![](data:image/svg+xml,<svg display="block" role="presentation" viewBox="0 0 20 20" xmlns="http://www.w3.org/2000/svg"><path d="M 0 7 L 14 7 M 7 0 L 14 7 L 7 14" fill="transparent" height="14px" id="IgiwaydbD" stroke-dasharray="" stroke-linecap="round" stroke-linejoin="round" stroke-width="1.5" stroke="rgb(0, 0, 0)" transform="translate(3 3)" width="14px"/></svg>)
La présente annexe décrit le traitement de Données à Caractère Personnel effectué par le Sous-Traitant pour le compte du Responsable du Traitement au titre du DPA.
1. Objet et finalités du traitement
Le Sous-Traitant fournit une solution logicielle en mode service (SaaS) (les « Services ») conçue pour prendre en charge les processus cliniques, administratifs et/ou médico-sociaux du Responsable du Traitement, y compris des fonctionnalités de documentation et d'aide à la décision clinique fondées sur l'intelligence artificielle. Les Services sont définis plus avant dans le Contrat Client. Les Services peuvent également comprendre l'extraction de Données à Caractère Personnel depuis les Systèmes Client du Responsable du Traitement.
Le Sous-Traitant traite les Données à Caractère Personnel pour le compte du Responsable du Traitement aux seules fins de fournir les Services au titre du Contrat Client et conformément aux Instructions documentées du Responsable du Traitement. La présente description s'applique aux Services dans leur ensemble, indépendamment des modules ou fonctionnalités que le Responsable du Traitement choisit d'activer ou d'utiliser à un moment donné.
La finalité autorisée comprend également la configuration, l'adaptation et la personnalisation des Services pour le Responsable du Traitement, ses Utilisateurs autorisés et son environnement dédié (tenant) — y compris les préférences utilisateurs, les paramètres de processus, les modèles, les paramètres de langue, les configurations par spécialité ou par rôle et la mise en forme des résultats propre au Responsable du Traitement — ainsi que la réalisation des opérations d'assurance qualité et des évaluations cliniques et de sécurité nécessaires à une fourniture sûre, correcte et fiable des Services à ce Responsable du Traitement, exclusivement dans le cadre de la fourniture, de la maintenance, du support et de la sécurisation des Services.
Le Responsable du Traitement détermine les finalités et les moyens du traitement et est seul responsable de la base légale au titre des articles 6 et 9 du RGPD.
2. Catégories de personnes concernées
Les sous-catégories de « Personnes Concernées » (telles que définies dans le DPA) dont les Données à Caractère Personnel sont traitées au titre de la présente annexe sont les suivantes :
a. « Utilisateur » désigne le professionnel de santé ou du secteur social du Responsable du Traitement, ainsi que tout autre membre de son personnel autorisé par le Responsable du Traitement à accéder aux Services et à les utiliser.
b. « Participant » désigne une personne physique bénéficiant de soins de santé, de prestations médico-sociales ou de services connexes auprès du Responsable du Traitement, lorsque ces prestations sont documentées ou prises en charge au moyen des Services.
c. « Participant Associé » désigne une personne physique, autre que le Participant, qui est identifiée ou mentionnée en lien avec un Participant au travers des Services, y compris, sans que cette énumération soit limitative, un représentant légal (par exemple lorsque le Participant est mineur), un auxiliaire de vie, un membre de la famille ou un proche, un aidant, un travailleur social ou tout autre représentant du secteur médico-social, un interprète ou traducteur, un médecin adressant le patient, ou toute autre personne physique identifiée ou mentionnée en lien avec un Participant au travers des Services.
