Contrat de sous-traitance de données

D'une part, le cabinet identifié dans le contrat particulier, ci-après le Responsable ou le Cabinet.

D'autre part, Miguel Monllau Monfort, numéro fiscal ES73383415Y, domicilié Calle Doctor Coca 1, planta 1, puerta 1, 08700 Igualada, Barcelone, exerçant sous la marque « Clynalia », ci-après le Sous-traitant ou Clynalia.

Les deux parties conviennent d'encadrer le traitement de données personnelles nécessaire à la fourniture de Clynalia selon les clauses suivantes.

Le Responsable confie à Clynalia la fourniture des services logiciels de gestion clinique et administrative décrits dans le contrat principal. À cette fin, Clynalia traitera des données personnelles pour le compte du Responsable et uniquement selon ses instructions documentées.

L'objet, la durée, les opérations, les finalités, les catégories de données et les personnes concernées sont détaillés dans les annexes.

Le présent contrat entre en vigueur à la date fixée dans le contrat particulier et reste en vigueur tant que Clynalia traite des données pour le compte du Responsable.

Les obligations de confidentialité, de sécurité, de restitution, de suppression et de coopération qui doivent survivre se poursuivent pendant le délai légal applicable.

Le Cabinet détermine les finalités et les moyens essentiels du traitement des données de ses patients et agit en qualité de responsable du traitement.

Clynalia agit en qualité de sous-traitant lorsqu'elle traite ces données pour fournir le service. La qualification contractuelle ne prévaudra pas sur la réalité du traitement. Si Clynalia estime qu'une instruction modifie les rôles ou enfreint la réglementation, elle en informera le Responsable sans délai et pourra suspendre l'instruction dans la mesure nécessaire pour éviter un traitement illicite.

Clynalia :

• traitera les données uniquement pour fournir le service contracté ;
• ne les utilisera pas à des fins propres incompatibles ;
• ne vendra pas de données de patients ;
• n'utilisera pas de dossiers cliniques pour entraîner des modèles ;
• ne communiquera pas de données sauf instruction, obligation légale ou sous-traitance ultérieure autorisée ;
• documentera les instructions reçues au moyen du contrat, de la configuration du cabinet et des demandes autorisées de ses utilisateurs.

Lorsqu'une obligation légale impose de traiter ou de communiquer des données en dehors des instructions, Clynalia en informera préalablement le Responsable, sauf interdiction légale.

Clynalia garantira que les personnes autorisées à traiter les données :

• n'y accèdent que lorsque cela est nécessaire à leurs fonctions ;
• sont soumises à une obligation de confidentialité ;
• reçoivent une formation adéquate ;
• utilisent des identifiants individuels ;
• perdent l'accès lorsqu'il n'est plus nécessaire.

Tout accès exceptionnel du support doit être justifié, limité et journalisé.

Clynalia appliquera des mesures techniques et organisationnelles adaptées au risque et conservera la preuve de leur fonctionnement. Les mesures initiales figurent dans l'annexe correspondante et comprennent le chiffrement, l'isolation entre cabinets, le contrôle d'accès, l'audit, les sauvegardes, la gestion des clés et la sécurité du développement.

Les mesures pourront évoluer pour maintenir ou améliorer le niveau de protection, sans le réduire substantiellement pendant la durée du contrat.

Le Cabinet s'engage à administrer les utilisateurs et les permissions, à protéger ses appareils et réseaux, et à signaler sans délai les incidents ou les départs d'utilisateurs.

Le Responsable autorise Clynalia, dans les conditions fixées dans le contrat particulier, à recourir aux sous-traitants ultérieurs identifiés dans les annexes.

En cas d'autorisation générale, Clynalia :

• informera, par le canal et avec le préavis fixés dans le contrat particulier, de tout ajout ou remplacement ;
• fournira l'identité, la fonction et la localisation ;
• permettra des objections motivées liées à la protection des données ;
• proposera une solution raisonnable lorsque l'objection est fondée ;
• imposera au sous-traitant ultérieur des obligations équivalentes ;
• restera responsable envers le Responsable du respect de ses obligations par le sous-traitant ultérieur, dans les conditions légales.

Clynalia n'effectuera pas de transferts internationaux et ne permettra pas à un sous-traitant ultérieur d'en effectuer, sauf :

• instruction documentée du Responsable ;
• nécessité pour fournir le service, décrite dans les annexes ; et
• existence d'un mécanisme valide et de garanties appropriées.

L'inventaire devra identifier la localisation, le mécanisme et la documentation applicable. Le simple choix d'un fournisseur européen ou d'une région européenne ne remplace pas cette évaluation contractuelle.

Le Cabinet traitera les demandes de ses patients. Si Clynalia reçoit une demande concernant des données traitées pour le compte du Cabinet :

• elle la transmettra sans délai au contact désigné ;
• elle ne répondra pas au nom du Cabinet sauf instruction ;
• elle facilitera, dans la mesure de ses possibilités, la recherche, l'exportation, la rectification, la limitation, l'opposition, la portabilité ou l'effacement.

Le contact du Responsable et le délai opérationnel de transmission et d'assistance sont fixés dans le contrat particulier.

Clynalia notifiera le Responsable dans les meilleurs délais après avoir pris connaissance d'une violation affectant les données confiées.

