Politica de Confidențialitate

Vă mulțumim pentru accesarea platformei https://www.epsi.ro/.

Prezenta Politică de Confidențialitate descrie modul în care PSYTECH S.R.L. colectează, utilizează, stochează și protejează datele cu caracter personal ale persoanelor care interacționează cu Platforma ePSI (mai departe "Platforma").

Prezenta Politică de Confidențialitate trebuie citită împreună cu Termenii și Condițiile de Utilizare și cu Acordul de Prelucrare a Datelor, documente care formează împreună cadrul contractual și de conformitate GDPR al Platformei ePSI.

1. Informații generale

Aplicația software ePSI este o platformă de management profesional și administrativ, disponibilă atât ca aplicație web, cât și ca aplicație mobilă (iOS și Android), destinată exclusiv următoarelor categorii de utilizatori:

• psihologi cu drept de liberă practică, atestați de Colegiul Psihologilor din România în condițiile Legii nr. 213/2004;
• psihologi aflați în supervizare, care dețin atestat de liberă practică în regim de exercitare sub supervizare;
• persoane aflate în formare profesională în domeniul psihologiei (studenți și masteranzi), în scop educațional și formativ.

În calitate de operator de date cu caracter personal, PSYTECH se asigură că prelucrarea datelor respectă cu strictețe principiile și normele GDPR, în special principiile de legalitate, echitate și transparență, limitare a scopului, minimizare a datelor, exactitate, limitare a stocării, integritate și confidențialitate, prevăzute la articolul 5 din GDPR.

Prezenta Politică de Confidențialitate are rolul de a vă informa cu privire la:

• prelucrările de date ale utilizatorilor platformei ePSI derulate de PSYTECH în calitate de Operator;
• prelucrările de date ale clienților finali ai utilizatorilor, derulate de PSYTECH în calitate de Persoană Împuternicită;
• prelucrările de date ale vizitatorilor Platformei;
• prelucrările de date ale reprezentanților partenerilor comerciali și colaboratorilor PSYTECH;
• drepturile persoanelor vizate și modalitățile de exercitare a acestora.

Dacă aveți întrebări sau comentarii despre această Politică de Confidențialitate, vă rugăm să ne contactați la [email protected].

2. Definiții

• Date cu caracter personal: orice informații privind o persoană fizică identificată sau identificabilă (denumită persoană vizată).
• Prelucrare: orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea.
• Operator: persoana fizică sau juridică care stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal. În relația cu Utilizatorii Platformei, PSYTECH are calitatea de operator de date.
• Persoană Împuternicită de operator: persoana care prelucrează datele cu caracter personal în numele Operatorului. PSYTECH acționează ca Persoană Împuternicită în ceea ce privește datele clienților finali ai Utilizatorilor.
• Platforma: aplicația software ePSI, inclusiv interfața web (epsi.ro), aplicația mobilă ePSI Calendar, modulele, API-urile și toate serviciile conexe.
• Servicii: totalitatea funcționalităților puse la dispoziție prin platforma ePSI.
• Utilizator: psihologul cu drept de liberă practică, psihologul aflat în supervizare, precum și studentul/masterandul în domeniul psihologiei, care creează un cont și utilizează serviciile Platformei. Utilizatorul care exercită profesia cu drept de liberă practică acționează în calitate de Operator de date pentru datele clienților săi.
• Client final: persoana fizică beneficiară a serviciilor psihologice profesionale oferite de Utilizator, ale cărei date cu caracter personal sunt prelucrate prin intermediul Platformei de către Utilizator, în calitatea acestuia de operator de date.
• Date fiscale ale Utilizatorului: datele cu caracter personal conținute în documentele fiscale emise de Utilizator către clienții săi finali prin modulul de facturare al Platformei (facturi, proforme, stornouri). Aceste documente sunt proprii ale Utilizatorului. Nici PSYTECH, nici sub-procesatorii săi nu sunt titularii acestor documente și nu au obligații legale de arhivare fiscală.
• Vizitator: orice persoană care accesează Platforma fără a crea un cont de utilizator.
• Persoană vizată: orice persoană fizică ale cărei date cu caracter personal sunt prelucrate de PSYTECH.
• Consimțământ: orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate, prin care aceasta acceptă ca datele sale să fie prelucrate.
• Încălcarea securității datelor: încălcarea securității care duce la distrugerea, pierderea, modificarea sau divulgarea neautorizată a datelor cu caracter personal.
• Sub-procesator: orice terț angajat de PSYTECH pentru a desfășura activități de prelucrare în numele Utilizatorului (Operatorului de date).

