POLITICA DE CONFIDENȚIALITATE

Versiunea 1.0 | Data intrării în vigoare: 01.04.2026

Vă mulțumim pentru accesarea platformei https://www.epsi.ro/.

Prezenta Politică de Confidențialitate descrie modul în care PSYTECH S.R.L. colectează, utilizează, stochează și protejează datele cu caracter personal ale persoanelor care interacționează cu Platforma ePSI (mai departe ”Platforma”).

Prezenta Politică de Confidențialitate trebuie citită împreună cu Termenii și Condițiile de Utilizare și cu Acordul de Prelucrare a Datelor (denumit în continuare Acord de Prelucrare a Datelor), documente care formează împreună cadrul contractual și de conformitate GDPR al Platformei ePSI.

Limitări importante ale Platformei ePSI

• Platforma nu este o platformă clinică și nu oferă servicii medicale, psihologice sau de sănătate.
• Platforma nu permite și nu este destinată stocării sau gestionării documentației clinice detaliate (rapoarte psihologice complete, evaluări psihodiagnostice complexe, note terapeutice detaliate, alte documente clinice detaliate).
• Platforma poate găzdui anumite date administrative limitate privind relația profesională dintre Utilizator și clientul final (de exemplu: programări, tipul serviciului sau mențiuni administrative), responsabilitatea pentru legalitatea prelucrării acestor date aparținând exclusiv Utilizatorului.
• Orice fișiere sau documente sunt stocate exclusiv în contul personal Google Drive al utilizatorului, printr-o integrare obligatorie, controlată integral de Utilizator. Platforma ePSI nu deține control autonom, permanent sau generalizat asupra conținutului acestor fișiere.

1. INFORMAȚII GENERALE

Aplicația software ePSI este o platformă de management profesional și administrativ, disponibilă atât ca aplicație web, cât și ca aplicație mobilă (iOS și Android), destinată exclusiv următoarelor categorii de utilizatori:

a) psihologi cu drept de liberă practică, atestați de Colegiul Psihologilor din România în condițiile Legii nr. 213/2004, indiferent de forma de exercitare a profesiei (cabinet individual, cabinete asociate sau societate civilă profesională);

b) psihologi aflați în supervizare, care dețin atestat de liberă practică în regim de exercitare sub supervizare, emis de Colegiul Psihologilor din România;

c) persoane aflate în formare profesională în domeniul psihologiei (studenți și masteranzi înscriși în programe de învățământ superior acreditate), în scop educațional și formativ.

Conținutul Platformei este proprietatea exclusivă a PSYTECH S.R.L. (denumită în continuare "PSYTECH"), cu sediul în București, Sectorul 2, Strada Vasile Lascăr nr. 3, înregistrată la Registrul Comerțului sub nr. J2025064149007, CUI 52388518, adresă de e-mail: [email protected]. Punct de contact Responsabil cu protecția datelor (DPO): [email protected].

În Uniunea Europeană, datele cu caracter personal ale persoanelor fizice sunt protejate conform prevederilor Regulamentului (UE) nr. 679/2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (denumit în continuare "GDPR" sau "Regulamentul"), aplicabil în România începând cu 25 mai 2018.

În calitate de operator de date cu caracter personal, PSYTECH se asigură că prelucrarea datelor cu caracter personal respectă cu strictețe principiile și normele GDPR, în special principiile de legalitate, echitate și transparență, limitare a scopului, minimizare a datelor, exactitate, limitare a stocării, integritate și confidențialitate, prevăzute la articolul 5 din GDPR.

Prezenta Politică de Confidențialitate are rolul de a vă informa cu privire la:

• prelucrările de date cu caracter personal ale utilizatorilor platformei ePSI derulate de PSYTECH în calitate de Operator, în temeiul relației contractuale dintre PSYTECH și aceștia;
• prelucrările de date cu caracter personal ale clienților finali ai utilizatorilor platformei ePSI, derulate de PSYTECH în calitate de Persoană Împuternicită de Operator;
• prelucrările de date cu caracter personal ale vizitatorilor Platformei;
• prelucrările de date ale reprezentanților partenerilor comerciali și colaboratorilor PSYTECH, în vederea îndeplinirii obligațiilor legale;
• drepturile persoanelor vizate, ale căror date sunt prelucrate de PSYTECH prin intermediul Platformei, și modalitățile de exercitare a acestora. Dacă aveți întrebări sau comentarii despre această Politică de Confidențialitate, vă rugăm să ne contactați prin e-mail la adresa [email protected].

2. DEFINIȚII

Date cu caracter personal: orice informații privind o persoană fizică identificată sau identificabilă (denumită persoană vizată). O persoană identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare cum ar fi un nume, un număr de identificare, date de localizare, un identificator online sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale.

Prelucrare: orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea.

Operator: persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal. În relația cu Utilizatorii propriei Platforme, PSYTECH are calitatea de operator de date.

