1. Cine suntem

WELIST S.R.L., cu sediul social in Judetul Iasi, Municipiul Iasi, Strada Pantelimon, Nr. 23A, Etaj 1, CUI 54493544, Nr. Reg. Com. J2026025099009, denumita in continuare „Societatea”, „noi” sau „VAderma”, opereaza platforma SaaS accesibila la vaderma.ro.

Ne puteti contacta la: [email protected] (general) · [email protected] (GDPR) · WhatsApp: +40 750 416 833

In relatia cu cabinetele de dermatologie, clinicile de estetica medicala si cabinetele de cosmetologie (clientii nostri directi), Societatea actioneaza ca operator de date. In relatia cu pacientii acestor cabinete, Societatea actioneaza ca persoana imputernicita de operator, operatorul principal fiind cabinetul.

2. Ce date colectam si de ce

2.1. Date ale cabinetelor (clienti directi VAderma)

Categorie de date	Scop	Baza legala
Nume, prenume, adresa email, parola (hash bcrypt)	Creare si gestionare cont	Executarea contractului (Art. 6(1)(b) GDPR)
Denumire cabinet, adresa, telefon, nr. WhatsApp	Configurarea agentului AI	Executarea contractului (Art. 6(1)(b) GDPR)
Servicii, preturi, orar de lucru	Functionarea sistemului de programari	Executarea contractului (Art. 6(1)(b) GDPR)
Date de facturare	Emiterea facturilor	Obligatie legala (Art. 6(1)(c) GDPR)
Token Google Calendar, ID calendar	Sincronizare optionala programari	Consimtamant (Art. 6(1)(a) GDPR)
Date de utilizare, log-uri de acces	Securitate, depanare, imbunatatire serviciu	Interes legitim (Art. 6(1)(f) GDPR)
Data si IP-ul acceptarii DPA	Dovada acceptarii Acordului de Prelucrare a Datelor	Obligatie legala + executarea contractului

2.2. Date ale pacientilor (prelucrate in numele cabinetului)

Date de identificare si contact (date ordinare):

Data	Scop	Baza legala
Nume, numar de telefon WhatsApp, ID WhatsApp	Identificarea pacientului, comunicare programari	Executarea contractului de servicii medicale/cosmetice (Art. 6(1)(b) GDPR)
Email, data nasterii	Completarea fisei pacientului, comunicari optionale	Executarea contractului (Art. 6(1)(b) GDPR)
Istoricul programarilor (data, serviciu, status, pret)	Gestionarea agendei cabinetului	Executarea contractului (Art. 6(1)(b) GDPR)
Numarul de neprezentari (no-show)	Managementul intern al cabinetului	Interes legitim al cabinetului (Art. 6(1)(f) GDPR)

Date cu caracter special privind sanatatea (Art. 9 GDPR):

