Accord relatif au traitement des données à caractère personnel (DPA), GAIA

Clauses contractuelles relatives au traitement de données à caractère personnel. Elles sont prises en application de l'article 28 du règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et de la loi n° 78-17 du 6 janvier 1978 modifiée.

1. OBJET

Le présent Accord relatif au traitement des données à caractère personnel (ci-après le "DPA") définit les conditions dans lesquelles AVIS2SANTE agit en qualité de sous-traitant pour le compte du Client. AVIS2SANTE édite et exploite le service GAIA PILOT. GAIA PILOT est une solution d'appel téléphonique automatisé par intelligence artificielle, qui sert à rechercher des vacataires pour le compte du Client.

Le présent DPA complète les Conditions générales de service de GAIA et, le cas échéant, le document contractuel fixant les conditions financières.

Le présent DPA est conclu entre AVIS2SANTE, dont les coordonnées figurent aux Mentions légales, et le Client identifié dans le document contractuel fixant les conditions financières. Il constitue une annexe de ce document. Il prend effet à la date d'ouverture des accès au Service.

Le Client désigne un point de contact pour la protection des données. Il communique à AVIS2SANTE les coordonnées de son délégué à la protection des données lorsqu'il en a désigné un.

Seuls les Responsables du Client acceptent le présent DPA, au nom du Client. Un Responsable est un Utilisateur qui a le rôle de gestionnaire ou d'administrateur dans le Service. Il accepte le DPA à sa connexion et doit l'accepter pour continuer. Le Responsable qui accepte déclare avoir le pouvoir d'engager le Client. Les autres Utilisateurs n'acceptent rien. Les nouvelles versions du DPA suivent les règles de l'article 23 des Conditions générales de service.

Des clauses particulières sur le traitement des données à caractère personnel peuvent avoir été signées entre AVIS2SANTE et le Client. En cas de divergence, elles prévalent sur le présent DPA.

2. QUALIFICATION DES PARTIES ET GARANTIES RÉCIPROQUES

2.1 Le Client, responsable du traitement

Le Client est responsable du traitement, au sens de l'article 4.7 du RGPD, pour les données de ses Utilisateurs et de ses Contacts traitées au moyen du Service. Il détermine les finalités et les moyens essentiels du traitement. Il décide notamment qui est appelé, à quel sujet et à quel moment.

2.2 AVIS2SANTE, sous-traitant

AVIS2SANTE agit en qualité de sous-traitant au sens de l'article 4.8 du RGPD lorsqu'elle traite des données à caractère personnel pour le compte du Client. Elle ne traite ces données que sur instruction écrite du Client, y compris pour un transfert hors de l'Espace économique européen ou vers une organisation internationale. Si une loi l'oblige à agir autrement, elle en informe le Client avant le traitement, sauf si cette loi l'interdit pour un motif important d'intérêt public.

Valent instructions écrites du Client :

• le présent DPA et les Conditions générales de service ;
• le devis ou le document contractuel fixant les conditions financières ;
• les réglages et les actions des Utilisateurs habilités dans le Service ;
• toute demande écrite du Client adressée au point de contact figurant à l'article 9.

AVIS2SANTE informe immédiatement le Client si, selon elle, une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données.

2.3 Garanties réciproques

Les parties garantissent ce qui suit pour les données à caractère personnel qu'elles détiennent, se communiquent ou auxquelles elles ont accès pour exécuter le contrat. Ces données ont été obtenues et sont utilisées de manière à garantir une sécurité, une confidentialité et une protection appropriées. Cela comprend la prévention de tout accès non autorisé.

Chaque partie s'engage à mettre en œuvre les mesures techniques et organisationnelles qui protègent ces données contre tout accès non autorisé, toute violation, perte, divulgation non autorisée ou destruction fortuite. Si l'une de ces situations survient, elle alerte l'autre partie, afin que celle-ci puisse alerter les personnes concernées.

Les parties sont tenues à une obligation de discrétion et de confidentialité sur les faits et informations dont elles ont connaissance dans l'exercice de leur activité. Cette obligation vise les parties et leur personnel comme les personnes concernées par les traitements. Elles s'engagent à la faire respecter par les personnes placées sous leur responsabilité et par les prestataires intervenant dans l'exécution du contrat.

