Accord de sous-traitance (RGPD)

Le Responsable de traitement — le Praticien abonné. Il détermine les finalités et les moyens du traitement des données de ses propres clients : il décide quelles données il saisit, pour quoi faire, et pendant combien de temps.

Le Sous-traitant — Istvan Santa (Entreprise individuelle (micro-entrepreneur)), 270 avenue du Général de Gaulle, 06700 Saint-Laurent-du-Var, SIRET 980 375 216 00028, éditeur de la Plateforme Bloom Impact. Contact : contact@bloom-impact.fr. Il traite ces données uniquement pour le compte et sur instruction du Praticien.

Le Sous-traitant agit en revanche en qualité de responsable de traitement autonome pour les données propres au Praticien lui-même (compte, abonnement, facturation, support), régies par la politique de confidentialité.

• Nature et finalité— hébergement, stockage, structuration et mise à disposition des données nécessaires à la gestion de l’agenda, des rendez-vous, du fichier client, de la messagerie et de la facturation du Praticien.
• Catégories de personnes concernées — les clients et prospects du Praticien.
• Catégories de données — identité (nom, prénom), coordonnées (email, téléphone), historique des rendez-vous et des prestations, messages échangés, notes de suivi rédigées par le Praticien, données de facturation.
• Données exclues— les données visées à l’article 9 du RGPD, en particulier les données concernant la santé, ne doivent pas être saisies dans la Plateforme. Celle-ci n’est pas hébergée chez un hébergeur certifié HDS et n’est pas conçue pour les recevoir. Le Praticien qui en saisirait malgré tout en assume seul la responsabilité.
• Durée— la durée de l’abonnement, prolongée des délais de réversibilité prévus à l’article 9.

Le Sous-traitant s’engage à :

1. traiter les données uniquement sur instruction documentéedu Praticien, l’utilisation normale de la Plateforme et les présentes valant instructions ; il informe le Praticien s’il estime qu’une instruction constitue une violation du RGPD ;
2. ne jamais utiliser ces données pour ses propres finalités, ni les céder, louer ou exploiter à des fins commerciales, ni les utiliser pour entraîner des systèmes d’intelligence artificielle ;
3. garantir la confidentialité des données et veiller à ce que toute personne autorisée à y accéder soit soumise à une obligation de confidentialité ;
4. mettre en œuvre les mesures techniques et organisationnelles de sécurité décrites à l’article 4 (art. 32 du RGPD) ;
5. aider le Praticien à répondre aux demandes d’exercice de droits des personnes concernées, et à satisfaire ses obligations en matière de sécurité, de notification de violation et d’analyse d’impact ;
6. mettre à disposition du Praticien toute information nécessaire pour démontrer le respect de l’article 28 du RGPD.

Le Sous-traitant met en œuvre notamment les mesures suivantes :

• chiffrement des communications en transit (HTTPS/TLS) et des données au repos ;
• cloisonnement des données par praticien au niveau de la base de données (Row Level Security), un praticien ne pouvant accéder qu’à ses propres données ;
• authentification individuelle, mots de passe stockés sous forme hachée, sessions protégées par cookies HttpOnly et Secure ;
• limitation du débit sur les points d’entrée sensibles et protection anti-robot des formulaires publics ;
• validation systématique des données entrantes côté serveur et requêtes paramétrées (prévention des injections) ;
• sauvegardes régulières et chiffrées, hébergement au sein de l’Union européenne ;
• application continue des correctifs de sécurité des dépendances logicielles et journalisation des accès administratifs.

Le Praticien autorise le Sous-traitant à recourir aux sous-traitants ultérieurs suivants, dans le cadre d’une autorisation générale écriteau sens de l’article 28.2 du RGPD :

Tout ajout ou remplacement est notifié au Praticien par email au moins trente (30) jours à l’avance. Le Praticien peut s’y opposer pour un motif légitime tenant à la protection des données ; à défaut d’accord, il peut résilier son abonnement sans frais.

Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes aux présentes et demeure pleinement responsable de leur exécution devant le Praticien.

Les données sont hébergées au sein de l’Union européenne. Les transferts éventuels vers des pays tiers, indiqués dans le tableau ci-dessus, sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et/ou par une décision d’adéquation.

Le Sous-traitant notifie au Praticien toute violation de données à caractère personnel dans les meilleurs délais et au plus tard 48 heuresaprès en avoir pris connaissance, par email à l’adresse du compte.

La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Le Sous-traitant assiste le Praticien dans l’accomplissement de sa propre notification à la CNIL (art. 33) et, le cas échéant, aux personnes concernées (art. 34). Il appartient au Praticien, en qualité de responsable de traitement, d’effectuer ces notifications.

Les demandes d’accès, de rectification, d’effacement, de limitation, d’opposition ou de portabilité sont traitées par le Praticien, responsable de traitement.

Le Sous-traitant met à sa disposition les fonctions nécessaires (consultation, export, modification et suppression des fiches clients) et lui apporte son assistance si une demande lui est adressée directement — auquel cas il la transmet au Praticien sans y répondre lui-même.

À la fin de l’abonnement, le Praticien dispose de trente (30) jours pour exporter l’intégralité de ses données depuis son espace.

Passé ce délai, les données sont supprimées ou anonymisées dans un délai maximal de quatre-vingt-dix (90) jours, sauvegardes comprises, sauf obligation légale de conservation. Une attestation de suppression peut être demandée à contact@bloom-impact.fr.

Le Sous-traitant met à disposition du Praticien, sur demande écrite raisonnable et au plus une fois par an, les informations et documents permettant de démontrer le respect des présentes.

Un audit sur site peut être diligenté par le Praticien ou un tiers indépendant tenu à la confidentialité, moyennant un préavis de trente (30) jours, dans des conditions n’affectant pas la sécurité des autres clients, et aux frais du Praticien sauf manquement avéré.

Le Sous-traitant tient un registre des catégories d’activités de traitement effectuées pour le compte des Praticiens, conformément à l’article 30.2 du RGPD.

Le présent accord entre en vigueur à la souscription de l’abonnement et demeure applicable tant que le Sous-traitant traite des données pour le compte du Praticien.