art. 17 alin. 3 lit. b) GDPR, întrucât păstrarea acestora este necesară pentru îndeplinirea obligației legale de arhivare fiscală care îi revine …………… în calitate de emitent, pentru perioada de 5 ani prevăzută de lege.

La expirarea perioadei de retenție, datele cu caracter personal vor fi șterse definitiv sau anonimizate, cu excepția cazurilor în care legea impune păstrarea lor pentru o perioadă mai îndelungată.

8.1. Destinatari ai datelor

…………… poate transmite, acorda acces și/sau divulga datele personale către:

• autorități și instituții publice, în conformitate cu prevederile legale (de exemplu Agenția Națională de Administrare Fiscală, instanțe judecătorești, organe de urmărire penală, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal);
• furnizori terți de servicii care acționează ca persoane împuternicite sau sub-procesatori, cu care …………… a încheiat acorduri de prelucrare a datelor conform articolului 28 din GDPR.

8.2. Lista sub-procesatorilor autorizați

…………… apelează exclusiv la sub-procesatori care oferă garanții suficiente pentru implementarea unor măsuri tehnice și organizatorice adecvate, astfel încât prelucrarea să respecte cerințele GDPR și să asigure protecția drepturilor persoanelor vizate.

8.3. Transferuri internaționale de date

Ca regulă generală, datele cu caracter personal sunt stocate și prelucrate pe teritoriul Uniunii Europene și al Spațiului Economic European. Anumiți sub-procesatori au sediul sau operează infrastructură în afara Spațiului Economic European.

Transferurile de date către entități din afara Spațiului Economic European se realizează exclusiv în temeiul unor mecanisme legale adecvate, după cum urmează: Decizia de adecvare UE-SUA privind Cadrul UE-SUA pentru protecția datelor, acolo unde este aplicabilă; Clauzele Contractuale Standard adoptate de Comisia Europeană conform articolului 46 alineatul 2 litera c) din GDPR.

…………… monitorizează periodic valabilitatea mecanismelor de transfer utilizate. În cazul invalidării Deciziei de adecvare UE-SUA, transferurile vor continua exclusiv pe baza Clauzelor Contractuale Standard adoptate de Comisia Europeană, fără a fi necesară o nouă notificare a persoanelor vizate, cu excepția cazului în care modificarea afectează în mod semnificativ drepturile acestora.

9.1. Criptare și pseudonimizare

• Criptarea datelor în tranzit: protocolul Transport Layer Security 1.3 pentru toate comunicațiile;
• Criptarea datelor în repaus: criptare la nivel de bază de date cu algoritmul Advanced Encryption Standard cu cheie de 256 biți;
• Criptarea jetonilor OAuth și a cheilor de acces cu Supabase Vault;
• Criptarea credențialelor API către providerii de facturare electronică conectați de Utilizator.

9.2. Controlul accesului

• Politici Row Level Security în PostgreSQL: fiecare utilizator poate accesa exclusiv datele proprii;
• Autentificare securizată cu suport pentru autentificarea în doi factori și gestionarea dispozitivelor;
• Acces la infrastructură limitat pe principiul necesității cunoașterii (need-to-know);
• Chei de interfață de programare separate (cheie publicabilă față de cheie de rol de serviciu);
• Arhitectură multi-utilizator cu separare logică a datelor între utilizatori.

9.3. Disponibilitate și reziliență

• Copii de rezervă automate zilnice ale bazei de date;
• Infrastructură redundantă (PostgreSQL gestionat de Supabase);
• Monitorizare continuă a disponibilității serviciilor.

9.4. Monitorizare și audit

• Jurnale de audit pentru acțiuni critice (autentificare, modificare date, export);
• Detectare automată a accesului neautorizat;
• Evaluare periodică a eficacității măsurilor de securitate.