Data	Scop	Baza legala
Tip de piele, fototip Fitzpatrick	Fisa dermatologica, personalizarea tratamentelor	Art. 9(2)(h) GDPR pentru cabinete medicale; Art. 9(2)(a) GDPR (consimtamant explicit) pentru cosmetologi non-medicali
Afectiuni cutanate diagnosticate (acnee, psoriazis, eczeme, rozacee etc.)	Fisa dermatologica, alegerea protocoalelor de tratament	Art. 9(2)(h) GDPR pentru cabinete medicale; Art. 9(2)(a) GDPR (consimtamant explicit) pentru cosmetologi non-medicali
Alergii cutanate si sistemice	Prevenirea reactiilor adverse la proceduri	Art. 9(2)(h) GDPR pentru cabinete medicale; Art. 9(2)(a) GDPR (consimtamant explicit) pentru cosmetologi non-medicali
Medicatie curenta (anticoagulante, isotretinoin, corticosteroizi, fotosensibilizante etc.)	Evaluarea contraindicatiilor la proceduri	Art. 9(2)(h) GDPR pentru cabinete medicale; Art. 9(2)(a) GDPR (consimtamant explicit) pentru cosmetologi non-medicali
Raspunsuri la Chestionarul Pre-Procedura (contraindicatii, sarcina, alaptare, afectiuni autoimune, keloid etc.)	Evaluarea sigurantei procedurii inainte de efectuare	Art. 9(2)(h) GDPR pentru cabinete medicale; Art. 9(2)(a) GDPR (consimtamant explicit) pentru cosmetologi non-medicali
Date despre procedurile efectuate (tip procedura, produs utilizat, zona tratata, cantitate, note clinice)	Istoricul medical al pacientului, continuitatea ingrijirii	Art. 9(2)(h) GDPR pentru cabinete medicale; Art. 9(2)(a) GDPR (consimtamant explicit) pentru cosmetologi non-medicali
Pachete de tratament (tip procedura, numar sesiuni, sesiuni utilizate, pret, valabilitate)	Gestionarea pachetelor de servicii contractate	Art. 9(2)(h) GDPR + executarea contractului (Art. 6(1)(b))
Fotografii medicale before/after/progress	Monitorizarea evolutiei tratamentului; pot constitui date biometrice in sensul Art. 4 pct. 14 GDPR	Consimtamant explicit (Art. 9(2)(a) GDPR) — obligatoriu separat de consimtamantul pentru procedura
Continutul conversatiilor WhatsApp (inclusiv informatii medicale mentionate spontan de pacient)	Procesarea cererilor de programare prin AI; informatiile medicale mentionate nesolicitat sunt procesate incidental	Art. 9(2)(h) GDPR pentru cabinete medicale; Art. 9(2)(a) GDPR pentru cosmetologi non-medicali

Date privind consimtamantul informat si semnatura digitala:

Data	Scop	Baza legala
Semnatura digitala olografica (imaginea semnaturii)	Dovada consimtamantului informat al pacientului pentru proceduri	Obligatie legala (Legea nr. 46/2003) + Art. 9(2)(h) GDPR
Numele semnatarului, data si ora semnarii, adresa IP la semnare	Valabilitatea juridica a consimtamantului informat	Obligatie legala (Legea nr. 46/2003)
Continutul formularului de consimtamant semnat	Dovada informarii pacientului cu privire la procedura si riscuri	Obligatie legala (Legea nr. 46/2003)

Date privind comunicarea prin apel telefonic:

Data	Scop	Baza legala
Consimtamantul pentru apel telefonic de reminder (DA/NU), data si textul consimtamantului	Trimiterea unui apel telefonic automat de reminder cu 2 ore inainte de programare, exclusiv daca pacientul si-a exprimat consimtamantul explicit prin WhatsApp	Consimtamant explicit (Art. 6(1)(a) GDPR); apelul vocal necesita consimtamant separat fata de comunicarea WhatsApp

3. Cum functioneaza agentul AI si ce date proceseaza

Agentul AI VAderma este un sistem automat de programari care comunica cu pacientii prin WhatsApp Business API. Iata exact ce face si ce nu face:

Conversatiile WhatsApp sunt stocate in baza de date a platformei pe durata contractului si sunt curatate proactiv dupa 90 de zile de inactivitate (ultima activitate in conversatie), indiferent de starea contractului, in cadrul procesului automat de igiena a datelor. Aceasta masura suplimentara de protectie a datelor se aplica pe langa obligatia de stergere de la incetarea contractului.

Acordul pentru mesaje WhatsApp. Daca ati initiat singur conversatia cu botul, acordul este cel exprimat in conversatie. Daca programarea a fost introdusa manual de cabinet, acordul este obtinut de cabinet (operatorul datelor), care raspunde de el. In ambele cazuri il puteti retrage oricand scriind STOP pe WhatsApp.