2.4 Traitements liés à la gestion du contrat

Pour gérer le présent DPA, chaque partie traite certaines données pour son propre compte, en qualité de responsable de traitement. Ce sont les données des personnes physiques qui signent ou visent le contrat et celles du personnel de l'autre partie. Ces traitements sont fondés sur les intérêts légitimes de chaque partie en matière de gestion, d'organisation et de suivi ou sur une obligation légale. Ces données sont conservées pendant la relation contractuelle, augmentée du délai de prescription. Les personnes concernées disposent des droits d'accès, de rectification, d'effacement, de limitation et d'opposition. Ces droits s'exercent directement auprès de chaque partie. Elles peuvent aussi introduire une réclamation auprès d'une autorité de contrôle.

3. PÉRIMÈTRE DU SERVICE

GAIA est un service d'appels téléphoniques conduits par un agent vocal pour le compte du Client. Il sert notamment à joindre des professionnels de santé pour leur proposer des vacations et recueillir leur réponse.

GAIA n'est ni un logiciel de gestion des ressources humaines, ni un logiciel de planification, ni un dossier médical, ni un système d'archivage.

Le Service ne traite pas de dossier médical ni de donnée de santé de patient. Il ne requiert aucune donnée de santé et n'en sollicite aucune au cours de l'appel : l'agent vocal ne demande jamais le motif d'un refus ou d'une indisponibilité. Le Client s'interdit d'introduire des données de santé de patient dans le Service. Une personne appelée peut mentionner spontanément une information sur sa propre santé. Cette information est alors traitée avec les mêmes mesures de sécurité que le reste de la conversation. Elle est effacée dans les délais prévus à l'article 13.

Le Service conserve des données pour fonctionner. Cela ne vaut pas engagement d'AVIS2SANTE à les archiver à long terme, ni à les conserver au-delà de la durée de fourniture du Service.

4. CATÉGORIES DE PERSONNES CONCERNÉES

• les Utilisateurs habilités par le Client ;
• les Contacts appelés ou contactés au moyen du Service, notamment les professionnels de santé et les vacataires susceptibles d'assurer une vacation ;
• les personnes qui appellent un numéro de téléphone géré par le Service pour le compte du Client.

Aucun patient n'est concerné par les traitements réalisés au moyen du Service.

5. CATÉGORIES DE DONNÉES

5.1 Données relatives aux Utilisateurs du Client

• civilité, nom et prénom, adresse électronique, numéro de téléphone, coordonnées professionnelles ;
• données de compte, rôle et habilitations ;
• journal de connexion et traces d'activité dans le Service.

5.2 Données relatives aux Contacts

• civilité, nom et prénom, numéro de téléphone, adresse électronique ;
• rattachement à un service, à un métier ou à une spécialité, tel que renseigné par le Client ;
• enregistrement audio de l'appel, transcription, résumé et statut de l'appel ;
• voix de la personne répondant à l'appel ;
• date et heure de programmation et d'exécution des appels, durée des appels, nom de la personne ayant programmé l'appel ;
• contenu des SMS et messages échangés dans le fil de discussion ouvert au moyen du lien envoyé au Contact ;
• disponibilité déclarée, notes et informations complémentaires renseignées par le Client.

5.3 Données relatives à l'organisation du Client

• nom de l'établissement, description et notes.

5.4 Données sensibles

Aucune catégorie particulière de données au sens de l'article 9 du RGPD n'est requise ni sollicitée par le Service. Cela vaut notamment pour les données suivantes :

• donnée de santé ;
• donnée biométrique ou génétique ;
• origine ;
• opinion politique ;
• conviction religieuse ou philosophique ;
• appartenance syndicale ;
• donnée relative à la vie sexuelle ou à l'orientation sexuelle ;
• donnée judiciaire ;
• numéro d'identification national.