Persoană Împuternicită de operator: persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care prelucrează datele cu caracter personal în numele Operatorului. PSYTECH acționează ca Persoană Împuternicită în relația cu Utilizatorii platformei, în ceea ce privește datele clienților finali ai acestora.

Platforma – aplicația software ePSI, inclusiv interfața web (epsi.ro), aplicația mobilă ePSI Calendar, modulele, API-urile și toate serviciile conexe.

Servicii – totalitatea funcționalităților puse la dispoziție prin platforma ePSI.

Utilizator: psihologul cu drept de liberă practică atestat de Colegiul Psihologilor din România în condițiile Legii nr. 213/2004 (indiferent de forma de exercitare a profesiei: cabinet individual, cabinete asociate sau societate civilă profesională), psihologul aflat în supervizare care deține atestat de liberă practică în regim de exercitare sub supervizare emis de Colegiul Psihologilor din România, precum și studentul/masterandul înscris într-un program de învățământ superior acreditat în domeniul psihologiei, care creează un cont și utilizează serviciile Platformei în scop educațional și formativ.

Utilizatorul care exercită profesia de psiholog cu drept de liberă practică (în oricare dintre formele de exercitare prevăzute de lege) acționează în calitate de Operator de date pentru datele clienților săi, în sensul Art. 4 alin. (7) din Regulamentul (UE) 2016/679.

Client final: persoana fizică beneficiară a serviciilor psihologice profesionale oferite de Utilizatorul cu drept de liberă practică, ale cărei date cu caracter personal — inclusiv, după caz, date de natură administrativă privind relația profesională — sunt prelucrate prin intermediul Platformei de către Utilizator, în calitatea acestuia de operator de date, în sensul art. 4 alin. (7) din GDPR.

Date fiscale ale Utilizatorului: datele cu caracter personal conținute în documentele fiscale emise de Utilizator către clienții săi finali prin modulul de facturare al Platformei (facturi, proforme, stornouri), inclusiv datele de identificare ale clienților finali care apar ca beneficiari în aceste documente. Aceste documente fiscale reprezintă documente proprii ale Utilizatorului, emise în numele și pe seama acestuia în raporturile cu clienții săi finali. Nici PSYTECH, nici sub-procesatorii săi tehnici nu sunt titularii acestor documente și nu au obligații legale proprii de arhivare fiscală în legătură cu acestea.

Vizitator: orice persoană care accesează Platforma fără a crea un cont de utilizator.

Persoană vizată: orice persoană fizică ale cărei date cu caracter personal sunt prelucrate de PSYTECH, în calitate de Operator sau Persoană Împuternicită.

Consimțământ: orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate, prin care aceasta acceptă, printr-o declarație sau printr-o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate.

Încălcarea securității datelor cu caracter personal: încălcarea securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea sau divulgarea neautorizată a datelor cu caracter personal transmise, stocate sau prelucrate într-un alt mod, sau la accesul neautorizat la acestea.

Sub-procesator: orice terț angajat de PSYTECH pentru a desfășura activități specifice de prelucrare în numele Utilizatorului (Operatorului de date), în cadrul relației reglementate prin Acordul de Prelucrare a Datelor.

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal: autoritate națională publică, autonomă și independentă, instituită în temeiul articolului 51 din GDPR, cu sediul în București, Bulevardul General Gheorghe Magheru nr. 28-30, Sector 1, telefon 0318.059.211, adresă de e-mail [email protected].

3. ROLURILE PSYTECH ÎN PRELUCRAREA DATELOR

În funcție de contextul prelucrării, PSYTECH poate acționa în două calități distincte:

3.1. Operator de date

PSYTECH acționează în calitate de operator de date pentru prelucrarea datelor cu caracter personal ale:

• Utilizatorilor platformei ePSI (persoane fizice sau reprezentanți ai Utilizatorilor persoane juridice) care creează un cont și utilizează serviciile Platformei;
• Vizitatorilor Platformei. În aceste situații, PSYTECH stabilește scopurile și mijloacele prelucrării datelor.

3.2. Persoană Împuternicită (Processor)

În ceea ce privește datele clienților finali introduse în Platformă de către Utilizatori, PSYTECH acționează exclusiv ca Persoană Împuternicită, prelucrând datele numai pe baza instrucțiunilor documentate ale Utilizatorilor (Operatorii de date).

Această relație este reglementată în detaliu prin Acordul de Prelucrare a Datelor, care face parte integrantă din contractul de furnizare a serviciilor platformei. PSYTECH nu stabilește scopurile sau mijloacele prelucrării datelor clienților finali ai Utilizatorilor și nu utilizează aceste date în scopuri proprii.

3.3. Regimul specific al datelor fiscale ale Utilizatorului

Documentele fiscale emise de Utilizator către clienții săi finali prin modulul de facturare al Platformei (facturi, proforme, stornouri) sunt documente proprii ale Utilizatorului, generate în numele și pe seama acestuia. PSYTECH intervine exclusiv ca intermediar tehnic pentru transmiterea acestor documente, iar sub-procesatorul tehnic de facturare (ANINU APPS SRL, operatorul platformei InsideApp) acționează exclusiv ca sub-împuternicit al PSYTECH, la instrucțiunile acesteia.

