Politica GDPR

1 Scopul acestui document

Această politică arată cum asigurăm respectarea Regulamentului (UE) 2016/679 (GDPR) și a Legii nr. 190/2018 în activitatea noastră de zi cu zi: ce principii aplicăm, ce măsuri de securitate am implementat și ce proceduri urmăm.

Ea completează Politica de confidențialitate, care îți explică în detaliu ce date colectăm despre tine, în ce temei, cui le transmitem și cât timp le păstrăm. Dacă vrei să afli ce se întâmplă concret cu datele tale, începe cu acel document. Dacă vrei să știi cum le protejăm, ești în locul potrivit.

2 Operatorul de date și persoana de contact

Activitatea noastră nu presupune monitorizarea sistematică pe scară largă a persoanelor și nici prelucrarea pe scară largă a categoriilor speciale de date, astfel încât desemnarea unui responsabil cu protecția datelor nu este obligatorie potrivit art. 37 din GDPR. Am desemnat totuși, la nivel intern, o persoană responsabilă cu gestionarea solicitărilor privind datele personale, care poate fi contactată la adresa de mai sus, cu mențiunea „GDPR" în subiect.

3 Principiile pe care le respectăm

Art. 5 din GDPR stabilește șapte principii. Iată ce înseamnă fiecare în activitatea unei optici:

4 Ce prelucrăm, pe scurt

Prelucrăm date de identificare și contact, date privind comenzile și facturarea, date de cont, corespondența cu tine, date de navigare colectate prin cookie-uri și, în cazul comenzilor cu lentile, date privind vederea.

Temeiurile sunt executarea contractului, obligațiile legale, consimțământul tău și interesul nostru legitim, detaliate în tabelul din secțiunea 3 a Politicii de confidențialitate. Nu prelucrăm date în scopuri nedeclarate și nu vindem date nimănui.

5 Regim special pentru datele privind sănătatea

Dioptriile, distanța pupilară, rețetele medicale și rezultatele consultului optometric sunt categorii speciale de date, protejate de art. 9 din GDPR. Le tratăm diferit față de restul datelor:

• Le colectăm exclusiv atunci când sunt necesare execuției unui produs sau prestării unui consult, niciodată „pentru orice eventualitate".
• Temeiul este consimțământul explicit — art. 9(2)(a) — respectiv, pentru consultul oftalmologic, asistența medicală prestată de un profesionist supus obligației de secret profesional, conform art. 9(2)(h).
• Accesul este restrâns la persoanele implicate direct în executarea comenzii sau în realizarea consultului.
• Nu le folosim niciodată în scopuri de marketing, profilare comercială sau segmentare a clienților.
• Către laboratoarele care execută lentilele transmitem strict parametrii optici, fără date de contact atunci când acestea nu sunt necesare.
• Rețetele pe hârtie primite de la clienți sunt scanate, arhivate electronic în spații protejate prin parolă, iar exemplarele fizice inutile sunt distruse prin tocare.

6 Măsuri tehnice de securitate

• Conexiune criptată prin certificat SSL/TLS pe întregul site, inclusiv în formularele de comandă.
• Parolele conturilor sunt stocate sub formă de amprentă criptografică, dintr-o care nu pot fi reconstituite.
• Conturi individuale pentru personal, cu parole unice și drepturi de acces limitate la strictul necesar.
• Actualizarea periodică a platformei, a temei și a modulelor, pentru remedierea vulnerabilităților cunoscute.
• Copii de siguranță realizate regulat și stocate separat de mediul de producție.
• Protecție împotriva accesului automat abuziv și monitorizarea tentativelor de autentificare eșuate.
• Datele cardurilor bancare nu ajung niciodată pe serverele noastre: plata se procesează integral în mediul securizat Netopia Payments, certificat PCI DSS.

7 Măsuri organizatorice

• Personalul care are acces la date semnează angajamente de confidențialitate și este instruit periodic cu privire la obligațiile GDPR.
• Accesul la datele clienților se acordă pe principiul „nevoii de a cunoaște": fiecare persoană vede doar informațiile necesare sarcinilor sale.
• Documentele pe hârtie care conțin date personale sunt păstrate în spații încuiate, nu la vedere pe tejghea, și sunt distruse prin tocare atunci când nu mai sunt necesare.
• Discuțiile despre dioptriile sau despre situația medicală a unui client se poartă cu discreție, fără a fi expuse altor persoane prezente în magazin.
• La încetarea colaborării cu un angajat sau colaborator, drepturile de acces sunt revocate imediat.
• Verificăm periodic dacă datele stocate mai sunt necesare și ștergem ce a depășit termenele stabilite.

8 Relația cu împuterniciții

Anumite servicii sunt prestate de terți care prelucrează date în numele nostru: furnizorul de găzduire web, procesatorul de plăți, firma de curierat, laboratoarele de lentile, firma de contabilitate și, dacă ți-ai dat acordul, furnizorii de instrumente de analiză.

