ARTICOLUL 13 — PROTECȚIA DATELOR PERSONALE (GDPR)
13.1. Angajament general de conformitate. NostraBiome declară și garantează că prelucrează datele cu caracter personal în deplină conformitate cu Regulamentul (UE) 2016/679 (GDPR), cu Legea nr. 190/2018 privind măsurile de implementare a GDPR, cu Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal în sectorul comunicațiilor electronice, precum și cu orice altă legislație aplicabilă privind protecția datelor. NostraBiome respectă principiile de legalitate, corectitudine și transparență, limitarea scopului, minimizarea datelor, acuratețea, limitarea stocării, integritatea și confidențialitatea, precum și principiul răspunderii.
13.2. Controlor. Operatorul de date este SC NOSTRABIOME SRL, cu datele de identificare prevăzute în Preambul. Date de contact pentru orice problemă privind protecția datelor: dpo@nostrabiome.com; alternativ, contact@nostrabiome.com, marcat „GDPR”.
13.3. Responsabil cu protecția datelor (DPO). Având în vedere prelucrarea pe scară largă a categoriilor speciale de date cu caracter personal, NostraBiome a desemnat un responsabil cu protecția datelor, care poate fi contactat direct de Subiecții datelor cu privire la orice întrebare privind prelucrarea și exercitarea drepturilor acestora.
13.4. Categorii de date prelucrate.
Categorie Exemple Sursa
Identificare și prenume, prenume, date de contact utilizator e-mail, telefon,
adresa de livrare, data
de naștere, biologic
sex
ID-ul contului și al contului tehnic, accesați jurnalele automate de date, adresa IP,
identificatorul dispozitivului,
versiunea aplicației,
date de utilizare
Datele tranzacției Istoricul comenzilor, Planul de abonament pentru utilizator/plată, facturile procesatorului, ultimele 4 cifre ale cardului (tokenizat
la procesor)
Date de sănătate diagnostice, simptome, medicamente pentru utilizator, alergii,
obiectivele de sănătate şi
interese, încărcate
rezultate de laborator
Date genetice secvențe de acid nucleic Analiză de laborator din Biologic
Eșantion, taxonomică și
profiluri funcționale
Frecvența biometrică și cardiacă, HRV, somn, Activitate de date de biosemnalizare conectată, dispozitive/servicii interstițiale, cu glucoză, compoziția consimțământului corporal etc.
Scoruri de date derivate, indici, generate de clasificări, rapoarte de aplicație,
recommendations
Corespondența datelor de comunicare cu suportul pentru utilizatori, preferințele de marketing
13.5. Bazele legale pentru prelucrare.
Scop Temei juridic
Crearea și administrarea articolului 6 alineatul (1) litera (b) GDPR — Cont; furnizarea Serviciilor; executarea contractului de livrare a kit-urilor
Prelucrarea probelor biologice, articolul 6 alineatul (1) litera (b) și articolul 6 extragerea informațiilor genetice, articolul 9 alineatul (2) litera (a) GDPR – generarea consimțământului explicit al rapoartelor
Prelucrarea datelor referitoare la boli și a articolelor 6 alineatul (1) litera (b) și a articolelor privind interesele de sănătate pentru articolul 9 alineatul (2) litera (a) din GDPR – personalizarea consimțământului explicit și recomandări
Integrarea biosemnalizării / articolul 6 alineatul (1) litera (a) și datele biometrice ale articolului 9 alineatul (2) litera (a) GDPR — consimțământ explicit, granular
Facturare, contabilitate, arhivare Articolul 6 alineatul (1) litera (c) GDPR — obligație legală
Vigilență privind dispozitivele medicale, incident Articolul 6 alineatul (1) litera (c) și articolul 9 alineatul (2) punctul (i) care raportează GDPR — interes public în domeniul sănătății publice
Securitatea sistemului, prevenirea fraudei, articolul 6 alineatul (1) litera (f) GDPR — interes legitim de înregistrare
Îmbunătățirea Serviciilor în afara domeniului de aplicare al GDPR pe baza datelor anonimizate (Considerentul 26)
Cercetare folosind date pseudonimizate Articolul 6 alineatul (1) litera (a) și articolul 9 alineatul (2) litera (a) sau (j) din GDPR, cu garanțiile articolului 89
Marketing direct prin e-mail Articolul 6(1)(a) GDPR — consimțământ, cu dezabonare disponibilă în orice moment
Stabilirea, exercitarea sau apărarea Articolul 6 alineatul (1) litera (f) și articolul 9 alineatul (2) litera (f) din pretenții legale GDPR
13.6. Necesitatea furnizării datelor. Furnizarea datelor de identificare și a Probei Biologice este necesară pentru îndeplinirea Contractului; refuzul face imposibilă furnizarea Serviciilor. Furnizarea datelor de biosemnalizare, a datelor biometrice și a datelor de cercetare este pur voluntară; refuzul nu afectează accesul la serviciile de bază.
