Plan de Acțiune Juridic și Conformitate
Listă consolidată de acțiuni de la 15.05.2026 (astăzi) până la 10.06.2026 (lansarea publică), plus responsabilitățile continue post-lansare. Fiecare alt document juridic descrie ce și de ce; acesta spune cine ce face și până când. v1 redactată la 15.05.2026.
Calendarul pre-lansare de mai jos a expirat fără a fi parcurs — de citit mai întâi
Calendarul din prezentul document a fost construit pornind înapoi de la 10.06.2026 și presupunea un angajament cu consilierul juridic care ar fi început în aceeași săptămână în care a fost redactat. Acel angajament nu a început niciodată. Fiecare livrabil din el — de la D1 la D7 — este în continuare restant, iar termenele de mai jos sunt istorice, nu operaționale.
Între timp, platforma a mers mai departe decât presupunea planul: producția deservește pacienți reali din 05.06.2026, platforma a fost înregistrată ca dispozitiv medical clasa I cu marcaj CE în mai 2026, iar funcționalități pe care planul le consemna ca amânate — în special consultațiile video — au fost implementate și livrate.
Tabelele calendarului se păstrează ca evidență a ceea ce a fost planificat. Se lucrează de la poziția actuală, de mai jos.
Poziția actuală — 06.09.2026
Ordonate după expunere, nu după efort. Primele două sunt singurele în care prelucrarea este activă, iar documentația lipsește.
| # | Element | Titular | De ce se află aici | Unde |
|---|---|---|---|---|
| 1 | Mutarea consultațiilor video pe un cont propriu al platformei și confirmarea entității care deține contul actual | TU + SRL | Consultațiile video în timp real transmit date privind sănătatea, din categoria Art. 9, prin același cont la furnizor ca sistemul preexistent restartix-leo. Două sisteme într-un singur cont reprezintă o problemă de segregare în sensul Art. 32 și lasă neconfirmată entitatea parte la acordul de prelucrare aflat în vigoare | TIA T4 |
| 2 | Inițierea angajamentului cu consilierul juridic | SRL | D1–D7 condiționează avizarea fiecărui document din acest director. Nimic de aici nu este revizuit de consilier; fiecare document poartă în continuare avertismentul că este redactat de dezvoltator | nota către consilier |
| 3 | Desemnarea RPD și înregistrarea la ANSPDCP | SRL | Se aplică două criterii independente prevăzute la Art. 37. Memorandumul de desemnare este redactat; înregistrarea nu este făcută | desemnare RPD |
| 4 | Publicarea listei subîmputerniciților la restartix.pro/legal/sub-processors | SRL | Transparență conform Art. 28 alin. (2) și mecanismul prin care noua intrare privind subîmputernicitul video ajunge la operatori | subîmputerniciți |
| 5 | Trimiterea explicită a enable_recording: off la crearea camerei | TU | Înregistrarea este dezactivată, însă prin valoarea implicită a furnizorului, nu prin cererea noastră. O măsură pe care o afirmăm într-o notă de informare trebuie să fie una pe care o și transmitem | video/daily.go |
| 6 | Redactarea procedurii de reaplicare a ștergerilor după restaurare | TU | Arhiva de backup este imuabilă timp de 7 ani, prin urmare poziția privind ștergerea depinde integral de reaplicarea ștergerilor după o restaurare. Angajamentul este acum consemnat în acordul de prelucrare; procedura din spatele lui, nu | R12 |
| 7 | Răspunsuri restante ale consilierului: §3.1 CNP la înregistrare, §3.2 sub 16 ani, §3.4 tabelul de retenție, §3.5 sfera semnăturii biometrice | Consilier | CNP-ul a fost implementat prudent înaintea răspunsului; celelalte trei rămân nerezolvate deopotrivă în cod și pe hârtie | nota către consilier §3 |
Elementele 2–4 sunt administrative și niciunul nu este blocat de partea de inginerie. Elementul 1 este ceea ce stă între platformă și înrolarea unei clinici terțe care dorește consultații video — contractul este în vigoare, dar contul nu este exclusiv al nostru.
