ACCORD DE SOUS-TRAITANCE PROTECTION DES DONNEES PERSONNELLES (RGPD)

Le présent accord est conclu entre Doc-Assistance, entreprise individuelle représentée par Madame RIVOIRE GRUPPOSO Laurianne (ci-après le « Sous-traitant»), et le Client (ci-après le « Responsable de traitement »), dans le cadre du contrat de prestations de services conclu entre eux (ci-après le « Contrat »). Il constitue le contrat de sous-traitance prévu à l'article 28 du RGPD.

‍
ARTICLE 1 : OBJET

‍Le présent accord a pour objet de définir les conditions dans lesquelles le Sous-traitant s'engage à effectuer, pour le compte du Responsable detraitement, les opérations de traitement de données à caractère personnel décrites à l'Article 3, dans le respect du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée.

‍
‍ARTICLE 2 : DÉFINITIONS

‍- « Données à caractère personnel » : toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l'article 4 du RGPD.

- « Données de santé » : données à caractère personnel relatives à la santé physique ou mentale d'une personne, au sens de l'article 4.15 du RGPD.

- « Traitement » : toute opération ou ensemble d'opérations effectuées sur des données à caractère personnel.

- « Responsable de traitement » : le Client, praticien de santé, qui détermine les finalités et les moyens du traitement.

- « Sous-traitant » : Doc-Assistance, qui traite les données à caractère personnel pour le compte du Responsable de traitement.

- « Collaboratrice » : secrétaire indépendante à laquelle le Sous-traitant confie tout ou partie des prestations, qui a la qualité de sous-traitant ultérieur au sens de l'article 28.2 du RGPD.

- «Violation de données » : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données à caractère personnel.

‍
‍ARTICLE 3 : DESCRIPTION DES TRAITEMENTS CONFIÉS

Nature des opérations : selon les prestations retenues au Contrat : réception et prise d'appels téléphoniques, gestion et mise à jour de l'agenda, transmission de messages, numérisation et intégration de documents dans le logiciel métier du Client, frappe et retranscription de comptes rendus à partir de fichiers audio.

‍Finalité du traitement : assurer les prestations de secrétariat et de permanence téléphonique convenues au Contrat.

‍Catégories de données traitées : identité et coordonnées des patients et correspondants du Client, motifs d'appel, données de rendez-vous, et, le cas échéant, données de santé transmises oralement ou par écrit dans le cadre des prestations (article 9 du RGPD).

‍Catégories de personnes concernées : patients et correspondants du Client.

‍Outils utilisés : agenda et logiciel métier choisis par le Client (par exemple Doctolib, Maiia, Weda), auxquels le Sous-traitant accède avec des identifiants personnels.

‍Lieu du traitement : les prestations sont réalisées en France. Aucune donnée n'est transférée en dehors de l'Union européenne.

‍Durée du traitement : durée du Contrat.

‍Durées de conservation : Doc-Assistance ne conserve les données que le temps strictement nécessaire à l'exécution des prestations, selon les règles suivantes :
‍
- données saisies dans l'agenda ou le logiciel métier du Client : elles demeurent dans les outils du Client, qui en fixe seul la durée de conservation ; Doc-Assistance n'en conserve aucune copie, sous réserve des exceptions limitées prévues à l'Article 7 ;
‍
- messages pris pour le compte du Client : supprimés des outils de Doc-Assistance dès leur transmission au Client, et au plus tard à la fin du Contrat ;
‍
- fichiers audio de dictée : supprimés dès l'intégration du compte rendu correspondant dans le logiciel métier du Client ;

- documents papier numérisés : restitués au Client après numérisation ; les fichiers numérisés sont supprimés des outils de Doc-Assistance dès leur intégration dans le logiciel métier du Client ;

- consignes de gestion du cabinet : conservées pendant la durée du Contrat, puis supprimées à son terme ;

- historiques d'appels (numéro, date, heure et durée, sans motif médical), utilisés pour la facturation : conservés au maximum douze (12) mois ;

- factures et pièces comptables (sans donnée de santé) : conservées dix (10) ans, conformément à l'article L123-22 du Code de commerce.

