NOTA DE INFORMARE GDPR

privind prelucrarea datelor cu caracter personal

Ultima actualizare: [DE COMPLETAT]

Confidențialitatea datelor dumneavoastră cu caracter personal, inclusiv a datelor privind sănătatea, reprezintă una dintre preocupările principale ale BiohaQ, denumire comercială operată de [DE COMPLETAT — denumire legală societate], cu sediul social în [DE COMPLETAT — adresă], Cluj-Napoca, jud. Cluj, România, înregistrată la Oficiul Registrului Comerțului sub nr. [DE COMPLETAT], având cod unic de înregistrare [DE COMPLETAT], în calitate de operator de date cu caracter personal (denumit în continuare „Operatorul" sau „BiohaQ").

Prezentul document are rolul de a vă informa cu privire la prelucrarea datelor dumneavoastră cu caracter personal, în contextul utilizării paginii de internet www.biohaq.ro și al beneficierii de serviciile noastre de sănătate, longevitate și terapii intravenoase (denumite în continuare „site-ul" și „serviciile"). Site-ul este găzduit și operat prin intermediul platformei de comerț electronic Shopify.

Prelucrarea datelor se realizează în conformitate cu Regulamentul (UE) 2016/679 (GDPR), cu Legea nr. 190/2018, cu Legea nr. 506/2004, precum și cu legislația specifică privind datele medicale și documentele medicale din România (Legea nr. 46/2003 privind drepturile pacientului, Ordinul MS privind normele de întocmire și păstrare a documentației medicale, după caz).

1. Identitatea și datele de contact ale Operatorului

• Denumire: [DE COMPLETAT]
• Sediul social: [DE COMPLETAT], Cluj-Napoca, jud. Cluj, România
• Nr. de înregistrare la Registrul Comerțului: [DE COMPLETAT]; CUI: [DE COMPLETAT]
• E-mail de contact: [DE COMPLETAT]; Telefon: [DE COMPLETAT]

⚠️ Dat fiind că prelucrați date privind sănătatea, ar trebui evaluat cu un consultant GDPR dacă este necesară desemnarea unui Responsabil cu Protecția Datelor (DPO) — art. 37 GDPR impune acest lucru pentru operatori a căror activitate principală implică prelucrarea pe scară largă a unor categorii speciale de date, situație în care se poate încadra o clinică de acest tip.

2. Categoriile de date cu caracter personal prelucrate

A. Date de identificare și contact (toți clienții)

• nume și prenume
• număr de telefon
• adresă de e-mail
• adresă de facturare (dacă aplicabil)

B. Date privind sănătatea (categorie specială, art. 9 GDPR)

Pentru clienții care beneficiază de servicii medicale/terapii intravenoase, prelucrăm suplimentar:

• răspunsurile la chestionarul medical pre-injectare (istoric medical relevant, contraindicații, alergii cunoscute, sarcină, afecțiuni preexistente)
• rezultatele scanării InBody 770 (compoziție corporală, indici metabolici)
• rezultatele analizelor medicale efectuate în cadrul planului personalizat (profil hormonal, metabolic, biomarkeri)
• notele medicului privind interpretarea datelor și recomandările terapeutice
• orice altă informație medicală furnizată de dumneavoastră sau generată în cadrul consultației/terapiei

Aceste date sunt colectate exclusiv în scopul prestării serviciilor solicitate și al asigurării siguranței dumneavoastră medicale.

C. Date de la vizitatorii site-ului

Date furnizate direct prin secțiunea de contact sau formularul de newsletter.

3. Scopurile și temeiurile prelucrării

A. Date de identificare și contact — pentru toți clienții

(i) Pentru desfășurarea relației contractuale, respectiv preluarea, confirmarea și facturarea programărilor/comenzilor.

Temei: art. 6 alin. (1) lit. (b) GDPR — executarea contractului.

(ii) Pentru îndeplinirea obligațiilor legale (fiscale, de arhivare).

Temei: art. 6 alin. (1) lit. (c) GDPR.

(iii) Pentru activități de marketing, cu consimțământul dumneavoastră explicit.

Temei: art. 6 alin. (1) lit. (a) GDPR. Vă puteți retrage consimțământul oricând, gratuit.

