Prezenta Politică de Confidențialitate descrie modul în care THE KINEDBO SRL (denumit în continuare „Furnizorul") prelucrează datele cu caracter personal în contextul furnizării aplicației KINEDBO-Pro.
Furnizorul acționează ca Persoană Împuternicită (Processor) conform GDPR, prelucrând datele exclusiv în conformitate cu instrucțiunile Operatorului (cabinetul/clinica de kinetoterapie), care este Operatorul de date (Controller) în sensul GDPR.
Prelucrarea datelor cu caracter personal se realizează în baza următoarelor temeiuri legale:
În cazul în care Pacientul este minor sau major lipsit de discernământ, sunt prelucrate suplimentar datele reprezentantului legal (părinte, tutore sau curator):
Operatorul poate realiza fotografii sau înregistrări video ale Pacientului în timpul ședințelor, cu scopul de a le publica pe rețelele sociale sau pe alte canale de promovare ale cabinetului. Această prelucrare se realizează exclusiv pe baza consimțământului explicit, liber exprimat și independent al Pacientului sau al reprezentantului său legal (Articolul 6 alineatul (1) litera (a) din GDPR Regulamentul UE 2016/679 și dreptul la propria imagine conform legislației române).
Important: Documentele medicale stocate în Aplicație sunt create și gestionate exclusiv de cabinetul Operatorului. Nu sunt preluate din alte cabinete și nu sunt transmise către alte cabinete sau sisteme.
Funcționalitatea de asistent AI procesează, în cadrul fiecărei sesiuni, un extras din profilul și istoricul de ședințe documentate ale Pacientului (nume, vârstă, sex, diagnostic clinic, comorbidități, medic prescriptor, date ședințe, durate, servicii, obiective și mijloace specifice). Aceste date sunt transmise către Google LLC (Gemini API) exclusiv în scopul generării răspunsurilor sau textelor îmbunătățite. Sesiunile nu sunt stocate permanent de Furnizor. Utilizarea funcționalității AI este opțională și necesită consimțământul explicit al Pacientului.
Aplicația nu utilizează module de urmărire publicitară, cookie-uri de marketing, pixeli de retargeting sau rețele publicitare de nicio natură. Datele sunt colectate exclusiv în scopurile enumerate mai sus.
Datele cu caracter personal sunt accesibile:
Datele nu sunt transferate, vândute sau dezvăluite altor terți fără consimțământul explicit al Operatorului.
Firebase/Google Cloud Platform poate stoca date pe servere situate în Spațiul Economic European (SEE) sau în afara acestuia. Google LLC respectă clauzele contractuale standard aprobate de Comisia Europeană pentru transferurile internaționale de date, în conformitate cu Articolul 46 din GDPR Regulamentul UE 2016/679.
Furnizorul se obligă să configureze proiectul Firebase exclusiv cu regiuni situate în Spațiul Economic European pentru baza de date, fișiere și funcții, cât timp Firebase/Google Cloud Platform are această opțiune.
Excepție PNRR: Întrucât aplicația este co-finanțată prin PNRR — NextGenerationEU, datele aferente proiectului sunt păstrate minimum 5 ani de la data plății finale efectuate de Comisia Europeană către România, în conformitate cu obligațiile de audit PNRR. Această obligație prevalează față de termenele standard de mai sus, exclusiv pentru datele relevante proiectului finanțat.
În contextul finanțării prin PNRR, următoarele autorități pot solicita acces la date în scop de audit, control sau investigație, constituind temei legal conform Articolul 6 alineatul (1) litera (c) din GDPR Regulamentul UE 2016/679 (obligație legală):
Accesul acestor autorități la date se limitează strict la datele relevante pentru scopul auditului și se realizează conform procedurilor legale aplicabile.
Persoanele vizate (pacienți, fizioterapeuți) beneficiază de următoarele drepturi, exercitate prin intermediul Operatorului:
Cererile privind exercitarea drepturilor se transmit Operatorului (cabinetul/clinica), care este responsabil pentru soluționarea acestora.
În cazul pacienților minori sau al majorilor lipsiți de discernământ, drepturile GDPR se exercită exclusiv prin intermediul reprezentantului legal (părinte, tutore sau curator), care acționează în numele și în interesul persoanei vizate.
Furnizorul implementează măsuri tehnice și organizatorice adecvate pentru protecția datelor:
Aplicația include o funcționalitate opțională de asistent bazat pe inteligență artificială (AI), accesibilă din istoricul de ședințe. Prin utilizarea acestei funcționalități, Utilizatorul sau Pacientul inițiază în mod explicit o sesiune de conversație AI.
Date transmise: Profilul Pacientului și istoricul de ședințe documentate (date, durate, servicii, obiective/mijloace specifice) sunt incluse în cererea transmisă către Gemini API (Google LLC) ca parte a contextului de sistem al conversației.
Temei legal: Articolul 9 alineatul (2) litera (h) din GDPR Regulamentul UE 2016/679 — prelucrare în scopul furnizării asistenței în domeniul sănătății, combinat cu consimțământul explicit al persoanei vizate la inițierea sesiunii AI.
Limitări importante:
Sub-procesator AI: Google LLC (Gemini API) procesează datele transmise conform propriilor politici de confidențialitate și acordurilor de sub-procesare aplicabile serviciilor Firebase/Google Cloud, care includ angajamente de conformitate GDPR.
În caz de incident de securitate care implică date cu caracter personal, Furnizorul va notifica Operatorul în maxim 72 de ore de la identificarea incidentului, conform Articolul 33 din GDPR Regulamentul UE 2016/679. Operatorul este responsabil pentru notificarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) și a persoanelor vizate, dacă este cazul.
Dacă Operatorul este obligat prin GDPR să desemneze un DPO (ex: instituție de sănătate publică sau prelucrare la scară largă de date medicale), acesta este exclusiv responsabilitatea Operatorului. Furnizorul poate fi contactat la kinedbo@gmail.com pentru orice aspecte tehnice legate de prelucrarea datelor.
Persoanele vizate au dreptul de a depune plângeri la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), cu sediul în Bd. G-ral. Gheorghe Magheru 28-30, București — www.dataprotection.ro.
Prezenta Politică de Confidențialitate poate fi actualizată. Versiunea curentă este întotdeauna disponibilă în Aplicație. Modificările semnificative vor fi comunicate Operatorului cu minimum 30 de zile înainte de intrarea în vigoare.