Niciuna dintre aceste entități nu este titulara documentelor fiscale ale Utilizatorului și nu are obligații legale proprii de arhivare fiscală a acestora. Obligația de arhivare fiscală pentru perioada prevăzută de lege revine exclusiv Utilizatorului, conform pct. 7 din prezenta Politică.

4. CATEGORIILE DE DATE CU CARACTER PERSONAL PRELUCRATE

Categoriile de date prelucrate depind de contextul interacțiunilor și raporturilor pe care dumneavoastră, în calitate de persoană vizată, le stabiliți cu PSYTECH și cu Platforma.

4.1. Date prelucrate de PSYTECH în cazul Utilizatorilor, în calitate de Operator

• Date de identificare de bază: adresă de e-mail (necesară pentru crearea contului); nume și prenume (după completarea profilului); număr de telefon (pentru securitate sau notificări); județ, localitate, adresă.
• Date profesionale: cod psiholog, titlu profesional, specializări și domenii de expertiză, număr de înregistrare în Colegiul Psihologilor din România, informații biografice profesionale, experiență profesională, educație, limbi vorbite, abordări terapeutice, certificări, acreditări, prețul sesiunilor, program de lucru, disponibilitate.
• Date fiscale și de facturare: informații necesare procesării plăților și evidenței tranzacțiilor, cum ar fi: statusul plăților, istoricul tranzacțiilor, metode de plată utilizate și alte informații asociate procesării plăților.
• Date financiare: date necesare emiterii documentelor fiscale și gestionării relației contractuale, cum ar fi: nume, prenume, adresă, cod de identificare fiscală, precum și alte informații necesare emiterii facturilor sau documentelor justificative.

4.2. Date prelucrate de PSYTECH în cazul Clienților finali ai Utilizatorilor, în calitate de Persoană Împuternicită

• Date de identificare: nume, prenume, adresă de email, număr de telefon.

• Date de programare și utilizare a serviciilor: dată, oră, durată, locație, status sesiune, link-uri pentru sesiuni online, istoricul programărilor și al serviciilor accesate.

• Date fiscale ale Utilizatorului conținute în documentele emise de acesta către clienții finali: nume, prenume/denumire, adresă, cod de identificare fiscală (CIF/CNP după caz), și alte informații necesare emiterii facturilor sau documentelor justificative, transmise prin modulul de facturare exclusiv la instrucțiunile Utilizatorului în calitate de operator de date. Aceste date sunt prelucrate tehnic de PSYTECH și de sub-procesatorul ANINU APPS SRL exclusiv în scopul emiterii și transmiterii documentelor fiscale și sunt șterse din sistemele acestora după confirmarea exportului arhivei fiscale de către Utilizator, conform procedurii prevăzute la pct. 7.3 din prezenta Politică și la secțiunea 7.3 din Termenii și Condițiile Platformei.

• Date de identificare suplimentare (în situații specifice) - cod numeric personal (CNP) sau alte identificatoare similare pot fi prelucrate exclusiv în situațiile în care:

• colectarea acestora este impusă de legislația aplicabilă;

• sunt necesare pentru proceduri de decontare sau raportare către autorități sau terți (de exemplu sisteme de asigurări de sănătate, programe publice sau alte mecanisme de finanțare);

• sunt necesare pentru identificarea beneficiarului serviciilor în contexte reglementate. Colectarea acestor date se realizează exclusiv la inițiativa și sub responsabilitatea Operatorului, în conformitate cu legislația aplicabilă.

• Date cu caracter special: Platforma ePSI nu este destinată stocării sau gestionării datelor cu caracter special în sensul articolului 9 din GDPR (date privind sănătatea, date biometrice, date genetice etc.). Cu toate acestea, în funcție de modul de utilizare a Platformei, aceasta poate conține în mod incidental mențiuni administrative limitate. Astfel de date sunt introduse exclusiv la inițiativa Utilizatorului, iar responsabilitatea pentru stabilirea temeiului legal al prelucrării, informarea persoanelor vizate și respectarea articolului 9 din GDPR aparține în totalitate Utilizatorului, în calitate de operator de date. Pentru a gestiona corect din punct de vedere GDPR astfel de situații, PSYTECH aplică măsuri tehnice și organizatorice suplimentare, inclusiv criptare sporită și controale de acces restrictive, conform art. 32 GDPR. Utilizatorul (Operatorul de date) este obligat să asigure temeiul legal conform art. 9 alin. 2 GDPR și să informeze PSYTECH cu privire la natura acestor date.

