Contrat de sous-traitance des données (DPA)

Responsable de traitement : le praticien (pédicure-podologue) titulaire du compte, agissant dans le cadre de son exercice.

Sous-traitant : la plateforme Achyl, éditée par la société ACHYL, société par actions simplifiée (SAS) en cours d'immatriculation au RCS de Paris — contact : contact@achyl.co.

Le présent accord encadre les traitements de données à caractère personnel effectués par le sous-traitant pour le compte du responsable, dans le cadre de la fourniture du service Achyl, logiciel de documentation et de gestion du cabinet. Il s'applique pendant toute la durée du contrat, puis pendant la période de restitution prévue au § 12, jusqu'à la suppression des données.

Le sous-traitant traite les données uniquement pour fournir les fonctions du service :

• hébergement et tenue du dossier des patients, de l'agenda et de la facturation ;
• transcription de l'enregistrement de la consultation, recueilli avec l'accord du patient ;
• structuration et rédaction des documents de la consultation (compte-rendu, courrier, fiche remise au patient, infographie) à partir de ce que le praticien a dit, examiné, mesuré et importé ;
• lecture des documents importés et des exports d'appareils de mesure ;
• recherche documentaire sourcée et assistant conversationnel ;
• envoi au patient, à la demande du praticien, de ses exercices ; e-mails de rendez-vous ;
• traçabilité de la stérilisation, signature électronique des ordonnances et factures.

Le logiciel documente, il ne conclut pas : il ne pose aucun diagnostic, n'attribue aucun niveau de risque et ne propose aucune conduite à tenir pour un patient. Le praticien reste maître de l'analyse et du diagnostic. Aucune autre finalité n'est poursuivie : les données ne sont ni vendues, ni cédées, ni utilisées pour entraîner un modèle d'intelligence artificielle, ni par l'Éditeur, ni par ses sous-traitants.

• Personnes concernées : patients du praticien ; le cas échéant, leurs accompagnants (dont la voix peut figurer sur l'enregistrement) et les professionnels cités au dossier (médecin traitant) ; membres de l'équipe du cabinet.
• Données : identité et coordonnées ; données administratives et de facturation ; données de santé (motif, antécédents, examens, mesures, décisions du praticien) ; contenus de consultation (enregistrements audio, transcriptions, notes, documents importés et produits, photographies).

Le sous-traitant s'engage à :

• ne traiter les données que sur instruction documentée du responsable — ses réglages et son usage de la plateforme, le présent accord et les conditions générales —, y compris pour les transferts ; il l'informe si une instruction lui paraît contraire au RGPD ;
• garantir la confidentialité : les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
• mettre en œuvre les mesures de sécurité de l'article 32, décrites en annexe ;
• respecter les conditions de recours à un sous-traitant ultérieur (§ 6) ;
• aider le responsable à répondre aux demandes d'exercice des droits des personnes (§ 9) ;
• aider le responsable à respecter les articles 32 à 36 : sécurité, notification des violations (§ 8), analyses d'impact ;
• au choix du responsable, restituer puis supprimer les données en fin de prestation (§ 12) ;
• mettre à disposition les informations nécessaires pour démontrer la conformité et permettre des audits (§ 13).

Le responsable autorise le recours aux sous-traitants ultérieurs ci-dessous. La page Sous-traitants fait foi : elle porte, pour chacun, les garanties et la date de la dernière mise à jour. À la date de la présente version :

Le sous-traitant impose à chacun, par contrat, des obligations de protection au moins équivalentes à celles du présent accord, et demeure responsable envers le responsable de leur exécution. Tout ajout ou remplacement d'un sous-traitant ultérieur est annoncé au responsable, par la plateforme ou par courrier électronique, avant sa mise en service, en lui laissant au moins quinze jours pour formuler une objection motivée. En cas d'objection non levée, le responsable peut résilier le contrat sans frais.

L'Éditeur n'héberge aucune donnée en propre : les données de santé sont hébergées chez des hébergeurs certifiés, avec lesquels il a contracté. Il reprend ici la substance des clauses que l'article R.1111-11 du code de la santé publique impose au contrat d'hébergement.

• Prestataires : Scalingo SAS (plateforme et base de données, certificat HDS n° 38436), Amazon Web Services EMEA SARL (stockage des fichiers, certifié HDS), Microsoft Ireland Operations Ltd (traitements par intelligence artificielle, certifié HDS pour les services en disponibilité générale). Seuls ces trois prestataires peuvent accéder à des données de santé.
• Localisation : base de données et fichiers en France (région Paris) ; traitements par intelligence artificielle dans l'Union européenne (ressource située en France, zone de données de l'Union européenne pour les modèles de langage et la lecture de documents).
• Interdiction d'autres usages : les données ne sont utilisées à aucune autre fin que la fourniture du service ; elles ne sont ni cédées ni utilisées pour l'entraînement de modèles.
• Qualité de service : l'Éditeur ne garantit pas de taux de disponibilité contractuel (conditions générales, article « Disponibilité et maintenance ») ; les maintenances planifiées sont annoncées dans la mesure du possible.
• Incidents : notification au responsable dans les conditions du § 8.
• Réversibilité : restitution complète dans les conditions du § 12.
• Interlocuteur : dpo@achyl.co.

Le sous-traitant notifie au responsable toute violation de données à caractère personnel dans un délai maximal de quarante-huit (48) heures après en avoir pris connaissance, par courrier électronique à l'adresse du compte et par la plateforme. La notification décrit, dans la mesure où elles sont connues : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées, ainsi que le point de contact. Les informations qui ne sont pas encore disponibles sont communiquées dès qu'elles le sont. Ce délai permet au responsable de notifier, le cas échéant, la CNIL dans les soixante-douze heures (art. 33 RGPD) et d'informer les patients concernés (art. 34). Le sous-traitant tient un registre des violations.