6. FINALITÉS DES TRAITEMENTS

Les traitements réalisés pour le compte du Client ont pour finalités :

• la création et le suivi des missions ;
• la programmation et l'exécution des appels automatisés afin de trouver des vacataires disponibles pour une mission donnée ;
• la réponse aux appels entrants par un message d'information ;
• la conduite de la conversation par l'agent vocal, ce qui suppose la reconnaissance de la parole, la génération des réponses et la synthèse vocale ;
• l'enregistrement, la transcription et le résumé des échanges téléphoniques ;
• l'envoi de messages SMS et l'ouverture du fil de discussion avec le Contact ;
• l'import, l'ajout, la modification, l'étiquetage et la suppression des contacts et des étiquettes ;
• l'ajout et la suppression des utilisateurs et la modification des organisations ;
• la personnalisation de l'appel selon le service, la temporalité, la personne, les modalités de contact et la date d'exécution ;
• la saisie de notes et de descriptions pour les appels ;
• la restitution au Client de l'enregistrement, de la transcription, du résumé et du statut de chaque appel ;
• l'authentification, la gestion des habilitations et la sécurisation des accès ;
• la sauvegarde quotidienne de la base de données ;
• l'assistance technique aux utilisateurs et le traitement des incidents ;
• l'accompagnement et la formation des utilisateurs ;
• la relecture de conversations par les personnes habilitées d'AVIS2SANTE, pour détecter et corriger les défauts de l'agent vocal. Ces relectures ne servent pas à entraîner un modèle ;
• toute autre opération strictement nécessaire à la fourniture du Service.

Les opérations réalisées sur les données sous-traitées sont : collecte, transformation, conservation, utilisation, transfert vers le seul responsable de traitement et destruction à sa demande.

Les données traitées pour le compte du Client ne sont pas utilisées pour entraîner des modèles d'intelligence artificielle.

7. DROITS ET OBLIGATIONS DU CLIENT

Le Client dispose des droits suivants :

• donner à AVIS2SANTE toute instruction écrite relative aux traitements réalisés pour son compte ;
• obtenir les informations nécessaires pour démontrer le respect de l'article 28 du RGPD ;
• faire réaliser un audit dans les conditions de l'article 10 ;
• décider du sort de ses données dans les conditions de l'article 13.

Le Client s'engage notamment à :

• utiliser le Service conformément à la réglementation applicable ;
• déterminer les finalités et les bases juridiques des traitements dont il est responsable ;
• garantir qu'il dispose du droit de contacter les personnes qu'il renseigne dans le Service ;
• informer par écrit les personnes qu'il fera appeler, avant la première campagne d'appels, dans les conditions prévues à l'article 7 des Conditions générales de service. Cette information indique notamment l'identité de l'établissement responsable, le recours à un agent vocal automatisé et l'enregistrement et la transcription des appels. Elle indique aussi les finalités, la base légale, les durées de conservation, l'origine des coordonnées et les destinataires. Elle indique enfin le droit de s'opposer à ces appels et le moyen concret de l'exercer ;
• veiller à la pertinence, à l'exactitude et à la minimisation des données renseignées ;
• s'abstenir d'introduire dans le Service des données de santé de patient ;
• définir et gérer les habilitations de ses Utilisateurs ;
• garder toujours au moins un Responsable actif ;
• traiter les demandes des Contacts qui souhaitent ne plus être appelés et mettre ses listes à jour ;
• assurer la confidentialité des moyens d'authentification de ses Utilisateurs ;
• vérifier s'il doit désigner un délégué à la protection des données et réaliser une analyse d'impact avant la première campagne d'appels et en communiquer les conclusions utiles à AVIS2SANTE.

Sauf indication contraire donnée à AVIS2SANTE, il appartient au Client de fournir l'information aux personnes concernées au moment de la collecte des données.

8. CONFIDENTIALITÉ, SÉCURITÉ ET REGISTRE

AVIS2SANTE veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité.

AVIS2SANTE met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD afin d'assurer un niveau de sécurité adapté aux risques, notamment :

• la pseudonymisation et le chiffrement des données à caractère personnel ;
• les moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
• les moyens permettant de rétablir la disponibilité des données et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ;
• une procédure visant à tester, analyser et évaluer régulièrement l'efficacité des mesures techniques et organisationnelles.