4.3. Date tehnice prelucrate în cazul tuturor vizitatorilor și utilizatorilor Platformei

• Date tehnice de utilizare: adresă de protocol Internet; identificatori ai dispozitivului; tip browser și sistem de operare; jurnale de autentificare; marcaje temporale ale activităților; informații privind accesarea funcționalităților platformei. Aceste date sunt prelucrate de PSYTECH în calitate de operator de date independent, în temeiul interesului legitim (articolul 6 alineatul 1 litera f din GDPR), exclusiv în scopul securizării sistemelor proprii, prevenirii accesului neautorizat și îmbunătățirii funcționării Platformei.

4.4. Date privind minorii

Platforma este destinată a fi utilizată exclusiv de persoane cu capacitate juridică deplină de a încheia contracte, respectiv persoanelor cu vârsta de minimum 18 ani sau persoanelor juridice. Dacă identificăm că un Utilizator este minor, contul va fi închis imediat.

În cazul în care Utilizatorii introduc date ale minorilor în calitate de clienți ai serviciilor psihologice, aceștia sunt responsabili pentru respectarea legislației aplicabile, pentru obținerea consimțământului reprezentantului legal și pentru respectarea articolului 8 din GDPR.

5. BAZA LEGALĂ A PRELUCRĂRILOR DE DATE CU CARACTER PERSONAL

Prelucrările de date efectuate de PSYTECH au la bază prevederile:

• Regulamentului (UE) 2016/679 (GDPR) și ale legislației naționale de aplicare a acestuia, în special Legea nr. 190/2018 privind măsurile de punere în aplicare a GDPR;
• Legii nr. 506/2004 privind prelucrarea datelor cu caracter personal și protecția vieții private în sectorul comunicațiilor electronice;
• Legii nr. 365/2002 republicată, privind comerțul electronic;
• Legii nr. 213/2004 privind exercitarea profesiei de psiholog cu drept de liberă practică, înfiinţarea, organizarea şi funcţionarea Colegiului Psihologilor din România
• Legii contabilității nr. 82/1991 republicată, cu modificările și completările ulterioare;
• Ordinului Ministrului Finanțelor Publice nr. 2634/2015 privind documentele financiar-contabile;
• Legii nr. 227/2015 privind Codul Fiscal și Legii nr. 207/2015 privind Codul de Procedură Fiscală.

6. SCOPURILE ȘI TEMEIURILE JURIDICE ALE PRELUCRĂRILOR DE DATE CU CARACTER PERSONAL

Datele cu caracter personal colectate de PSYTECH prin intermediul Platformei sunt necesare pentru prestarea serviciilor conform obiectului de activitate, pentru îndeplinirea obligațiilor legale sau pentru urmărirea intereselor legitime ale PSYTECH, cu respectarea drepturilor utilizatorilor.

6.1. Executarea contractului – articolul 6 alineatul 1 litera b) din GDPR

Prelucrarea este necesară pentru executarea contractului la distanță încheiat între dumneavoastră și PSYTECH prin acceptarea Termenilor și Condițiilor de Utilizare, în vederea furnizării funcționalităților platformei:

• calendar și programări cu sincronizare între dispozitive;
• gestionarea relației cu clienții (modul de gestionare relații clienți de bază);
• facturare electronică și evidențe financiare, inclusiv integrare cu Sistemul Național de Facturare Electronică;
• registre și evidențe administrative și profesionale;
• notificări și mementouri pentru programări;
• sesiuni online (integrare Google Meet și Zoom);
• asistent de inteligență artificială ePsi Think (cu rol exclusiv informativ și educațional);
• director public de terapeuți și director de evenimente profesionale (opționale). Temei juridic: articolul 6 alineatul 1 litera b) din GDPR – executarea contractului. Refuzul furnizării datelor necesare poate avea drept consecință imposibilitatea utilizării funcționalităților Platformei.

6.2. Marketing și comunicări comerciale – articolul 6 alineatul 1 litera a) din GDPR (consimțământ)

Prelucrarea datelor în scop de marketing se realizează exclusiv pe baza consimțământului explicit exprimat de dumneavoastră. Aceasta include transmiterea prin e-mail sau SMS a mesajelor comerciale privind activitățile PSYTECH, informații organizatorice, oferte sau promoții.

Cookie-urile de marketing (Google Ads, Google Analytics, Meta Ads, TikTok Ads) sunt activate exclusiv cu consimțământul explicit al vizitatorului, prin bannerul de cookie-uri. Datele colectate nu includ date de sănătate sau date sensibile. Consimțământul poate fi retras oricând prin:

• accesarea opțiunii de dezabonare din orice comunicare comercială primită;
• modificarea preferințelor din Setări în cadrul platformei;
• transmiterea unei cereri la adresa [email protected]. Temei juridic: articolul 6 alineatul 1 litera a) din GDPR – consimțământ. Retragerea consimțământului nu afectează legalitatea prelucrărilor anterioare și nu are urmări negative pentru accesul la serviciile de bază ale platformei.

