Accord de sous-traitance RGPD (Article 28)

Le présent accord de sous-traitance (l'« Accord ») est conclu conformément à l'article 28 du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »), entre :

• Paniconsulting, Entreprise Individuelle, SIRET 10210411400016, dont le siège est situé 1 allée du Vélodrome, 13410 Lambesc, représentée par Christophe Panigoni, ci-après le « Sous-traitant » ;
• et la pharmacie titulaire d'un compte actif sur la plateforme « Mon Bilan Prévention », ci-après le « Responsable du traitement ».

Il constitue une annexe indissociable de nos Conditions Générales de Vente : l'acceptation des CGV lors de l'inscription emporte acceptation du présent Accord.

1. Objet

Le présent Accord définit les conditions dans lesquelles le Sous-traitant s'engage à effectuer, pour le compte du Responsable du traitement, les opérations de traitement de données à caractère personnel nécessaires à la fourniture du Service « Mon Bilan Prévention ».

2. Description du traitement

• Nature des opérations : hébergement et stockage des réponses au questionnaire de Bilan Prévention, calcul automatisé de la synthèse et du Plan Personnalisé de Prévention (PPP), génération et transmission de documents PDF.
• Finalité : permettre au Responsable du traitement de proposer à ses patients le dispositif Bilan Prévention de l'Assurance Maladie et de préparer l'entretien de prévention.
• Catégories de données traitées : identité déclarative du patient (prénom, nom, tranche d'âge, sexe), réponses au questionnaire d'auto-évaluation, dont des données de santé au sens de l'article 9 du RGPD, et, le cas échéant, l'adresse email du patient.
• Catégories de personnes concernées : les patients de la pharmacie qui répondent au questionnaire.
• Durée du traitement : pendant toute la durée de l'abonnement du Responsable du traitement au Service, puis jusqu'à suppression conformément à l'article 8 du présent Accord.

3. Instructions du Responsable du traitement

Le Sous-traitant ne traite les données à caractère personnel que sur instruction documentée du Responsable du traitement, telles que formalisées par le paramétrage et l'utilisation normale du Service. Si le Sous-traitant considère qu'une instruction constitue une violation du RGPD, il en informe immédiatement le Responsable du traitement.

4. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• traiter les données uniquement aux fins prévues par le présent Accord ;
• garantir la confidentialité des données traitées, y compris en interne ;
• mettre en œuvre les mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD, notamment : chiffrement des échanges (HTTPS), hachage irréversible des mots de passe, cloisonnement des accès par rôle, stockage des documents en accès privé et authentifié ;
• ne recourir à un sous-traitant ultérieur que dans les conditions prévues à l'article 5 ;
• assister le Responsable du traitement, dans la mesure du possible compte tenu de la nature du traitement, pour répondre aux demandes d'exercice des droits des personnes concernées ;
• notifier au Responsable du traitement toute violation de données à caractère personnel dans un délai maximal de 48 heures après en avoir eu connaissance, afin de lui permettre de respecter son obligation de notification à la CNIL dans les 72 heures ;
• supprimer l'ensemble des données à caractère personnel à l'issue de la prestation, selon les modalités prévues à l'article 8 ;
• mettre à la disposition du Responsable du traitement les informations nécessaires pour démontrer le respect des obligations prévues au présent article.

5. Sous-traitants ultérieurs

Le Responsable du traitement autorise le recours par le Sous-traitant aux prestataires techniques suivants, agissant comme sous-traitants ultérieurs, dans la stricte mesure nécessaire au fonctionnement du Service :

• Vercel Inc. — hébergement de l'application ;
• Neon — hébergement de la base de données ;
• Resend — envoi de l'email de copie du bilan, uniquement si le patient en fait la demande.

Ces prestataires peuvent traiter des données en dehors de l'Espace économique européen ; le Sous-traitant s'assure dans ce cas de l'existence de garanties appropriées (clauses contractuelles types de la Commission européenne ou mécanisme équivalent). Le Sous-traitant informe le Responsable du traitement de tout changement concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, lui donnant la possibilité d'émettre des objections.

6. Obligations du Responsable du traitement

Il appartient au Responsable du traitement de :

• s'assurer de la licéité de la collecte des données de ses patients, notamment du recueil de leur consentement explicite avant toute réponse au questionnaire ;
• informer ses patients conformément à la Politique de confidentialité — Patients ;
• désigner un interlocuteur pour répondre aux demandes d'exercice des droits de ses patients ;
• documenter par écrit toute instruction particulière donnée au Sous-traitant en dehors du fonctionnement normal du Service.

7. Sécurité et confidentialité

Le Sous-traitant met en œuvre des mesures de sécurité proportionnées au risque, en tenant compte de l'état de l'art et de la nature sensible des données traitées. Il s'engage à informer le Responsable du traitement de toute faille de sécurité susceptible d'affecter les données traitées dans le cadre du présent Accord.

8. Sort des données à la fin du contrat

À la résiliation de l'abonnement, et sauf obligation légale contraire, le Sous-traitant :

• supprime définitivement les bilans, leurs pièces jointes (PDF) et le QR code associés à la pharmacie, dans un délai de 30 jours suivant la résiliation effective ;
• peut, sur demande écrite du Responsable du traitement formulée avant la résiliation, lui restituer un export des données avant leur suppression.

9. Responsabilité

Chaque partie répond des dommages causés par un manquement à ses propres obligations au titre du RGPD et du présent Accord. Le Sous-traitant est notamment considéré comme responsable du traitement, conjointement avec le Responsable du traitement, s'il détermine les finalités et moyens du traitement en violation du présent Accord.

10. Audit

Le Responsable du traitement peut demander au Sous-traitant, une fois par an et moyennant un préavis raisonnable, les éléments documentaires permettant de démontrer le respect des obligations prévues au présent Accord.

11. Durée et droit applicable

Le présent Accord s'applique pendant toute la durée de l'abonnement du Responsable du traitement au Service. Il est soumis au droit français ; tout litige relève, à défaut de résolution amiable, des tribunaux français compétents.