‍
‍ARTICLE 4 : OBLIGATIONS DU SOUS-TRAITANT

‍Le Sous-traitant s'engage à :
‍
- traiter les données à caractère personnel uniquement sur instruction documentée du Responsable de traitement, et pour la seule finalité définie à l'Article 3 ;

- informer immédiatement le Responsable de traitement si, selon lui, une instruction constitue une violation du RGPD ou d'une autre disposition relativeà la protection des données ;

- garantir que les personnes autorisées à traiter les données, y compris ses Collaboratrices, se sont engagées par écrit à respecter la confidentialité et le secret professionnel ;

- mettre en œuvre les mesures de sécurité décrites à l'Article 7 ;

- respecter les conditions fixées à l'Article 6 pour recourir à une Collaboratrice ;

- ne procéder à aucun transfert de données en dehors de l'Union européenne ;

- tenir un registre des traitements effectués pour le compte de ses clients, conformément à l'article 30.2 du RGPD ;

- aider le Responsable de traitement à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, opposition,limitation), en lui transmettant sans délai toute demande reçue directementd'un patient ;

- notifier au Responsable de traitement toute violation de données dans lesconditions de l'Article 8 ;

- assister le Responsable de traitement, à sa demande, dans la réalisation d'analyses d'impact relatives à la protection des données lorsque celles-ci concernent les traitements visés au présent accord ;

- au terme de la prestation, supprimer ou restituer les données dans les conditionsde l'Article 9 ;

- mettre à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect des obligations prévues au présent accordet à l'article 28 du RGPD, et permettre la réalisation d'audits dans les conditions prévues ci-après.

‍
‍Audits

‍Conformément à l'article 28.3 h) du RGPD, le Sous-traitant permet au Responsable de traitement de vérifier le respect du présent accord, exclusivement dans les conditions suivantes, que le Responsable de traitement accepte expressément :

- l'audit est demandé par écrit (courrier ou email avec accusé de réception) au moins trente (30) jours à l'avance, en précisant son objet, son périmètre et l'identité de l'auditeur ;

- il est réalisé en priorité sur pièces (questionnaire écrit et documents justificatifs). Un audit sur place n'est possible que si l'audit sur pièces n'a pas permis de répondre à la demande ou en cas de violation de données avérée ; il a lieu à une date convenue d'un commun accord, pendant les heures ouvrées et sans perturber l'exécution des prestations ;

- il ne peut avoir lieu plus d'une (1) fois par période de douze (12) mois, sauf violation de données avérée ou demande d'une autorité de contrôle ;

- il est réalisé par le Responsable de traitement lui-même ou par un auditeur indépendant qu'il mandate. Cet auditeur ne peut en aucun cas être un concurrent du Sous-traitant, notamment une secrétaire indépendante, une société de secrétariat, de secrétariat médical, de télésecrétariat ou de permanence téléphonique, ni une personne ou entité liée à un tel concurrent. Le Sous-traitant peut refuser, par écrit et de manière motivée, tout auditeur ne remplissant pas ces conditions ;

- tout auditeur tiers signe préalablement un engagement de confidentialité ;

- l'audit est strictement limité aux traitements réalisés pour le compte du Responsable de traitement. Il ne peut porter ni sur les données, documents ou informations relatifs aux autres clients du Sous-traitant, ni sur ses tarifs, ses méthodes de travail et outils propres, ses informations commerciales ou financières, ni sur l'identité de ses autres clients ;

- l'ensemble des frais de l'audit, y compris les honoraires de l'auditeur, est à la charge du Responsable de traitement. Le temps consacré par le Sous-traitantà un audit au-delà d'une (1) heure est facturé au tarif horaire en vigueur ;

- le rapport d'audit est communiqué au Sous-traitant et demeure confidentiel entre les parties.

‍
‍ARTICLE 5 : OBLIGATIONS DU RESPONSABLE DE TRAITEMENT

‍Le Responsable de traitement s'engage à :

- fournir au Sous-traitant, dans le respect du RGPD, les données et accès nécessaires à l'exécution des prestations ;

- documenter par écrit ses instructions concernant le traitement des données, notamment au moyen de la fiche de fonctionnement du secrétariat, et informer le Sous-traitant de toute modification ;

- veiller, au préalable et pendant toute la durée du traitement, au respect des obligations qui lui incombent en matière de protection des données, notamment l'information des personnes concernées.

‍
‍ARTICLE 6 : RECOURS AUX COLLABORATRICES (SOUS-TRAITANCE ULTÉRIEURE)

‍Le Sous-traitant peut recourir à des Collaboratrices pour l'exécution des prestations, le Responsable de traitement l'y autorisant de manière générale par la conclusion du Contrat.

Le Sous-traitant impose à chaque Collaboratrice, par un contrat écrit, les mêmes obligations de protection des données que celles prévues au présent accord, et s'assure qu'elle présente des garanties suffisantes.