6.3. Îndeplinirea obligațiilor legale – articolul 6 alineatul 1 litera c) din GDPR

PSYTECH prelucrează datele pentru îndeplinirea obligațiilor legale care îi revin în nume propriu, inclusiv obligații fiscale și contabile privind documentele emise de PSYTECH față de Utilizatori (facturi de abonament).Temei juridic: articolul 6 alineatul 1 litera c) din GDPR – obligație legală. Furnizarea datelor este obligatorie; refuzul poate face imposibilă furnizarea serviciilor de facturare.

Precizare importantă privind documentele fiscale ale Utilizatorului: Documentele fiscale emise de Utilizator față de clienții săi finali prin modulul de facturare al Platformei sunt documente proprii ale Utilizatorului. Obligația de arhivare fiscală a acestor documente pentru o perioadă de 5 ani, calculați de la 1 iulie a anului următor exercițiului financiar în care au fost întocmite, conform Legii nr. 82/1991 (modificată prin Legea nr. 36/2023), revine exclusiv Utilizatorului și nu constituie un temei pentru PSYTECH sau sub-procesatorii săi de a păstra aceste date după închiderea contului Utilizatorului. PSYTECH nu invocă art. 6 alin. 1 lit. c) GDPR pentru retenția datelor fiscale ale Utilizatorului după închiderea contului acestuia.

Temei juridic: art. 6 alin. 1 lit. c) GDPR — aplicabil exclusiv obligațiilor legale proprii ale PSYTECH.

6.4. Interesul legitim – articolul 6 alineatul 1 litera f) din GDPR

Pe baza interesului legitim, PSYTECH prelucrează date pentru:

• efectuarea de analize și rapoarte privind funcționarea Platformei, realizarea de profiluri de preferințe de utilizare, soluționarea reclamațiilor și îmbunătățirea experienței pe Platformă;
• utilizarea datelor colectate în cadrul folosirii serviciilor Platformei pentru realizarea de analize statistice și elaborarea de rapoarte sau insight-uri privind tendințele pieței serviciilor psihologice. Aceste analize sunt realizate exclusiv pe baza unor date ireversibil anonimizate, care nu mai constituie date cu caracter personal în sensul GDPR, conform art. 4 pct. 1 și considerentului 26. PSYTECH nu utilizează date identificabile ale utilizatorilor sau clienților finali în aceste scopuri. Rezultatele acestor analize pot fi publicate sau utilizate în scopuri de marketing, comunicare publică, cercetare de piață sau dezvoltare a serviciilor Platformei.
• protecția Platformei și a utilizatorilor împotriva atacurilor cibernetice, identificarea și prevenirea fraudelor, monitorizarea riscurilor comerciale;
• verificarea credențialelor profesionale ale utilizatorilor prin Registrul Unic al Colegiului Psihologilor din România, în temeiul dreptului de reutilizare a informațiilor din sectorul public (Legea nr. 179/2022). Prelucrarea se limitează strict la datele profesionale (nume, cod personal, specializare, drept de liberă practică), cu excluderea datelor de contact sau a datelor sensibile;
• păstrarea înregistrărilor tehnice (log-urilor) privind acordarea, modificarea sau retragerea consimțământului de prelucrare a datelor cu caracter personal, exprimate de Utilizator în momentul creării contului sau ulterior în cadrul Platformei. Aceste log-uri sunt păstrate pe durata existenței contului de Utilizator și pentru o perioadă de 3 ani de la ștergerea sau dezactivarea acestuia, în scopul îndeplinirii obligației de demonstrare a conformității cu GDPR (accountability), prevăzută de articolul 5 alineatul 2 din Regulamentul (UE) 2016/679, precum și pentru a putea răspunde unor eventuale cereri, reclamații sau controale din partea autorității de supraveghere (ANSPDCP) sau a instanțelor judecătorești competente. Păstrarea acestor date reprezintă un interes legitim al PSYTECH, proporțional cu drepturile și libertățile persoanelor vizate, termenul de 3 ani fiind corelat cu termenul general de prescripție extinctivă prevăzut de art. 2517 din Codul civil. Temei juridic: articolul 6 alineatul 1 litera f) din GDPR – interes legitim. Orice persoană poate formula o cerere de opoziție în exercitarea dreptului prevăzut de articolul 21 din GDPR, prin transmiterea unei solicitări scrise la [email protected].

7. DURATA PRELUCRĂRII ȘI PERIOADELE DE RETENȚIE A DATELOR

PSYTECH prelucrează datele cu caracter personal numai atât timp cât este necesar pentru realizarea scopurilor prevăzute în prezenta Politică de Confidențialitate, cu respectarea obligațiilor legale de păstrare și a termenelor de prescripție aplicabile.

7.1. Procedura de export și ștergere a datelor fiscale ale Utilizatorului la închiderea contului

La solicitarea închiderii contului, PSYTECH pune la dispoziția Utilizatorului exportul complet al tuturor documentelor fiscale emise prin modulul de facturare, în format XML și/sau PDF, fără costuri suplimentare. După confirmarea de către Utilizator a recepționării exportului, PSYTECH instruiește sub-procesatorul tehnic (ANINU APPS SRL) să șteargă toate datele fiscale ale Utilizatorului din sistemele sale, în termen de maximum 30 de zile. Ștergerea este confirmată în scris de sub-procesator.

