Acordul de prelucrare a datelor (DPA)

1. Părțile și ce acoperă acordul

• Operator: dumneavoastră, nutriționistul care folosește FitDiary pentru nutriționiști (sau cabinetul în numele căruia lucrați).
• Persoană împuternicită: Mobile Tech Development SRL, cu sediul în Str. Mihai Eminescu 73A, Tunari, județul Ilfov, CUI RO43792346, înregistrată la Registrul Comerțului cu nr. J20/1001/173236 („FitDiary”).

Acordul se aplică datelor despre clienții dumneavoastră pe care le introduceți în Serviciu: clienții adăugați de dumneavoastră și tot ce ține de ei, notițele private (inclusiv cele despre clienții din aplicație), invitațiile și propunerile de ținte.

Acordul nu se aplică datelor pe care clienții le notează în aplicația FitDiary (mese, fotografii, greutate și celelalte). Pentru acestea FitDiary este operator față de client, conform Politica de confidențialitate, iar clientul vi le arată pe baza consimțământului său. Pentru ce vedeți și folosiți din aceste date sunteți operator independent (Termenii pentru nutriționiști, secțiunea 6). Acordul nu se aplică nici datelor contului dumneavoastră de nutriționist (nume, email, autentificare), pentru care FitDiary este operator.

2. Obiectul, durata, natura și scopul prelucrării

• Obiectul: păstrarea și afișarea în Serviciu a evidenței clienților dumneavoastră.
• Durata: cât timp aveți cont, plus timpul necesar ștergerii (secțiunea 10).
• Natura: stocare, organizare, consultare și afișare a datelor introduse de dumneavoastră, calcule (de exemplu evoluția greutății), legarea fișei de contul din aplicație al clientului când acesta acceptă o invitație, copii de rezervă și ștergere.
• Scopul: exclusiv furnizarea Serviciului către dumneavoastră, pentru serviciile de nutriție pe care le oferiți clienților. FitDiary nu folosește aceste date în scopuri proprii: nu le vinde, nu le folosește pentru reclame sau profilare și nu antrenează modele de inteligență artificială cu ele.

3. Persoanele vizate și categoriile de date

Persoanele vizate sunt clienții și potențialii clienți ai dumneavoastră, inclusiv cei care folosesc aplicația FitDiary (pentru notițele, invitațiile și propunerile despre ei).

Categoriile de date:

• identificare și contact: nume, telefon, email;
• profil: vârsta (anul nașterii), sex, înălțime, obiectiv;
• date privind sănătatea (categorie specială, art. 9 GDPR): greutate, talie, șolduri, procent de grăsime corporală, ținte de calorii și macronutrienți, notițe de la consultații;
• programări: data și ora următoarei consultații;
• notițe private, invitații (numele dat clientului, țintele și mesajul) și propunerile de ținte.

Nu introduceți date care nu sunt necesare serviciilor de nutriție, de exemplu codul numeric personal sau date despre alte persoane.

4. Obligațiile dumneavoastră

• Aveți un temei legal pentru prelucrarea datelor fiecărui client (art. 6 și art. 9 alin. (2) GDPR), de regulă consimțământul explicit al clientului pentru datele privind sănătatea, și îl puteți dovedi.
• Informați clienții despre prelucrare (art. 13 și 14 GDPR), inclusiv despre faptul că folosiți FitDiary pentru evidență.
• Introduceți doar date corecte și necesare și le actualizați sau le ștergeți când nu mai sunt necesare.
• Instrucțiunile pe care ni le dați respectă GDPR.

5. Obligațiile FitDiary

• Instrucțiuni: prelucrăm datele doar pe baza instrucțiunilor dumneavoastră documentate. Acestea sunt Termenii, acest DPA și acțiunile pe care le faceți în Serviciu (adăugare, modificare, ștergere, invitare). Dacă legea ne obligă la o altă prelucrare, vă anunțăm înainte, cu excepția cazului în care legea interzice acest lucru.
• Vă anunțăm imediat dacă o instrucțiune ni se pare contrară GDPR.
• Confidențialitate: au acces la date doar persoanele autorizate de FitDiary care au nevoie de el pentru Serviciu, asistență sau securitate și care s-au angajat să păstreze confidențialitatea ori au o obligație legală în acest sens.
• Securitate: aplicăm măsurile tehnice și organizatorice din Anexa 2 (art. 32 GDPR). Le putem îmbunătăți în timp, fără să scădem nivelul de protecție.

6. Subcontractanții

Ne dați o autorizare generală să folosim subcontractanții (alte persoane împuternicite) din Anexa 1.

Vă anunțăm prin email cu cel puțin 30 de zile înainte să adăugăm sau să înlocuim un subcontractant. În acest termen vă puteți opune, cu un motiv întemeiat legat de protecția datelor. Dacă nu găsim împreună o soluție, puteți închide contul și cere exportul datelor înainte de schimbare.

Fiecărui subcontractant îi impunem prin contract obligații de protecție a datelor echivalente cu cele din acest DPA și răspundem față de dumneavoastră pentru felul în care și le îndeplinește.

7. Locul prelucrării și transferurile în afara SEE

Datele din acest DPA (fișele clienților, măsurătorile, consultațiile, notițele, invitațiile și propunerile) sunt stocate în Google Cloud Firestore, în Uniunea Europeană (locația multiregională eur3), iar API-ul care le prelucrează rulează tot în Uniunea Europeană.

Unele prelucrări legate de Serviciu au loc în afara Spațiului Economic European: contul dumneavoastră de nutriționist și evidența acordurilor clienților din aplicație se află în baza de date principală FitDiary, în Statele Unite; Cloudflare transmite cererile prin rețeaua lui globală; furnizorii pot accesa date din afara SEE pentru asistență tehnică.

