Accord de sous-traitance
Accord de sous-traitance de données personnelles au sens de l'article 28 du RGPD, conclu entre le praticien (responsable de traitement) et CARESOFTWARE SOLUTIONS - FZCO (sous-traitant). Ce texte est celui accepté à l'inscription.
ACCORD DE SOUS TRAITANCE DE DONNÉES PERSONNELLES
Les dispositions du présent accord s'appliquent uniquement lorsque le prestataire CARESOFTWARE SOLUTIONS - FZCO ("CARESOFTWARE SOLUTIONS" ou le "Prestataire") est amené à traiter des données à caractère personnel au nom et pour le compte du Client en qualité de sous-traitant, le Client, lui, agissant en qualité de responsable de traitement au sens du Règlement Général (EU) n° 2016/679 sur la Protection des Données à caractère personnel ou de toutes lois, décrets, ordonnances, directives ou autres normes relatives à la protection des données personnelles et/ou la protection de la vie privée applicable (ci-après la "Réglementation applicable") et viennent compléter les dispositions des conditions générales d'abonnement et d'utilisation et la politique de confidentialité du Prestataire.
1. DESCRIPTION DU TRAITEMENT SOUS-TRAITÉ
Les caractéristiques de ce traitement sont les suivantes :
Finalités du traitement de données à caractère personnel
Réalisation et fourniture des Services décrits au conditions générales d'utilisation et d'abonnement ("CGAU") de CARESOFTWARE SOLUTIONS
Nature des opérations de traitement
- ☑ Collecte
- ☑ Enregistrement
- ☑ Organisation ou Structuration
- ☑ Conservation
- ☑ Adaptation ou Modification
- ☑ Extraction ou Consultation
- ☑ Utilisation
- ☑ Communication par transmission
- ☑ Diffusion ou toute autre forme de mise à disposition
- ☑ Rapprochement ou interconnexion
- ☑ Limitation
- ☑ Effacement ou Destruction
Type de données à caractère personnel traitées
- ☑ Données d'identification (ex : nom, prénom, adresse e-mail, numéro de téléphone)
- ☐ Données relatives à la vie professionnelle (ex : fonction, entreprise)
- ☑ Données économiques et financières (ex : RIB, carte bancaire)
- ☑ Données de connexion (identifiant, mot de passe, logs de connexion)
- ☑ Données sensibles (données de santé)
Catégories de personnes concernées
- ☑ Salarié du Client
- ☑ Prospects du Client
- ☑ Utilisateurs du Client
- ☑ Clients du Client (patients / consultants du cabinet)
Durée du traitement
Les données personnelles et notamment les données de santé conservées en base active seront conservées 5 ans à compter de la dernière intervention du Client sur le dossier du patient. Si elles sont conservées sur un support distinct (en « base intermédiaire ») dans des conditions de sécurité équivalentes à celles des autres données, elles peuvent être conservées 15 ans.
Sous-traitants ultérieurs autorisés
| Sous-traitant | Activités | Transfert hors UE |
|---|---|---|
| Scalingo SAS 13 rue Jacques Peirotes, 67000 Strasbourg, France | Hébergement de l'application, de la base de données PostgreSQL et des sauvegardes de cette base. Certification HDS n°38436 (LNE). | Non — données hébergées en France ; pas d'accès d'administration de l'hébergeur depuis hors EEE. |
| Amazon Web Services EMEA SARL Région Europe (Paris) eu-west-3 | Stockage objet des fichiers (documents, photos, audio) via Amazon S3, chiffrement au repos. Région couverte par la certification HDS d'AWS. | Données au repos en Union européenne. AWS est un groupe américain : clauses contractuelles types (décision Commission européenne du 4 juin 2021) le cas échéant. |
| Resend | Envoi des e-mails transactionnels (compte, rendez-vous, notifications). | Possible (prestataire US) — CCT le cas échéant. Pas d'hébergement de la base de santé. |
| Telnyx | Envoi des SMS transactionnels (rappels, 2FA) lorsque la fonctionnalité est activée. | Possible — CCT le cas échéant. Pas d'hébergement de la base de santé. |
| Stripe | Paiement des abonnements Thera-Connect (données de facturation du praticien, pas le dossier patient). | Possible — CCT / Data Processing Addendum Stripe. |
CARESOFTWARE SOLUTIONS - FZCO est établie aux Émirats arabes unis (Dubaï). L'hébergement des données (application, base, fichiers) demeure en France / Union européenne. Un accès distant d'administration ou de support depuis les EAU par le personnel autorisé de CARESOFTWARE SOLUTIONS est possible, uniquement pour la fourniture du service, avec authentification et traçabilité. Aucune copie de la base de données de santé n'est hébergée aux EAU.