Utilizatorul are obligația legală proprie de a arhiva aceste documente pentru o perioadă de 5 ani, calculați de la 1 iulie a anului următor exercițiului financiar în care au fost întocmite, conform Legii nr. 82/1991 (modificată prin Legea nr. 36/2023). Această obligație se execută pe infrastructura proprie a Utilizatorului sau a unui arhivator electronic autorizat ales de acesta, independent de orice raport cu PSYTECH.

PSYTECH nu răspunde pentru consecințele nearhivării documentelor fiscale proprii ale Utilizatorului după închiderea contului, în condițiile în care a respectat procedura de notificare și export prevăzută la secțiunea 7.3 din Termenii și Condițiile Platformei.

7.2. Limitarea dreptului la ștergere pentru datele fiscale proprii ale PSYTECH

Prin excepție de la regula generală privind datele fiscale ale Utilizatorului descrisă mai sus, dreptul la ștergere prevăzut de art. 17 GDPR nu se aplică documentelor fiscale proprii ale PSYTECH (facturile emise de PSYTECH față de Utilizatori pentru abonamente), în temeiul art. 17 alin. 3 lit. b) GDPR, întrucât păstrarea acestora este necesară pentru îndeplinirea obligației legale de arhivare fiscală care îi revine PSYTECH în calitate de emitent, pentru perioada de 5 ani prevăzută de lege.

La expirarea perioadei de retenție, datele cu caracter personal vor fi șterse definitiv sau anonimizate, cu excepția cazurilor în care legea impune păstrarea lor pentru o perioadă mai îndelungată.

8. CATEGORII DE DESTINATARI ȘI TRANSFERUL DATELOR CU CARACTER PERSONAL

8.1. Destinatari ai datelor

PSYTECH poate transmite, acorda acces și/sau divulga datele personale către:

• autorități și instituții publice, în conformitate cu prevederile legale (de exemplu Agenția Națională de Administrare Fiscală, instanțe judecătorești, organe de urmărire penală, Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal);
• furnizori terți de servicii care acționează ca persoane împuternicite sau sub-procesatori, cu care PSYTECH a încheiat acorduri de prelucrare a datelor conform articolului 28 din GDPR.

8.2. Lista sub-procesatorilor autorizați

PSYTECH apelează exclusiv la sub-procesatori care oferă garanții suficiente pentru implementarea unor măsuri tehnice și organizatorice adecvate, astfel încât prelucrarea să respecte cerințele GDPR și să asigure protecția drepturilor persoanelor vizate.

8.3. Transferuri internaționale de date

Ca regulă generală, datele cu caracter personal sunt stocate și prelucrate pe teritoriul Uniunii Europene și al Spațiului Economic European. Anumiți sub-procesatori au sediul sau operează infrastructură în afara Spațiului Economic European.

Transferurile de date către entități din afara Spațiului Economic European se realizează exclusiv în temeiul unor mecanisme legale adecvate, după cum urmează:

• Decizia de adecvare UE-SUA privind Cadrul UE-SUA pentru protecția datelor, acolo unde este aplicabilă;
• Clauzele Contractuale Standard adoptate de Comisia Europeană conform articolului 46 alineatul 2 litera c) din GDPR. PSYTECH monitorizează periodic valabilitatea mecanismelor de transfer utilizate. În cazul invalidării Deciziei de adecvare UE-SUA, transferurile vor continua exclusiv pe baza Clauzelor Contractuale Standard adoptate de Comisia Europeană, fără a fi necesară o nouă notificare a persoanelor vizate, cu excepția cazului în care modificarea afectează în mod semnificativ drepturile acestora

9. MĂSURI TEHNICE ȘI ORGANIZATORICE DE PROTECȚIE A DATELOR CU CARACTER PERSONAL

9.1. Criptare și pseudonimizare

• Criptarea datelor în tranzit: protocolul Transport Layer Security 1.3 pentru toate comunicațiile;
• Criptarea datelor în repaus: criptare la nivel de bază de date cu algoritmul Advanced Encryption Standard cu cheie de 256 biți;
• Criptarea jetonilor OAuth și a cheilor de acces cu Supabase Vault;
• Pseudonimizarea conversațiilor cu asistentul de inteligență artificială (eliminarea datelor identificabile înainte de transmiterea către Anthropic PBC).

9.2. Controlul accesului

• Politici Row Level Security în PostgreSQL: fiecare utilizator poate accesa exclusiv datele proprii;
• Autentificare securizată cu suport pentru autentificarea în doi factori și gestionarea dispozitivelor;
• Acces la infrastructură limitat pe principiul necesității cunoașterii (need-to-know);
• Chei de interfață de programare separate (cheie publicabilă față de cheie de rol de serviciu);
• Arhitectură multi-utilizator cu separare logică a datelor între utilizatori.

