Persoană împuternicită (Furnizor): SC Arta Monumentală SRL
CUI: RO16404714 · Nr. Reg. Com.: J2004000847043
Sediu social: Str. Aviatorilor nr. 3B, Bacău, România
Email: contact@echilibru.app · Tel: +40 760 676 990
Reprezentant: Psih. Angelica Agachi
Prezentul Acord de Prelucrare a Datelor („DPA") se aplică tuturor conturilor de terapeut de pe platforma Echilibru.app — indiferent de planul de abonament (trial, free, Echilibru sau Echilibru Plus) — și face parte integrantă din Termenii și Condițiile platformei. Acceptarea Termenilor și Condițiilor la crearea contului constituie acceptarea prezentului DPA, în formă electronică, conform Art. 28 alin. (9) GDPR.
Terapeutul (Beneficiarul) acționează ca OPERATOR de date cu caracter personal în sensul Art. 4 pct. 7 GDPR, pentru datele clienților săi (persoanele vizate) introduse în platformă.
SC Arta Monumentală SRL (Furnizorul) acționează ca PERSOANĂ ÎMPUTERNICITĂ de operator în sensul Art. 4 pct. 8 GDPR, prelucrând datele exclusiv în baza instrucțiunilor documentate ale Beneficiarului și exclusiv pentru furnizarea serviciilor platformei.
Pentru terapeuții cu abonament plătit care au semnat Contractul de prestări servicii software, prezentul DPA are conținut echivalent cu Anexa 1 a contractului semnat. În caz de divergență, prevalează versiunea cu numărul de versiune mai recent.
Furnizarea serviciilor platformei Echilibru.app: gestiunea clienților, programărilor, documentelor clinice, chestionarelor, facturării și comunicărilor profesionale ale Beneficiarului.
Pe durata contului activ, plus perioada de retenție post-încetare (maximum 90 de zile pentru ștergere, sau mai mult dacă Beneficiarul solicită arhivare conform obligațiilor legale — minimum 10 ani pentru datele clinice, conform Hotărârii CPR nr. 3/2013).
Stocare, organizare, structurare, afișare, modificare, ștergere la instrucțiunea Beneficiarului, backup și recuperare.
Clienții (pacienții) Beneficiarului — persoane fizice adulte, precum și minori, în cazul cărora prelucrarea se realizează cu consimțământul și implicarea reprezentantului legal, obținute de Beneficiar. Persoanele vizate includ și reprezentanții legali ai minorilor.
Date sensibile. Prezentul DPA recunoaște explicit că datele clinice prelucrate în platformă intră în categoria datelor speciale conform Art. 9 GDPR (date privind sănătatea). Furnizorul implementează măsuri tehnice și organizatorice suplimentare pentru protecția acestei categorii de date, iar în cazul minorilor acordă o atenție sporită conform Art. 8 GDPR.
Prin acceptarea prezentului DPA, Beneficiarul autorizează utilizarea următorilor subprocesatori. Furnizorul se asigură că fiecare subprocesor respectă obligații echivalente celor din prezentul DPA:
| Subprocesator | Rol | Locație | Date prelucrate |
|---|---|---|---|
| ClausWeb / Romania Webhosting | Infrastructură hosting și baze de date | România (UE) | Toate datele stocate în platformă |
| Banca Transilvania S.A. (BT iPay) | Procesator de plăți electronice (Card-on-File, plăți recurente conform PSD2) | România (UE), certificată PCI DSS Level 1 | Datele complete ale cardului bancar al Beneficiarului (tokenizate de BT, netransmise Furnizorului), nume titular, sumă, dată, status tranzacție. Nu prelucrează date ale clienților Beneficiarului. |
| Anthropic, PBC (Claude AI) | Generare asistată a notelor de ședință și funcții AI | SUA — cu Clauze Contractuale Standard (SCC) conform GDPR Cap. V | Conținutul introdus de Beneficiar în funcționalitatea AI, procesat fără retenție permanentă |
| sendSMS.ro (SMSLINK) | Trimitere SMS-uri de reminder | România (UE) | Număr de telefon și conținut SMS |
| Brevo (Sendinblue SAS) | Livrare email-uri tranzacționale | Franța (UE) | Email, nume, conținut email |
| Functional Software, Inc. (Sentry) | Monitorizare tehnică a erorilor aplicației | SUA — cu Clauze Contractuale Standard (SCC) conform GDPR Cap. V | Date tehnice de diagnosticare (mesaje de eroare, context tehnic) care pot conține incidental identificatori de utilizator; nu se transmit intenționat date clinice |
Notă privind funcționalitatea AI: Beneficiarul este responsabil să evite introducerea datelor de identificare directă ale clienților în funcționalitatea AI. Furnizorul nu garantează acuratețea sau adecvarea conținutului generat de Asistentul AI; verificarea și asumarea acestuia revin exclusiv Beneficiarului.
