Protéger la sécurité et la confidentialité de vos données personnelles est important pour DOCORGA. DOCORGA construit avec ses utilisateurs des relations fortes et durables, fondées sur la confiance et l’intérêt mutuel.

DOCORGA souhaite vous informer, par l’intermédiaire du présent Accord de Protection de Données (« ADP »).

INTRODUCTION

L’Accord de protection des données (ci-après “APD”) vise à régir l’utilisation des données à caractère personnel du Professionnel de Santé, qui agit en tant que responsable du traitement (ci-après le “Professionnel de Santé”), par Docorga, qui agit en tant que sous-traitant (ci-après le “Sous-traitant”) dans le cadre du contrat (ci-après le “Contrat”).

L’ADP est une partie intégrante du Contrat signé entre le Professionnel de Santé et le Sous-traitant. En cas de contradiction entre le Contrat et l’ADP, les obligations prévues dans l’ADP prévalent en ce qui concerne les règles applicables en matière de protection des données.

Tous les termes relatifs à la protection des données utilisés dans l’ADP (ex : responsable du traitement, sous-traitant, etc.) sont définis à l’article 4 du Règlement Général pour la Protection des Données (« RGPD »).

DECLARATIONS

Le Sous-traitant déclare respecter l’intégralité des règles applicables en matière de protection des données que comprend le RGPD et la loi Informatique et Libertés.

Le Sous-traitant déclare présenter toutes les garanties suffisantes pour répondre aux exigences des règles applicables en matière de protection des données et, plus particulièrement, pour garantir la confidentialité et la protection des données du Professionnel de Santé.

Le Sous-traitant déclare que l’intégralité de ses collaborateurs amenés à traiter les données à caractère personnel du Professionnel de Santé sont engagés par une clause de confidentialité ou par tout autre acte juridique (ex : règles de bonne conduite, charte des systèmes d’information, etc.) permettant de garantir la confidentialité des données à caractère personnel du Professionnel de Santé.

Le Sous-traitant déclare régulièrement former et sensibiliser ses collaborateurs sur les règles applicables en matière de protection des données.

INSTRUCTIONS

Le Sous-traitant s’engage à n’utiliser les données à caractère personnel du Professionnel de Santé que sur instructions documentées de ce dernier.

Le Professionnel de Santé s’engage à informer le Sous-traitant de toute modification des instructions qui pourraient être menées quant à l’utilisation de ses données à caractère personnel.

Le Sous-traitant doit notifier au Professionnel de Santé, dans les meilleurs délais, si les instructions documentées de ce dernier constituent une violation des règles applicables en matière de protection des données.

CONFORMITÉ PAR DÉFAUT ET DÈS LA CONCEPTION

Le Sous-traitant fournit son service en l’état, dans le respect de la i) conformité du service dès la conception et ii) de la conformité du service par défaut.

Le Sous-traitant fournit un service accompagné de toutes les fonctionnalités permettant au Professionnel de Santé de respecter ses obligations en tant que responsable du traitement.

En conséquence, le Sous-traitant n’est jamais responsable de l’utilisation non conforme aux règles applicables en matière de protection des données du service par le Professionnel de Santé.

SECURITÉ

Le Sous-traitant s’engage à garantir la sécurité des données à caractère personnel du Professionnel de Santé et à mettre en œuvre toutes les mesures techniques et organisationnelles nécessaires pour prévenir tout risque de violation de données.
.

VIOLATION DES DONNÉES

Le Sous-traitant s’engage à notifier au Professionnel de Santé, dans les meilleurs délais et, sous 72 heures ouvrés, après en avoir pris connaissance, toute violation de données qui serait susceptible de concerner les données à caractère personnel du Professionnel de Santé.

Le Sous-traitant s’engage à fournir au Professionnel de Santé, conformément aux dispositions de l’article 28 du RGPD, toutes les informations nécessaires au traitement de la violation de données par le Professionnel de Santé.

En cas de violation de données, le Sous-traitant s’engage à prendre toutes les mesures nécessaires pour remédier et diminuer l’impact de la violation sur les données à caractère personnel du Professionnel de Santé.

Sauf accord exprès, préalable et écrit du Professionnel de Santé, le Sous-traitant n’est pas autorisé à prendre en charge les notifications de violation de données auprès de l’autorité de contrôle française, la CNIL. De même, le Sous-traitant, n’est pas, par principe, autorisé à informer pour le compte du Professionnel de Santé les personnes concernées par les traitements réalisés dans le cadre du Contrat.

AIDE ET ASSISTANCE EN MATIÈRE DE SÉCURITÉ

Le Sous-traitant communique au Professionnel de Santé, sur demande écrite, toutes les informations nécessaires et requises sur les mesures de sécurité techniques et organisationnelles à mettre en œuvre dans le cadre du Contrat pour garantir la sécurité de ses données à caractère personnel.

