Acord de prelucrare a datelor

Acordul se încheie între clinica ce folosește MEIO, ca operator, și SIMIONESCU SEBASTIAN-MIHAI PERSOANĂ FIZICĂ AUTORIZATĂ, CUI 46393692, cu sediul în Str. Ing. Zablovschi nr. 10, biroul 1, sector 1, București, 011313, ca împuternicit („MEIO”). Face parte din termenii pentru clinici și se acceptă odată cu ei, în aplicația clinicii.

Acordul acoperă datele pe care clinica le introduce sau le gestionează în aplicația MEIO. Nu acoperă cererile trimise de pacienți prin meio.ro: pentru acestea MEIO este operator până le transmite clinicii, iar apoi clinica este operator independent.

MEIO găzduiește și prelucrează datele ca să-i ofere clinicii aplicația: afișarea și organizarea programărilor, trimiterea confirmărilor și a reamintirilor către pacienți, marcajul de prezență, alerta de neprezentare calculată doar din datele clinicii, aplicarea listei de pacienți avertizați sau blocați, istoricul modificărilor, exportul și suportul.

Prelucrarea durează cât se aplică termenii pentru clinici, plus perioada de returnare și ștergere de la punctul 9.

Notițele pot conține date privind sănătatea doar dacă le scrie clinica. Aplicația nu este un sistem de fișe medicale, iar clinica trece în ea doar ce îi trebuie ca să organizeze programarea.

MEIO prelucrează datele doar după instrucțiunile documentate ale clinicii. Acestea sunt termenii pentru clinici, acest acord, setările făcute de clinică în aplicație și cererile ei scrise. Dacă o instrucțiune pare să încalce legea, MEIO o anunță pe clinică și nu o aplică până la lămurire. Dacă legea obligă MEIO să prelucreze datele altfel, o anunță pe clinică înainte, cu excepția cazului în care legea interzice asta.

Persoanele din MEIO care au acces la date sunt obligate să păstreze confidențialitatea. MEIO aplică cel puțin:

• separarea datelor pe fiecare clinică direct în baza de date, prin reguli de acces pe rând (row level security);
• criptarea conexiunilor (TLS) și a datelor stocate;
• roluri și permisiuni în cadrul echipei clinicii, stabilite de administratorul ei;
• autentificare în doi pași pentru conturile de administrator MEIO;
• jurnalul de modificări pentru datele clinicii și ale programărilor, vizibil și pentru clinică;
• acces de suport doar cu un motiv scris, pentru cel mult 60 de minute, vizibil în istoricul clinicii;
• copii de siguranță automate ale bazei de date și monitorizarea erorilor, fără date despre pacienți în rapoarte.

Clinica autorizează MEIO să folosească furnizorii de mai jos. Fiecare are obligații de protecție a datelor cel puțin egale cu cele din acest acord. Pentru o schimbare, MEIO anunță administratorii clinicii pe email cu cel puțin 30 de zile înainte; dacă clinica are un motiv întemeiat să se opună, poate înceta folosirea serviciului înainte de schimbare.

Transferurile în afara Spațiului Economic European se fac doar cu o decizie de adecvare, precum Cadrul UE–SUA privind protecția datelor, sau cu clauzele contractuale standard ale Comisiei Europene.

MEIO o ajută pe clinică să răspundă cererilor pacienților (acces, rectificare, ștergere, restricționare, portabilitate, opoziție), în primul rând prin funcțiile din aplicație. Dacă un pacient îi scrie direct MEIO despre datele gestionate de clinică, MEIO îi transmite cererea clinicii în cel mult 5 zile lucrătoare și nu îi răspunde pe fond fără instrucțiunile ei.

MEIO anunță clinica fără întârzieri nejustificate și în cel mult 48 de ore de când află de o încălcare a securității datelor clinicii. Anunțul cuprinde ce s-a întâmplat, ce date și câte persoane sunt afectate, consecințele probabile și măsurile luate. MEIO o ajută pe clinică să notifice autoritatea și, dacă e cazul, pacienții. MEIO o ajută pe clinică și la evaluări de impact sau la consultarea autorității, cu informațiile pe care le are.

Când clinica nu mai folosește MEIO, poate cere exportul datelor ei într-un format uzual, de exemplu CSV. MEIO șterge datele clinicii în cel mult 30 de zile de la încetare, cu excepția celor pe care legea îl obligă să le păstreze. Din copiile de siguranță, datele dispar în cel mult încă 30 de zile.

MEIO îi pune la dispoziție clinicii informațiile necesare ca să arate că respectă acest acord. Clinica poate face un audit, singură sau printr-un auditor care păstrează confidențialitatea, cu un preaviz de 30 de zile, cel mult o dată pe an, cu excepția situațiilor în care o autoritate o cere sau a avut loc o încălcare a securității datelor. Costurile auditului le suportă clinica.

• are un temei legal pentru datele pe care le introduce și își informează pacienții;
• introduce doar datele necesare și ține la zi accesul echipei;
• folosește lista de pacienți avertizați sau blocați doar cu motive factuale, fără date medicale;
• anunță MEIO dacă află de un acces neautorizat la contul clinicii.

Acordul se acceptă electronic, în aplicația clinicii, de un administrator al ei. MEIO păstrează cine a acceptat, când și ce versiune. Data de sus este versiunea în vigoare. O versiune nouă se aplică după ce este acceptată în aplicație. Pentru protecția datelor, acest acord are prioritate față de termenii pentru clinici.

Întrebări: privacy@meio.ro.