Cum protejăm datele clinicii tale

Ce facem

1. 1
   O instanță separată pentru fiecare clinică

   Fiecare clinică rulează în propriul container, cu propria bază de date și propria rețea, cu un utilizator fără drepturi de administrator. Datele unei clinici nu stau în aceeași bază cu ale alteia, iar instanțele nu pot comunica direct între ele sau cu sistemele de administrare Perlato.

2. 2
   Găzduire în Uniunea Europeană

   Serverele sunt la Hetzner, în Germania. Nu transferăm datele pacienților în afara UE; singura excepție prin furnizorii noștri e recepția AI (doar textul mesajului, fără nume și fără fișa medicală). Serviciile conectate de clinică cu propriul cont (de exemplu WhatsApp) urmează contractul clinicii cu acel furnizor.

3. 3
   Criptare în tranzit

   Tot traficul — între browser și aplicație, între aplicație și furnizori — e criptat (HTTPS/TLS). Certificatele se reînnoiesc automat.

4. 4
   Backup zilnic, cu copie în altă locație

   Baza de date e salvată automat în fiecare zi, iar o copie criptată pleacă într-o locație separată de serverul aplicației (tot în UE). Restaurarea din backup e testată, nu doar presupusă.

5. 5
   Conturi individuale, cu roluri

   Fiecare persoană din clinică are contul ei (owner, manager, medic, asistent, recepție). Zonele sensibile — utilizatori, setări, facturare, exporturi — sunt accesibile doar rolurilor owner și manager. Parolele se stochează doar hash-uite (PBKDF2).

6. 6
   Jurnal de audit

   Ștergerile de pacienți și programări, exporturile și importurile de date, crearea și modificarea conturilor de utilizator sunt înregistrate cu utilizator și dată, ca să poți răspunde la „cine a făcut asta și când”.

7. 7
   Datele sunt ale clinicii

   Export complet oricând, din aplicație: CSV cu pacienții și programările plus un backup integral al bazei de date. La încetarea abonamentului datele rămân disponibile pentru export 30 de zile.

8. 8
   Accesul echipei Perlato

   Serverele se administrează doar cu chei criptografice (fără parole), cu blocarea automată a încercărilor repetate. Panoul de administrare Perlato cere autentificare în doi pași și nu are acces direct la sistemul care rulează clinicile. Cheia cu care se trimit backup-urile nu poate șterge copiile existente.

9. 9
   Jurisdicție și cereri ale autorităților

   Perlato e operat de MPR DESIGN S.R.L. (România), iar infrastructura e în Germania, sub legea UE. Dintre furnizorii care primesc date ale clinicii, doar doi țin de jurisdicția SUA: Backblaze (păstrează doar backup-uri criptate, cu cheia la noi, în regiunea UE) și OpenAI (recepția AI: doar textul mesajului, prelucrat și în SUA). Răspundem numai cererilor autorităților care au temei legal în dreptul UE sau român, le verificăm și anunțăm clinica, dacă legea ne permite (Regulamentul (UE) 2023/2854, art. 28 și 32).

10. 10
    Furnizori terți publicați

    Toți subîmputerniciții (găzduire, backup, email, plăți, AI) sunt listați cu scopul, datele și locația prelucrării, la /legal/subprocesatori. Orice schimbare e anunțată cu 30 de zile înainte.

11. 11
    Incidente

    Dacă apare o breșă de securitate care afectează date personale, anunțăm clinica (operatorul) fără întârziere nejustificată, cu detaliile necesare pentru notificarea ANSPDCP în termenul legal de 72 de ore, și documentăm incidentul și remedierea.

Ce nu avem încă

Preferăm să spunem noi decât să afli la audit.

• SLA contractual cu credite. Monitorizăm disponibilitatea fiecărei clinici la fiecare minut, cu alertă, și țintim funcționare continuă, dar nu oferim încă un SLA cu penalități în contract. Pentru Enterprise se poate negocia.
• Certificare ISO 27001 / SOC 2. Nu suntem certificați. Procesele descrise mai sus sunt reale, dar nu au fost auditate de un terț.
• Test de penetrare extern. Nu am comandat încă un pentest independent. Aplicația are măsuri standard (rate-limit, validare, izolare), iar un audit extern e planificat înainte de primele clinici mari.

Cum verifici

• Disponibilitatea aplicației, în timp real: status.perlato.ro.
• Acordul de prelucrare a datelor (DPA), cu măsurile tehnice și organizatorice: /legal/gdpr.
• Lista furnizorilor terți: /legal/subprocesatori.
• Ce înseamnă GDPR pentru cabinetul tău, dincolo de software: ghidul de obligații.
• Întrebări tehnice sau chestionarul de securitate al clinicii: contact@perlato.ro — răspundem în scris, cu detalii.