4. Sub-procesatori si transferuri internationale

Pentru furnizarea serviciilor, colaboram cu urmatorii sub-procesatori, fiecare cu contracte de conformitate GDPR:

Sub-procesator	Tara	Scop	Garantie transfer
Hetzner Online GmbH	Germania (UE)	Hosting servere, stocare date (inclusiv fotografii medicale, semnaturi digitale, date de sanatate)	Teritoriu UE — nu necesita garantii suplimentare
Meta Platforms Ireland Ltd. (WhatsApp Business API)	Irlanda (UE)	Transmiterea si primirea mesajelor WhatsApp	Teritoriu UE
Anthropic PBC (Claude API)	SUA	Procesarea NLP a mesajelor pentru generarea raspunsurilor AI — nu antreneaza modele pe date API	Clauze Contractuale Standard (SCC) Decizia 2021/914/UE
Twilio Inc.	SUA	Gateway WhatsApp, apeluri vocale automate de reminder	SCC Decizia 2021/914/UE
Google LLC (Calendar API — optional)	SUA/UE	Citirea intervalelor ocupate din calendarul cabinetului si crearea/mutarea/stergerea evenimentelor corespunzatoare programarilor (doar la cererea cabinetului)	SCC + EU-US Data Privacy Framework (DPF)
Stripe Inc.	Irlanda (UE)	Procesarea platilor abonamente — nu proceseaza date pacienti	Teritoriu UE
Cloudflare Inc.	SUA/UE	Protectie DDoS, WAF, CDN, geoblocking	SCC + EU-US DPF
Cloudflare Turnstile	SUA/UE	Verificare anti-bot la formularele publice	SCC + EU-US DPF
Google Maps (Google Ireland Ltd. / Google LLC)	UE/SUA	Afisarea hartii pe cardul digital, doar dupa ce apesi butonul „Arată harta”; in acel moment Google primeste adresa ta IP (temei: consimtamantul exprimat prin click)	SCC + EU-US DPF

Transferurile catre furnizori din SUA se realizeaza prin Clauze Contractuale Standard adoptate de Comisia Europeana. Datele stocate pe servere (Hetzner) raman in Germania, in interiorul UE. Analizele de impact ale transferurilor (TIA) sunt disponibile la solicitare la [email protected].

Integrarea Google Calendar (optionala)

Integrarea Google Calendar functioneaza exclusiv la cererea explicita a cabinetului: administratorul cabinetului o activeaza din Setari → Google Calendar si acorda accesul prin ecranul de consimtamant Google. VAderma solicita un singur scope OAuth, https://www.googleapis.com/auth/calendar.events, si il foloseste doar pentru calendarul configurat al cabinetului (implicit calendarul principal).

Cerinta	Informatii
Ce date Google accesam	(1) Citire. Pentru ziua pentru care un pacient solicita o programare, citim din calendarul cabinetului doar intervalele de timp ale evenimentelor: ora de inceput, ora de sfarsit, daca evenimentul este marcat ocupat sau liber, daca este anulat si identificatorul tehnic al evenimentului. Cerem explicit ca Google sa nu ne returneze titlul, descrierea, participantii, locatia sau creatorul evenimentelor; VAderma nu vede si nu stocheaza aceste informatii. (2) Scriere. Cream, mutam si stergem evenimentele care corespund programarilor facute prin VAderma. Titlul evenimentului contine numele pacientului si numele medicului; descrierea contine numele medicului, pretul si durata serviciului. Nu trimitem catre Google numarul de telefon, e-mailul, denumirea serviciului medical, notele programarii sau alte date de sanatate. (3) Credentiale. Tokenul de acces si tokenul de reinnoire OAuth ale cabinetului si identificatorul calendarului.
Cum folosim datele	Exclusiv pentru functiile vizibile cabinetului: (a) sa nu propunem sau sa inregistram o programare peste un eveniment deja existent in calendarul cabinetului; (b) sa afisam programarile in calendarul cabinetului. Nu folosim datele Google pentru publicitate, profilare, creditare, cercetare de piata sau in alte scopuri.
Cu cine partajam datele	Nu vindem si nu transferam date Google catre brokeri de date, agentii de publicitate sau alti terti. Singura prelucrare derivata: lista orelor libere (doar ore, fara nicio informatie despre evenimente) este inclusa in mesajul trimis furnizorului de inteligenta artificiala (Anthropic PBC), pentru ca asistentul sa poata propune pacientului ore disponibile; datele primite prin API nu sunt folosite de Anthropic pentru antrenarea modelelor. Alte divulgari au loc doar daca sunt impuse de lege.
Cum protejam datele	Comunicatii criptate TLS; tokenurile Google sunt stocate criptat in baza de date; acces limitat pe roluri; izolare completa intre cabinete (multi-tenant); intervalele citite din Google sunt folosite doar in memorie, la momentul cererii, si nu sunt salvate in baza de date sau in jurnale.
Retentie si stergere	Intervalele citite: nu se retin. Tokenurile: pana la deconectare sau reziliere; la deconectarea din Setari, VAderma revoca accesul la Google si sterge tokenurile, iar la stergerea programata a datelor cabinetului (30 de zile dupa reziliere) tokenurile sunt revocate si sterse. Evenimentele create: se sterg din Google Calendar cand programarea este anulata sau stearsa, cand pacientul este sters si la stergerea programata a datelor; ele apartin calendarului cabinetului si raman acolo pana la stergere daca cabinetul deconecteaza integrarea. Accesul poate fi revocat oricand si direct din contul Google: myaccount.google.com/connections. Solicitari GDPR: [email protected].