Le Sous-traitant communique au Professionnel de Santé, sur demande écrite, toutes les informations nécessaires et requises pour assurer la réalisation d’une analyse d’impact (“AIPD”) en lien direct avec le service fourni.

Le Sous-traitant n’est en revanche pas tenu d’assurer ou d’auditer la sécurité du Professionnel de Santé ou encore de réaliser des analyses d’impact (“AIPD”) à la place et pour le compte du Professionnel de Santé. Toute demande complémentaire à la communication d’informations peut faire l’objet d’un refus et, éventuellement, d’une prestation complémentaire tarifée.

AIDE ET ASSISTANCE EN MATIÈRE DE DROITS DES PERSONNES CONCERNÉES

Le Sous-traitant communique au Professionnel de Santé, sur demande écrite, toutes les informations nécessaires et requises visant à ce que le Professionnel de Santé puisse s’acquitter de son obligation de donner suite aux demandes des personnes concernées.

Le Sous-traitant exécute, sur demande écrite du Professionnel de Santé, les actions techniques à entreprendre pour que le Professionnel de Santé puisse s’acquitter de son obligation de donner suite aux demandes des personnes concernées.

Le Sous-traitant n’est en revanche pas tenu de gérer les demandes de droits des personnes à la place et pour le compte du Professionnel de Santé. Toute demande complémentaire visant à assurer une telle gestion peut faire l’objet d’un refus et, éventuellement, d’une prestation complémentaire tarifée.

SOUS-TRAITANT ULTERIEURS

De manière générale, le Professionnel de Santé accepte que le Sous-traitant recrute des Sous-traitants ultérieurs dans le cadre de l’exécution du Contrat à condition d’informer le Professionnel de Santé de tout changement concernant ces Sous-traitants ultérieurs intervenant par durant l’exécution du Contrat.

Le Professionnel de Santé peut émettre des objections par lettre recommandée avec accusé de réception i) si le Sous-traitant ultérieur est un de ses concurrents, ii) si le Professionnel de Santé et le Sous-traitant ultérieur sont dans une situation de précontentieux ou de contentieux, et iii) si le Sous-traitant ultérieur a fait l’objet d’une condamnation par une autorité de contrôle en matière de protection des données dans l’année de son recrutement par le Sous-traitant. Chacune de ses situations doit être démontrée.

Dans l’hypothèse où l’objection serait recevable, le Sous-traitant dispose d’un délai de 6 mois à compter de la réception de l’objection pour modifier le Sous-traitant ultérieur ou pour garantir le respect du RGPD par ce Sous-traitant ultérieur.

À défaut, le Professionnel de Santé dispose de la possibilité de résilier le Contrat sous réserve d’un préavis de six (6) mois, sans que le Professionnel de Santé puisse demander une indemnité de quelque nature que ce soit.

Dans tous les cas, le Sous-traitant s’engage à ne recruter que des Sous-traitants ultérieurs qui présentent les garanties nécessaires et suffisantes pour assurer la sécurité et la confidentialité des données à caractère du Professionnel de Santé.

À ce titre, le Sous-traitant s’engage i) à régulièrement contrôler ses Sous-traitants ultérieurs et ii) à ce que le contrat conclu avec le Sous-traitant ultérieur utilisé dans le cadre du service contienne des obligations similaires à celles prévues dans l’APD.

En tout état de cause, le Sous-traitant demeure responsable des actes du Sous-traitant ultérieur dans le cadre du Contrat.

SORT DES DONNÉES A CARACTERE PERSONNEL

Le Professionnel de Santé informe le Sous-traitant, par écrit et dans les plus brefs délais, de son choix (option 1) de lui restituer les données à caractère personnel puis de les supprimer ainsi que toutes les copies existantes ou, (option 2) de supprimer directement les données à caractère personnel ainsi que toutes les copies existantes, ou (option 3) de transférer les données à caractère personnel vers un nouveau prestataire puis de les supprimer ainsi que toutes les copies existantes. Sauf disposition contraire dans le Contrat, l’option 3 doit faire l’objet d’un devis de la part du Sous-traitant.

À défaut d’information par le Professionnel de Santé de son choix, le Sous-traitant se réserve la possibilité de supprimer directement les données ainsi que toutes les copies (option 2).

La suppression des données est irréversible. Le Professionnel de Santé est donc invité à récupérer ses données avant l’arrêt du service. En cas de suppression des données du Professionnel de Santé par le Sous-traitant, le Professionnel de Santé demeure le seul responsable de la disparition des données et de toutes conséquences pouvant intervenir.

Le Sous-traitant atteste au Professionnel de Santé, sur demande écrite, de la suppression effective des données à caractère personnel et de toutes les copies existantes.