Furnizorul notifică Beneficiarul cu minimum 14 zile înainte de adăugarea sau înlocuirea unui subprocesator, prin email și/sau notificare în platformă, acordând posibilitatea de a formula obiecții. Dacă Beneficiarul obiectează justificat, iar Furnizorul nu poate oferi o alternativă acceptabilă, Beneficiarul poate înceta utilizarea serviciului fără penalități.
Majoritatea subprocesatorilor operează exclusiv în Uniunea Europeană: ClausWeb (România), Banca Transilvania (România), sendSMS.ro (România), Brevo (Franța).
Transferurile către subprocesatorii din SUA (Anthropic, Functional Software/Sentry) se efectuează pe baza Clauzelor Contractuale Standard (SCC) adoptate de Comisia Europeană, asigurând un nivel adecvat de protecție conform Cap. V GDPR.
Furnizorul nu transferă date cu caracter personal ale clienților Beneficiarului în afara UE prin alți subprocesatori fără acordul prealabil scris al Beneficiarului.
Beneficiarul este singurul responsabil pentru:
Beneficiarul nu introduce în platformă date cu caracter personal care depășesc scopul prestării serviciilor psihologice.
Furnizorul notifică Beneficiarul în termen de maximum 72 de ore de la constatarea oricărei încălcări a securității datelor cu caracter personal, furnizând: natura încălcării și datele afectate, măsurile luate sau propuse pentru remediere și un punct de contact pentru informații suplimentare.
Beneficiarul este responsabil pentru notificarea ANSPDCP și, dacă este cazul, a persoanelor vizate, în termenele prevăzute de Art. 33–34 GDPR.
Furnizorul pune la dispoziția Beneficiarului toate informațiile necesare pentru a demonstra respectarea obligațiilor din prezentul DPA și permite efectuarea de audituri de către Beneficiar sau un auditor mandatat, cu notificare prealabilă de minimum 30 de zile lucrătoare, pe cheltuiala Beneficiarului și fără a perturba activitatea operațională sau a accesa datele altor Beneficiari.
La încetarea utilizării serviciului, Beneficiarul dispune de 30 de zile pentru exportul datelor proprii (format PDF și CSV, fără costuri suplimentare). Ulterior, la alegerea Beneficiarului, datele sunt șterse sau returnate, cu excepția datelor a căror păstrare este impusă de lege (date de facturare — 5 ani conform legislației fiscale; date clinice arhivate — 10 ani conform Hotărârii CPR nr. 3/2013, dacă Beneficiarul a solicitat arhivarea în platformă).
Prezentul DPA poate fi actualizat pentru a reflecta modificări legislative, tehnice sau operaționale. Modificările se notifică Beneficiarului cu minimum 14 zile înainte de intrarea în vigoare, prin email și/sau notificare în platformă. Fiecare versiune este identificată prin număr de versiune și dată. Continuarea utilizării platformei după intrarea în vigoare constituie acceptarea versiunii actualizate.
Istoricul versiunilor:
Pentru orice întrebare privind prelucrarea datelor sau prezentul DPA:
Persoanele vizate (clienții terapeuților) își exercită drepturile GDPR direct față de terapeutul lor, în calitate de operator. Furnizorul asistă terapeutul în soluționarea acestor cereri, conform secțiunii 3.