Declaratie Limited Use. Utilizarea de catre VAderma a informatiilor primite de la Google APIs, si transferul lor catre orice alta aplicatie, respecta Google API Services User Data Policy, inclusiv cerintele Limited Use. Datele obtinute de la Google nu sunt folosite pentru dezvoltarea, imbunatatirea sau antrenarea unor modele generale de inteligenta artificiala sau de invatare automata, iar oamenii nu citesc aceste date decat cu acordul cabinetului, pentru securitate/prevenirea abuzului sau pentru respectarea legii.

5. Durata retentiei datelor

Categorie de date	Durata retentiei
Date de cont cabinet (email, parola, configuratii)	Pe durata contractului + 30 de zile dupa reziliere
Date de identificare pacienti (nume, telefon, WhatsApp ID)	Pe durata contractului + 30 de zile dupa reziliere
Fisa dermatologica (tip piele, Fitzpatrick, afectiuni, alergii, medicatie)	Conform instructiunilor cabinetului; minim pe durata contractului + 30 de zile
Date despre proceduri efectuate (Treatment) si pachete de tratament	Conform instructiunilor cabinetului; minim pe durata contractului + 30 de zile
Fotografii medicale before/after/progress	Conform instructiunilor cabinetului; eliminate la reziliere sau la cererea pacientului (Art. 17 GDPR)
Formulare de consimtamant informat si semnaturi digitale	Minimum 10 ani de la data semnarii (obligatie legala privind documentatia medicala, Legea nr. 46/2003 coroborat cu Legea nr. 95/2006)
Raspunsuri Chestionar Pre-Procedura	Pe durata contractului + 30 de zile dupa reziliere
Conversatii WhatsApp	Pe durata contractului + 30 de zile dupa reziliere; curatate proactiv dupa 90 de zile de inactivitate a conversatiei
Consimtamant apel telefonic (voice_consent)	Pe durata contractului + 30 de zile dupa reziliere
Token Google Calendar (acces si reinnoire)	Pana la deconectare din Setari sau reziliere; revocat la Google si sters la deconectare / la stergerea programata a datelor cabinetului
Intervale ocupate citite din Google Calendar	Nu se retin (folosite doar in memorie, la momentul cererii)
Evenimente Google Calendar create de VAderma	Sterse din Google la anularea/stergerea programarii, la stergerea pacientului si la stergerea programata a datelor
Date de facturare	10 ani (obligatie legala — Legea nr. 82/1991)
Log-uri de securitate si acces	90 de zile
Data si IP-ul acceptarii DPA	Pe durata contractului + 5 ani (dovada executarii obligatiei legale)

6. Drepturile dumneavoastra

In conformitate cu GDPR, aveti urmatoarele drepturi:

• Dreptul de acces (Art. 15 GDPR) — Puteti solicita o copie a datelor pe care le detinem despre dumneavoastra.
• Dreptul la rectificare (Art. 16 GDPR) — Puteti solicita corectarea datelor incorecte sau incomplete.
• Dreptul la stergere (Art. 17 GDPR) — Puteti solicita stergerea datelor, in conditiile prevazute de lege. Atentie: formularele de consimtamant informat semnate sunt excluse de la dreptul de stergere pe durata obligatiei de pastrare legala (10 ani), conform Art. 17(3)(b) GDPR.
• Dreptul la restrictionarea prelucrarii (Art. 18 GDPR) — Puteti solicita limitarea prelucrarii datelor in anumite circumstante.
• Dreptul la portabilitate (Art. 20 GDPR) — Puteti solicita datele intr-un format structurat, utilizat in mod curent si lizibil de masini (CSV/JSON/PDF).
• Dreptul la opozitie (Art. 21 GDPR) — Va puteti opune prelucrarii bazate pe interes legitim.
• Dreptul de a retrage consimtamantul — Acolo unde prelucrarea se bazeaza pe consimtamant (fotografii medicale, apel telefonic, Google Calendar), il puteti retrage oricand fara a afecta legalitatea prelucrarii anterioare retragerii.
• Dreptul de a depune o plangere — Puteti depune o plangere la ANSPDCP, B-dul G-ral. Gheorghe Magheru 28-30, Sector 1, Bucuresti, www.dataprotection.ro.

Pentru pacientii cabinetelor: drepturile GDPR se exercita in principal fata de cabinetul de dermatologie/estetica/cosmetologie, care este operatorul datelor dumneavoastra. VAderma va sprijini cabinetul in onorarera acestor solicitari in termenele prevazute in DPA.

7. Securitatea datelor

Tinand seama de natura speciala a datelor prelucrate (date de sanatate, fotografii medicale, semnaturi digitale), implementam masuri tehnice si organizatorice la nivel inalt:

• Criptare in tranzit (TLS 1.3) pentru toate comunicatiile
• Masuri de protectie la repaus pentru datele stocate pe server, inclusiv controale de acces la nivel de infrastructura si backup criptat in locatie separata; masurile specifice de criptare la nivel de volum sau coloana sunt documentate intern si revizuite periodic
• Parole stocate exclusiv sub forma de hash (bcrypt)
• Tokenuri Google Calendar stocate criptat
• Acces restricționat la date pe baza principiului „need-to-know” si a rolurilor definite
• Backup zilnic criptat in locatie separata
• Monitorizare continua 24/7 a securitatii si disponibilitatii
• Izolare completa a datelor intre cabinete (multi-tenant cu clinic_id)
• Protectie anti-bot si rate limiting prin Cloudflare WAF

8. Cookie-uri

Utilizaram cookie-uri pentru functionarea platformei. Detalii complete in Politica de cookie-uri.

9. Notificarea breselor de securitate

In cazul identificarii unei brese de securitate care afecteaza datele cu caracter personal, Societatea va notifica cabinetul in termen de maximum 24 de ore de la identificarea incidentului, furnizand: natura bresei, categoriile si numarul aproximativ de persoane afectate, consecintele probabile si masurile luate. Avand in vedere ca sunt prelucrate in mod curent date privind sanatatea, incidentele vor fi evaluate cu prioritate ridicata. Operatorul va decide, cu sprijinul WELIST, daca incidentul trebuie notificat ANSPDCP in termen de 72 de ore (Art. 33 GDPR) si/sau daca persoanele vizate trebuie informate (Art. 34 GDPR), in functie de riscul concret pentru drepturile si libertatile acestora. Contact urgente securitate 24/7: [email protected]

10. Modificari ale acestei politici

Putem actualiza periodic aceasta politica. Va vom notifica cu privire la modificarile semnificative prin email sau prin afisare proeminenta pe platforma, cu cel putin 30 de zile inainte de intrarea in vigoare. Versiunea curenta este intotdeauna accesibila la vaderma.ro/confidentialitate.