Le sous-traitant aide le responsable à répondre aux demandes des patients (accès, rectification, effacement, limitation, portabilité, opposition) :

• l'Éditeur met à disposition un export du dossier d'un patient ;
• les données du dossier se rectifient depuis la fiche du patient, et un dossier se supprime définitivement depuis la plateforme ;
• toute demande reçue directement par l'Éditeur de la part d'un patient est transmise sans délai au praticien, qui y répond en sa qualité de responsable de traitement.

Le dossier est conservé tant que le praticien ne le supprime pas, pendant la durée du contrat ; la conservation du dossier médical pendant la durée légale qui lui est applicable relève du praticien. Le service applique en outre les durées suivantes :

• Enregistrements audio : le fichier est supprimé automatiquement trente jours après l'enregistrement, dès lors que sa transcription a abouti (tant qu'elle n'a pas abouti, il reste la seule trace de la consultation et n'est pas supprimé). La transcription et les documents sont conservés.
• Consultations supprimées : placées en corbeille, puis effacées définitivement trente jours après leur suppression.
• Dossiers patients supprimés : effacés définitivement trente jours après leur suppression ; les factures émises, pièces comptables, sont conservées dix ans détachées du dossier.
• Discussions avec l'assistant : effacées après douze mois sans activité.
• Fichiers : le stockage conserve, pendant trente jours, la version précédente d'un fichier supprimé ou remplacé (protection contre une suppression par erreur). Un fichier peut donc subsister, chiffré, jusqu'à environ soixante jours après son enregistrement (audio) ou après la suppression de sa consultation.
• Journal d'accès aux dossiers : vingt ans, alignés sur la conservation du dossier ; traces techniques : douze mois.
• Archive de réversibilité : supprimée sept jours après sa production.
• Sauvegardes : la base de données est sauvegardée par l'hébergeur ; une donnée effacée disparaît des sauvegardes à l'expiration de leur durée de conservation.

Les données de santé sont traitées dans l'Union européenne et ne font l'objet d'aucun transfert hors de l'Union. Les seuls prestataires susceptibles d'un accès hors Union (Stripe, Google) ne reçoivent aucune donnée de patient ; ces accès sont encadrés par les clauses contractuelles types de la Commission européenne ou un mécanisme équivalent.

Le titulaire du compte peut, à tout moment et sans en faire la demande, produire depuis ses réglages une archive complète du cabinet : l'intégralité des données en format structuré et réexploitable, les documents sous une forme lisible sans Achyl, et les documents signés copiés à l'identique. Après la résiliation, les données restent accessibles quatre-vingt-dix jours pour produire cette archive, puis sont supprimées définitivement, chez l'Éditeur comme chez ses sous-traitants (sous réserve des délais du § 10). Un e-mail prévient le titulaire trente joursavant la suppression ; à l'échéance, une attestation de suppression lui est adressée. Les dossiers de soin et les factures dont la loi impose la conservation sont archivés chiffrés, hors ligne, pour le compte du praticien, puis effacés à leur terme (vingt ans après la dernière consultation, jusqu'aux vingt-huit ans d'un patient mineur ; dix ans pour les factures). Les pièces de l'abonnement soumises à une obligation légale de conservation sont conservées pour cette seule durée et à cette seule fin. Un compte d'essai non converti est effacé douze mois après la fin de l'essai, avec la même prévenance.

La conservation du dossier médical pendant la durée légale relève du praticien ; l'archive lui en donne les moyens.

Le sous-traitant met à disposition du responsable les informations nécessaires pour démontrer le respect du présent accord (analyse d'impact, registre, certificats des hébergeurs, liste des sous-traitants) et permet la réalisation d'audits, par le responsable ou un auditeur qu'il mandate, sur préavis raisonnable et dans le respect de la confidentialité des autres clients.

Pour toute question relative au présent accord ou à la protection des données : dpo@achyl.co.

• Chiffrement au repos par l'application des données personnelles et de santé (Fernet — AES-128 CBC + HMAC-SHA256), en base comme dans le stockage des fichiers, la clé de chiffrement n'étant jamais confiée au stockage des fichiers.
• Chiffrement en transit (TLS) entre le navigateur, la plateforme et les prestataires.
• Hébergement certifié HDS en France pour la base et les fichiers (§ 7).
• Pseudonymisation des textes envoyés au moteur d'intelligence artificielle : les identifiants directs du patient, du praticien et des tiers y sont remplacés par des jetons. Exception : l'enregistrement audio et les documents numérisés ne peuvent pas être pseudonymisés avant d'avoir été lus ; ils sont transmis tels quels, à Microsoft Azure, sous contrat et hébergement certifié HDS.
• Cloisonnement des accès par cabinet et par praticien ; authentification par mot de passe, double authentification disponible pour les praticiens et obligatoire pour l'administration de la plateforme.
• Journal d'accès : créations, consultations, modifications et suppressions de dossiers, consultables et exportables par le titulaire ; journal des actions d'administration, qui nomme les champs touchés sans jamais en recopier les valeurs.
• Journaux techniques sans contenu clinique, avec masquage des jetons d'accès et des adresses e-mail.
• Sauvegardes quotidiennes de la base par l'hébergeur ; versionnage des fichiers (§ 10).
• Minimisation : suppression automatique des enregistrements audio (§ 10) ; aucune donnée de santé dans les e-mails.
• Procédure de gestion des violations et registre des violations (§ 8).