En pratique, ces mesures comprennent :

• la gestion des habilitations, le contrôle des accès et l'authentification ;
• le cloisonnement des données par établissement ;
• la journalisation et la surveillance ;
• la mise à jour régulière des pare-feu et des systèmes de gestion des identités ;
• la surveillance proactive des vulnérabilités ;
• des sauvegardes quotidiennes de la base de données, conservées trente-cinq (35) jours et copiées dans une seconde région française.

Les données sont hébergées en France, région Azure France Centre, chez Microsoft Ireland Operations Limited, hébergeur certifié Hébergeur de Données de Santé. AVIS2SANTE n'est pas elle-même certifiée HDS. Le Service ne traite pas de donnée de santé de patient : cette certification n'est pas requise pour cet usage.

Aucun système informatique ni aucun service accessible sur internet ne pouvant être garanti totalement exempt de risque, AVIS2SANTE est tenue d'une obligation de moyens renforcée en matière de sécurité. Elle s'engage à mettre en œuvre les mesures appropriées pour prévenir les incidents. Lorsqu'un incident survient, elle s'engage à en limiter les conséquences et à rétablir le fonctionnement du Service dans les meilleurs délais.

AVIS2SANTE tient par écrit le registre des catégories d'activités de traitement effectuées pour le compte du Client, conformément à l'article 30.2 du RGPD. Ce registre comprend :

• le nom et les coordonnées du responsable de traitement pour le compte duquel elle agit, de ses sous-traitants ultérieurs et de son délégué à la protection des données ;
• les catégories de traitements effectués ;
• le cas échéant, les transferts vers un pays tiers et les garanties associées ;
• une description générale des mesures de sécurité mises en œuvre.

Il est mis à la disposition du Client sur demande écrite.

9. VIOLATION DE DONNÉES

AVIS2SANTE met en œuvre des procédures destinées à détecter, traiter et documenter les violations de données à caractère personnel.

AVIS2SANTE notifie au Client toute violation de données à caractère personnel affectant les données traitées pour son compte. Elle le fait dans un délai maximum de quarante-huit (48) heures après en avoir pris connaissance. La notification est adressée par courrier électronique au point de contact communiqué par le Client. Elle est accompagnée de toute documentation utile permettant au Client, si nécessaire, de notifier la violation à l'autorité de contrôle compétente.

La notification contient au moins :

• la description de la nature de la violation. Elle précise si possible les catégories et le nombre approximatif de personnes et d'enregistrements concernés ;
• le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues ;
• la description des conséquences probables de la violation ;
• la description des mesures prises ou proposées pour remédier à la violation, y compris, le cas échéant, les mesures visant à en atténuer les conséquences négatives.

S'il n'est pas possible de fournir toutes ces informations en même temps, elles peuvent être communiquées de manière échelonnée, sans retard indu.

À la demande expresse du Client, AVIS2SANTE notifie les violations de données à caractère personnel à l'autorité de contrôle compétente, au nom et pour le compte du Client. Elle le fait dans les meilleurs délais, au plus tard soixante-douze (72) heures après en avoir pris connaissance.

À la demande expresse du Client, AVIS2SANTE communique aussi la violation aux personnes concernées, au nom et pour le compte du Client. Elle le fait dans les meilleurs délais, lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. Cette communication décrit, en des termes clairs et simples, la nature de la violation. Elle comporte au minimum les mêmes informations que la notification.

Point de contact pour toute question relative au présent DPA ou pour signaler une violation : le délégué à la protection des données d'AVIS2SANTE, dpo@avis2sante.fr.

Le Client demeure responsable de déterminer s'il doit notifier la violation à l'autorité de contrôle et, le cas échéant, aux personnes concernées.

10. DROITS DES PERSONNES CONCERNÉES, ASSISTANCE ET AUDIT

Le Client demeure responsable de répondre aux demandes d'exercice des droits des personnes concernées, pour les traitements dont il est responsable. Ces droits sont :

• le droit d'accès, de rectification, d'effacement et d'opposition ;
• le droit à la limitation du traitement ;
• le droit à la portabilité ;
• le droit de ne pas faire l'objet d'une décision individuelle automatisée.