Processor (Provider): SC Arta Monumentală SRL
Tax ID: RO16404714 · Trade Register: J2004000847043
Registered office: Str. Aviatorilor no. 3B, Bacău, Romania
Email: contact@echilibru.app · Phone: +40 760 676 990
Representative: Psychologist Angelica Agachi
This DPA applies to every therapist account on Echilibru.app, irrespective of the subscription plan, and forms an integral part of the Terms and Conditions. Acceptance of the Terms electronically constitutes acceptance of this DPA under Article 28(9) GDPR.
The therapist is the controller for client data entered in the platform. SC Arta Monumentală SRL is the processor and processes that data only on the controller's documented instructions and to provide the platform services.
For paid therapists who signed the software services agreement, this DPA is equivalent to Annex 1. If versions differ, the version with the most recent version number prevails.
Providing client, appointment, clinical document, questionnaire, invoicing and professional communication management services.
For the active account period and the post-termination retention period: up to 90 days for deletion, or longer where the controller requests legally required archiving, including at least 10 years for clinical data under CPR Decision no. 3/2013.
Storage, organisation, structuring, display, modification, deletion on instruction, backup and recovery.
Adult and minor clients and, for minors, their legal representatives. The controller obtains the necessary consent and involvement of the legal representative.
The controller authorises: ClausWeb/Romania Webhosting (hosting and databases, Romania); Banca Transilvania/BT iPay (tokenised payments, Romania); Anthropic PBC (AI-assisted notes, USA, SCC); sendSMS.ro/SMSLINK (SMS, Romania); Brevo/Sendinblue SAS (transactional email, France); and Functional Software/Sentry (technical error monitoring, USA, SCC).
Direct client identifiers should not be entered in AI features. The provider gives at least 14 days' notice before adding or replacing a subprocessor. If a justified objection cannot be resolved, the controller may terminate without penalty.
EU providers operate in Romania or France. Transfers to Anthropic and Sentry in the USA rely on European Commission Standard Contractual Clauses. No other transfer outside the EU is made without the controller's prior written agreement.
The controller is responsible for a valid legal basis, Articles 13–14 notices, consent for Article 9 health data and minors, respect for data-subject rights and appointment of a DPO where required. The controller must not enter data beyond what is necessary for psychological services.
The processor notifies the controller no later than 72 hours after becoming aware of a personal-data breach, describing the breach, affected data, remedial measures and contact point. The controller is responsible for notifications under Articles 33–34 GDPR.
The processor provides information necessary to demonstrate compliance and permits audits by the controller or its auditor with at least 30 working days' notice, at the controller's expense, without disrupting operations or accessing other controllers' data.
The controller has 30 days to export its data in PDF and CSV at no extra cost. Data is then deleted or returned, except for legally required retention: invoicing data for 5 years and archived clinical data for 10 years where archiving was requested.
Legislative, technical or operational changes are notified at least 14 days before taking effect. Continued use after the effective date constitutes acceptance. Version 1.0 was published on 14 July 2026.
Questions: contact@echilibru.app, +40 760 676 990. Clients exercise GDPR rights directly with their therapist as controller; the provider assists the therapist under section 3.
Auftragsverarbeiter (Anbieter): SC Arta Monumentală SRL
Steuernummer: RO16404714 · Handelsregister: J2004000847043
Sitz: Str. Aviatorilor Nr. 3B, Bacău, Rumänien
E-Mail: contact@echilibru.app · Telefon: +40 760 676 990
Vertreterin: Psychologin Angelica Agachi
Dieser AVV gilt für alle Therapeutinnen- und Therapeutenkonten auf Echilibru.app unabhängig vom Abonnement und ist Bestandteil der Nutzungsbedingungen. Die elektronische Annahme der Bedingungen gilt gemäß Art. 28 Abs. 9 DSGVO zugleich als Annahme dieses AVV.
Der Therapeut ist Verantwortlicher für die in die Plattform eingegebenen Klientendaten. SC Arta Monumentală SRL ist Auftragsverarbeiter und verarbeitet diese Daten ausschließlich nach dokumentierten Weisungen und zur Erbringung der Plattformdienste.
Für zahlende Therapeuten mit unterzeichnetem Softwaredienstleistungsvertrag entspricht dieser AVV dessen Anlage 1. Bei Abweichungen gilt die Fassung mit der neueren Versionsnummer.