3. Catégories de données à caractère personnel
Le tableau ci-dessous énonce les catégories de Données à Caractère Personnel traitées par le Sous-Traitant pour le compte du Responsable du Traitement, ainsi que la ou les catégories de Personnes Concernées auxquelles chacune s'applique :
Catégorie de Données à Caractère Personnel | Description | Catégorie de Personnes Concernées applicable |
|---|---|---|
Données d'identification et de contact | Données permettant d'identifier une Personne Concernée ou de la contacter, telles que le nom, les coordonnées et, lorsqu'il est mentionné ou saisi, un identifiant unique tel qu'un numéro national d'identité ou un identifiant de session. | Utilisateurs et Participants, uniquement dans la mesure où ces données sont mentionnées ou saisies en lien avec les Services ou extraites des Systèmes Client du Responsable du Traitement. |
Données de compte et d'utilisation | Données générées par l'accès aux Services et leur utilisation, telles que les identifiants d'utilisateur, les identifiants de connexion, l'adresse IP et les données d'activité ou de journalisation. | Utilisateurs uniquement. Les Participants et les Participants Associés ne disposent pas de compte sur les Services. |
Données relatives à la santé | Données concernant la santé et les circonstances sensibles connexes susceptibles d'être évoquées ou consignées au cours d'une consultation, ou extraites des Systèmes Client du Responsable du Traitement préalablement à une consultation ou en dehors de celle-ci, telles que les antécédents médicaux, les symptômes, les diagnostics, les traitements, les médicaments, les résultats d'examens et les habitudes de vie ou la situation sociale (par exemple, la consommation de tabac ou d'alcool, la situation familiale). | Participants. |
Données d'enregistrement et de documentation | Enregistrements audio, transcriptions, notes cliniques, documents générés et codes suggérés produits au sein des Services, susceptibles d'incorporer l'une quelconque des catégories décrites ci-dessus ainsi que toute autre Donnée à Caractère Personnel enregistrée, générée ou mentionnée dans le cadre de la fourniture des Services. | Principalement Utilisateurs et Participants. Participants Associés uniquement dans la mesure où ils figurent dans un enregistrement ou dans la documentation qui en résulte. |
Données de communication | Données relatives aux invitations et aux notifications, telles que le nom (par exemple, d'un administrateur invitant ou de tout autre expéditeur ou destinataire), l'adresse électronique, le nom du cabinet et les métadonnées de remise ou d'interaction. | Utilisateurs uniquement, en lien avec les invitations et notifications relatives aux comptes. |
Données de support | Données relatives aux demandes d'assistance soumises en lien avec les Services, telles que le nom et les coordonnées du demandeur, le contenu de la demande d'assistance, ainsi que la correspondance et les métadonnées d'interaction associées. | Utilisateurs uniquement, en lien avec les demandes d'assistance adressées au Sous-Traitant au sujet des Services. |
Données de personnalisation et de configuration | Préférences utilisateurs, modèles, paramètres de langue, paramètres de processus, configurations par spécialité ou par rôle, mise en forme des résultats propre au Responsable du Traitement, modifications, corrections et retours d'expérience apportés par les utilisateurs aux documents générés ou aux autres résultats (dans la mesure où ils sont utilisés pour configurer ou personnaliser les Services), éléments de personnalisation, plongements vectoriels (embeddings), bases de données vectorielles et métadonnées associées, uniquement dans la mesure où ils sont générés ou maintenus pour l'environnement dédié du Responsable du Traitement et ses Utilisateurs autorisés dans le cadre de la fourniture des Services. | Utilisateurs et, uniquement si l'élément contient ou révèle leurs informations, Participants et Participants Associés. Ces données demeurent des Données à Caractère Personnel et, le cas échéant, des Données d'Entrée, sauf anonymisation irréversible. |
4. Durée du traitement
Les Données à Caractère Personnel relatives aux Utilisateurs sont traitées et conservées par le Sous-Traitant pendant toute la durée du Contrat Client, puis restituées et/ou supprimées conformément au DPA, sauf accord écrit contraire des parties.
Les Données à Caractère Personnel relatives aux Participants et aux Participants Associés sont conservées par le Sous-Traitant pendant 30 jours à compter de leur création, à l'issue desquels elles font l'objet d'un traitement visant à s'assurer qu'aucune donnée directement identifiante — telle que les noms, adresses et numéros nationaux d'identité — ne subsiste dans l'enregistrement, sauf accord écrit contraire des parties. Cette durée de conservation opérationnelle s'applique pendant la durée du Contrat Client et est sans préjudice du DPA, lequel régit séparément la restitution et/ou la suppression des Données à Caractère Personnel au terme du DPA. Les données de personnalisation et de configuration ne sont conservées que le temps nécessaire à la fourniture des Services au Responsable du Traitement et à ses Utilisateurs autorisés, ou pendant la durée plus courte précisée dans le Contrat Client, dans les instructions propres à un module ou dans le calendrier de conservation.