Contrat de sous-traitance

Le présent contrat est conclu en application de l’article 28 du règlement (UE) 2016/679 (RGPD). Il forme une annexe indissociable des conditions générales et s’impose dès la création du compte. Il encadre le traitement, par Komper, des données à caractère personnel dont le praticien est responsable.

Le Responsable de traitement désigne le praticien ou la structure souscrivant l’abonnement. Le Sous-traitant désigne Dounia Mehenni, entrepreneur individuel (SIREN 920 594 314), exploitant le service Komper. En cas de contradiction avec les conditions générales, le présent contrat prévaut sur les questions de protection des données.

1. Objet, nature et finalité du traitement

Le Sous-traitant traite les données pour la seule finalité de fournir le service Komper au Responsable de traitement : hébergement et exploitation du dossier patient, enregistrement des consultations, relances, campagnes, demandes d’avis, facturation, et assistance à la rédaction.

Les opérations réalisées sont la collecte, l’enregistrement, l’organisation, la conservation, la consultation, la modification, l’extraction, la communication par transmission, l’effacement et la destruction.

2. Durée

Le présent contrat produit ses effets pendant toute la durée de l’abonnement, et jusqu’à l’achèvement des opérations de restitution et de suppression prévues à l’article 10.

3. Catégories de personnes concernées

Les patients du Responsable de traitement, ainsi que les membres du cabinet disposant d’un accès.

4. Catégories de données traitées

• Identité et contact : civilité, nom, prénom, date de naissance, e-mail, téléphone, adresse, code postal, ville, profession, personne ayant recommandé le cabinet.
• Données de santé (catégorie particulière, article 9 du RGPD) : pathologies, antécédents, médecin traitant, motif et contenu des consultations ou séances, notes, comptes rendus, données propres au métier (semelles, schémas, techniques, axes de travail), ordonnances, attestations.
• Préférences : opposition du patient à être contacté.
• Facturation : actes, montants, numéros de facture.
• Traces techniques : journal des accès et des modifications des dossiers.

Le Responsable de traitement s’engage à ne saisir que des données adéquates, pertinentes et limitées à ce qui est nécessaire à sa pratique.

5. Instructions documentées

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. Les présentes, complétées par l’usage du service et par les demandes formulées via le support, constituent ces instructions.

Le Sous-traitant s’interdit en particulier :

• d’utiliser les données pour ses propres finalités ;
• d’utiliser les données à des fins de prospection, de revente ou de cession à un tiers ;
• d’utiliser les données pour entraîner, réentraîner ou évaluer un modèle d’intelligence artificielle ;
• de croiser les données de plusieurs cabinets, chaque cabinet étant cloisonné.

Si le Sous-traitant est tenu de transférer des données en vertu du droit de l’Union ou d’un État membre, il en informe le Responsable de traitement avant le traitement, sauf interdiction légale. Il informe également le Responsable de traitement si une instruction lui paraît constituer une violation du RGPD.

6. Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s’engagent à la confidentialité, soient formées à la protection des données, et n’accèdent qu’aux données strictement nécessaires à leur mission. Les données de santé étant couvertes par le secret professionnel, aucun accès de maintenance à des données identifiantes n’est réalisé sans nécessité, et tout accès est tracé.

7. Sécurité (article 32)

Compte tenu de l’état de l’art et des risques, le Sous-traitant met en œuvre les mesures suivantes :

• chiffrement des données cliniques au repos en base ;
• chiffrement des communications en transit ;
• cloisonnement logique strict entre cabinets, empêchant tout accès croisé ;
• journal d’audit horodaté des accès, créations et modifications des dossiers patients ;
• authentification des accès et gestion des habilitations par cabinet ;
• sauvegardes assurées par la plateforme d'hébergement certifiée HDS (base de données en cluster haute disponibilité avec bascule automatique, sauvegarde continue des 7 derniers jours avec restauration à un instant donné, sauvegardes logiques conservées 7 jours, 8 semaines et 12 mois)

Ces mesures peuvent évoluer, sans que le niveau de sécurité puisse être diminué.

