Acord privind prelucrarea datelor

Versiunea 1.11 — în vigoare din 28 octombrie 2026

Părțile și aplicarea

Acest acord, denumit DPA, este încheiat între clientul identificat în cont, checkout ori formularul de comandă, în calitate de operator, și SYNRADX TECHNOLOGIES S.R.L., cu sediul în Municipiul Brașov, Județul Brașov, Strada Zaharia Stancu, Nr. 8, Bloc 4, Etaj 6, Apartament 601, CUI 55403248, J2026049057009, în calitate de persoană împuternicită.

Capital social: 1.000 RON.

DPA face parte din contractul IMORAY când clientul folosește serviciul pentru a prelucra date personale în propria activitate. Dacă o parte stabilește independent scopurile unei prelucrări, ea este operator separat pentru activitatea respectivă.

Datele de cont, contract, facturare și securitate, inclusiv adresele și legăturile cu locurile predesemnate de client pentru o comandă de echipă, sunt prelucrate de SYNRADX pentru propriile scopuri de contractare, acordare și reconciliere descrise în Informarea privind confidențialitatea. Aceste prelucrări nu devin instrucțiuni ale clientului numai pentru că apar în aceeași relație comercială. DPA continuă să se aplice conținutului și datelor prelucrate în numele clientului.

Obiect, durată și scop

SYNRADX prelucrează date în numele clientului pentru a furniza, securiza, întreține și sprijini IMORAY pe durata contractului și a perioadei limitate de returnare, recuperare și ștergere.

Operațiunile pot include primire, transmitere, organizare, structurare, stocare limitată, afișare, recuperare, ștergere și asistență tehnică. Scopul este furnizarea funcțiilor solicitate de client: cont, dictare, transcriere, raport editabil, concluzii, revizuire, comparație, OCR de text, template-uri, Rezumat de patologie, Xira și administrarea serviciului.

Persoane vizate și date

Persoanele vizate pot include utilizatorii autorizați, personalul și colaboratorii clientului și, numai dacă clientul introduce legal conținut anonimizat sau pseudonimizat, persoanele la care se referă documentația profesională.

Categoriile de date pot include:

• identitate profesională, date de contact și rol;
• identificatori de cont, sesiune și dispozitiv;
• dictare audio temporară, text dictat, rapoarte editabile, concluzii, template-uri, instrucțiuni și comparații;
• imagini anonimizate încărcate pentru OCR de text;
• date privind sănătatea care pot rezulta din conținutul profesional, fără ca IMORAY să solicite identificatori direcți;
• metadate de utilizare, securitate, suport și facturare.

Clientul nu este autorizat să introducă nume, CNP, date de contact, număr de dosar sau alți identificatori direcți ai pacientului. Datele privind condamnări, date genetice ori alte categorii speciale nu trebuie introduse decât dacă sunt necesare, permise de contract și protejate de instrucțiuni documentate.

Instrucțiunile clientului

Termenii, configurația contului, acțiunile utilizatorilor și solicitările scrise autorizate constituie instrucțiuni documentate. SYNRADX prelucrează datele numai pe aceste instrucțiuni, cu excepția unei obligații legale; în acel caz informează clientul înainte, dacă legea permite.

Dacă o instrucțiune pare să încalce GDPR, SYNRADX informează clientul și poate suspenda operațiunea afectată până la clarificare.

Obligațiile clientului

Clientul:

• stabilește scopurile, temeiul articolului 6 și, pentru date privind sănătatea, condiția articolului 9;
• furnizează informările necesare și respectă drepturile persoanelor;
• autorizează numai utilizatori instruiți și aplică minimizarea și anonimizarea;
• verifică rezultatele AI și menține responsabilitatea profesională;
• configurează păstrarea, exportul și ștergerea potrivit propriilor obligații;
• nu folosește emailul ori suportul pentru date de pacient.

Obligațiile SYNRADX

SYNRADX:

• asigură confidențialitatea persoanelor autorizate;
• aplică măsuri tehnice și organizatorice proporționale;
• ajută clientul, ținând cont de natura prelucrării, la drepturi, securitate, incidente, DPIA și consultare prealabilă;
• ține evidențele necesare și furnizează informații rezonabile pentru demonstrarea conformității;
• nu vinde datele, nu le folosește pentru publicitate și nu folosește conținutul clinic pentru antrenarea unui model general propriu;
• șterge sau returnează datele la încetare, sub rezerva backupurilor în rotație și obligațiilor legale.