Actori
| Cod | Actor | Sferă |
|---|---|---|
| TU | Dezvoltatorul platformei (tu, care operezi baza de cod) | Întreaga activitate din repository: ciorne, cod, schemă, documentație, IaC, deploy-uri |
| SRL | RestartiX SRL — entitatea juridică, acționând prin {{SIGNATORY}} | Decizii, semnături, plăți, acte față de autoritate, angajarea consilierului și a RPD |
| Consilier | Cabinet românesc selectat în materia protecției datelor ({{COUNSEL_FIRM}}) | Revizuire juridică, răspunsuri cu efect obligatoriu, revizuirea cu marcaje a șabloanelor, scrisoare de închidere |
| RPD | Serviciul extern de RPD ({{DPO_PROVIDER}}) | Supraveghere independentă, avize, interacțiune cu ANSPDCP, revizuiri trimestriale |
| ANSPDCP | Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal | Primește desemnarea RPD; primește notificările viitoare privind incidentele; audituri potențiale |
Valori posibile pentru stadiu
de făcut · în lucru · gata · blocat · n/a
Actualizați coloana Stadiu pe măsură ce munca avansează.
Calendar pre-lansare (istoric — a se vedea avertismentul de mai sus)
Săptămâna 1 — 15.05.2026 – 21.05.2026
Obiectiv: angajamentele cu consilierul și RPD aliniate; placeholder-urile completate; forma coloanelor F9.3 decisă.
| Acțiune | Responsabil | Termen | Stadiu | Unde |
|---|---|---|---|---|
| Completați fișa de placeholder-uri — denumirea entității, CUI, sediul, semnatarul, e-mailul de contact, orașul de jurisdicție, plafonul de buget | SRL | 16.05.2026 | de făcut | /ro/legal/context |
| Aplicați valorile completate în documente (căutare-și-înlocuire) | TU | 17.05.2026 | de făcut | Toate /ro/legal/*.md |
| Identificați 2–3 cabinete românești specializate în protecția datelor; cereți oferte cu onorariu fix conform brief-ului | SRL | 18.05.2026 | de făcut | |
| Identificați 2–3 furnizori externi de serviciu RPD; cereți oferte | SRL | 18.05.2026 | de făcut | |
| Eliminați nota internă „Notă de implementare" din brief înainte de trimitere | TU | 18.05.2026 | de făcut | brief consilier §10 |
| Decideți abordarea WAF: Cloudflare WAF-for-SaaS vs. AWS WAF pe ALB | SRL + TU | 21.05.2026 | de făcut | plan lansare iunie — decizii deschise |
Decideți URL-ul paginii publice de aterizare (restartix.pro rădăcină vs. portal.restartix.pro/join) | SRL | 21.05.2026 | de făcut | plan lansare iunie — decizii deschise |
| Stabiliți forma coloanelor F9.3 (instrumente per-sesiune vs. per-exercițiu) — blochează migrarea F9.3 | TU | 21.05.2026 | de făcut | plan lansare iunie — decizii deschise |
Decideți {{MAILBOX_PROVIDER}} pentru cutiile poștale de asistență / RPD / securitate | SRL | 21.05.2026 | de făcut | EAP A5 |
| Selectați cabinetul consilier și furnizorul RPD; comunicați selecția | SRL | 21.05.2026 | de făcut | — |
Săptămâna 2 — 22.05.2026 – 28.05.2026
Obiectiv: angajamente semnate; materialele predate; infrastructura de producție începe; cutiile poștale aprovizionate.
| Acțiune | Responsabil | Termen | Stadiu | Unde |
|---|---|---|---|---|
| Semnați scrisoarea de angajament cu consilierul | SRL | 22.05.2026 | de făcut | — |
| Semnați scrisoarea de angajament cu RPD | SRL | 22.05.2026 | de făcut | /ro/legal/dpo-designation |
| Predați pachetul de materiale consilierului (cele 10 articole din brief §4) | TU | 22.05.2026 | de făcut | E-mail + link repository |
Aprovizionați cele trei cutii poștale — dpo@, security@, support@ pe restartix.pro | TU | 24.05.2026 | de făcut | DNS + furnizor |
Transmiteți notificarea desemnării RPD către ANSPDCP; înregistrați {{ANSPDCP_NOTIFICATION_REF}} | RPD + SRL | 26.05.2026 | de făcut | Portal ANSPDCP |
Începeți Terraform de producție sub infra/envs/production (RDS Multi-AZ, NAT, chei KMS prod) | TU | 28.05.2026 | de făcut | iac-layout.md |
| Acceptați BAA AWS în AWS Artifact | SRL | 28.05.2026 | de făcut | AWS Artifact |
| Începeți migrările F9 (treatment_plans, treatment_plan_sessions etc.), după ce forma coloanelor este stabilită | TU | 28.05.2026 | de făcut | plan lansare iunie — Stream C |
| Începeți schela serviciului de telemetrie F10 | TU | 28.05.2026 | de făcut | plan lansare iunie — Stream C |
Săptămâna 3 — 29.05.2026 – 04.06.2026
Obiectiv: check-in la jumătatea perioadei cu consilierul; infrastructura de producție întărită; build-urile F9/F10 finalizate; exercițiu de restaurare executat.