8. Sous-traitance ultérieure

Le Responsable de traitement autorise le Sous-traitant à recourir aux sous-traitants ultérieurs listés dans la politique de confidentialité. Le Sous-traitant leur impose par contrat les mêmes obligations que celles prévues au présent contrat, et demeure pleinement responsable de leur exécution devant le Responsable de traitement.

Tout ajout ou remplacement est notifié au Responsable de traitement avec un préavis de 30 jours, période pendant laquelle il peut s’y opposer pour un motif raisonnable tenant à la protection des données. En cas d’opposition non levée, il peut résilier sans pénalité.

L’hébergement des données de santé est confié à un hébergeur certifié Hébergeur de Données de Santé conformément à l’article L. 1111-8 du code de la santé publique : Scalingo SAS, 13 rue Jacques Peirotes, 67000 Strasbourg, France (certificat n° 38436 délivré par le LNE, activités 1 à 6 du référentiel HDS).

9. Assistance au Responsable de traitement

Le Sous-traitant assiste le Responsable de traitement pour :

• les droits des personnes : le Sous-traitant met à disposition les fonctions permettant d’accéder aux données, de les rectifier, de les exporter et de les supprimer. Si une demande lui est adressée directement par un patient, il ne répond pas sur le fond et la transmet au Responsable de traitement ;
• les violations de données : le Sous-traitant notifie le Responsable de traitement dans les meilleurs délais et au plus tard 24 heures après en avoir pris connaissance, en précisant la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises ;
• l’analyse d’impact : le traitement de données de santé à grande échelle rend une analyse d’impact (AIPD) susceptible d’être obligatoire pour le Responsable de traitement au titre de l’article 35. Le Sous-traitant lui fournit les informations nécessaires à sa réalisation.

10. Sort des données en fin de contrat

À la fin du contrat, le Responsable de traitement peut exporter ses données dans un format structuré et couramment utilisé, pendant 30 jours. À l’issue de ce délai, le Sous-traitant supprime les données de ses systèmes actifs et de ses sauvegardes dans un délai de 90 jours, et en atteste sur demande. Les données peuvent être conservées au-delà uniquement dans la mesure exigée par le droit de l’Union ou d’un État membre.

11. Registre, documentation et audit

Le Sous-traitant tient un registre des catégories d’activités de traitement effectuées pour le compte du Responsable de traitement (article 30.2). Il met à sa disposition les informations nécessaires pour démontrer le respect du présent contrat, et permet la réalisation d’audits, y compris d’inspections, par le Responsable de traitement ou un auditeur mandaté, dans les conditions suivantes : un préavis écrit de 30 jours, au maximum un audit par période de 12 mois hors violation avérée, aux frais du Responsable de traitement, l'auditeur étant tenu à la confidentialité et ne pouvant accéder aux données d'autres cabinets.

12. Transferts hors Union européenne

Les données de santé sont hébergées et traitées en France. Deux sous-traitants ultérieurs sont établis aux États-Unis : le prestataire d'e-mails transactionnels (adresses e-mail des praticiens uniquement, aucune donnée patient) et le fournisseur d'assistance à la rédaction (textes soumis par le praticien). Ces transferts sont encadrés par le cadre de protection des données UE-États-Unis (Data Privacy Framework) ou, à défaut, par les clauses contractuelles types de la Commission européenne.

13. Responsabilité

Chaque partie répond des dommages causés par un traitement violant le RGPD, dans les conditions de son article 82. Le Responsable de traitement répond notamment de la licéité des données saisies et de l’information de ses patients. Les plafonds de responsabilité stipulés aux conditions générales ne s’appliquent pas aux sanctions prononcées par une autorité de contrôle à l’encontre d’une partie du fait de ses propres manquements.

Avant publication. Ce contrat est une trame conforme dans sa structure aux exigences de l’article 28.3 du RGPD, mais il n’a pas été relu par un juriste et ne vaut pas conseil juridique. Faites-le valider, en particulier sur les délais de notification, l’audit, la responsabilité et les transferts, avant de le rendre opposable à vos clients.