Pentru aceste transferuri ne bazăm pe Cadrul UE–SUA privind protecția datelor (EU–U.S. Data Privacy Framework), la care participă furnizorii, și pe clauzele contractuale standard aprobate de Comisia Europeană (art. 45 și 46 GDPR).

Nu mutăm datele din acest DPA în afara Uniunii Europene fără să vă anunțăm conform secțiunii 6.

8. Asistența pentru dumneavoastră

Vă ajutăm să răspundeți cererilor clienților (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). Majoritatea le puteți rezolva direct în Serviciu, modificând sau ștergând datele; pentru restul, ne scrieți și vă ajutăm. Dacă un client ne contactează direct despre datele din evidența dumneavoastră, vă transmitem cererea și nu îi răspundem în fond fără instrucțiunile dumneavoastră.

Vă punem la dispoziție informațiile pe care le avem și de care aveți nevoie pentru securitatea prelucrării (art. 32), notificarea încălcărilor securității (art. 33 și 34), evaluarea impactului asupra protecției datelor (art. 35) și consultarea autorității de supraveghere (art. 36).

9. Încălcarea securității datelor

Dacă aflăm de o încălcare a securității care afectează datele din acest DPA, vă anunțăm fără întârzieri nejustificate, de regulă în cel mult 48 de ore. Vă spunem, pe măsură ce le aflăm: ce s-a întâmplat, ce categorii de date și aproximativ câte persoane sunt afectate, consecințele probabile, ce măsuri am luat sau propunem și pe cine puteți contacta.

Notificarea către Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) și către clienți rămâne în sarcina dumneavoastră, ca operator; vă ajutăm cu informațiile necesare.

10. Ștergerea sau returnarea datelor

La ștergerea contului (Termenii pentru nutriționiști, secțiunea 14), ștergem datele din acest DPA din bazele de date în cel mult 30 de zile. Înainte de ștergere ne puteți cere exportul lor, într-un format electronic structurat.

Copiile de rezervă dispar la expirarea perioadei lor de păstrare; până atunci sunt folosite doar pentru restaurare după incidente. Păstrăm date după ștergere doar dacă legea ne obligă.

11. Informații și audit

La cerere, vă punem la dispoziție informațiile necesare pentru a demonstra că respectăm art. 28 GDPR, de exemplu descrierea măsurilor de securitate, lista subcontractanților și certificările lor de securitate.

Acceptăm audituri, inclusiv inspecții, făcute de dumneavoastră sau de un auditor mandatat de dumneavoastră și obligat la confidențialitate, cu o notificare de cel puțin 30 de zile, cel mult o dată pe an (mai des doar după un incident sau la cererea unei autorități). Auditul nu poate da acces la datele altor nutriționiști, iar costurile lui le suportă cel care îl cere.

12. Durata, modificările și prioritatea

Acordul durează cât aveți cont. Obligațiile de confidențialitate și de ștergere continuă și după aceea.

Putem modifica acordul în aceleași condiții ca Termenii (secțiunea 15 din Termeni), cu o notificare de cel puțin 30 de zile. În privința protecției datelor, dacă acest DPA și Termenii spun lucruri diferite, se aplică DPA-ul.

Răspunderea părților este cea din art. 82 GDPR și din Termeni (secțiunea 12), în limitele permise de lege.

13. Contact

Pentru orice întrebare despre acest acord sau despre protecția datelor: privacy@fitdiary.ro.

Anexa 1. Subcontractanți

Brevo trimite emailurile cererilor de acces de pe pagina pentru nutriționiști și nu primește date ale clienților dumneavoastră. RevenueCat (abonamentele din aplicație) nu este implicat în Serviciu.

Anexa 2. Măsuri tehnice și organizatorice

• Criptare la transfer: toate conexiunile (browser, Cloudflare, API, baze de date) folosesc HTTPS/TLS.
• Criptare la stocare: bazele de date și copiile de rezervă sunt criptate de Google Cloud (AES-256).
• Acces doar prin server: datele din acest DPA se citesc și se scriu numai prin API-ul FitDiary. Regulile de securitate Firestore ale bazei lor interzic orice acces direct din browser sau din aplicații.
• Autentificare și autorizare: fiecare cerere către API este verificată cu tokenul de autentificare Google (Firebase Authentication). Identitatea nutriționistului vine întotdeauna din tokenul verificat, nu din cerere, iar fiecare fișă este accesibilă doar contului care a creat-o.
• Acordul clientului verificat la fiecare citire: datele clienților din aplicație se văd doar cât acordul este activ; regulile Firestore îl verifică la fiecare citire, așa că oprirea accesului are efect imediat.
• Privilegii minime: conturile de serviciu ale serverului au doar permisiunile necesare. Accesul administrativ la infrastructură este limitat la persoanele autorizate de FitDiary.
• Reguli testate: regulile de securitate Firestore sunt verificate prin teste automate înainte de publicare.
• Limitarea cererilor: numărul de cereri este limitat la Cloudflare și în API, ca protecție împotriva abuzurilor.
• Copii de rezervă: bazele de date au copii de rezervă și recuperare la un moment anterior (point-in-time recovery), folosite doar pentru restaurare după incidente.
• Ștergere: un client șters din Serviciu se șterge imediat, cu tot ce ține de el; la ștergerea contului se șterg toate datele din acest DPA.
• Jurnale tehnice: jurnalele serverului se păstrează 30 de zile, apoi se șterg automat.
• Analiză fără date ale clienților: evenimentele de utilizare trimise la Google Analytics nu conțin nume, identificatori sau valori ale clienților.
• Incidente: incidentele de securitate sunt analizate, documentate și notificate conform secțiunii 9.