9.5. Măsuri organizatorice

• Politici interne de securitate a informației;
• Instruirea periodică a personalului cu privire la normele și procedurile de prelucrare și securizare a datelor cu caracter personal;
• Proceduri de gestionare a incidentelor de securitate;
• Toți sub-procesatorii au implementat măsuri tehnice și organizatorice corespunzătoare conform articolului 32 din GDPR, documentate prin acorduri de prelucrare a datelor încheiate cu ……………

9.6. Evaluarea impactului asupra protecției datelor (DPIA)

…………… a realizat o evaluare a impactului asupra protecției datelor (DPIA) pentru activitățile de prelucrare care implică riscuri ridicate, inclusiv procesarea incidentală a datelor cu caracter special. Concluziile DPIA sunt disponibile la cerere la privacy@epsih.ro

În cazul identificării unei încălcări a securității datelor cu caracter personal, …………… va acționa conform articolelor 33 și 34 din GDPR:

• Va notifica Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal în termen de maximum 72 de ore de la constatare, în cazul încălcărilor care îi afectează calitatea de Operator de date;
• Va informa Utilizatorul (Operatorul de date) în termen de maximum 48 de ore de la constatare, în cazul încălcărilor care afectează datele clienților finali ai acestuia, pentru a-i permite îndeplinirea propriilor obligații legale de notificare;
• Va informa persoanele vizate afectate, fără întârzieri nejustificate, în cazul în care încălcarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile acestora (articolul 34 din GDPR).

…………… nu utilizează procese decizionale automate sau crearea de profiluri în sensul articolului 22 din GDPR și nu folosește, în acest moment, instrumente de analiză comportamentală sau de publicitate digitală. Dacă vom introduce asemenea instrumente pe viitor, vom actualiza această secțiune și Politica de Cookie-uri și vom solicita consimțământul necesar înainte de activarea lor.

Platforma web utilizează cookie-uri conform Politicii de Cookie-uri disponibilă pe site.

Dreptul de acces (articolul 15 din GDPR): Aveți dreptul de a obține din partea …………… o confirmare că datele dumneavoastră cu caracter personal sunt sau nu prelucrate, iar în caz afirmativ, accesul la datele respective și la informații privind scopurile prelucrării, categoriile de date vizate, destinatarii acestora și durata stocării.

Dreptul la rectificare (articolul 16 din GDPR): Aveți dreptul de a obține rectificarea datelor inexacte care vă privesc și completarea datelor incomplete.

Dreptul la ștergere - dreptul de a fi uitat (articolul 17 din GDPR): Aveți dreptul de a solicita ștergerea datelor cu caracter personal atunci când: nu mai sunt necesare pentru scopurile pentru care au fost colectate; vă retrageți consimțământul și nu există alt temei juridic; vă opuneți prelucrării și nu există motive legitime prevalente; datele au fost prelucrate ilegal. Acest drept nu se aplică în măsura în care prelucrarea este necesară pentru respectarea unei obligații legale.

Dreptul la restricționarea prelucrării (articolul 18 din GDPR): Aveți dreptul de a obține restricționarea prelucrării datelor dumneavoastră în situațiile prevăzute de lege, de exemplu când contestați exactitatea datelor sau când vă opuneți prelucrării.

Dreptul la portabilitatea datelor (articolul 20 din GDPR): Aveți dreptul să primiți datele cu caracter personal pe care le-ați furnizat ……………, într-un format structurat, utilizat în mod obișnuit și care poate fi citit automat, sau să solicitați transmiterea acestor date unui alt operator, dacă prelucrarea se bazează pe consimțământ sau executarea unui contract.

Dreptul de opoziție (articolul 21 din GDPR): Aveți dreptul de a vă opune prelucrării datelor dumneavoastră atunci când prelucrarea se bazează pe interesul legitim al …………… sau este realizată în scopuri de marketing direct. În cazul marketingului direct, opoziția este absolută.

Dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrare automată (articolul 22 din GDPR): Aveți dreptul de a nu face obiectul unei decizii luate exclusiv prin mijloace automate, inclusiv profilarea, care produce efecte juridice sau vă afectează în mod semnificativ.