13.7. Destinatari si procesatori. Datele pot fi dezvăluite, strict în măsura în care este necesar, către: laboratoare de analiză partenere; furnizori de infrastructură cloud și stocare; furnizori de servicii de bioinformatică; procesatori de plăți; curieri pentru livrarea truselor; furnizori de suport tehnic și comunicare; auditori, avocați și contabili; autoritățile publice, acolo unde prevede legea. Toți procesatorii sunt legați de contracte conforme cu articolul 28 GDPR, care conțin clauze privind confidențialitatea, securitatea, subprocesarea controlată și ștergerea la reziliere.
13.8. Locația datelor — servere din Uniunea Europeană. Toate datele personale prelucrate în cadrul Serviciilor, inclusiv datele de sănătate, datele genetice și datele biometrice, sunt stocate și prelucrate pe servere situate pe teritoriul Uniunii Europene/Spațiului Economic European. NostraBiome selectează furnizori de infrastructură care garantează rezidența datelor în UE/SEE.
13.9. Transferuri internaționale. De regulă, NostraBiome nu transferă date cu caracter personal în afara UE/SEE. În situația excepțională în care un astfel de transfer devine necesar, acesta va fi efectuat exclusiv pe baza unei decizii de adecvare a Comisiei Europene sau pe baza Clauzelor Contractuale Standard adoptate prin Decizia de Implementare (UE) 2021/914, completate cu măsuri tehnice și organizatorice suplimentare, în urma unei evaluări a impactului transferului. Utilizatorul va fi informat în prealabil, prin intermediul unei actualizări a acestui document.
13.10. Drepturile persoanei vizate. Persoana vizată se bucură de următoarele drepturi:
a) dreptul de acces (articolul 15) — de a obține confirmarea prelucrării și o copie a datelor; b) dreptul la rectificare (articolul 16) — de a corecta datele inexacte sau incomplete; c) dreptul la ștergere / „dreptul de a fi uitat” (articolul 17), sub rezerva obligațiilor legale de păstrare; d) dreptul la restricționarea prelucrării (articolul 18); e) dreptul la portabilitatea datelor (articolul 20) — de a primi datele într-un format structurat, utilizat în mod obișnuit și care poate fi citit de mașină, inclusiv, la cerere, fișierele de secvențiere într-un format standard; f) dreptul de opoziție (articolul 21), inclusiv obiecția la prelucrarea bazată pe interes legitim și la marketing direct; g) dreptul de a nu fi supus unei decizii bazate exclusiv pe prelucrare automată (Articolul 22), în condițiile articolului 9.3 din prezentul Contract; h) dreptul de a retrage consimțământul în orice moment, fără a afecta legalitatea prelucrării prealabile; i) dreptul de a depune plângere la ANSPDCP — B-dul G-ral. Gheorghe Magheru nr. 28-30, sector 1, București, anspdcp@dataprotection.ro — sau la autoritatea de supraveghere a statului de reședință obișnuită, precum și dreptul la o cale de atac judiciară efectivă; j) dreptul de a nu ști — de a solicita ca anumite categorii de rezultate să nu le fie comunicate.
13.11. Mod de exercițiu. Solicitările trebuie trimise la dpo@nostrabiome.com sau transmise prin funcțiile dedicate din Aplicație. NostraBiome răspunde în cel mult o lună de la primire, perioadă care poate fi prelungită cu două luni în cazul solicitărilor complexe, cu notificarea prealabilă a solicitantului. Exercitarea drepturilor este gratuită; cererile vădit nefondate sau excesive pot fi supuse unei taxe rezonabile sau refuzate cu motivele prezentate.
