Accord de traitement des données personnelles

Le cabinet identifié dans le compte Novya, représenté par la personne qui accepte le présent accord, est le responsable du traitement des données personnelles relatives à ses patients. Il détermine les finalités et les moyens essentiels du suivi et du dossier patient.

Bastien Haderle, entrepreneur individuel exploitant Novya, 51 route de Chazetas, 87460 Bujaleuf, France, SIREN 109 633 966, contact : bastienhaderle1@gmail.com, agit comme sous-traitant lorsqu’il traite ces données pour fournir le service au cabinet.

Le présent accord forme le contrat de sous-traitance entre Novya et le cabinet. Il s’applique sans distinction du pays du cabinet, dès lors que celui-ci utilise Novya pour des données patients.

• Objet : fournir et sécuriser les fonctions de gestion de cabinet, de patients, rendez-vous, documents, demandes relatives aux droits des personnes et facturation du cabinet.
• Durée : pendant la durée d’utilisation du service par le cabinet, puis selon les délais d’export, de suppression et de rotation des sauvegardes décrits dans la politique de confidentialité de Novya.
• Personnes concernées : patients et anciens patients du cabinet, représentants ou personnes à contacter, ainsi que les praticiens et membres de l’équipe du cabinet.
• Données : identité, coordonnées, rendez-vous, informations de suivi et notes renseignées par le cabinet, documents téléversés, demandes de droits, informations de facturation et journaux techniques associés. Les données de santé peuvent inclure des catégories particulières au sens de l’article 9 du RGPD.
• Opérations : collecte par le cabinet, hébergement, consultation, organisation, modification, transmission à la demande du cabinet, sauvegarde, export et suppression.

Novya ne détermine pas les finalités cliniques du cabinet et n’utilise pas les dossiers patients à ses propres fins commerciales. Le cabinet reste responsable de la pertinence des données saisies, de leur base légale et de l’information des personnes.

Le cabinet donne ses instructions par l’utilisation des fonctions du service, le choix de ses réglages et les demandes adressées au support. Novya traite les données uniquement pour fournir le service, assurer sa sécurité, réaliser les opérations demandées par le cabinet et respecter les obligations légales qui lui sont applicables. Si une obligation légale impose un traitement différent, Novya en informe le cabinet avant le traitement, sauf interdiction légale.

Novya informe le cabinet si une instruction lui semble enfreindre le RGPD ou une autre règle applicable en matière de protection des données.

• Traiter les données uniquement selon les instructions documentées du cabinet et veiller à ce que les personnes autorisées à les traiter soient soumises à une obligation de confidentialité.
• Mettre en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment des contrôles d’accès, la gestion des habilitations, la sécurisation des échanges et des journaux de sécurité, ainsi que des mécanismes de sauvegarde et de restauration.
• Respecter les conditions prévues à l’article 28 du RGPD pour engager d’autres sous-traitants et tenir à disposition la liste des sous-traitants ultérieurs utilisés pour les données patients.
• Dans la mesure du possible, aider le cabinet à répondre aux demandes d’exercice des droits, compte tenu de la nature du traitement et des fonctions du service.
• Assister le cabinet, compte tenu de la nature du traitement et des informations dont Novya dispose, pour les obligations relatives à la sécurité, aux violations de données, aux analyses d’impact et aux consultations préalables.
• Notifier au cabinet toute violation de données personnelles concernant les données traitées pour son compte dans les meilleurs délais après en avoir pris connaissance, et lui fournir les informations disponibles utiles à sa gestion.
• Mettre à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent accord et permettre les audits prévus à l’article 8.

Le cabinet s’assure qu’il dispose d’une base légale pour chaque traitement, informe les personnes concernées, définit les durées de conservation, limite les données saisies à ce qui est nécessaire, attribue les accès aux seules personnes autorisées et vérifie que les instructions adressées à Novya sont conformes au droit applicable. Le cabinet gère les comptes et les habilitations de son équipe et protège ses moyens d’authentification.

Le cabinet répond aux personnes concernées et à son autorité de contrôle. Il évalue la nécessité d’une analyse d’impact et décide des mesures nécessaires à son activité professionnelle.

Le cabinet autorise Novya à recourir aux prestataires ci-dessous pour héberger, exploiter ou transmettre les données nécessaires au service. Novya leur impose des obligations de protection des données adaptées à leurs fonctions et demeure responsable envers le cabinet de l’exécution de leurs obligations dans les conditions de l’article 28 du RGPD.