Garanties : chiffrement des données en transit et au repos, contrôle d'accès, journalisation des accès aux données de santé, clauses contractuelles types le cas échéant (décision Commission européenne du 4 juin 2021).
2. OBLIGATIONS DE CARESOFTWARE SOLUTIONS VIS-À-VIS DU CLIENT
2.1. Traitement des données
CARESOFTWARE SOLUTIONS s'engage :
- à ne traiter les données à caractère personnel qu'aux fins des finalités listées ci-dessus et conformément aux instructions documentées du Client, y compris en ce qui concerne le transfert des données en dehors de l'Union Européenne ;
- à informer le Client si, selon lui, une instruction constitue une violation de la Réglementation applicable.
En outre, si CARESOFTWARE SOLUTIONS est tenu de procéder à un transfert de données vers un pays tiers ou à une organisation internationale, en vertu du droit applicable au Contrat, il doit informer le Client de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public.
2.2. Sécurité et confidentialité des données
CARESOFTWARE SOLUTIONS s'engage à mettre en œuvre les mesures techniques et organisationnelles appropriées afin (i) de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constante des systèmes et des services de traitements, (ii) de rétablir la disponibilité des données personnelles et l'accès à celles-ci dans les délais appropriés en cas d'incident physique ou technique et (iii) de tester, analyser et évaluer régulièrement l'efficacité de ces mesures. CARESOFTWARE SOLUTIONS veille également à ce que les personnes autorisées à traiter les données à caractère personnel soient soumises à l'obligation d'en préserver la confidentialité et reçoivent la formation nécessaire en matière de protection des données à caractère personnel.
2.3. Autres sous-traitants
CARESOFTWARE SOLUTIONS peut avoir recours à des sous-traitants ultérieurs de données avec l'autorisation expresse, générale ou spécifique, du Client.
Le Client reconnait et accepte que CARESOFTWARE SOLUTIONS puisse nommer et utiliser des Sous-Traitants ultérieurs de données ("Sous-traitant ultérieur") pour traiter des Données à caractère personnel dans le cadre des Services fournis, sous réserve que CARESOFTWARE SOLUTIONS mette en place un contrat écrit avec chaque Sous-traitant ultérieur qui impose des obligations à la fois (i) pertinentes par rapport aux services à fournir par les Sous-traitants ultérieurs et (ii) matériellement similaires aux droits et/ou obligations accordés ou imposés à CARESOFTWARE SOLUTIONS dans cette Annexe.
Un Sous Traitant ultérieur de données peut inclure un prestataire tiers ou toute entité membre du même groupe que CARESOFTWARE SOLUTIONS. Lorsqu'un Sous-traitant ultérieur manque à ses obligations de protection des données décrites ci-dessus, CARESOFTWARE SOLUTIONS sera tenu pour responsable auprès du Client du respect des obligations du Sous-traitant ultérieur des données.
2.4. Transfert de données à caractère personnel hors de l'Union européenne
Le Client autorise les transferts de données à caractère personnel réalisés par CARESOFTWARE SOLUTIONS dans le cadre du présent Contrat vers des pays situés hors de l'Union européenne tels que listés dans le tableau ci-dessus.