B. Date privind sănătatea — temei legal special

(iv) Pentru evaluarea contraindicațiilor și prestarea în siguranță a terapiilor intravenoase, scanărilor și planurilor personalizate.

Temei: art. 9 alin. (2) lit. (a) GDPR — consimțământul dumneavoastră explicit, acordat separat și distinct de acceptarea Termenilor și Condițiilor generale, prin completarea și semnarea chestionarului medical pre-injectare/formularului de consimțământ informat, înainte de fiecare terapie.

Furnizarea acestor date este absolut necesară pentru a beneficia de serviciile medicale solicitate — fără completarea chestionarului medical, Furnizorul nu poate presta terapia respectivă, din motive de siguranță a pacientului.

(v) Pentru interpretarea medicală a datelor și elaborarea planului personalizat (medicină funcțională).

Temei: art. 9 alin. (2) lit. (h) GDPR — prelucrare necesară în scopul medicinei preventive sau al evaluării capacității de muncă a angajatului, diagnosticului medical, furnizării de asistență medicală, coroborat cu obligația de confidențialitate profesională a personalului medical implicat.

(vi) Pentru păstrarea documentației medicale, conform obligațiilor legale aplicabile furnizorilor de servicii medicale din România.

Temei: art. 9 alin. (2) lit. (h) coroborat cu art. 6 alin. (1) lit. (c) GDPR.

C. Date de la vizitatori

(vii) Pentru marketing (consimțământ) și (viii) pentru soluționarea solicitărilor/reclamațiilor (interes legitim), similar structurii standard.

4. Durata pentru care vă prelucrăm datele

Datele de identificare și contact sunt păstrate pe durata relației contractuale și, ulterior, conform obligațiilor legale (documente financiar-contabile: 10 ani).

Datele privind sănătatea sunt păstrate pe durata prevăzută de legislația privind documentația medicală din România. [DE COMPLETAT — te rog verifică cu un consultant juridic/medical durata exactă aplicabilă documentației dumneavoastră specifice; în funcție de tipul de document medical, legislația română prevede termene de păstrare care pot varia semnificativ, uneori considerabil mai lungi decât termenele standard financiar-contabile].

Ștergerea contului de utilizator nu are ca efect ștergerea automată a datelor medicale a căror păstrare este impusă de lege.

5. Divulgarea datelor. Persoane împuternicite și destinatari

Operatorul nu vinde și nu închiriază datele dumneavoastră către terțe părți, inclusiv datele privind sănătatea, care nu sunt niciodată utilizate în scop de marketing sau divulgate unor terți în afara celor strict necesari prestării serviciului.

Datele pot fi accesate de:

• personalul medical și tehnic al Operatorului, sub obligație de confidențialitate profesională
• furnizorul platformei de comerț electronic: Shopify International Limited (Irlanda)
• procesatorii de plăți (Netopia Payments / alt procesator)
• aplicația de programări/booking (Appointo sau alt furnizor ales), în măsura în care gestionează chestionarul pre-injectare — ⚠️ este esențial să existe un Acord de Prelucrare a Datelor (DPA) semnat cu acest furnizor, care să acopere explicit prelucrarea datelor privind sănătatea, dat fiind că e o categorie specială
• laboratorul/laboratoarele partenere care efectuează analizele medicale
• furnizorii de servicii IT, găzduire și mentenanță
• consultanții Operatorului (contabili, avocați, auditori)

Datele privind sănătatea nu sunt divulgate furnizorilor de servicii de marketing sau analiză a traficului sub nicio formă.

6. Găzduirea site-ului pe platforma Shopify

Site-ul este găzduit prin Shopify International Limited (Irlanda), care acționează ca persoană împuternicită, prelucrând date pe baza instrucțiunilor Operatorului, conform Anexei de Prelucrare a Datelor (DPA) Shopify.

⚠️ Verificați explicit cu Shopify și cu orice aplicație terță (booking, formulare medicale) dacă DPA-ul standard acoperă categoriile speciale de date (sănătate) — multe DPA-uri standard de e-commerce sunt gândite pentru date de identificare/plată, nu neapărat pentru date medicale, și s-ar putea să fie nevoie de clauze suplimentare negociate separat.