3. Rolurile PSYTECH în prelucrarea datelor

În funcție de contextul prelucrării, PSYTECH poate acționa în două calități distincte:

3.1. Operator de date

PSYTECH acționează în calitate de operator de date pentru prelucrarea datelor cu caracter personal ale:

• Utilizatorilor platformei ePSI care creează un cont și utilizează serviciile Platformei;
• Vizitatorilor Platformei.

În aceste situații, PSYTECH stabilește scopurile și mijloacele prelucrării datelor.

3.2. Persoană Împuternicită (Processor)

În ceea ce privește datele clienților finali introduse în Platformă de către Utilizatori, PSYTECH acționează exclusiv ca Persoană Împuternicită, prelucrând datele numai pe baza instrucțiunilor documentate ale Utilizatorilor (Operatorii de date).

Această relație este reglementată prin Acordul de Prelucrare a Datelor, care face parte integrantă din contractul de furnizare a serviciilor. PSYTECH nu stabilește scopurile sau mijloacele prelucrării datelor clienților finali și nu utilizează aceste date în scopuri proprii.

3.3. Regimul specific al datelor fiscale ale Utilizatorului

Documentele fiscale emise de Utilizator către clienții săi finali prin modulul de facturare al Platformei sunt documente proprii ale Utilizatorului. PSYTECH intervine exclusiv ca intermediar tehnic, iar sub-procesatorul tehnic de facturare (ANINU APPS SRL, operatorul platformei InsideApp) acționează exclusiv ca sub-împuternicit al PSYTECH.

Niciuna dintre aceste entități nu este titulara documentelor fiscale ale Utilizatorului și nu are obligații legale proprii de arhivare fiscală a acestora. Obligația de arhivare fiscală revine exclusiv Utilizatorului, conform pct. 7 din prezenta Politică.

4. Categoriile de date cu caracter personal prelucrate

Categoriile de date prelucrate depind de contextul interacțiunilor și raporturilor pe care le stabiliți cu PSYTECH și cu Platforma.

4.1. Date prelucrate în cazul Utilizatorilor (PSYTECH ca Operator)

• Date de identificare de bază: adresă de e-mail (necesară pentru crearea contului); nume și prenume (după completarea profilului); număr de telefon; județ, localitate, adresă.
• Date profesionale: cod psiholog, titlu profesional, specializări și domenii de expertiză, număr de înregistrare în Colegiul Psihologilor din România, informații biografice profesionale, experiență profesională, educație, limbi vorbite, abordări terapeutice, certificări, acreditări, prețul sesiunilor, program de lucru, disponibilitate.
• Date fiscale și de facturare: informații necesare procesării plăților și evidenței tranzacțiilor (statusul plăților, istoricul tranzacțiilor, metode de plată).
• Date financiare: date necesare emiterii documentelor fiscale și gestionării relației contractuale (nume, prenume, adresă, cod de identificare fiscală).

4.2. Date prelucrate în cazul Clienților finali (PSYTECH ca Persoană Împuternicită)

• Date de identificare: nume, prenume, adresă de email, număr de telefon.
• Date de programare și utilizare: dată, oră, durată, locație, status sesiune, link-uri pentru sesiuni online, istoricul programărilor.
• Date fiscale ale Utilizatorului conținute în documentele emise: nume, prenume/denumire, adresă, cod de identificare fiscală — transmise prin modulul de facturare exclusiv la instrucțiunile Utilizatorului. Aceste date sunt șterse din sistemele PSYTECH și ANINU APPS SRL după confirmarea exportului arhivei de către Utilizator.
• Date de identificare suplimentare (în situații specifice): CNP sau alte identificatoare pot fi prelucrate exclusiv când sunt impuse de legislație sau necesare pentru proceduri de decontare/raportare.

4.3. Date tehnice (toți vizitatorii și utilizatorii)

• Adresă IP, identificatori dispozitiv, tip browser și sistem de operare
• Jurnale de autentificare, marcaje temporale ale activităților
• Informații privind accesarea funcționalităților platformei

Aceste date sunt prelucrate în temeiul interesului legitim (art. 6 alin. 1 lit. f din GDPR), exclusiv în scopul securizării sistemelor și îmbunătățirii funcționării Platformei.

4.4. Date privind minorii

Platforma este destinată exclusiv persoanelor cu vârsta de minimum 18 ani sau persoanelor juridice. Dacă identificăm că un Utilizator este minor, contul va fi închis imediat. În cazul în care Utilizatorii introduc date ale minorilor ca clienți, aceștia sunt responsabili pentru respectarea legislației aplicabile și obținerea consimțământului reprezentantului legal (art. 8 GDPR).