| Acțiune | Responsabil | Termen | Stadiu | Unde |
|---|---|---|---|---|
| Ciorna D1 a consilierului livrată (răspunsuri cu efect obligatoriu la §3.1–§3.9) | Consilier | 29.05.2026 | de făcut | brief consilier §5 |
| Aplicați răspunsurile D1: decizia CNP-la-înregistrare, fluxul sub 16 ani, tabel de retenție | TU | 02.06.2026 | de făcut | Flux ștergere F11.1 + înregistrare Portal |
| Aplicați D1 în catalogul scopurilor de consimțământ (1B.9), dacă sunt necesare modificări | TU | 02.06.2026 | de făcut | — |
| Verificați postura de backup cap-la-coadă; executați exercițiul de restaurare | TU | 04.06.2026 | de făcut | backup-disaster-recovery |
| Rulați testul de încărcare k6 pe stagingul de forma producției; înregistrați baseline-urile p50/p95/p99 | TU | 04.06.2026 | de făcut | plan lansare iunie — Stream B |
| Calibrați limitele auto-scaling Fargate pe baza datelor din testul de încărcare | TU | 04.06.2026 | de făcut | scaling-architecture |
| Endpoint-urile GDPR F11.1 (DSAR + ștergere) sunt livrate și testate | TU | 04.06.2026 | de făcut | features → F11.1 |
| Organizația Sentry creată, proiecte per serviciu, încărcarea fișierelor source map în CI | TU | 04.06.2026 | de făcut | plan lansare iunie — Stream E |
| Cont de producție Bunny CDN, APD semnat, ofertă de bandă | SRL | 04.06.2026 | de făcut | Furnizor |
| Cheile de producție Clerk configurate | TU | 04.06.2026 | de făcut | Dashboard Clerk |
| Prima revizuire trimestrială a DPIA / EAP de către RPD | RPD | 04.06.2026 | de făcut | /ro/legal/dpo-designation |
Săptămâna 4 — 05.06.2026 – 10.06.2026
Obiectiv: toate livrabilele consilierului finalizate; operațiunile pregătite; lansare.
| Acțiune | Responsabil | Termen | Stadiu | Unde |
|---|---|---|---|---|
| Livrabilele D1–D6 ale consilierului finalizate (șabloane revizuite, EAP, DPIA, TIA, text marketing, memoriu sancțiuni) | Consilier | 05.06.2026 | de făcut | brief consilier §5 |
Aplicați marcajele de revizuire în șabloanele platformei: nota de informare privind confidențialitatea (EN + RO) introdusă în legal_document_templates v2 (1B.10) | TU | 06.06.2026 | de făcut | /implementation-plan/foundation#_1b-10-privacy-notice-templates |
Publicați pagina publică de transparență privind subîmputerniciții la restartix.pro/legal/sub-processors | TU | 06.06.2026 | de făcut | Site marketing |
| Semnați APD-ul cu formularea finală revizuită de consilier | SRL | 06.06.2026 | de făcut | /ro/legal/dpa-template |
| Semnați APD-ul intern (ambele părți RestartiX SRL) | SRL | 06.06.2026 | de făcut | /ro/legal/inner-dpa |
| RPD contrasemnează versiunea finală a DPIA | RPD | 06.06.2026 | de făcut | /ro/legal/dpia §8 |
| Construiți UI-ul banner-ului de cookie-uri conform inventar cookie-uri § Banner; postură minimă la lansare | TU | 07.06.2026 | de făcut | Pagina de aterizare Portal |
| Handler SES de respingeri/reclamații + tabel de suppression livrat | TU | 07.06.2026 | de făcut | production-launch-readiness |
| Scrisoarea D7 de închidere de la consilier primită | Consilier | 08.06.2026 | de făcut | — |
| Cutover dry-run executat; exercițiu PITR de restaurare pe producție | TU | 08.06.2026 | de făcut | — |
| Rotația de gardă activată; un exercițiu sintetic de incident pe staging | TU + RPD | 09.06.2026 | de făcut | /ro/legal/breach-notification-playbook |
| Pagina de status automatizată din CloudWatch | TU | 09.06.2026 | de făcut | — |
| Întâlnirea finală de aviz pre-lansare (TU + SRL + RPD) | Toți | 09.06.2026 | de făcut | — |
| LANSARE PUBLICĂ | — | 10.06.2026 | n/a | — |
Puncte critice de cale
Acestea pot amâna lansarea și nu au rezervă:
- D1 de la consilier până la 29.05.2026. Determină decizia CNP, fluxul sub 16 ani, tabelul de retenție — fiecare are o schimbare de cod în aval. Slip → alegere între amânarea lansării sau șabloane nerevizuite de consilier.