CARESOFTWARE SOLUTIONS est autorisé à réaliser de nouveaux transferts vers des pays situés hors de l'Union européenne, sous réserve (i) de l'information préalable du Client et (ii) de la mise en place de mesures nécessaires pour s'assurer que ces transferts soient conformes au Chapitre V du RGPD.
2.5. Assistance et Fourniture d'informations
CARESOFTWARE SOLUTIONS s'engage à répondre dans les meilleurs délais à toute demande d'information lui étant adressée par le Client, que ce soit dans le cadre d'une demande d'exercice de leurs droits par les personnes concernées, d'une analyse d'impact, ou d'une demande présentée par les autorités de protection des données ou le délégué à la protection des données du Client.
2.6. Exercice des droits des personnes
Dans l'hypothèse où CARESOFTWARE SOLUTIONS reçoit une demande d'exercice des droits d'une personne concernée par les traitements encadrés par le Contrat, CARESOFTWARE SOLUTIONS s'engage à transmettre au Client les demandes d'exercice de droits dès réception de celles-ci.
En outre, dans la mesure du possible, CARESOFTWARE SOLUTIONS doit aider le Client à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées : droit d'accès, de rectification, d'effacement et d'opposition, droit à la limitation du traitement, droit à la portabilité des données, droit de ne pas faire l'objet d'une décision individuelle automatisée (y compris le profilage).
2.7. Notification des violations de données à caractère personnel
CARESOFTWARE SOLUTIONS s'engage à notifier au Client toute violation de données à caractère personnel dans un délai maximum de soixante-douze (72) heures après en avoir pris connaissance.
Cette notification contient :
- La description de la nature de la violation de données à caractère personnel, y compris les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d'enregistrements de données à caractère personnel ;
- La description des conséquences probables de la violation de données à caractère personnel ;
- La description des mesures à mettre en œuvre pour remédier à la violation de données à caractère personnel y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences ;
- Le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues.
2.8. Sort des données
CARESOFTWARE SOLUTIONS s'engage au choix du Client à sa première demande formulée par courrier électronique et sous un délai de quinze (15) jours à supprimer les données à caractère personnel à l'expiration du Contrat, quelle qu'en soit la cause, et à ne pas en conserver de copie. Une fois les copies détruites, le Prestataire doit justifier par écrit de la destruction et/ou à renvoyer intégralement les données à caractère personnel objets du présent Contrat au Client.
2.9. Documentation
CARESOFTWARE SOLUTIONS met à disposition du Client, sur demande de celui-ci, toutes les informations et tous les documents nécessaires pour démontrer le respect de ses obligations et pour permettre la réalisation d'audits, y compris des inspections, par le Client ou un autre auditeur qu'il a mandaté, et contribuer à ces audits.
3. OBLIGATIONS DU CLIENT VIS-À-VIS DE CARESOFTWARE SOLUTIONS
Le Client s'engage à :
- fournir à CARESOFTWARE SOLUTIONS les données personnelles visées ci-dessus, à l'exclusion de toute donnée personnelle non pertinente, disproportionnée ou non nécessaire, et à l'exclusion de toute donnée « particulière » au sens de la Réglementation applicable, sauf si les traitements le justifient, à charge pour le Client d'établir ces justifications et de prendre toutes mesures, notamment d'information préalable, de recueil de consentement et de sécurité, appropriées pour de telles données particulières ;
- collecter sous sa responsabilité, de manière licite, loyale et transparente, les données personnelles fournies à CARESOFTWARE SOLUTIONS, pour l'exécution de ses services, et en particulier, s'assurer de la base légale de cette collecte et de l'information due aux personnes concernées ;
- veiller au préalable et pendant toute la durée du traitement, au respect des obligations prévues par la Réglementation applicable.