AVIS2SANTE aide le Client à s'acquitter de cette obligation, compte tenu de la nature des traitements et des fonctionnalités disponibles. Une personne concernée peut adresser directement à AVIS2SANTE, ou à l'un de ses sous-traitants ultérieurs, une demande d'exercice de ses droits sur un traitement réalisé pour le Client. AVIS2SANTE transmet alors cette demande au Client dès réception, au point de contact qu'il a désigné, sauf obligation légale contraire.

À la demande du Client, AVIS2SANTE l'aide à réaliser une analyse d'impact relative à la protection des données, lorsque celle-ci est requise. Elle le fait compte tenu des informations dont elle dispose. Elle lui fournit les informations techniques utiles, notamment sa politique de sécurité et le certificat HDS de son hébergeur. La même assistance est apportée au Client lorsqu'il doit consulter préalablement l'autorité de contrôle au titre de l'article 36 du RGPD.

Le Client peut vérifier le respect du présent DPA. À sa demande écrite, AVIS2SANTE met à sa disposition les documents et informations nécessaires à cette vérification. Il s'agit de sa politique de sécurité, du certificat HDS de l'hébergeur, de la liste des sous-traitants ultérieurs et du registre des catégories d'activités de traitement.

Le Client peut en outre faire réaliser un audit, y compris une inspection, limité aux traitements réalisés pour son compte. L'audit a lieu au plus une fois par an, aux frais du Client, avec un préavis écrit d'au moins trente (30) jours. Il ne donne aucun accès aux données relevant d'autres responsables de traitement.

AVIS2SANTE répond en quinze (15) jours ouvrés au plus lorsque le Client lui demande sa politique de sécurité, le certificat HDS de son hébergeur ou la liste des sous-traitants ultérieurs. Elle apporte son aide au Client en dix (10) jours ouvrés au plus sur une demande d'exercice des droits d'une personne, par exemple d'accès ou d'effacement. Ce délai permet au Client de respecter le délai d'un mois qui lui incombe.

Coordonnées des délégués à la protection des données : pour AVIS2SANTE, dpo@avis2sante.fr. Le Client communique les coordonnées de son propre délégué lorsqu'il en a désigné un.

11. SOUS-TRAITANTS ULTÉRIEURS

Le Client autorise AVIS2SANTE à recourir aux sous-traitants ultérieurs listés ci-dessous, nécessaires à la fourniture du Service.

AVIS2SANTE veille à ce que chacun de ses sous-traitants ultérieurs présente des garanties suffisantes. Elle lui impose par contrat des obligations de protection des données au moins équivalentes à celles du présent DPA, de l'accord conclu avec le Client et de la réglementation.

Lorsqu'un sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, AVIS2SANTE demeure pleinement responsable devant le Client de l'exécution par ce sous-traitant de ses obligations.

À la date de la présente version, les sous-traitants ultérieurs sont :

Microsoft surveille les abus sur son service de modèle de langage. Ses systèmes peuvent signaler certains échanges. Seuls les échanges signalés peuvent être relus par des employés de Microsoft, situés dans l'Espace économique européen.

Cette liste figure également dans la Politique de confidentialité et y est tenue à jour.

Tout ajout ou remplacement d'un sous-traitant ultérieur modifie le présent DPA. Il suit donc le circuit de l'article 23 des Conditions générales de service. Les Responsables du Client en sont prévenus par courriel 30 jours, 7 jours et 1 jour avant sa mise en œuvre. Le Client qui continue d'utiliser le Service après sa mise en œuvre l'accepte. Le Client qui s'y oppose peut mettre fin au contrat sans indemnité, par écrit, avant la mise en œuvre.

12. TRANSFERTS INTERNATIONAUX

Les données traitées pour le compte du Client sont hébergées en France et ne font l'objet d'aucun transfert hors de l'Espace économique européen. Les quatre sous-traitants ultérieurs listés à l'article 11 traitent ces données dans l'Espace économique européen.