Dreptul de a retrage consimțământul: Atunci când prelucrarea se bazează pe consimțământul dumneavoastră, îl puteți retrage oricând, fără a afecta legalitatea prelucrărilor efectuate anterior retragerii.

Pentru exercitarea oricăruia dintre drepturile menționate, vă puteți adresa …………… printr-o cerere scrisă, datată și semnată, transmisă:

• prin e-mail la adresa: privacy@epsih.ro;
• prin poștă sau depusă personal la sediul …………… S.R.L., ……………

Pentru protejarea datelor dumneavoastră, …………… poate solicita informații suplimentare pentru confirmarea identității în cazul cererilor de exercitare a drepturilor GDPR. Dacă cererea este transmisă prin e-mail, vom solicita confirmarea de la adresa asociată contului sau alte date de identificare rezonabile. …………… nu va utiliza aceste informații în alt scop decât verificarea identității.

…………… va răspunde cererii dumneavoastră în termen de maximum 30 de zile de la primire, cu posibilitatea de prelungire cu încă 60 de zile în cazuri complexe (conform articolului 12 din GDPR).

De asemenea, aveți dreptul de a depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, cu sediul în Bulevardul General Gheorghe Magheru nr. 28-30, Sector 1, cod poștal 010336, București, telefon 0318.059.211, adresă de e-mail: anspdcp@dataprotection.ro.

Puteți vizita pagina de internet a Platformei fără a completa date cu caracter personal. Dacă doriți să beneficiați de serviciile Platformei ePsiholog, este necesar să furnizați datele minime necesare pentru crearea contului și executarea contractului.

…………… a configurat câmpurile obligatorii astfel încât să solicite volumul minim de informații necesar pentru furnizarea serviciului, în conformitate cu principiul minimizării datelor prevăzut de articolul 5 alineatul 1 litera c) din GDPR. La momentul înregistrării se solicită exclusiv adresa de e-mail.

…………… nu condiționează accesul la serviciile de bază de acordarea consimțământului pentru comunicări de marketing.

…………… poate actualiza prezenta Politică de Confidențialitate periodic, în funcție de modificările legislative aplicabile, ale serviciilor furnizate sau ale nivelului de dezvoltare tehnologică.

Modificările semnificative vor fi comunicate Utilizatorilor cu minimum 30 de zile înainte de intrarea în vigoare, prin e-mail la adresa asociată contului, notificare în platformă și banner informativ la autentificare.

Continuarea utilizării Platformei după intrarea în vigoare a modificărilor constituie acceptarea noii versiuni a Politicii de Confidențialitate. Dacă nu sunteți de acord cu modificările, aveți dreptul de a vă închide contul înainte de intrarea acestora în vigoare.

Pentru orice întrebări, solicitări sau exercitarea drepturilor prevăzute de GDPR:
……………
……………
Adresă de e-mail: contact@epsih.ro
Adresă web: epsih.ro
Responsabil cu protecția datelor (DPO): privacy@epsih.ro

Prezenta Politică de Confidențialitate face parte integrantă din cadrul contractual al platformei ePsiholog, alături de Termenii și Condițiile de Utilizare și Acordul de Prelucrare a Datelor.

Această secțiune completează prezenta Politică cu informații privind prelucrarea datelor în cadrul instrumentelor „Generator Dosar COPSI”, puse la dispoziția Utilizatorilor pentru pregătirea dosarelor profesionale depuse la Colegiul Psihologilor din România (COPSI/CPR): dosarul de atestare profesională (Anexa 1A), dosarul de creștere în treaptă pentru regimul autonom (Anexele 2A-2L) și dosarul de înregistrare a unui cabinet individual de psihologie (Anexa 6A).

Categorii de date prelucrate. Datele de identificare și de contact introduse de Utilizator pentru completarea formularelor oficiale: nume, prenume, nume anterior (dacă este cazul), cod numeric personal (CNP), data nașterii, codul RUP sau parafă (dacă este cazul), adresa de domiciliu (localitate, județ sau sector, stradă, număr, bloc, scară, apartament, cod poștal), numărul de telefon și adresa de e-mail.

