Data Processing Agreement

1. Objet et Portée

Le présent accord a pour objet de réguler les conditions dans lesquelles TrichoSuite Technologies S.L. (ci-après "le Sous-traitant") traitera les données personnelles pour le compte de la clinique (ci-après "le Responsable") dans le cadre de la fourniture des services de la plateforme TrichoSuite.

Ce DPA s'applique à tout traitement de données personnelles que le Sous-traitant effectue pour le compte du Responsable, y compris le stockage, la modification, la consultation, la transmission et la suppression de données.

2. Données Traitées

Le Sous-traitant traitera les catégories suivantes de données personnelles :

• •Données d'identification des patients : nom, prénom, identifiant national, email, téléphone, date de naissance, adresse.
• •Données de santé (Art. 9 RGPD) : classification Norwood/Ludwig, photographies cliniques, scans 3D, antécédents médicaux, allergies, médicaments, dossiers chirurgicaux, documentation de suivi.
• •Données de communication : messages avec le personnel clinique, conversations avec le chatbot IA, formulaires de consentement signés numériquement.
• •Données du personnel clinique : nom, email professionnel, rôle, identifiants de connexion, journaux d'activité.
• •Données financières : factures, devis, enregistrements de paiement (gérés via Stripe).

3. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• •Traiter les données uniquement conformément aux instructions documentées du Responsable.
• •Ne pas utiliser les données personnelles à des fins propres, y compris marketing, profilage ou vente à des tiers.
• •S'assurer que les personnes autorisées à traiter les données ont pris des engagements de confidentialité.
• •Mettre en œuvre les mesures techniques et organisationnelles appropriées conformément à l'Article 32 du RGPD.
• •Assister le Responsable dans l'accomplissement des demandes d'exercice de droits des personnes concernées.
• •Assister le Responsable dans les analyses d'impact relatives à la protection des données (AIPD).
• •Mettre à disposition du Responsable toutes les informations nécessaires pour démontrer la conformité à l'Art. 28 RGPD.
• •Notifier le Responsable sans délai de toute demande reçue d'une personne concernée.

4. Obligations du Responsable

Le Responsable s'engage à :

• •Obtenir le consentement approprié des patients pour le traitement de leurs données de santé.
• •Fournir des instructions licites et conformes au RGPD au Sous-traitant.
• •S'assurer qu'il dispose d'une base légale pour le traitement des données personnelles.
• •Informer le Sous-traitant de tout changement dans les instructions de traitement.
• •Tenir un registre des activités de traitement conformément à l'Art. 30 du RGPD.

5. Sous-traitants Ultérieurs

Le Responsable autorise de manière générale le Sous-traitant à faire appel à des sous-traitants ultérieurs. Le Sous-traitant informera des changements au moins 30 jours à l'avance.

6. Mesures de Sécurité

Le Sous-traitant mettra en œuvre les mesures suivantes conformément à l'Art. 32 du RGPD :

• •Chiffrement en transit (TLS 1.3) et au repos (AES-256).
• •Contrôle d'accès basé sur les rôles (RBAC) avec privilège minimal.
• •Authentification multi-facteurs (MFA) obligatoire pour les administrateurs.
• •Journaux d'audit immuables de tous les accès et modifications.
• •Sauvegardes chiffrées avec géo-redondance.
• •Évaluations de sécurité régulières et tests de pénétration annuels.
• •Surveillance continue et détection des menaces.
• •Procédures documentées de réponse aux incidents.

7. Notification de Violations de Données

En cas de violation de données, le Sous-traitant notifiera le Responsable dans un délai de 24 heures. La notification comprendra :

• •Nature de la violation, catégories et nombre approximatif de personnes concernées.
• •Coordonnées du Délégué à la Protection des Données.
• •Conséquences probables de la violation.
• •Mesures prises ou proposées pour y remédier.

Le Sous-traitant assistera le Responsable dans la notification à la CNIL (72h, Art. 33 RGPD) et aux personnes concernées (Art. 34 RGPD).

8. Droits des Personnes Concernées

Le Sous-traitant assistera le Responsable dans l'exercice des droits (accès, rectification, effacement, limitation, portabilité et opposition). La plateforme fournit des outils intégrés pour l'exportation de données et la suppression sélective d'enregistrements.

9. Transferts Internationaux

Les données médicales sont principalement stockées dans l'UE. Pour les transferts hors EEE, des Clauses Contractuelles Types (CCT) ou l'adhésion au Cadre de Protection des Données UE-États-Unis sont garanties.

10. Durée et Résiliation

Ce DPA restera en vigueur pendant la durée du contrat de services et prendra fin automatiquement à son expiration. Les obligations de confidentialité survivront à la résiliation.

11. Retour et Suppression des Données

À la résiliation, le Sous-traitant restituera ou supprimera toutes les données personnelles (y compris les copies), au choix du Responsable. La restitution s'effectuera dans des formats standard (CSV, JSON, PDF) dans un délai de 30 jours. Les sauvegardes seront supprimées dans les 90 jours.

12. Audit et Supervision

Le Sous-traitant mettra à disposition du Responsable toutes les informations nécessaires pour démontrer la conformité et permettra des audits avec un préavis minimum de 30 jours, pendant les heures ouvrables et sans interférer avec les opérations de service.