- Forma coloanelor F9.3 până la 21.05.2026. Blochează migrarea F9.3; o migrare de 50k+ rânduri nu poate fi reformatată ieftin post-lansare.
- D7 de la consilier până la 08.06.2026. Semnal de pornire pentru lansare. Fără D7, fără lansare.
- Desemnarea RPD transmisă către ANSPDCP până la 26.05.2026. Timpul de confirmare nu este sub controlul operatorului; transmiteți devreme.
- Ofertă de bandă Bunny în Săptămâna 2. Diferența dintre înregistrare și contract semnat — cerere de ofertă înainte de semnare.
Dependențe de decizii (vizualizare)
Astăzi (15.05.2026)
│
├─► [SRL] Completați placeholder-urile ────► [TU] Aplicați în documente
│
├─► [SRL] Selectați consilier ────────► [SRL] Semnați scrisoare ──► Pachet materiale ──► Ciornă D1 ──► Scrisoare închidere D7
│ │
│ └──► [TU] Aplicați răspunsuri (CNP, <16, retenție) ──► Schimbări Portal
│
├─► [SRL] Selectați RPD ──────────────► [SRL] Semnați scrisoare ──► [RPD+SRL] Transmiteți la ANSPDCP ──► RPD operațional
│ │
│ └──► Începe revizuirea trimestrială ──► Contrasemnare DPIA
│
├─► [TU+SRL] Decizie WAF ─────────────► [TU] IaC de producție
│
└─► [TU] Forma coloanelor F9.3 ───────► [TU] Migrare F9.3 ──► Pagini Portal F9Responsabilități continue post-lansare
Acestea sunt obligații durabile care încep la 10.06.2026 și nu se opresc. Fiecare are un responsabil și o cadență.
Documente și registre
| Responsabilitate | Responsabil | Cadență | Unde |
|---|---|---|---|
| Menținerea listei subîmputerniciților; declanșarea notificării de 30 de zile la modificări | TU + RPD | Per modificare | /ro/legal/sub-processors |
| Menținerea EAP; adăugarea intrărilor când o nouă activitate de prelucrare este livrată | TU | Per modificare + revizuire anuală | /ro/legal/ropa |
| Menținerea inventarului cookie-urilor; adăugarea rândului când un nou cookie/tracker este livrat | TU | Per PR (regulă de inginerie) | /ro/legal/cookie-inventory |
| Reevaluarea TIA când se modifică legislația țării de destinație sau structura unui subîmputernicit | RPD + Consilier | Anual + la modificare substanțială | /ro/legal/transfer-impact-assessment |
| Reevaluarea DPIA pe noi funcționalități cu risc ridicat (activare pose-tracking, funcționalități AI) | RPD + TU | Per declanșator de funcționalitate | /ro/legal/dpia |
| Revizuirea anuală a tuturor artefactelor juridice | RPD | Anual | Toate /ro/legal/*.md |
Operațiuni
| Responsabilitate | Responsabil | Cadență | Unde |
|---|---|---|---|
| Răspunsul la incidente — rolul de Comandant Incident | TU (rotația de gardă) | Continuu (de gardă) | /ro/legal/breach-notification-playbook |
| Notificarea incidentelor către operatori (în 48 de ore) | RPD (redactează) + SRL (transmite) | Per incident | /ro/legal/breach-notification-playbook |
| Exercițiu trimestrial de simulare — simulare de incident | RPD organizează; TU + SRL participă | Trimestrial | /ro/legal/breach-notification-playbook |
| Întâlnire trimestrială de revizuire a conformității | RPD prezidează; TU + SRL participă | Trimestrial | /ro/legal/dpo-designation |
| Gestionarea DSAR — solicitări de acces conform Art. 15 | Direcționate către clinică-ca-operator; platforma asistă | Per solicitare | /ro/legal/dpa-template §3.3 |
