Accord de traitement des données

Le présent accord (l’« Accord ») complète les conditions générales de MD Management et en fait partie intégrante. Il répond à l’article 28 du Règlement général sur la protection des données (RGPD). Il s’applique dès que SOFT4DOC traite des données personnelles pour le compte d’un établissement client.

1. Objet et durée

SOFT4DOC traite des données personnelles uniquement pour fournir le Service MD Management au Client, pendant la durée du Contrat et jusqu’à la restitution et la suppression des données prévues à l’article 11.

2. Description du traitement

• Finalité : planification et organisation du personnel du Client (besoins, disponibilités, gardes, affectations, congés, échanges), communication des plannings aux Utilisateurs, rapports et statistiques d’organisation.
• Personnes concernées : membres du personnel du Client et autres Utilisateurs autorisés (médecins, soignants, secrétariat, responsables, direction).
• Données : identification (nom, prénom, initiales), coordonnées professionnelles (e-mail, téléphone), fonction, grade, compétences, site et service, horaires, disponibilités, gardes, affectations, congés et absences (avec le motif choisi parmi ceux définis par le Client), souhaits et remarques, compteurs et statistiques de travail, données de connexion ; et, uniquement si l’Utilisateur choisit de la donner, une auto-évaluation de sa fatigue.
• Nature des opérations : hébergement, enregistrement, organisation, consultation, calculs et suggestions, affichage, export, sauvegarde, suppression.

Aucune donnée concernant les patients n’est traitée.

3. L’auto-évaluation de la fatigue

Cette fonction peut être considérée comme portant sur des données concernant la santé (article 9 du RGPD). C’est pourquoi :

• elle est facultative pour chaque Utilisateur, et peut être envoyée de façon anonyme ;
• elle n’est visible que par le responsable désigné par le Client ;
• le Client décide s’il l’active, détermine la base légale applicable, informe ses Utilisateurs et veille à ce qu’elle ne soit jamais utilisée pour sanctionner ou évaluer une personne ;
• le Client s’engage à ne pas encoder de diagnostic ou de motif médical détaillé, dans aucun champ du Service.

Motifs d’absence

Le Client définit lui-même la liste des motifs d’absence. Un motif comme « maladie » peut constituer une donnée concernant la santé : le Client en est responsable, détermine qui peut le voir dans le Service et peut préférer un motif neutre (par exemple « absence imprévue »).

4. Instructions du Client

SOFT4DOC ne traite les données que sur instruction documentée du Client. Le Contrat, le paramétrage du Service et les demandes écrites du Client constituent ces instructions. SOFT4DOC informe le Client si une instruction lui paraît contraire à la réglementation.

5. Confidentialité

Les personnes autorisées à accéder aux données chez SOFT4DOC sont tenues à une obligation de confidentialité et n’y accèdent que lorsque c’est nécessaire (support, maintenance, sécurité).

6. Sécurité

SOFT4DOC met en œuvre des mesures techniques et organisationnelles appropriées, notamment :

• hébergement dans l’Union européenne (France et Allemagne) ;
• connexions chiffrées (HTTPS), mots de passe chiffrés ;
• blocage après plusieurs tentatives de connexion échouées, déconnexion après inactivité ;
• gestion des droits par rôle, chaque Utilisateur ne voyant que ce qui le concerne ;
• traçabilité des connexions et des modifications ;
• sauvegarde automatique chiffrée chaque nuit, conservée séparément sur Microsoft Azure (Union européenne) ;
• accès internes limités et mises à jour de sécurité régulières.

Une fiche sécurité détaillée est disponible sur demande pour le service informatique du Client.

7. Sous-traitants ultérieurs

Le Client autorise SOFT4DOC à recourir aux sous-traitants ultérieurs suivants :

• IONOS (groupe IONOS SE, Allemagne) : hébergement de l’application, des données et de la messagerie, dans des centres de données situés en France et en Allemagne ;
• Microsoft (Microsoft Azure) : stockage de la sauvegarde chiffrée de nuit, dans une région de l’Union européenne.

SOFT4DOC informe le Client au moins 30 jours à l’avance de tout ajout ou remplacement d’un sous-traitant ultérieur. Le Client peut s’y opposer pour un motif raisonnable ; à défaut de solution, il peut résilier le Contrat sans frais. SOFT4DOC impose à ses sous-traitants les mêmes obligations que celles du présent Accord et reste responsable de leur exécution.

8. Pas de transfert hors de l’Union européenne

Les données du Client sont hébergées et sauvegardées dans l’Union européenne. Microsoft, société du groupe Microsoft Corporation (États-Unis), est encadré par les clauses contractuelles types de la Commission européenne et le cadre de protection des données UE–États-Unis ; la sauvegarde étant chiffrée, son contenu n’est pas lisible par Microsoft. Aucun autre transfert hors de l’Espace économique européen n’a lieu sans l’accord écrit préalable du Client et sans les garanties exigées par le RGPD.

9. Droits des personnes et assistance

SOFT4DOC aide le Client à répondre aux demandes d’exercice de droits (accès, rectification, effacement, limitation, portabilité, opposition), notamment grâce aux fonctions d’export et de modification du Service. Si une personne s’adresse directement à SOFT4DOC, sa demande est transmise au Client sans délai. SOFT4DOC aide aussi le Client, sur demande, pour ses analyses d’impact et ses échanges avec l’Autorité de protection des données.

10. Violation de données

SOFT4DOC notifie au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance. Elle lui communique les informations utiles (nature, données et personnes concernées, conséquences probables, mesures prises) pour permettre au Client de respecter ses propres obligations de notification.

11. Fin du contrat

À la fin du Contrat, SOFT4DOC remet au Client, sur demande dans les 30 jours, un export complet de ses données dans un format courant. Passé ce délai, elle supprime définitivement les données, y compris des sauvegardes au fil de leur rotation, sauf obligation légale de conservation, et confirme la suppression par écrit sur demande.

12. Contrôle

SOFT4DOC met à disposition du Client les informations nécessaires pour démontrer le respect du présent Accord. Le Client peut, à ses frais et moyennant un préavis de 30 jours, faire réaliser un audit par lui-même ou par un auditeur tenu à la confidentialité, sans perturber le service rendu aux autres clients ; l’audit se fait en priorité sur pièces.

13. Registre

SOFT4DOC tient un registre des traitements effectués pour le compte de ses clients, conformément à l’article 30 du RGPD.

14. Responsabilité et droit applicable

La responsabilité des parties au titre du présent Accord suit les règles du Contrat et du RGPD. Le présent Accord est soumis au droit belge et aux juridictions prévues par les conditions générales.