Pentru dosarul de creștere în treaptă se prelucrează suplimentar specialitatea aleasă și data eliberării atestatului de liberă practică deținut, folosită pentru calculul vechimii de practică supervizată.

Pentru dosarul de înregistrare a cabinetului individual se prelucrează suplimentar: seria, numărul, emitentul și data eliberării cărții de identitate; denumirea cabinetului; specialitățile pentru care se solicită înregistrarea; adresa sediului profesional și a punctelor de lucru, împreună cu suprafața spațiului; valoarea patrimoniului inițial; și lista bunurilor declarate ca dotare tehnică, cu proveniența acestora.

Se prelucrează, de asemenea, semnătura olografă desenată de Utilizator, imaginea parafei profesionale încărcată de acesta și documentele încărcate de acesta, care pot include copii ale actelor personale (carte de identitate, cazier judiciar, adeverință medicală, diplome de studii, certificat de căsătorie sau hotărâre de divorț), acte profesionale (atestate de liberă practică, contracte și rapoarte de supervizare, certificate de credite și de formare), acte privind spațiul profesional (acte de deținere legală, extras de carte funciară, schița spațiului) și documente financiare (facturi, chitanțe, ordine de plată, dovada achitării taxei).

Scopul prelucrării. Pregătirea și organizarea dosarului profesional: stabilirea listei de documente, precompletarea formularelor-tip publicate de COPSI, redactarea declarațiilor pe propria răspundere pentru care COPSI nu publică un formular, aplicarea semnăturii și a mențiunii „Conform cu originalul” și generarea dosarului final, ca document PDF unic și ca arhivă numerotată.

Temeiul juridic. Executarea contractului și furnizarea serviciului solicitat de Utilizator (art. 6 alin. (1) lit. b) din GDPR) și, după caz, consimțământul Utilizatorului (art. 6 alin. (1) lit. a) din GDPR) pentru prelucrarea codului numeric personal, a datelor din cartea de identitate, a semnăturii și a imaginii parafei profesionale, în scopul completării documentelor. Aceste categorii de date sunt prelucrate exclusiv la inițiativa, la cererea și sub controlul Utilizatorului, pentru completarea propriului dosar.

Prelucrare locală, în browser. Completarea formularelor, redactarea declarațiilor, aplicarea semnăturii și a parafei, aplicarea mențiunii „Conform cu originalul”, precum și generarea documentului PDF unic și a arhivei se realizează integral în browserul Utilizatorului. Pentru a permite reluarea procesului, răspunsurile, datele introduse și fișierele selectate pot fi păstrate temporar, local pe dispozitivul Utilizatorului, prin tehnologii de stocare locală (localStorage și IndexedDB), separat pentru fiecare dintre cele trei instrumente. Acestea rămân pe dispozitiv până la finalizarea procesului, renunțare sau ștergerea de către Utilizator și nu reprezintă cookie-uri de urmărire.

Stocare și destinatari. Pentru Utilizatorii autentificați, documentele finale se stochează în spațiul privat de stocare asociat contului (sub-procesator Supabase) și, dacă integrarea Google Drive este activă, în folderul „Supervizare” din Google Drive al Utilizatorului (sub-procesator Google), ambii sub-procesatori fiind incluși în lista de la secțiunea 8.2. Pentru generarea documentelor PDF, aplicația încarcă fișiere de font de la o rețea de distribuție de conținut (jsDelivr), fără a transmite date cu caracter personal către aceasta.

Durata de stocare. Documentele generate se păstrează cât timp contul Utilizatorului este activ și conform regulilor de retenție din secțiunea 7. Fișierele păstrate local pe dispozitiv pot fi șterse oricând de Utilizator, prin funcția „Renunță” sau prin ștergerea datelor din browser.

Drepturile persoanei vizate. Utilizatorul își poate exercita drepturile prevăzute la secțiunea 12, inclusiv ștergerea documentelor din contul său și din Google Drive, precum și eliminarea fișierelor păstrate local pe dispozitiv.