Bereitstellung der Verwaltung von Klienten, Terminen, klinischen Dokumenten, Fragebögen, Rechnungen und beruflicher Kommunikation.
Während der aktiven Kontolaufzeit und danach bis zu 90 Tage zur Löschung oder länger bei einer vom Verantwortlichen verlangten gesetzlichen Archivierung, einschließlich mindestens zehn Jahren für klinische Daten nach CPR-Beschluss Nr. 3/2013.
Speicherung, Organisation, Strukturierung, Anzeige, Änderung, weisungsgebundene Löschung, Sicherung und Wiederherstellung.
Volljährige und minderjährige Klienten sowie gesetzliche Vertreter Minderjähriger. Der Verantwortliche holt die erforderlichen Einwilligungen und die Mitwirkung der gesetzlichen Vertreter ein.
Genehmigt sind ClausWeb/Romania Webhosting (Hosting und Datenbanken, Rumänien), Banca Transilvania/BT iPay (tokenisierte Zahlungen, Rumänien), Anthropic PBC (KI-gestützte Notizen, USA, Standardvertragsklauseln), sendSMS.ro/SMSLINK (SMS, Rumänien), Brevo/Sendinblue SAS (Transaktions-E-Mails, Frankreich) und Functional Software/Sentry (technische Fehlerüberwachung, USA, Standardvertragsklauseln).
Direkte Klientenidentifikatoren sollen nicht in KI-Funktionen eingegeben werden. Änderungen werden mindestens 14 Tage vorher mitgeteilt. Kann ein begründeter Widerspruch nicht gelöst werden, darf der Verantwortliche den Dienst ohne Vertragsstrafe beenden.
EU-Dienstleister arbeiten in Rumänien oder Frankreich. Übermittlungen an Anthropic und Sentry in den USA beruhen auf den Standardvertragsklauseln der Europäischen Kommission. Weitere Übermittlungen außerhalb der EU erfolgen nicht ohne vorherige schriftliche Zustimmung des Verantwortlichen.
Der Verantwortliche trägt die Verantwortung für eine gültige Rechtsgrundlage, Informationen nach Art. 13–14, Einwilligungen für Gesundheitsdaten nach Art. 9 und für Minderjährige, die Wahrung der Betroffenenrechte und die Benennung eines Datenschutzbeauftragten, soweit erforderlich. Es dürfen keine Daten eingegeben werden, die über den Zweck psychologischer Dienstleistungen hinausgehen.
Der Auftragsverarbeiter informiert den Verantwortlichen spätestens 72 Stunden nach Kenntnis einer Verletzung des Schutzes personenbezogener Daten über Art, betroffene Daten, Abhilfemaßnahmen und Kontaktstelle. Meldungen nach Art. 33–34 DSGVO obliegen dem Verantwortlichen.
Der Auftragsverarbeiter stellt die erforderlichen Compliance-Informationen bereit und ermöglicht dem Verantwortlichen oder dessen Prüfer Audits mit mindestens 30 Arbeitstagen Vorankündigung, auf Kosten des Verantwortlichen und ohne Beeinträchtigung des Betriebs oder Zugriff auf Daten anderer Verantwortlicher.
Der Verantwortliche kann seine Daten innerhalb von 30 Tagen kostenlos als PDF und CSV exportieren. Danach werden sie gelöscht oder zurückgegeben, außer soweit gesetzliche Aufbewahrungspflichten bestehen: fünf Jahre für Rechnungsdaten und zehn Jahre für klinische Archivdaten, wenn die Archivierung verlangt wurde.
Gesetzliche, technische oder betriebliche Änderungen werden mindestens 14 Tage vor Inkrafttreten mitgeteilt. Die weitere Nutzung nach Inkrafttreten gilt als Annahme. Version 1.0 wurde am 14. Juli 2026 veröffentlicht.
Fragen: contact@echilibru.app, +40 760 676 990. Klienten üben ihre DSGVO-Rechte unmittelbar gegenüber ihrem Therapeuten als Verantwortlichem aus; der Anbieter unterstützt diesen gemäß Abschnitt 3.