• Selectăm doar furnizori care oferă garanții suficiente privind securitatea prelucrării, conform art. 28 alin. (1) din GDPR.
• Cu fiecare dintre ei avem încheiat un acord de prelucrare a datelor, care limitează utilizarea datelor exclusiv la instrucțiunile noastre.
• Împuterniciții nu au dreptul de a folosi datele în scopuri proprii, de a le transmite mai departe fără acordul nostru sau de a le păstra după încetarea contractului.
• Transferurile în afara Spațiului Economic European se realizează doar în baza unei decizii de adecvare a Comisiei Europene sau a clauzelor contractuale standard.

9 Evidența activităților de prelucrare

Ținem o evidență internă a activităților de prelucrare, în conformitate cu art. 30 din GDPR. Aceasta cuprinde scopurile prelucrării, categoriile de persoane vizate și de date, categoriile de destinatari, termenele de ștergere și descrierea măsurilor de securitate.

Deși societățile cu mai puțin de 250 de angajați beneficiază de o derogare parțială, aceasta nu se aplică atunci când se prelucrează categorii speciale de date — iar noi prelucrăm date privind sănătatea. Din acest motiv, ținem evidența integral. Ea este pusă la dispoziția Autorității Naționale de Supraveghere la cerere.

10 Ce facem în cazul unei breșe de securitate

Niciun sistem nu este complet invulnerabil. Dacă apare un incident care afectează securitatea datelor personale, procedura noastră este următoarea:

1. Identificăm și izolăm incidentul, limitând extinderea lui.
2. Evaluăm ce date au fost afectate, câte persoane sunt vizate și care sunt riscurile pentru drepturile lor.
3. Notificăm Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal în cel mult 72 de ore de la luarea la cunoștință, conform art. 33 din GDPR, cu excepția cazului în care incidentul nu este susceptibil să genereze un risc.
4. Dacă riscul pentru drepturile și libertățile tale este ridicat, te informăm direct și fără întârziere nejustificată, conform art. 34, explicându-ți ce s-a întâmplat și ce poți face.
5. Documentăm incidentul, cauzele și măsurile luate, iar apoi corectăm vulnerabilitatea care l-a permis.

11 Cum tratăm solicitările privind drepturile tale

Ai dreptul de acces, rectificare, ștergere, restricționare, portabilitate, opoziție, precum și dreptul de a-ți retrage consimțământul oricând. Detaliile fiecărui drept sunt explicate în Politica de confidențialitate.

Procedura noastră internă:

1. Primim cererea la contact@opticaremed.com, prin poștă la sediul social sau direct în magazin, și o înregistrăm.
2. Verificăm identitatea solicitantului. Dacă avem îndoieli întemeiate, cerem informații suplimentare — este o măsură de protecție a ta, nu un obstacol.
3. Analizăm cererea și identificăm toate locurile în care se află datele respective.
4. Răspundem în scris, gratuit, în cel mult 30 de zile. Pentru cereri complexe, termenul poate fi prelungit cu maximum două luni, caz în care te informăm în prima lună despre motiv.
5. Dacă nu putem da curs cererii — de exemplu, nu putem șterge o factură pe care legea ne obligă să o păstrăm 10 ani — îți explicăm motivul concret și temeiul legal.

12 Evaluarea impactului și protecția din faza de proiectare

Înainte de a introduce un serviciu nou, un instrument sau o formă nouă de prelucrare, analizăm impactul asupra vieții private și alegem varianta care colectează cel mai puțin. Acesta este principiul protecției datelor începând cu momentul conceperii și în mod implicit, prevăzut de art. 25 din GDPR.

Dacă o prelucrare nouă ar putea genera un risc ridicat pentru drepturile persoanelor — de exemplu utilizarea unor tehnologii noi asupra datelor privind sănătatea — realizăm în prealabil o evaluare a impactului, conform art. 35, și, dacă este cazul, consultăm autoritatea de supraveghere.

13 Prelucrarea datelor minorilor

Magazinul online se adresează persoanelor majore. Comenzile pentru copii se plasează de către părinte sau reprezentantul legal, care furnizează datele și își asumă corectitudinea lor.

La consultul optometric al unui copil, prezența unui părinte sau a unui reprezentant legal este necesară, iar datele rezultate sunt prelucrate în același regim protejat ca al oricărei categorii speciale de date. Nu colectăm cu bună știință date de la copii sub 16 ani fără acordul părintelui.

14 Autoritatea de supraveghere

Dacă apreciezi că ți-am încălcat drepturile, te poți adresa oricând autorității de supraveghere:

Ai, de asemenea, dreptul de a te adresa instanțelor judecătorești competente. Te încurajăm însă să ne contactezi mai întâi pe noi — cele mai multe situații se rezolvă rapid și direct.

15 Revizuirea politicii

Revizuim această politică ori de câte ori se schimbă modul în care lucrăm, furnizorii pe care îi folosim sau cadrul legal aplicabil. Versiunea în vigoare este cea publicată pe această pagină, iar data ultimei actualizări este afișată la începutul documentului.