| Solicitări de ștergere — Art. 17 | Direcționate către clinică-ca-operator; platforma execută anonimizarea | Per solicitare | F11.1 |
| Aplicarea retenției jurnalului de audit (6+ ani) | TU (automatizat prin cron de partiționare) | Continuu | audit_log |
| Revizuirea jurnalului sesiunilor break-glass | RPD | Trimestrial | /architecture/decisions |
Față de autoritate
| Responsabilitate | Responsabil | Cadență | Unde |
|---|---|---|---|
| Corespondența cu ANSPDCP — primul punct de contact | RPD | Per solicitare | /ro/legal/dpo-designation |
| Notificare incident către ANSPDCP în 72 de ore (Art. 33) | SRL semnează; RPD redactează | Per incident | /ro/legal/breach-notification-playbook §5.3 |
| Notificare persoanelor vizate afectate (Art. 34) | SRL semnează (pentru clinica proprie); clinica tenant semnează (pentru pacienții tenant); RPD redactează | Per incident cu risc ridicat | /ro/legal/breach-notification-playbook §5.4 |
| Actualizarea desemnării RPD la schimbarea RPD | SRL transmite; RPD ieșind asistă | Per modificare | Portal ANSPDCP |
Declanșatori de decizii
Acestea sunt evenimente care ar trebui să declanșeze o revizuire specifică:
| Eveniment | Declanșează | Responsabil |
|---|---|---|
| Adăugarea unui nou subîmputernicit | Notificare 30 de zile către toți operatorii; intrare TIA dacă este non-UE | TU + RPD |
| Eliminarea sau înlocuirea unui subîmputernicit | Notificare 30 de zile; actualizare Anexa C la APD; eliminare intrare TIA, dacă este cazul | TU + RPD |
| Livrarea unui nou cookie / tracker | Rând în inventarul cookie-urilor în același PR; actualizare banner dacă este condiționat de consimțământ | TU |
| Adăugarea unui nou scop de consimțământ | Intrare în EAP; revizuirea șablonului notei de informare privind confidențialitatea (1B.10); aviz RPD | TU + RPD |
| Activarea pose-tracking (când va fi programată) | Anexă nouă la DPIA; scop nou de consimțământ; bump de versiune al notei de informare privind confidențialitatea; aviz RPD | TU + RPD |
| Prima funcționalitate AI livrată | Anthropic / OpenAI adăugat în lista subîmputerniciților; intrare nouă în TIA; anexă DPIA; scop de consimțământ | TU + RPD |
| Prima clinică terță înrolată | APD-ul intern nu mai este singurul; APD pentru tenant executat | SRL + clinică |
| Schimbarea deciziei UE-SUA de adecvare (de exemplu, invalidarea DPF) | Actualizare TIA pentru Clerk; evaluarea contingenței de schimbare IdP | RPD + TU |
| Scanare ANSPDCP indică un tipar nou în domeniul nostru | Reangajarea consilierului (mini-sferă); documente afectate revizuite | RPD + Consilier |
| Incident care afectează datele unui operator | Răspuns complet la incident; notificare operator în 48 de ore; ANSPDCP în 72 de ore (dacă se aplică) | TU (CI) + RPD + SRL |
| Aniversarea de 12 luni a lansării | Revizuire anuală a fiecărui artefact juridic; revizuirea progresului ISO 27001 | RPD |
Jurnal de modificări
| Data | Modificare |
|---|---|
| 15.05.2026 | Inițial v1 — calendar pre-lansare S1–S4 + responsabilități continue post-lansare |