13.12. Evaluarea impactului privind protecția datelor. Având în vedere prelucrarea pe scară largă a categoriilor speciale de date cu caracter personal și profilarea efectuată, NostraBiome a efectuat și ține la zi o evaluare a impactului asupra protecției datelor (DPIA) în conformitate cu articolul 35 GDPR, precum și o evidență a activităților de prelucrare în conformitate cu articolul 30 GDPR.
13.13. Încălcarea datelor cu caracter personal. În cazul unei încălcări a datelor cu caracter personal, NostraBiome notifică ANSPDCP fără întârzieri nejustificate și, acolo unde este fezabil, în termen de 72 de ore de la data la care a luat cunoștință de aceasta (articolul 33 GDPR) și notifică persoanele vizate în cazul în care încălcarea este susceptibilă de a genera un risc ridicat pentru drepturile și libertățile acestora (articolul 34 GDPR).
13.14. Confidențialitatea personalului. Tot personalul și toți colaboratorii care au acces la date sunt supuși unor obligații stricte de confidențialitate, primesc instruire periodică și sunt supuși unui regim de acces bazat pe roluri, nevoia de a cunoaște.
13.15. Cookie-uri și tehnologii similare. Aplicația și site-ul web utilizează cookie-uri și tehnologii similare. Cookie-urile strict necesare sunt plasate pe baza interesului legitim; cookie-urile de analiză, funcționale și de marketing sunt plasate exclusiv pe bază de consimțământ, gestionabile printr-un centru de preferințe.
ARTICOLUL 14 — PERIOADA DE PĂSTRARE
14.1. NostraBiome reține datele doar atâta timp cât este necesar pentru scopurile pentru care au fost colectate, conform următoarelor criterii orientative:
Perioada de păstrare a categoriei
Datele contului și profilului pe durata Contului + 3 ani de la închidere (perioada generală de prescripție)
Date de sănătate, date genetice și pe durata Contului, rapoarte în scopul comparațiilor longitudinale; ștergerea la cererea Utilizatorului sau, în absența unei astfel de solicitări, la expirarea a 3 ani de la închiderea Contului
Proba biologică fizică până la finalizarea analizei și a perioadei de re-testare tehnică, apoi distrusă în siguranță, cu excepția cazului de biobancare consimțită
Documente financiar-contabile 10 ani, in conformitate cu Legea si facturile nr.82/1991 privind contabilitatea
Vigilența dispozitivelor medicale în conformitate cu documentația perioadelor impuse de MDR și de legislația națională
Jurnalele de securitate, de regulă, 12 luni
Dovada consimțământului și a pe durata contractului + acceptarea Termenilor 3 ani, în scop probatoriu
Date anonimizate/agregate nelimitate, deoarece nu constituie date personale
14.2. La expirarea acestor perioade, datele sunt șterse în siguranță sau anonimizate ireversibil.
ARTICOLUL 15 — SECURITATEA INFORMAȚIILOR
15.1. NostraBiome implementează măsuri tehnice și organizatorice adecvate, în conformitate cu articolul 32 GDPR și cu standardele ISO/IEC 27001 și ISO/IEC 27701, inclusiv, fără a se limita la: criptarea datelor în tranzit (TLS) și în repaus; pseudonimizarea conductelor de analiză; segregarea mediilor de producție, testare și dezvoltare; controlul accesului bazat pe roluri și autentificarea cu mai mulți factori pentru personal; jurnalizarea și monitorizarea accesului; teste periodice de penetrare și evaluări de vulnerabilitate; politici de rezervă și un plan de continuitate a activității și de recuperare în caz de dezastru; managementul securizat al ciclului de viață al software-ului în conformitate cu IEC 62304; proceduri documentate de răspuns la incident.
15.2. Utilizatorul se obligă să contribuie la securitate prin: folosind o parolă puternică și unică, activând autentificarea cu doi factori acolo unde este disponibilă, protejându-și propriul dispozitiv, abținându-se de la accesarea Contului de pe dispozitive publice sau compromise și anunțând imediat orice suspiciune de acces neautorizat.
15.3. Niciun sistem informatic nu poate fi securizat în termeni absoluti. NostraBiome nu garantează imposibilitatea absolută a unui incident de securitate, ci mai degrabă se angajează să aplice standardul de îngrijire corespunzător stadiului actual al tehnicii.