Un transfert pourrait devenir nécessaire, par exemple en cas de changement de prestataire. AVIS2SANTE en informerait alors le Client au préalable, dans les conditions de l'article 11. Elle mettrait en œuvre un mécanisme de transfert conforme au chapitre V du RGPD. Ce peut être une décision d'adéquation ou les clauses contractuelles types adoptées par la Commission sur le fondement de l'article 46.2 du RGPD. Ces clauses ne sont utilisées que si leurs conditions d'utilisation sont remplies.

13. CONSERVATION ET SORT DES DONNÉES

13.1 Principes

Le Client peut être amené à intégrer dans GAIA des données de ses contacts et de ses utilisateurs (civilité, nom, prénom, téléphone, adresse électronique). Ces données demeurent la propriété exclusive du Client. AVIS2SANTE s'interdit toute exploitation de ces données en dehors du traitement nécessaire à la fourniture du Service.

Les parties ne conservent pas les données à caractère personnel plus longtemps que ce qui est nécessaire aux finalités pour lesquelles elles sont traitées. Elles mettent en place des mesures techniques ou organisationnelles appropriées pour respecter cette obligation. Il s'agit notamment de l'effacement ou de l'anonymisation des données et de toutes leurs sauvegardes, à la fin de la période de conservation.

Les présentes modalités ne font pas obstacle à la conservation de données lorsqu'une obligation légale ou réglementaire l'impose.

13.2 Pendant le contrat

Les données traitées pour le compte du Client restent accessibles pendant la durée du contrat, dans la limite des durées de conservation propres à chaque catégorie. Ces durées sont appliquées automatiquement, chaque nuit :

• l'enregistrement audio de l'appel est effacé au bout de 7 jours ;
• la transcription, le résumé et les messages du fil de discussion sont effacés au bout de 30 jours ;
• la ligne de l'appel est supprimée au bout de 12 mois.

Ces durées sont détaillées dans la Politique de confidentialité.

Il appartient au Client d'extraire, avant ces échéances, les éléments qu'il doit conserver au titre de ses propres obligations.

13.3 À la fin du contrat

Conformément à l'article 28.3 g) du RGPD, le Client choisit entre la restitution et la suppression des données à la fin de la prestation. À sa demande, AVIS2SANTE :

• restitue les données des Contacts et des Utilisateurs (civilité, nom, prénom, téléphone, adresse électronique) dans un format lisible, exploitable et documenté, sans frais supplémentaires. Elle n'en garde aucune copie et les détruit ensuite. La restitution est réalisée dans un délai de deux (2) mois à compter de la demande ;
• détruit les données des échanges : fichier audio, transcription, résumé, date et heure de programmation et d'exécution des appels, nom de la personne ayant programmé l'appel, notes et descriptions. La destruction est réalisée dans un délai d'un (1) mois à compter de la demande. Elle n'a pas lieu si une obligation juridique ou réglementaire, ou une injonction judiciaire ou administrative, l'empêche ou impose de conserver des copies de ces données.

À défaut de demande du Client dans les trois (3) mois suivant la fin du contrat, les données sont supprimées.

13.4 Suppression à la demande du Client

Le Client peut demander la suppression d'un compte d'Utilisateur ou de données de Contacts. La suppression intervient alors dans un délai maximal de trente (30) jours à compter de la demande. Seules restent les données dont une obligation légale ou réglementaire impose la conservation.

13.5 Comptes sans connexion

Un compte d'Utilisateur sans connexion depuis deux (2) ans est supprimé. Son titulaire en est prévenu par courriel 30 jours avant, 7 jours avant et le jour même. Le dernier Responsable actif du Client n'est jamais supprimé de cette façon.

13.6 Sauvegardes

Les copies de sauvegarde contenant des données supprimées sont écrasées par la rotation normale des sauvegardes. Elles le sont au plus tard trente-cinq (35) jours après la suppression, selon la durée de conservation des sauvegardes chez l'hébergeur.

14. FIN DU TRAITEMENT

À la fin du Service, AVIS2SANTE applique les règles prévues à l'article 13 du présent DPA.

Une fois la suppression réalisée, AVIS2SANTE adresse au Client, par courriel et à sa demande, une attestation de suppression.

15. DURÉE

Le présent DPA s'applique pendant toute la durée d'utilisation du Service par le Client et jusqu'à la suppression des données traitées pour son compte.