La notification comprendra, au fur et à mesure de sa disponibilité :

• la nature et l'impact probable ;
• les catégories et le volume approximatifs ;
• les mesures prises ou envisagées ;
• la personne à contacter ;
• les informations nécessaires pour que le Cabinet évalue ses propres notifications.

Le Cabinet décide des communications à l'autorité et aux personnes concernées, sauf obligation directe de Clynalia. Les parties maintiendront le canal d'urgence fixé dans le contrat particulier.

Clynalia assistera raisonnablement le Cabinet pour :

• l'analyse des risques ;
• les analyses d'impact relatives à la protection des données ;
• la consultation du délégué à la protection des données ;
• la consultation préalable de l'autorité lorsqu'elle s'impose ;
• la documentation des mesures et du fonctionnement technique.

Clynalia fournira des informations réutilisables sur le service. Le Cabinet devra les compléter avec son contexte, ses volumes, ses publics, ses bases juridiques et ses processus de soins.

Clynalia mettra à la disposition du Responsable les informations nécessaires pour démontrer le respect du présent contrat et permettra des audits raisonnables.

Les audits :

• seront coordonnés à l'avance, sauf incident urgent ;
• respecteront la confidentialité et la sécurité des autres cabinets ;
• privilégieront les certifications, rapports et preuves à distance lorsqu'ils suffisent ;
• ne permettront pas l'accès à des secrets ou à des données de tiers non nécessaires ;
• suivront le régime de coûts fixé dans le contrat particulier.

À la fin de la prestation, Clynalia restituera ou supprimera les données selon l'instruction du Responsable, sauf obligation légale de conservation.

Les annexes définissent les formats d'exportation, la fenêtre de téléchargement, le traitement des documents, de la base de données, des clés, de l'audit et des sauvegardes, le blocage des données soumises à conservation, la certification de l'opération, ainsi que les délais et exceptions.

Aucune suppression irréversible de dossiers cliniques ne sera effectuée avant que le Cabinet ne confirme les durées de conservation applicables à son territoire et à chaque catégorie de données.

Clynalia maintiendra des mesures raisonnables de sauvegarde, de reprise et de continuité adaptées au risque. Les objectifs de reprise et tout engagement de niveau de service figureront dans le contrat particulier ou dans les annexes.

Le régime de responsabilité sera coordonné avec le contrat principal et ne limitera pas les droits ou obligations qui ne peuvent légalement être limités.

En cas de contradiction en matière de protection des données, le présent contrat et ses annexes prévalent.

Pour Clynalia : confidentialité et protection des données, privacy@clynalia.com ; questions contractuelles, hello@clynalia.com. Les contacts du Cabinet sont désignés dans le contrat particulier.

Le contrat est signé par la personne représentant le Cabinet et par Miguel Monllau Monfort au nom de Clynalia, avec date, avant tout traitement de données de patients.

Fonctions facultatives avec IA. Si le cabinet active la fonction concernée et qu’une personne autorisée la demande, Clynalia utilise Amazon Bedrock pour : (a) transcrire littéralement le texte visible d’un document ; (b) organiser ses informations écrites ; ou (c) rédiger un brouillon de compte rendu de visite ou d’épisode de soins à partir de notes déjà rédigées par le professionnel.

Pour les deux premières fonctions, le PDF ou l’image sélectionnés sont envoyés avec des instructions techniques. Pour les comptes rendus de visite, les notes d’anamnèse, d’examen, de traitement, d’évolution et de recommandations sont envoyées. Pour ceux d’épisode, les notes des visites avec leurs dates et numéros de séance et le motif de consultation sont envoyés ; le champ diagnostic de l’épisode ne l’est pas. Clynalia n’ajoute pas d’autres champs d’identification du dossier, mais le fichier ou les notes peuvent contenir des identifiants et des données de santé.

Le résultat peut contenir des erreurs ou omissions. La finalité est documentaire : le système ne doit pas apporter de nouvelles interprétations, de nouveaux diagnostics ou de nouvelles recommandations cliniques. Un professionnel doit le comparer aux sources, le corriger ou l’écarter et décider expressément de l’ajouter au dossier ou de l’émettre. L’identité figurant dans le compte rendu est ajoutée ensuite, en dehors de l’appel au modèle. Le professionnel remet le compte rendu au patient ; Clynalia ne l’envoie pas automatiquement à des tiers.

AWS fournit l’inférence dans le périmètre UE vérifié. L’utilisation exige une évaluation des conditions contractuelles et de conservation. Les sources, le brouillon IA, le texte révisé et leurs traces sont conservés selon la politique applicable à chaque catégorie. La liste des sous-traitants ultérieurs décrit les services et garanties. Clynalia n’utilise pas les dossiers cliniques pour entraîner des modèles.

• Annexe I : description des traitements.
• Annexe II : sous-traitants ultérieurs et localisations.
• Annexe III : mesures techniques et organisationnelles.
• Annexe IV : restitution, conservation et suppression.
• Annexe V : fonctions optionnelles de transcription, d’organisation documentaire et de brouillons de compte rendu de consultation ou d’épisode de soins par IA.

Les annexes sont remises avec le contrat particulier. Références : article 28 du RGPD et le guide de l'autorité espagnole de protection des données (AEPD) sur le contenu du contrat de sous-traitance.