APD Intern — Clinica RestartiX ↔ Platforma RestartiX

Aceeași SRL joacă ambele roluri la lansare. Acest APD documentează în formă internă separarea operator / persoană împuternicită, astfel încât angajamentul arhitectural să fie aplicabil într-o formă auditabilă. Reflectă structural APD-ul pentru clinicile tenant — aceeași formă, aceleași drepturi, aceeași listă de subîmputerniciți din Anexa C. v1 redactată la 15.05.2026.

Stadiul revizuirii juridice

Ciornă v1 redactată de dezvoltator. Consilierul confirmă dacă un APD intra-entitate este instrumentul corect conform dreptului român (alternativă: o politică internă documentată de prelucrare a datelor cu forță obligatorie echivalentă asupra echipelor interne). Oricum ar fi, fondul trebuie să se mențină. A se vedea brief-ul consilierului.

De ce un APD intern atunci când ambele părți sunt aceeași entitate juridică?

{{LEGAL_ENTITY}} operează ambele entități:

• Clinica RestartiX — prima clinică pe platformă la lansare. Furnizează telereabilitare pacienților. Operator conform Art. 24 GDPR.
• Platforma RestartiX — operatorul SaaS care furnizează infrastructura multi-tenant. Persoană împuternicită conform Art. 28.

Ambele entități sunt aceeași SRL, însă rolurile sunt reale, iar granița este aplicabilă:

1. Angajament arhitectural. Orice altă clinică înrolată după lansare intră în APD-ul pentru clinicile tenant. Clinica RestartiX operând fără aceeași graniță ar reprezenta un precedent care erodează angajamentul de a fi exclusiv persoană împuternicită. APD-ul intern este mecanismul durabil care previne deriva.
2. Realitate operațională. Echipa platformei (ingineri, operațiuni, asistență, finanțe) nu este aceeași cu echipa clinicii (administratorii clinicii, specialiștii). Primitiva break-glass se aplică în interiorul {{LEGAL_ENTITY}} exact ca pentru clinicile terțe: personalul platformei nu vede datele pacienților clinicii RestartiX în afara elevării.
3. Pregătire pentru viitor. Când va fi înrolată prima clinică terță, APD-ul intern este deja în vigoare — nu există o „cale veche" de migrat. Jurnalul break-glass, forma jurnalului de audit și fluxul de consimțământ se comportă identic.
4. Auditabilitate. O autoritate care întreabă „arătați-mi cum mențineți granița de persoană împuternicită atunci când operați ca propria clinică" așteaptă un instrument scris. Acesta este acel instrument.

Un APD formal este forma cu cea mai mare apărabilitate; alternativa este o politică internă documentată de prelucrare a datelor, cu forță obligatorie echivalentă, dacă consilierul recomandă acest lucru. Fondul — aceleași MTO, același break-glass, același audit, aceeași autorizare a subîmputerniciților, aceeași retenție, același răspuns la incidente — nu se schimbă între cele două forme.

Părți

Partea	Rol	Identificator
Operatorul („Clinica RestartiX")	Activitatea clinică a {{LEGAL_ENTITY}} care furnizează servicii de telereabilitare pacienților, în temeiul abonamentului propriu	{{LEGAL_ENTITY}}, CUI {{CUI}}, {{REGISTERED_ADDRESS}} (unitate de afaceri clinică identificată prin centrul de cost intern {{COST_CENTRE_CLINIC}})
Persoana Împuternicită („Platforma RestartiX")	Activitatea SaaS a {{LEGAL_ENTITY}} care operează platforma multi-tenant RestartiX	{{LEGAL_ENTITY}}, CUI {{CUI}}, {{REGISTERED_ADDRESS}} (unitate de afaceri platformă identificată prin centrul de cost intern {{COST_CENTRE_PLATFORM}})

Singura entitate juridică acționează în ambele calități, distinse prin unitatea de afaceri internă și centrul de cost. Semnătura este realizată de același reprezentant autorizat din ambele părți — a se vedea Semnături mai jos. Semnarea acestui APD în dublă calitate este înregistrată în evidențele societare ale SRL-ului ca un aranjament între părți afiliate.

Clauze de fond

Clauzele de fond ale prezentului APD sunt identice cu cele ale APD-ului pentru clinicile tenant §§1–13, aplicate între Clinica RestartiX (în calitate de Operator) și Platforma RestartiX (în calitate de Persoană Împuternicită). Următoarele clauze sunt reproduse identic din APD-ul tenant și se aplică cu aceeași forță:

• §1 Definiții — aplicate prezentului APD.
• §2 Sferă, roluri și instrucțiuni — instrucțiunile documentate ale Clinicii RestartiX sunt emise de {{CONTROLLER_REPRESENTATIVE}} (partea operațională clinică) și înregistrate în sistemul intern de control al modificărilor la {{INTERNAL_INSTRUCTION_LOG_LOCATION}}. Instrucțiunile în afara acestui canal nu se află în sferă.
• §3 Obligațiile Persoanei Împuternicite — aplicate fără modificare. Instrumentele Platformei pentru Solicitările Persoanelor Vizate, asistența la incidente și asistența la audit sunt disponibile părții Clinică prin aceleași suprafețe Consolă + Aplicație Clinică folosite de orice clinică tenant.
• §4 Acces al personalului — aplicat fără modificare. Primitiva break-glass se aplică între unitățile de afaceri din interiorul {{LEGAL_ENTITY}} exact ca pentru clinicile terțe. Accesul personalului platformei la datele pacienților Clinicii RestartiX necesită o sesiune break-glass activă cu scop, motiv, limită de timp și rând de audit.
• §5 Transferuri internaționale — aplicat fără modificare. CCS-urile încheiate de Persoana Împuternicită cu Subîmputerniciții din țări terțe acoperă și fluxul de date al prezentului APD.
• §6 Subîmputerniciți — aplicat cu modificarea că notificarea modificărilor de Subîmputerniciți se transmite concomitent cu notificarea publică către celelalte clinici. Dreptul de opoziție al Operatorului există în principiu, dar este exercitat în practică de aceeași persoană care, de partea Persoanei Împuternicite, a făcut modificarea — existența dreptului de opoziție este păstrată ca mecanism durabil, nu ca un gate semnificativ între părțile aliniate.
• §7 Încălcările Securității Datelor cu Caracter Personal — aplicat fără modificare. Notificarea de încălcare curge de la Platforma RestartiX (contact RPD) către Clinica RestartiX (contact administrator clinică) în termen de 48 de ore, chiar dacă ambele contacte aparțin aceleiași SRL. Notificarea este o evidență reală, folosită pentru obligația Art. 33 a Clinicii către ANSPDCP.
• §8 Audit — aplicat fără modificare, cu nota practică că dreptul de audit al Operatorului este satisfăcut prin procesul anual de revizuire internă al {{LEGAL_ENTITY}}; auditurile la fața locului nu sunt semnificative între unități de afaceri.
• §9 Răspundere — repartizată între unitățile de afaceri conform politicii interne de alocare a costurilor a SRL-ului. Răspunderea externă rămâne la {{LEGAL_ENTITY}}.
• §10 Termen și încetare — pe durata abonamentului Clinicii RestartiX pe platformă. Dacă Clinica RestartiX își încetează activitatea clinică în timp ce platforma continuă (sau viceversa), obligațiile supraviețuitoare se aplică.
• §11 Legea aplicabilă și jurisdicția — România; instanțele din {{JURISDICTION_CITY}}.
• §12 Ordinea de prioritate — aplicată.
• §13 Modificări — aplicate. Actualizările APD-ului tenant curg automat în acest APD intern, cu excepția cazului în care prezentul APD este modificat explicit pentru a se abate (nu se intenționează nicio abatere).

Anexe — incluse prin referință

• Anexa A — Descrierea prelucrării — identică ca sferă cu Anexa A din APD-ul tenant. Categoriile de Persoane Vizate sunt pacienții proprii ai Clinicii RestartiX (inițial cei ~5.000 de pacienți cu auto-înscriere la lansare) și viitorul personal al Clinicii RestartiX.
• Anexa B — MTO — identică cu Anexa B din APD-ul tenant. Platforma aplică aceleași MTO datelor Clinicii RestartiX ca celor ale oricărei alte clinici.
• Anexa C — Subîmputerniciți — identică cu Anexa C din APD-ul tenant și cu lista subîmputerniciților.

Consolidare operațională

APD-ul intern nu este un document de hârtie. Este consolidat prin mecanisme la nivel de cod și la nivel operațional:

Mecanism	Unde
Clinica RestartiX are un rând real în organizations, cu același scoping RLS pe care îl are orice alt tenant	Baza de date a platformei — nicio excepție pentru clinica proprie a {{LEGAL_ENTITY}}
Personalul platformei nu are niciun rol RBAC static care să acorde acces de citire pe datele pacienților Clinicii RestartiX; accesul necesită o sesiune break-glass	primitiva break-glass
Jurnalul de audit tratează identic Clinica RestartiX și orice alt org_id	Forma jurnalului de audit (P41)
Autorizările pentru subîmputerniciți sunt generale, nu specifice unei organizații	Lista subîmputerniciților
Testarea procedurii de notificare a incidentelor include un exercițiu în care Platforma notifică Clinica RestartiX	Procedura de notificare a incidentelor

Semnături

Partea	Semnătura	Data
Pentru Clinica RestartiX (Operator) — {{LEGAL_ENTITY}}	__	__
Nume / Funcție	{{SIGNATORY}} / {{CLINIC_BU_TITLE}}
Pentru Platforma RestartiX (Persoană Împuternicită) — {{LEGAL_ENTITY}}	__	__
Nume / Funcție	{{SIGNATORY}} / {{PLATFORM_BU_TITLE}}

Semnătura duală a aceluiași reprezentant autorizat este înregistrată în evidențele societare ale SRL-ului ca un aranjament între părți afiliate.

Jurnal de modificări

Data	Modificare
15.05.2026	Ciornă inițială. Preia structura și fondul din APD-ul tenant. Anexe incluse prin referință