5. Baza legală a prelucrărilor de date cu caracter personal

Prelucrările de date efectuate de PSYTECH au la bază prevederile:

• Regulamentului (UE) 2016/679 (GDPR) și ale Legii nr. 190/2018
• Legii nr. 506/2004 privind protecția vieții private în sectorul comunicațiilor electronice
• Legii nr. 365/2002 privind comerțul electronic
• Legii nr. 213/2004 privind exercitarea profesiei de psiholog
• Legii contabilității nr. 82/1991, cu modificările ulterioare
• Ordinului MFP nr. 2634/2015 privind documentele financiar-contabile
• Legii nr. 227/2015 privind Codul Fiscal și Legii nr. 207/2015 privind Codul de Procedură Fiscală

6. Scopurile și temeiurile juridice ale prelucrărilor

6.1. Executarea contractului – art. 6 alin. 1 lit. b) GDPR

Prelucrarea este necesară pentru executarea contractului la distanță încheiat prin acceptarea Termenilor și Condițiilor, în vederea furnizării funcționalităților platformei:

• Calendar și programări cu sincronizare între dispozitive
• Gestionarea relației cu clienții (CRM de bază)
• Facturare electronică și evidențe financiare, inclusiv integrare e-Factura
• Registre și evidențe administrative și profesionale
• Notificări și mementouri pentru programări
• Sesiuni online (Google Meet și Zoom)
• Asistent AI ePsi Think (rol exclusiv informativ și educațional)
• Director public de terapeuți și director de evenimente (opționale)

Refuzul furnizării datelor necesare poate avea drept consecință imposibilitatea utilizării funcționalităților Platformei.

6.2. Marketing și comunicări comerciale – art. 6 alin. 1 lit. a) GDPR (consimțământ)

Prelucrarea datelor în scop de marketing se realizează exclusiv pe baza consimțământului explicit. Cookie-urile de marketing (Google Ads, Google Analytics, Meta Ads, TikTok Ads) sunt activate exclusiv cu consimțământul explicit al vizitatorului, prin bannerul de cookie-uri. Datele colectate nu includ date de sănătate sau date sensibile.

Consimțământul poate fi retras oricând prin:

• Accesarea opțiunii de dezabonare din orice comunicare comercială primită
• Modificarea preferințelor din Setări în cadrul platformei
• Transmiterea unei cereri la [email protected]

Retragerea consimțământului nu afectează legalitatea prelucrărilor anterioare și nu are urmări negative pentru accesul la serviciile de bază.

6.3. Îndeplinirea obligațiilor legale – art. 6 alin. 1 lit. c) GDPR

PSYTECH prelucrează datele pentru îndeplinirea obligațiilor legale proprii, inclusiv obligații fiscale și contabile privind documentele emise de PSYTECH față de Utilizatori (facturi de abonament).

6.4. Interesul legitim – art. 6 alin. 1 lit. f) GDPR

Pe baza interesului legitim, PSYTECH prelucrează date pentru:

• Efectuarea de analize și rapoarte privind funcționarea Platformei, realizarea de profiluri de preferințe de utilizare, soluționarea reclamațiilor și îmbunătățirea experienței
• Realizarea de analize statistice pe baza unor date ireversibil anonimizate, care nu mai constituie date cu caracter personal conform GDPR. Rezultatele pot fi publicate sau utilizate în scopuri de marketing, cercetare de piață sau dezvoltare a serviciilor
• Protecția Platformei și a utilizatorilor împotriva atacurilor cibernetice, identificarea și prevenirea fraudelor
• Verificarea credențialelor profesionale prin Registrul Unic al Colegiului Psihologilor din România (Legea nr. 179/2022), limitată strict la date profesionale
• Păstrarea jurnalelor tehnice privind consimțământul (pe durata contului + 3 ani), pentru demonstrarea conformității GDPR (accountability, art. 5 alin. 2)

Orice persoană poate formula o cerere de opoziție (art. 21 GDPR) la [email protected].

7. Durata prelucrării și perioadele de retenție a datelor

PSYTECH prelucrează datele numai atât timp cât este necesar pentru realizarea scopurilor prevăzute, cu respectarea obligațiilor legale de păstrare.

7.1. Procedura de export și ștergere a datelor fiscale la închiderea contului

La solicitarea închiderii contului, PSYTECH pune la dispoziție exportul complet al documentelor fiscale (format XML și/sau PDF), fără costuri suplimentare. După confirmarea recepționării, PSYTECH instruiește ANINU APPS SRL să șteargă datele în termen de maximum 30 de zile.

