Accord de sous-traitance

Deux relations distinctes coexistent et ne doivent pas être confondues.

Le Responsable de traitement garantit disposer d'une base légale pour traiter les données de ses patients et avoir informé les personnes concernées, conformément aux articles 6, 9 et 13 du RGPD et aux règles professionnelles applicables à l'exercice de l'orthophonie.

Conformément à l'article 28.3 du RGPD, le traitement confié au Sous-traitant est décrit ci-après.

Les données de santé relèvent de l'article 9 du RGPD et sont couvertes par le secret professionnel (art. 226-13 du Code pénal et art. L.1110-4 du Code de la santé publique).

Le Sous-traitant ne traite les données à caractère personnel que sur instruction documentée du Responsable de traitement, y compris en matière de transfert hors de l'Union européenne, sauf obligation légale à laquelle il serait soumis. Dans ce dernier cas, il en informe le Responsable de traitement avant le traitement, sauf interdiction légale.

Constituent des instructions documentées : les présentes CGU et leurs annexes, ainsi que les actions effectuées par le Responsable de traitement au moyen des fonctionnalités du service — création d'un dossier patient, lancement d'une génération, envoi d'un compte rendu à un destinataire, archivage, suppression.

Si le Sous-traitant estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données, il en informe immédiatement le Responsable de traitement.

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. Cet engagement survit à la fin de la relation contractuelle.

Le Sous-traitant reconnaît que les données traitées relèvent du secret professionnel et que leur divulgation est pénalement sanctionnée.

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, notamment :

• hébergement des données de santé en France chez un prestataire certifié HDS, conformément à l'article L.1111-8 du Code de la santé publique, sur infrastructure physique elle-même certifiée HDS ;
• exécution des traitements applicatifs sur des serveurs situés en France ;
• chiffrement des données en transit (TLS) et au repos au niveau de la base de données ;
• pseudonymisation automatique avant tout envoi à un modèle d'intelligence artificielle : masquage des identifiants (numéro de sécurité sociale, RPPS, ADELI, numéro AM, adresses électroniques, numéros de téléphone) et substitution des nom et prénom du patient, réintroduits côté serveur après génération ;
• journal d'audit des appels aux modèles d'IA conservant l'horodatage, la version du module de pseudonymisation et une empreinte cryptographique — jamais le contenu ;
• cloisonnement strict des données par compte : aucune donnée patient n'est accessible à un autre utilisateur ;
• authentification à deux facteurs (TOTP) activable par le Responsable de traitement ;
• non-conservation des fichiers joints : seuls les textes extraits sont enregistrés, les binaires sont détruits après traitement ; les enregistrements audio de dictée sont supprimés immédiatement après transcription ;
• sauvegardes quotidiennes chiffrées, conservées 30 jours.

Le Responsable de traitement est seul responsable de la confidentialité de ses identifiants de connexion et de l'usage qui en est fait.

Le Responsable de traitement autorise le Sous-traitant à faire appel aux sous-traitants ultérieurs listés ci-dessous (autorisation écrite générale au sens de l'article 28.2 du RGPD). Le Sous-traitant leur impose par contrat les mêmes obligations de protection des données que celles prévues à la présente annexe.

Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement de sous-traitant ultérieur par courrier électronique, au moins 30 jours avant sa mise en œuvre. Le Responsable de traitement dispose de ce délai pour formuler des objections motivées ; à défaut de solution, il peut résilier son abonnement sans frais ni préavis.

Transferts hors Union européenne. Les données de santé sont stockées et traitées en France. Vercel Inc. étant une société de droit américain, tout transfert éventuel est encadré par les Clauses contractuelles types de la Commission européenne et par le Data Privacy Framework.

Il appartient au Responsable de traitement de répondre aux demandes d'exercice de droits de ses patients. Le Sous-traitant l'assiste par des mesures techniques appropriées :

• accès et rectification : consultation et modification directes des dossiers patients et des comptes rendus depuis l'interface ;
• effacement : archivage puis suppression des dossiers et des comptes rendus depuis l'interface ;
• portabilité : export au format JSON de l'ensemble des données du compte, et export PDF ou Word de chaque document.

Si une personne concernée adresse directement une demande au Sous-traitant, celui-ci la transmet sans délai au Responsable de traitement sans y répondre lui-même.

Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les 48 heures suivant sa prise de connaissance, par courrier électronique à l'adresse associée au compte. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées.

Il appartient au Responsable de traitement de procéder, le cas échéant, à la notification à la CNIL dans les 72 heures (art. 33 du RGPD) et à l'information des personnes concernées (art. 34).

Le Sous-traitant assiste le Responsable de traitement dans la réalisation d'analyses d'impact relatives à la protection des données (art. 35) et met à disposition, sur demande, les éléments de son analyse d'impact applicable au service.

À la fin de la prestation, le Responsable de traitement choisit entre la restitution et l'effacement des données. Il peut exercer ce choix à tout moment depuis son espace :

• restitution : export JSON complet, et export PDF ou Word de chaque document, disponibles tant que le compte est actif ;
• effacement : suppression du compte, entraînant la suppression en cascade des dossiers patients, comptes rendus, notes de séance et textes extraits des documents joints.

Passé un délai de 30 jours après la résiliation, les données sont supprimées des systèmes actifs ; elles disparaissent des sauvegardes au terme de leur cycle de rotation de 30 jours. Font exception les données de facturation, conservées 10 ans au titre de l'article L.123-22 du Code de commerce, détachées de toute donnée patient.

Le Responsable de traitement demeure seul tenu de ses propres obligations de conservation du dossier patient.

Le Sous-traitant met à la disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD, notamment : le certificat HDS de l'hébergeur, la liste à jour des sous-traitants ultérieurs, la description des mesures de sécurité et l'analyse d'impact du service.

Il permet la réalisation d'audits, y compris d'inspections, par le Responsable de traitement ou un auditeur qu'il mandate, dans la limite d'un audit par année civile, sous réserve d'un préavis écrit de 30 jours, pendant les heures ouvrées, et sans que l'audit ne puisse porter atteinte à la confidentialité des données des autres clients. Les frais engagés par l'auditeur sont à la charge du Responsable de traitement.

Chacune des parties tient le registre des activités de traitement qui lui incombe au titre de l'article 30 du RGPD. Le Sous-traitant fournit, sur demande, les éléments relatifs au service nécessaires à la tenue du registre du Responsable de traitement.

La présente annexe entre en vigueur à la création du compte et demeure applicable pendant toute la durée de l'abonnement, puis jusqu'à l'effacement complet des données. Elle est régie par le droit français.

Toute modification substantielle est notifiée par courrier électronique et entre en vigueur 30 jours après notification.

Pour toute question relative à la présente annexe, à l'exercice des droits ou à une demande d'audit : info@orthonie.fr