• Vercel, Inc. — application et Vercel Blob : hébergement et exécution du service, stockage de documents et fichiers du cabinet. Les fonctions sont documentées comme configurées à Paris (région Vercel cdg1) et le store Vercel Blob privé reservation-dashboard-blob comme situé à Paris (CDG1), selon une vérification antérieure du tableau de bord. La correspondance actuelle de ces ressources avec le déploiement de production doit être reconfirmée. Vercel peut traiter les données du compte et les données patients utilisées dans l’application, et indique des sites principaux de traitement aux États-Unis ainsi que des traitements possibles dans les pays où Vercel et ses sous-traitants opèrent ; son DPA prévoit les clauses contractuelles types pour les transferts concernés. DPA Vercel.
• Neon, Inc. — base PostgreSQL : hébergement des comptes, paramètres de cabinet, dossiers patients, rendez-vous, factures et demandes de droits. Les bases examinées via les configurations locales pointent vers la région AWS Europe Central 1 (Francfort, Allemagne). Les variables de connexion existent dans l’environnement de production Vercel, mais leur valeur est masquée par l’accès disponible ; la correspondance entre ces bases locales et la base active de production n’est donc pas confirmée. Le DPA Neon décrit également les transferts de données européennes vers les États-Unis et les mécanismes applicables, dont le Data Privacy Framework ou les clauses contractuelles types selon le cas. DPA Neon.
• Cloudflare, Inc. — R2 : stockage des PDF finalisés, qui peuvent contenir des données de patients. Le code choisit l’endpoint selon le paramètre de déploiement R2_JURISDICTION : une juridiction UE est prise en charge, mais la valeur réellement déployée et la juridiction du bucket doivent être confirmées dans les réglages de production. Pendant une migration, la lecture peut encore utiliser l’ancien bucket par l’endpoint standard si le fichier n’existe pas dans le bucket européen. Le DPA Cloudflare prévoit les mécanismes de transfert applicables, dont les clauses contractuelles types et, selon le cas, le DPF. DPA Cloudflare.
• Plus Five Five, Inc. — Resend : transmission des e-mails du service, y compris les messages que le cabinet choisit d’envoyer à ses patients. Les adresses, sujets et contenus transmis peuvent révéler un rendez-vous ou une demande. Resend indique des opérations principales aux États-Unis ; son DPA prévoit les clauses contractuelles types et le DPF pour les transferts concernés. DPA Resend.

Stripe traite les données nécessaires à l’abonnement et aux paiements de Novya ; le code de facturation de l’abonnement ne lui transmet pas les dossiers patients. Stripe n’est donc pas désigné ici comme sous-traitant des données patients.

Les environnements locaux examinés pointent vers une base Neon en région AWS Europe Central 1 (Francfort), mais la correspondance avec la base active de production n’est pas confirmée. Les fonctions Vercel sont documentées comme configurées à Paris (cdg1) et le store Vercel Blob privé comme situé à Paris (CDG1) selon une vérification antérieure du tableau de bord ; leur rattachement actuel au déploiement actif reste à confirmer. Le code prend en charge une juridiction UE pour R2, mais la valeur réellement déployée, le bucket Cloudflare actif et la fin de la migration de l’ancien bucket restent à vérifier dans les réglages de production. Les garanties de transfert applicables sont celles des contrats effectivement souscrits auprès des prestataires, notamment le DPF lorsque le destinataire est certifié et que le transfert est couvert, ou les clauses contractuelles types et mesures complémentaires requises.

Novya informe le cabinet de tout ajout ou remplacement d’un sous-traitant ultérieur par la mise à jour de cette annexe ou une notification dans le service. Le cabinet peut formuler une objection motivée auprès de Novya avant la date d’effet annoncée. Les parties recherchent alors une solution raisonnable ; si aucune solution n’est possible et que le changement empêche la poursuite du service, le cabinet peut cesser d’utiliser les fonctions concernées et mettre fin au service selon les CGU/CGV.

Certains prestataires sont établis aux États-Unis ou peuvent accéder aux données depuis des pays situés hors de l’Espace économique européen. Novya s’assure que les transferts qu’elle organise reposent sur un mécanisme prévu par le chapitre V du RGPD, tel qu’une décision d’adéquation applicable au destinataire ou des clauses contractuelles types accompagnées, si nécessaire, de mesures supplémentaires. Les informations disponibles sur les garanties des prestataires figurent dans les liens de l’annexe et dans la politique de confidentialité de Novya.

Le cabinet peut demander à Novya les informations raisonnablement nécessaires pour vérifier le respect du présent accord. Un audit peut être réalisé par le cabinet ou un auditeur indépendant soumis à la confidentialité, au maximum une fois par période de douze mois, sauf incident de sécurité, demande d’une autorité ou indices sérieux de manquement. Le cabinet adresse sa demande avec un préavis raisonnable, précise son périmètre et prend en charge ses frais. L’audit est organisé de façon à protéger la sécurité, la confidentialité des autres clients et la continuité du service. Novya peut fournir des rapports indépendants ou des documents de ses prestataires lorsqu’ils répondent à la demande.

À la fin de l’utilisation du service, le cabinet peut exporter les données au moyen des fonctions disponibles ou demander leur suppression. Novya supprime ou restitue les données personnelles traitées pour le cabinet selon le choix exprimé, sauf obligation légale de conservation. Les copies résiduelles présentes dans les sauvegardes sont supprimées selon leur cycle de rotation, puis ne sont plus accessibles en exploitation courante.

Le présent accord prend effet à la date et à l’heure enregistrées lors de son acceptation par un représentant du cabinet. Il reste applicable pendant toute la durée pendant laquelle Novya traite des données patients pour le cabinet, y compris les opérations de restitution et de suppression.

Toute demande relative à cet accord peut être adressée à bastienhaderle1@gmail.com. Les conditions générales du service complètent le présent accord pour les sujets qu’il ne traite pas.