Utilizatorul are obligația legală proprie de arhivare pentru 5 ani (Legea nr. 82/1991), pe infrastructura proprie. PSYTECH nu răspunde pentru consecințele nearhivării după închiderea contului.

7.2. Limitarea dreptului la ștergere pentru datele fiscale proprii ale PSYTECH

Dreptul la ștergere (art. 17 GDPR) nu se aplică documentelor fiscale proprii ale PSYTECH (facturi de abonament), în temeiul art. 17 alin. 3 lit. b) GDPR, pentru perioada de 5 ani prevăzută de lege.

La expirarea perioadei de retenție, datele vor fi șterse definitiv sau anonimizate.

8. Categorii de destinatari și transferul datelor

8.1. Destinatari ai datelor

PSYTECH poate transmite date către:

• Autorități și instituții publice, în conformitate cu prevederile legale (ANAF, instanțe judecătorești, ANSPDCP)
• Furnizori terți de servicii (persoane împuternicite/sub-procesatori), cu acorduri de prelucrare conform art. 28 GDPR

8.2. Lista sub-procesatorilor autorizați

8.3. Transferuri internaționale de date

Ca regulă generală, datele sunt stocate și prelucrate pe teritoriul UE/SEE. Transferurile în afara SEE se realizează exclusiv în temeiul:

• Deciziei de adecvare UE-SUA privind Cadrul pentru protecția datelor, acolo unde este aplicabilă
• Clauzelor Contractuale Standard adoptate de Comisia Europeană (art. 46 alin. 2 lit. c GDPR)

PSYTECH monitorizează periodic valabilitatea mecanismelor de transfer. În cazul invalidării Deciziei de adecvare, transferurile vor continua pe baza Clauzelor Contractuale Standard.

9. Măsuri tehnice și organizatorice de protecție a datelor

9.1. Criptare și pseudonimizare

• Criptarea datelor în tranzit: TLS 1.3 pentru toate comunicațiile
• Criptarea datelor în repaus: AES-256 la nivel de bază de date
• Criptarea tokenilor OAuth și cheilor de acces cu Supabase Vault
• Pseudonimizarea conversațiilor AI (eliminarea datelor identificabile înainte de transmitere)

9.2. Controlul accesului

• Politici Row Level Security (RLS) în PostgreSQL: fiecare utilizator accesează exclusiv datele proprii
• Autentificare securizată cu suport 2FA și management dispozitive
• Acces la infrastructură limitat pe principiul „need-to-know"
• Chei API separate (cheie publicabilă vs. cheie de rol de serviciu)
• Arhitectură multi-tenant cu separare logică a datelor

9.3. Disponibilitate și reziliență

• Copii de rezervă automate zilnice ale bazei de date
• Infrastructură redundantă (PostgreSQL gestionat de Supabase)
• Monitorizare continuă a disponibilității serviciilor

9.4. Monitorizare și audit

• Jurnale de audit pentru acțiuni critice (autentificare, modificare date, export)
• Detectare automată a accesului neautorizat
• Evaluare periodică a eficacității măsurilor de securitate

9.5. Măsuri organizatorice

• Politici interne de securitate a informației
• Instruirea periodică a personalului
• Proceduri de gestionare a incidentelor de securitate
• Toți sub-procesatorii au implementat măsuri conform art. 32 GDPR, documentate prin DPA

9.6. Evaluarea impactului asupra protecției datelor (DPIA)

PSYTECH a realizat o evaluare DPIA pentru activitățile de prelucrare cu riscuri ridicate, inclusiv utilizarea asistentului AI și procesarea datelor cu caracter special. Concluziile sunt disponibile la cerere la [email protected].

10. Notificarea încălcărilor de securitate a datelor

În cazul identificării unei încălcări a securității datelor, PSYTECH va acționa conform art. 33 și 34 GDPR:

• Va notifica ANSPDCP în termen de maximum 72 de ore de la constatare, în cazul încălcărilor care îi afectează calitatea de Operator
• Va informa Utilizatorul (Operatorul) în termen de maximum 48 de ore, în cazul încălcărilor care afectează datele clienților finali
• Va informa persoanele vizate afectate, fără întârzieri nejustificate, în cazul riscurilor ridicate (art. 34 GDPR)

11. Procese decizionale automate și crearea de profiluri

11.1. Instrumente de analiză și publicitate

PSYTECH utilizează instrumente de analiză și publicitate, activate exclusiv cu consimțământul explicit al vizitatorului:

• Google Analytics – pentru înțelegerea modului în care vizitatorii interacționează cu Platforma
• Vercel Analytics – pentru măsurarea performanței, cu date anonimizate
• Google Ads – pentru campanii de publicitate și remarketing
• Meta Ads (Facebook/Instagram) – pentru publicitate pe platformele Meta
• TikTok Ads – pentru publicitate pe TikTok

Datele colectate prin instrumentele de publicitate nu includ date de sănătate sau date sensibile.