9.3. Disponibilitate și reziliență

• Copii de rezervă automate zilnice ale bazei de date;
• Infrastructură redundantă (PostgreSQL gestionat de Supabase);
• Monitorizare continuă a disponibilității serviciilor.

9.4. Monitorizare și audit

• Jurnale de audit pentru acțiuni critice (autentificare, modificare date, export);
• Detectare automată a accesului neautorizat;
• Evaluare periodică a eficacității măsurilor de securitate.

9.5. Măsuri organizatorice

• Politici interne de securitate a informației;
• Instruirea periodică a personalului cu privire la normele și procedurile de prelucrare și securizare a datelor cu caracter personal;
• Proceduri de gestionare a incidentelor de securitate;
• Toți sub-procesatorii au implementat măsuri tehnice și organizatorice corespunzătoare conform articolului 32 din GDPR, documentate prin acorduri de prelucrare a datelor încheiate cu PSYTECH.

9.6. Evaluarea impactului asupra protecției datelor (DPIA)

• PSYTECH a realizat o evaluare a impactului asupra protecției datelor (DPIA) pentru activitățile de prelucrare care implică riscuri ridicate, inclusiv utilizarea asistentului de inteligență artificială și procesarea datelor cu caracter special. Concluziile DPIA sunt disponibile la cerere la [email protected].

10. NOTIFICAREA ÎNCĂLCĂRILOR DE SECURITATE A DATELOR CU CARACTER PERSONAL

În cazul identificării unei încălcări a securității datelor cu caracter personal, PSYTECH va acționa conform articolelor 33 și 34 din GDPR:

• Va notifica Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal în termen de maximum 72 de ore de la constatare, în cazul încălcărilor care îi afectează calitatea de Operator de date;
• Va informa Utilizatorul (Operatorul de date) în termen de maximum 48 de ore de la constatare, în cazul încălcărilor care afectează datele clienților finali ai acestuia, pentru a-i permite îndeplinirea propriilor obligații legale de notificare;
• Va informa persoanele vizate afectate, fără întârzieri nejustificate, în cazul în care încălcarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile acestora (articolul 34 din GDPR).

11. PROCESE DECIZIONALE AUTOMATE ȘI CREAREA DE PROFILURI

11.1. Instrumente de analiză și publicitate

PSYTECH utilizează instrumente de analiză a comportamentului online și de publicitate digitală, activate exclusiv cu consimțământul explicit al vizitatorului, prin bannerul de cookie-uri:

• Google Analytics – pentru înțelegerea modului în care vizitatorii interacționează cu Platforma (pagini vizitate, durată vizită, traseu pe Platformă). Politica Google: https://www.google.com/analytics/terms/;
• Vercel Analytics – pentru măsurarea performanței și a traficului Platformei, cu date anonimizate;
• Google Ads – pentru campanii de publicitate și remarketing bazate pe comportamentul online al vizitatorilor;
• Meta Ads (Facebook/Instagram) – pentru publicitate digitală pe platformele Meta;
• TikTok Ads – pentru publicitate digitală pe platforma TikTok. Datele colectate prin instrumentele de publicitate nu includ date de sănătate sau date sensibile.

11.2. Asistentul de inteligență artificială ePsi Think

Funcționalitatea ePsi Think are rol exclusiv informativ, teoretic și educațional. Aceasta nu ia decizii automatizate cu efecte juridice sau efecte semnificative privind utilizatorii sau clienții acestora, în sensul articolului 22 din GDPR. Conversațiile sunt pseudonimizate înainte de transmiterea către Anthropic PBC. Utilizatorii au obligația de a nu introduce date identificabile ale clienților în conversațiile cu ePsi Think.

11.3. Cookie-uri

Platforma web utilizează cookie-uri conform Politicii de Cookie-uri disponibilă pe site. Aplicația mobilă ePSI nu utilizează cookie-uri tradiționale. Stocarea datelor în aplicația mobilă se realizează prin SecureStore pentru date sensibile (jetoane de autentificare) și prin AsyncStorage pentru preferințele utilizatorului.

12. DREPTURILE PERSOANELOR VIZATE

• Dreptul de acces (articolul 15 din GDPR): Aveți dreptul de a obține din partea PSYTECH o confirmare că datele dumneavoastră cu caracter personal sunt sau nu prelucrate, iar în caz afirmativ, accesul la datele respective și la informații privind scopurile prelucrării, categoriile de date vizate, destinatarii acestora și durata stocării.

• Dreptul la rectificare (articolul 16 din GDPR): Aveți dreptul de a obține rectificarea datelor inexacte care vă privesc și completarea datelor incomplete.

• Dreptul la ștergere – dreptul de a fi uitat (articolul 17 din GDPR): Aveți dreptul de a solicita ștergerea datelor cu caracter personal atunci când: nu mai sunt necesare pentru scopurile pentru care au fost colectate; vă retrageți consimțământul și nu există alt temei juridic; vă opuneți prelucrării și nu există motive legitime prevalente; datele au fost prelucrate ilegal. Acest drept nu se aplică în măsura în care prelucrarea este necesară pentru respectarea unei obligații legale.