Le Sous-traitant demeure pleinement responsable, à l'égard du Responsable de traitement, du respect de ces obligations par ses Collaboratrices.

Le Sous-traitant informe le Responsable de traitement, par email, de toute arrivée ou de tout remplacement d'une Collaboratrice appelée à intervenir sur son dossier, avant le début de son intervention.

Le Responsable de traitement peut, dans un délai de huit (8) jours à compter de cette information, formuler une objection écrite fondée exclusivement sur un motif sérieux et justifié lié à la protection des données.

A défaut d'objection dans ce délai, le changement est réputé accepté.

Le Sous-traitant demeure seul juge de l'organisation de ses prestations et du choix de ses Collaboratrices.

En cas d'objection motivée, les parties recherchent ensemble une solution ; à défaut, chacune d'elles peut mettre fin au Contrat dans les conditions prévues aux conditions générales de prestationde services.

‍
‍ARTICLE 7 : SÉCURITÉ DES DONNÉES

‍Le Sous-traitant met en œuvre, et fait mettre en œuvre par ses Collaboratrices, les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment :

- accès aux outils et logiciels du Client par identifiants strictement personnels, jamais communiqués à des tiers, et limités aux seules personnes intervenant sur le dossier du Client ;

-postes de travail protégés par un mot de passe robuste et verrouillage de la session en cas d'absence ;

- interdiction d'utiliser des réseaux Wi-Fi publics pour l'exécution des prestations ;

- aucune copie des données en dehors des outils du Client, sauf dans les cassuivants :    

• export de données demandé par écrit parle Client : supprimé dès que la tâche demandée est réalisée ;    
• captures d'écran ou vidéos réalisées pour former les Collaboratrices ou signaler une erreur : à usage strictement interne entre Doc-Assistance et ses Collaboratrices, et supprimées dès qu'elles ne sont plus utiles, y compris des téléphones et messageries (WhatsApp, SMS, e-mail) de chacune. Les vidéos de formation conservées durablement ne font apparaître aucune donnée de patient réel (patient fictif ou informations masquées) ;    
• notes manuscrites prises pendant un appel : détruites dès le message transmis ;

- travail dans un lieu permettant de préserver la confidentialité des conversations téléphoniques et des écrans ;

- engagement écrit de confidentialité et de secret professionnel signé par chaque Collaboratrice ;

- fermeture des accès d'une Collaboratrice dès la fin de son intervention sur ledossier du Client.

‍
‍ARTICLE 8 : NOTIFICATION DES VIOLATIONS DE DONNÉES

‍En cas de violation de données à caractère personnel, le Sous-traitant notifie le Responsable de traitement par email sans délai excessif et au plus tard quarante-huit (48) heures après en avoir pris connaissance.
‍
Cette notification précise, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables et les mesures prises ou proposées pour y remédier.

Elle permet au Responsable de traitement, le cas échéant, de notifier cette violation à la CNIL dans les 72 heures et d'en informer les personnes concernées, conformément aux articles 33 et 34 du RGPD.

‍
‍ARTICLE 9 : SORT DES DONNÉES EN FIN DECONTRAT

‍Au terme du Contrat, quelle qu'en soit la cause, le Sous-traitant met fin à tout accès partagé aux outils du Responsable de traitement, pour lui-même et ses Collaboratrices, et procède à la suppression des données à caractère personnel en sa possession (fermeture des accès à l'agenda, suppression des consignes et historiques), sauf obligation légale de conservation contraire.

Les documents papier éventuellement détenus sont restitués au Responsable de traitement. Le Sous-traitant confirme par écrit cette suppression sur simple demande.

‍
‍ARTICLE 10 : DURÉE

‍Le présent accord s'applique pendant toute la durée du Contrat auquel il se rapporte, et prend fin en même temps que celui-ci, sous réserve des obligations qui, par nature, perdurent au-delà (notamment la confidentialité et la suppression des données prévue à l'Article 9).

‍
‍ARTICLE 11 : RESPONSABILITÉ

‍Chaque partie est responsable des dommages causés par un manquement à ses propres obligations au titre du présent accord et du RGPD.

‍ARTICLE 12 : CONTACT

‍Pour toute question relative à la protection des données, le Sous-traitant peut être contacté à l'adresse : contact@doc-assistance.fr.

‍
‍ARTICLE 13 : ACCEPTATION

‍Le Responsable de traitement reconnaît avoir pris connaissance du présent accord et l'accepter sans réserve.
‍
Le présent accord annule et remplace toute version antérieure.