11.2. Asistentul AI ePsi Think

ePsi Think are rol exclusiv informativ, teoretic și educațional. Nu ia decizii automatizate cu efecte juridice sau semnificative (art. 22 GDPR). Conversațiile sunt pseudonimizate înainte de transmiterea către Anthropic PBC. Utilizatorii nu trebuie să introducă date identificabile ale clienților.

11.3. Cookie-uri

Platforma web utilizează cookie-uri conform Politicii de Cookie-uri disponibilă pe site. Aplicația mobilă ePSI nu utilizează cookie-uri tradiționale — stocarea datelor se realizează prin SecureStore (jetoane de autentificare) și AsyncStorage (preferințe utilizator).

12. Drepturile persoanelor vizate

Conform art. 12–22 GDPR, beneficiați de următoarele drepturi:

• Dreptul de acces (art. 15) – confirmarea că datele dumneavoastră sunt prelucrate și accesul la informații privind scopurile, categoriile de date, destinatarii și durata stocării.
• Dreptul la rectificare (art. 16) – corectarea datelor inexacte și completarea datelor incomplete.
• Dreptul la ștergere – „dreptul de a fi uitat" (art. 17) – ștergerea datelor când nu mai sunt necesare, când vă retrageți consimțământul sau când datele au fost prelucrate ilegal. Nu se aplică dacă prelucrarea este necesară pentru respectarea unei obligații legale.
• Dreptul la restricționarea prelucrării (art. 18) – limitarea prelucrării în situațiile prevăzute de lege.
• Dreptul la portabilitate (art. 20) – primirea datelor într-un format structurat și transmiterea către alt operator.
• Dreptul de opoziție (art. 21) – opoziție față de prelucrarea bazată pe interes legitim sau marketing direct. În cazul marketingului direct, opoziția este absolută.
• Dreptul de a nu face obiectul unei decizii automatizate (art. 22) – dreptul de a nu fi supus unei decizii luate exclusiv prin mijloace automate, cu efecte juridice semnificative.
• Dreptul de a retrage consimțământul – retragerea oricând, fără a afecta legalitatea prelucrărilor anterioare.

Exercitarea drepturilor

Solicitările se transmit prin:

• E-mail la adresa: [email protected]
• Poștă sau depunere la sediul PSYTECH S.R.L., Strada Vasile Lascăr nr. 3, Sector 2, București

PSYTECH va răspunde în termen de maximum 30 de zile, cu posibilitatea de prelungire cu încă 60 de zile în cazuri complexe (art. 12 GDPR). PSYTECH poate solicita informații suplimentare pentru confirmarea identității.

Autoritatea de supraveghere

Aveți dreptul de a depune o plângere la:

13. Obligația furnizării datelor cu caracter personal

Puteți vizita pagina de internet a Platformei fără a completa date cu caracter personal. Dacă doriți să beneficiați de serviciile Platformei, este necesar să furnizați datele minime necesare pentru crearea contului și executarea contractului.

PSYTECH solicită volumul minim de informații necesar (principiul minimizării, art. 5 alin. 1 lit. c GDPR). La momentul înregistrării se solicită exclusiv adresa de e-mail.

PSYTECH nu condiționează accesul la serviciile de bază de acordarea consimțământului pentru comunicări de marketing.

14. Modificarea Politicii de Confidențialitate

PSYTECH poate actualiza prezenta Politică periodic, în funcție de modificările legislative, ale serviciilor furnizate sau ale nivelului de dezvoltare tehnologică.

Modificările semnificative vor fi comunicate cu minimum 30 de zile înainte prin:

• E-mail la adresa asociată contului
• Notificare în platformă
• Banner informativ la autentificare

Continuarea utilizării Platformei după intrarea în vigoare constituie acceptarea noii versiuni. Dacă nu sunteți de acord, aveți dreptul de a vă închide contul înainte de intrarea modificărilor în vigoare.

15. Date de contact

Pentru orice întrebări, solicitări sau exercitarea drepturilor prevăzute de GDPR: