Accord de sous-traitance des données

Le présent accord (« l'Accord ») est conclu en application de l'article 28 du Règlement (UE) 2016/679 (RGPD) entre le Client, responsable de traitement, et Titouan Hautecoeur, entrepreneur individuel exerçant sous le nom commercial HT Technologies, 240 rue de la Pompe à Vent, 30310 Vergèze, France, SIRET 908 015 969 00029, sous-traitant (« l'Éditeur »). Il fait partie intégrante du contrat formé par les CGU et les CGV, et est accepté par le Titulaire lors de la création de l'espace du cabinet.

1. Objet

L'Accord définit les conditions dans lesquelles l'Éditeur traite, pour le compte du Client, les données personnelles que les Utilisateurs saisissent dans Pratheo au sujet des patients. Les données des Utilisateurs eux-mêmes, dont l'Éditeur est responsable de traitement, relèvent de la politique de confidentialité.

2. Description du traitement

3. Obligations de l'Éditeur

• Traiter les données uniquement pour fournir le Service et sur instruction documentée du Client, le contrat et le paramétrage du Service par les Utilisateurs constituant ces instructions.
• Informer le Client s'il estime qu'une instruction enfreint la réglementation applicable.
• Ne pas utiliser les données pour son propre compte, ne pas les vendre et ne pas les exploiter à des fins statistiques ou commerciales.
• Garantir que les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité et n'y accèdent que lorsque l'exploitation, la sécurité ou une demande de support du Client le rend nécessaire.
• Tenir un registre des traitements effectués pour le compte du Client.

4. Obligations du Client

• Disposer d'une base légale pour le traitement et informer les personnes concernées.
• Ne saisir que les données strictement nécessaires à la gestion de la liste d'attente, et ne pas verser dans le Service de comptes rendus, d'ordonnances ou d'autres documents médicaux.
• S'assurer que le Service et ses conditions d'hébergement, décrites à l'article 6, répondent aux obligations propres à sa profession et à la nature des données qu'il y saisit.
• Gérer les accès de son cabinet : invitations, désactivation des comptes, confidentialité des mots de passe.

5. Sécurité

L'Éditeur met en œuvre les mesures techniques et organisationnelles suivantes :

• chiffrement des échanges entre le navigateur et le Service (HTTPS / TLS) ;
• cloisonnement logique strict des données par cabinet ;
• mots de passe hachés (Argon2id), exigence de robustesse, blocage temporaire après plusieurs échecs de connexion, sessions à durée limitée ;
• journal des créations et modifications de fiches, par utilisateur ;
• sauvegardes quotidiennes chiffrées, copiées sur un stockage distinct du serveur et conservées 30 jours ;
• accès d'administration aux serveurs restreint à l'Éditeur, par clé, derrière un pare-feu ; mises à jour de sécurité régulières.

6. Hébergement et sous-traitants ultérieurs

À la date de l'Accord, l'Éditeur fait appel au sous-traitant ultérieur suivant :

Le Client donne à l'Éditeur une autorisation générale de recourir à des sous-traitants ultérieurs. L'Éditeur l'informe par email de tout ajout ou remplacement au moins 30 jours à l'avance ; le Client peut s'y opposer pour un motif légitime pendant ce délai et, à défaut de solution, résilier son abonnement sans frais. L'Éditeur impose à ses sous-traitants ultérieurs des obligations équivalentes à celles de l'Accord et reste responsable de leur exécution.

Le prestataire de paiement (Stripe) et le service d'envoi des emails ne reçoivent aucune donnée de patient.

7. Transferts hors de l'Union européenne

Les données traitées au titre de l'Accord sont hébergées et sauvegardées en France. Aucun transfert hors de l'Union européenne n'est effectué sans information préalable du Client et sans les garanties exigées par le RGPD.

8. Droits des personnes concernées

Le Client répond aux demandes d'exercice de droits (accès, rectification, effacement, opposition, limitation, portabilité). Il peut consulter, corriger et supprimer les fiches directement dans le Service. L'Éditeur lui transmet sans délai toute demande reçue directement d'une personne concernée, sans y répondre lui-même, et l'assiste dans la mesure du possible.

9. Violation de données

L'Éditeur notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, par email à l'adresse du Titulaire. La notification précise, dans la mesure des informations disponibles, la nature de la violation, les données et personnes concernées, les conséquences probables et les mesures prises, afin de permettre au Client de remplir ses propres obligations de notification.

10. Sort des données à la fin du contrat

À la fin du contrat, les données sont conservées 30 jours, durant lesquels le Client peut en obtenir une copie dans un format structuré et couramment utilisé, sur demande à contact@pratheo.fr. Elles sont ensuite supprimées définitivement, puis disparaissent des sauvegardes au plus tard 30 jours après, sauf obligation légale de conservation.

11. Assistance et audits

L'Éditeur aide le Client, dans la limite des informations dont il dispose, à réaliser ses analyses d'impact et à répondre aux demandes de l'autorité de contrôle. Il met à sa disposition, sur demande, les informations nécessaires pour démontrer le respect de l'Accord.

Le Client peut faire réaliser un audit, au plus une fois par an, moyennant un préavis de 30 jours, à ses frais, par un auditeur tenu à la confidentialité et non concurrent de l'Éditeur, dans des conditions qui ne compromettent ni la sécurité du Service ni les données des autres clients.

12. Durée et responsabilité

L'Accord s'applique pendant toute la durée du contrat et jusqu'à la suppression complète des données. La responsabilité de chaque partie est régie par les CGU et les CGV, sans préjudice des droits que les personnes concernées tiennent du RGPD.

13. Contact

Pour toute question relative à l'Accord ou à la protection des données : contact@pratheo.fr.