• Dreptul la restricționarea prelucrării (articolul 18 din GDPR): Aveți dreptul de a obține restricționarea prelucrării datelor dumneavoastră în situațiile prevăzute de lege, de exemplu când contestați exactitatea datelor sau când vă opuneți prelucrării.

• Dreptul la portabilitatea datelor (articolul 20 din GDPR): Aveți dreptul să primiți datele cu caracter personal pe care le-ați furnizat PSYTECH, într-un format structurat, utilizat în mod obișnuit și care poate fi citit automat, sau să solicitați transmiterea acestor date unui alt operator, dacă prelucrarea se bazează pe consimțământ sau executarea unui contract.

• Dreptul de opoziție (articolul 21 din GDPR): Aveți dreptul de a vă opune prelucrării datelor dumneavoastră atunci când prelucrarea se bazează pe interesul legitim al PSYTECH sau este realizată în scopuri de marketing direct. În cazul marketingului direct, opoziția este absolută.

• Dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrare automată (articolul 22 din GDPR): Aveți dreptul de a nu face obiectul unei decizii luate exclusiv prin mijloace automate, inclusiv profilarea, care produce efecte juridice sau vă afectează în mod semnificativ.

• Dreptul de a retrage consimțământul: Atunci când prelucrarea se bazează pe consimțământul dumneavoastră, îl puteți retrage oricând, fără a afecta legalitatea prelucrărilor efectuate anterior retragerii. Pentru exercitarea oricăruia dintre drepturile menționate, vă puteți adresa PSYTECH printr-o cerere scrisă, datată și semnată, transmisă:

• prin e-mail la adresa: [email protected];

• prin poștă sau depusă personal la sediul PSYTECH S.R.L., Strada Vasile Lascăr nr. 3, Sector 2, București. Pentru protejarea datelor dumneavoastră, PSYTECH poate solicita informații suplimentare pentru confirmarea identității în cazul cererilor de exercitare a drepturilor GDPR. Dacă cererea este transmisă prin e-mail, vom solicita confirmarea de la adresa asociată contului sau alte date de identificare rezonabile. PSYTECH nu va utiliza aceste informații în alt scop decât verificarea identității.

PSYTECH va răspunde cererii dumneavoastră în termen de maximum 30 de zile de la primire, cu posibilitatea de prelungire cu încă 60 de zile în cazuri complexe (conform articolului 12 din GDPR).

De asemenea, aveți dreptul de a depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, cu sediul în Bulevardul General Gheorghe Magheru nr. 28-30, Sector 1, cod poștal 010336, București, telefon 0318.059.211, adresă de e-mail: [email protected].

13. OBLIGAȚIA FURNIZĂRII DATELOR CU CARACTER PERSONAL

Puteți vizita pagina de internet a Platformei fără a completa date cu caracter personal. Dacă doriți să beneficiați de serviciile Platformei ePSI, este necesar să furnizați datele minime necesare pentru crearea contului și executarea contractului.

PSYTECH a configurat câmpurile obligatorii astfel încât să solicite volumul minim de informații necesar pentru furnizarea serviciului, în conformitate cu principiul minimizării datelor prevăzut de articolul 5 alineatul 1 litera c) din GDPR. La momentul înregistrării se solicită exclusiv adresa de e-mail.

PSYTECH nu condiționează accesul la serviciile de bază de acordarea consimțământului pentru comunicări de marketing.

14. MODIFICAREA POLITICII DE CONFIDENȚIALITATE

PSYTECH poate actualiza prezenta Politică de Confidențialitate periodic, în funcție de modificările legislative aplicabile, ale serviciilor furnizate sau ale nivelului de dezvoltare tehnologică.

Modificările semnificative vor fi comunicate Utilizatorilor cu minimum 30 de zile înainte de intrarea în vigoare, prin e-mail la adresa asociată contului, notificare în platformă și banner informativ la autentificare.

Continuarea utilizării Platformei după intrarea în vigoare a modificărilor constituie acceptarea noii versiuni a Politicii de Confidențialitate. Dacă nu sunteți de acord cu modificările, aveți dreptul de a vă închide contul înainte de intrarea acestora în vigoare.

15. DATE DE CONTACT

Pentru orice întrebări, solicitări sau exercitarea drepturilor prevăzute de GDPR:

PSYTECH S.R.L.

Strada Vasile Lascăr nr. 3, Sector 2, București, România

Adresă de e-mail: [email protected]

Adresă web: https://epsi.ro

Responsabil cu protecția datelor (DPO): [email protected]

Prezenta Politică de Confidențialitate face parte integrantă din cadrul contractual al platformei ePSI, alături de Termenii și Condițiile de Utilizare și Acordul de Prelucrare a Datelor.