Accord de Traitement des Données

3.1 Instructions documentées (Art. 28.3.a)

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. La configuration de la Plateforme constitue l'ensemble des instructions. Toute instruction supplémentaire doit être formulée par écrit.

3.2 Confidentialité (Art. 28.3.b)

Le personnel du Sous-traitant ayant accès aux données personnelles est soumis à une obligation de confidentialité. L'accès est restreint par un contrôle d'accès basé sur les rôles (RBAC) avec 6 rôles et 52 permissions.

3.3 Mesures de sécurité (Art. 28.3.c / Art. 32)

3.4 Sous-traitance ultérieure (Art. 28.3.d)

Le Responsable de traitement autorise le Sous-traitant à recourir aux sous-traitants ultérieurs listés ci-dessous. Le Sous-traitant l'informe préalablement de tout ajout ou remplacement envisagé, afin de lui permettre d'émettre des objections (Art. 28.2 RGPD), et impose à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données (Art. 28.4 RGPD).

3.5 Assistance aux droits des personnes (Art. 28.3.e)

Le Sous-traitant met à disposition les fonctionnalités techniques suivantes :

3.6 Assistance DPIA (Art. 28.3.f)

Le Sous-traitant fournit un registre des traitements, une Analyse d'Impact (DPIA) et toute information nécessaire pour démontrer la conformité.

3.7 Suppression ou restitution (Art. 28.3.g)

La fin de l’essai gratuit sans souscription d’un abonnement n’est pas une fin de contrat : l’accès est alors suspendu et les données sont conservées, exportables, jusqu’au choix d’une formule ou à une demande de fin de contrat. À la fin du contrat, selon le choix du Responsable de traitement, le Sous-traitant :

• • Restitue les données : un export complet (données au format JSON et documents d’origine, déchiffrés, avec leurs empreintes SHA-256) est téléchargeable à tout moment, et pendant 30 jours en lecture seule après la fin du contrat.
• • Détruit toutes les données du Responsable de traitement sur son instruction expresse (titulaire ou direction, dans la rubrique « Fin de contrat »), au plus tôt à la fin de ces 30 jours. Sans instruction, les données sont conservées sans autre accès que l’export et le Responsable de traitement est relancé tous les 30 jours.
• • Ne conserve que ce que la loi ou la traçabilité lui imposent : les factures de l’abonnement et leurs justificatifs (10 ans) et le journal d’audit des accès (au moins 20 ans, comme les dossiers, selon la recommandation de la CNIL). Les sauvegardes chiffrées sont effacées au fil de leur renouvellement, au plus tard 12 mois après la destruction.
• • Fournit une attestation de destruction, envoyée par e-mail et conservée comme preuve.

3.8 Audits (Art. 28.3.h)

Le Sous-traitant met à disposition les journaux d'audit, les rapports PRA et toute information nécessaire pour démontrer le respect du présent accord. Le Responsable de traitement peut, moyennant un préavis de 30 jours, réaliser ou faire réaliser un audit.

Article 4 — Notification des violations (Art. 33)

Le Sous-traitant notifie le Responsable de traitement dans les meilleurs délais et au plus tard 24 heures après la découverte d'une violation. La notification comprend :

• • La nature de la violation
• • Les catégories et le nombre approximatif de personnes concernées
• • Les conséquences probables
• • Les mesures prises ou envisagées

Le Responsable de traitement dispose ensuite de 48 heures supplémentaires pour notifier la CNIL (total < 72 heures).

Article 5 — Transferts hors UE

Les transferts de données personnelles vers des pays tiers (États-Unis) sont encadrés par :

• • Les Clauses Contractuelles Types (Décision de la Commission 2021/914)
• • Le chiffrement des données en transit (TLS)
• • La pseudonymisation des textes issus du dossier patient avant tout envoi à un fournisseur d'IA établi hors de l'Union européenne, et l'exclusion de ces fournisseurs pour les fonctions d'IA réservées
• • L'absence d'hébergement de données de santé chez des fournisseurs établis hors de l'Union européenne (stockage en France uniquement)

Article 6 — Droit applicable

Le présent accord est soumis au droit français et au RGPD. En cas de litige, les parties s'engagent à rechercher une solution amiable avant toute action judiciaire.