7. Transferul datelor în afara Spațiului Economic European

Similar structurii standard — transferuri către Shopify Inc. (Canada, decizie de adecvare) și subîmputerniciți în state terțe, cu garanții prin Clauzele Contractuale Standard (Decizia UE 2021/914).

⚠️ Pentru datele privind sănătatea specific, transferurile internaționale necesită o atenție suplimentară — recomand verificarea explicită cu furnizorul de booking/formulare medicale unde sunt stocate fizic aceste date și dacă există garanții adecvate specifice pentru categoria specială de date, nu doar pentru datele de identificare generale.

8. Utilizarea fișierelor de tip cookie

Structură identică cu cea standard — cookie-uri strict necesare (interes legitim) vs. cookie-uri de analiză/marketing (consimțământ), gestionate prin bannerul de cookie-uri.

9. Securitatea datelor — secțiune consolidată pentru date medicale

Operatorul implementează măsuri tehnice și organizatorice adecvate, conform art. 32 GDPR, cu un standard sporit pentru datele privind sănătatea, incluzând:

• controlul strict al accesului la chestionarele medicale și rezultatele analizelor, limitat la personalul medical direct implicat
• criptarea comunicațiilor și, acolo unde e posibil, a datelor medicale stocate
• obligații contractuale de confidențialitate consolidate pentru orice persoană împuternicită care are acces la date medicale
• separarea, pe cât posibil, a datelor medicale de datele de marketing/comerciale în sistemele utilizate

⚠️ Recomand o evaluare a impactului asupra protecției datelor (DPIA), conform art. 35 GDPR — prelucrarea sistematică a datelor privind sănătatea, mai ales combinată cu profilarea (biomarkeri, InBody, plan personalizat), este exact tipul de activitate pentru care GDPR impune o astfel de evaluare formală înainte de a începe prelucrarea pe scară largă.

10. Drepturile de care beneficiați

Structură identică cu cea standard (informare, acces, rectificare, ștergere, restricționare, portabilitate, opoziție, drept de a nu face obiectul unei decizii automate, retragerea consimțământului, dreptul de a depune plângere la ANSPDCP).

Pentru datele privind sănătatea, dreptul de acces și portabilitate vă permite să obțineți o copie a rezultatelor analizelor, scanărilor InBody și recomandărilor medicului, într-un format care poate fi citit automat.

Pentru exercitarea acestor drepturi, ne puteți contacta la: [DE COMPLETAT].

11. Procesul decizional automatizat și crearea de profiluri

Operatorul nu ia decizii bazate exclusiv pe prelucrare automată care produc efecte juridice asupra dumneavoastră. Interpretarea datelor medicale (analize, InBody, biomarkeri) și elaborarea recomandărilor terapeutice se realizează întotdeauna cu implicarea directă a medicului, nu printr-un algoritm automat fără supraveghere umană.

12. Modificări ale politicii de confidențialitate

Ne rezervăm dreptul de a modifica prezenta politică. În cazul unor modificări majore, în special cele care afectează prelucrarea datelor privind sănătatea, veți fi înștiințat prin e-mail și, dacă e cazul, vi se va solicita un consimțământ reînnoit.

⚠️ Recomandare fermă înainte de publicare

Acest document este semnificativ mai sensibil decât un șablon standard de confidențialitate pentru comerț electronic, tocmai din cauza datelor privind sănătatea. Recomand ferm:

1. 1. Consultarea unui avocat specializat în GDPR și dreptul sănătății pentru finalizarea acestui document, în special secțiunile 3, 4, 6 și 9.
   2. Evaluarea necesității unui DPO (secțiunea 1).
   3. O evaluare DPIA formală (secțiunea 9) înainte de lansarea publică a serviciilor medicale.
   4. Verificarea DPA-urilor cu toți furnizorii terți (Appointo/aplicația de booking, laboratoarele partenere) pentru acoperirea explicită a categoriilor speciale de date.
   5. Un formular de consimțământ informat separat, semnat de fiecare pacient înainte de fiecare terapie IV, distinct de acceptarea generală a acestei politici — acesta ar trebui redactat cu medicul colaborator, nu doar cu avocat.