Accord de sous-traitance de donnees

Le present accord est conclu entre le cabinet souscripteur, en qualite de responsable de traitement pour les donnees patients, staff et exploitation qu il confie a la plateforme, et [Raison sociale a completer], en qualite de sous-traitant pour les operations techniques necessaires a la fourniture du service DentoCare Pro.

Le perimetre couvre l hebergement, la conservation, l affichage, l organisation, la transmission, la securisation et la suppression des donnees traitees pour le compte du cabinet dans le cadre du SaaS.

Le sous-traitant ne traite les donnees que sur instruction documentee du cabinet, telle qu elle resulte du contrat principal, des parametres choisis dans la plateforme, des demandes de support legitimement formulees ou des obligations legales qui lui sont directement applicables.

Si une instruction parait manifestement illicite ou contraire aux exigences de securite, le sous-traitant en informe le cabinet dans les meilleurs delais raisonnables.

• Patients: identite, coordonnees, rendez-vous, historique medical, images, traitements, consentements, prescriptions, factures et paiements.
• Utilisateurs du cabinet: identite, email, role, journaux de connexion, planning, contrats et traces d activite.
• Tiers lies a l exploitation: fournisseurs, correspondants, destinataires de documents, journaux de communication et historiques techniques.

Le sous-traitant veille a ce que les personnes autorisees a traiter les donnees soient soumises a une obligation appropriee de confidentialite et n accedent qu aux informations strictement necessaires a l execution du service, du support ou de la maintenance.

• Controles d acces applicatifs, cloisonnement logique des donnees par cabinet et gestion des roles.
• Journalisation des actions sensibles, mecanismes de surveillance et suivi des incidents.
• Mesures de sauvegarde, de restauration et de continuite adaptees au service souscrit.
• Encadrement des secrets, integrations tierces et flux techniques necessaires au service.
• Procedure de suppression ou de restitution des donnees en fin de relation selon le contrat et les obligations legales applicables.

Le cabinet autorise le recours a des sous-traitants ulterieurs strictement necessaires a la fourniture du service, notamment pour l hebergement, la messagerie, la supervision, les SMS, WhatsApp ou certaines integrations activables par le cabinet.

Le sous-traitant veille a imposer a ces prestataires des obligations de confidentialite, de securite et de protection des donnees conformes au niveau requis pour l execution du service.

Si des donnees sont amenees a etre transferees hors du Maroc du fait d un prestataire technique ou d une integration activee par le cabinet, le sous-traitant informe le cabinet du cadre de transfert applicable et coopere, dans une mesure raisonnable, a la documentation necessaire.

Le cabinet demeure responsable des formalites qui lui incombent en tant que responsable de traitement pour ces transferts.

• Aide raisonnable pour repondre aux demandes d exercice de droits lorsque le cabinet en fait la demande.
• Aide raisonnable pour documenter les mesures de securite et les sous-traitants ulterieurs.
• Aide raisonnable en cas de controle, audit ou demande d information d une autorite competente, dans la limite des informations disponibles chez le sous-traitant.

En cas de violation de donnees personnelles affectant le perimetre dont il a la maitrise, le sous-traitant informe le cabinet sans retard injustifie apres en avoir pris connaissance et lui communique les informations utiles raisonnablement disponibles sur la nature de l incident, les categories de donnees concernees, les impacts connus et les mesures correctives engagees.

Le cabinet peut demander des informations ou justificatifs raisonnables sur les mesures de securite mises en oeuvre. Tout audit sur site ou intrusif doit faire l objet d un accord prealable, etre proportionne, ne pas compromettre la securite du service ni les secrets d affaires, et ne pas perturber excessivement l exploitation normale.

A l issue du contrat principal, le sous-traitant supprime, restitue ou archive les donnees du cabinet selon les options contractuelles retenues, la politique de retention applicable et les obligations legales de conservation.

Les sauvegardes ou journaux techniques peuvent subsister pour la duree strictement necessaire a la securite, a la continuite de service, a la restauration ou a la preuve.