Măsuri tehnice și organizatorice

Măsurile includ, după caz:

• hosting administrat în regiunea europeană configurată și separarea mediilor;
• TLS în tranzit și criptare la rest furnizată de serviciile cloud;
• sesiuni opace, hashing al parolelor și tokenurilor, acces pe rol și minimul necesar;
• Secret Manager, separarea credentialelor și autentificare suplimentară pentru acces critic;
• autorizare pe rută, izolare între conturi, validare, rate limiting, limite de cost și fail-closed;
• loguri controlate și excluderea intenționată a corpului clinic din telemetria operațională;
• backup, restaurare, rollback, teste automate și management al vulnerabilităților;
• proceduri pentru incidente, acces de suport, ștergere și schimbări.

Mai multe informații sunt în Prezentarea securității.

Subprocesatori

Clientul autorizează în general subprocessatorii din lista publică. SYNRADX impune obligații de protecție a datelor corespunzătoare și rămâne responsabil față de client pentru îndeplinirea obligațiilor subprocesatorului, în limitele GDPR și contractului.

Pentru un nou subprocesator care prelucrează conținut al clientului, SYNRADX oferă o notificare rezonabilă, de regulă 30 de zile când este practic. Clientul poate obiecta motivat; părțile vor căuta o alternativă rezonabilă sau pot înceta componenta afectată.

Transferuri internaționale

SYNRADX nu transferă date în afara SEE decât în baza unui mecanism valid, precum o decizie de adecvare, clauze contractuale standard ori o derogare aplicabilă, și aplică măsuri suplimentare când evaluarea o cere. Clientul autorizează transferurile descrise în lista subprocessatorilor și contractele furnizorilor.

Drepturile persoanelor

Dacă SYNRADX primește direct o solicitare privind date pentru care clientul este operator, o transmite clientului fără a răspunde pe fond, exceptând instrucțiunea ori obligația legală. SYNRADX oferă funcțiile și asistența rezonabile pentru acces, rectificare, ștergere, restricționare și portabilitate.

Încălcări ale securității

SYNRADX notifică clientul fără întârzieri nejustificate după ce confirmă o încălcare a securității datelor prelucrate în numele clientului. Notificarea include informațiile disponibile despre natură, categorii, consecințe și măsuri. Comunicarea nu constituie recunoașterea unei culpe.

Audit și demonstrarea conformității

La cerere rezonabilă, SYNRADX furnizează documentația disponibilă relevantă. Dacă aceasta nu este suficientă, clientul poate solicita cel mult un audit pe an, în timpul programului, cu preaviz, confidențialitate, fără acces la datele altora și pe cheltuiala clientului, exceptând o încălcare materială confirmată. Auditurile suplimentare sunt permise după un incident material sau la cererea unei autorități.

Returnare și ștergere

Clientul trebuie să exporte datele necesare înainte de încetare. După încetare sau cererea validă de ștergere, datele active sunt șterse ori anonimizate după perioada de recuperare afișată, în mod obișnuit 30 de zile. Copiile din backup sunt izolate de utilizarea curentă și eliminate prin rotație, de regulă în maximum 90 de zile, dacă legea, un litigiu ori securitatea nu impun alt termen.

Datele locale din browser sunt controlate și de client; logoutul și funcția de curățare elimină datele asociate contului și coada audio, iar preferințele de dispozitiv pot necesita ștergerea datelor site-ului.

Răspundere, lege și contact

Răspunderea este guvernată de contractul principal și de limitele permise de GDPR. DPA este guvernat de legea română, fără a afecta competențele autorităților de supraveghere și drepturile obligatorii ale persoanelor.

Contact privind protecția datelor: privacy@imoray.app. Contact de securitate: security@imoray.app. Nu includeți date de pacient în email.

Ordinea și modificările

În privința prelucrării datelor, DPA prevalează asupra termenilor generali în caz de conflict. O modificare materială va fi comunicată potrivit contractului; reducerea substanțială a protecției nu se aplică retroactiv fără un temei valid.