Accord de traitement des données du professionnel requérant

• Le Responsable de traitement : le professionnel de santé requérant, identifié par les informations de son compte (nom, prénom, profession, n° RPPS ou ADELI, structure et lieu d'exercice), ci-après « le Requérant ». Il est responsable de traitement, au sens de l'art. 4.7 RGPD, pour la demande de télé-expertise qu'il initie et les données patient qu'il y verse.
• Le Sous-traitant : la société ESIT, SAS au capital de 100 €, immatriculée au RCS de Nanterre sous le n° 107 402 067, siège 13 rue du Bac d'Asnières, 92110 Clichy, éditrice de la plateforme EIZOR, ci-après « la Plateforme ». Elle est sous-traitant au sens de l'art. 4.8 RGPD.

Le présent accord définit les conditions dans lesquelles la Plateforme traite, pour le compte et sur instruction du Requérant, les données à caractère personnel nécessaires à la réalisation d'une télé-expertise (art. L.6316-1 CSP). Il forme un tout indissociable avec le Contrat principal et ses annexes (Annexes 1 à 4 ci-dessous).

« RGPD » désigne le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données).

Les termes « données à caractère personnel », « données concernant la santé », « traitement », « responsable de traitement », « sous-traitant », « violation de données », « personne concernée » ont le sens que leur donne l'art. 4 RGPD.

Détail en Annexe 1. En synthèse :

• Objet : traitement des données des dossiers de télé-expertise plaies créés par le Requérant.
• Nature des opérations : collecte structurée (formulaire), hébergement, conservation, stockage de photographies, mise à disposition au médecin requis via la file, restitution de l'avis, génération de PDF, journalisation des accès, pseudonymisation sur demande d'effacement (art. 17).
• Finalité : permettre l'avis d'un médecin expert de la plaie à distance.
• Durée du traitement : durée d'utilisation du service, augmentée des durées de conservation (Annexe 1).
• Catégories de données : identité du patient, NIR/INS, données concernant la santé (art. 9 RGPD : contenu clinique de la demande), photographies de plaies.
• Catégories de personnes concernées : les patients du Requérant.

L'accord prend effet à l'acceptation par le Requérant et demeure en vigueur tant qu'il utilise le service, puis pendant la durée nécessaire aux opérations de fin de contrat (art. 12).

a) Traitement sur instruction documentée. La Plateforme ne traite les données que sur instruction documentée du Requérant, y compris pour les transferts, sauf obligation légale contraire (elle en informe alors le Requérant avant traitement, sauf interdiction légale). Les fonctionnalités décrites au Contrat principal et à la documentation constituent les instructions permanentes ; toute instruction complémentaire est adressée par écrit à contact@eizor.fr.

b) Confidentialité. La Plateforme veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité ou soient soumises à une obligation légale appropriée, et n'accèdent aux données que selon le besoin d'en connaître. Le personnel d'administration n'accède ni au contenu clinique ni à l'identité des patients.

c) Sécurité (art. 32). La Plateforme met en œuvre les mesures techniques et organisationnelles décrites en Annexe 3 (mesures de sécurité) et sur la page publique Sécurité. Toute évolution de ces mesures ne peut réduire le niveau de protection.

d) Sous-traitance ultérieure. La Plateforme n'a recours qu'aux sous-traitants ultérieurs listés en Annexe 2, sous autorisation générale du Requérant, aux conditions de l'article 7.

e) Assistance aux droits des personnes. Compte tenu de la nature du traitement, la Plateforme aide le Requérant, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits (art. 12 à 23 RGPD), selon l'article 11.

f) Assistance sécurité, violations, AIPD. La Plateforme aide le Requérant à garantir le respect des obligations des art. 32 à 36 (sécurité, notification des violations, AIPD et consultation préalable), selon les articles 9 et 10.

g) Sort des données en fin de traitement. Selon l'article 12, au choix du Requérant : restitution puis suppression, ou suppression, sous réserve des obligations légales de conservation.

h) Mise à disposition et audits. La Plateforme met à la disposition du Requérant toutes les informations nécessaires pour démontrer le respect de l'art. 28, et permet les audits selon l'article 13. Elle informe immédiatement le Requérant si une instruction constitue, selon elle, une violation du RGPD ou d'une autre disposition applicable.

1. Licéité et information/consentement du patient. Le Requérant garantit avoir, préalablement à la création de tout dossier : (a) délivré au patient (ou à son représentant légal) l'information de la notice d'information patient ; et (b) recueilli le double consentement du patient, consentement à la prise en charge par télé-expertise et consentement au partage des données nécessaires à cette prise en charge, complété, dans le cadre de l'Interface EHPAD, par son consentement à l'accès du médecin coordinateur prévu aux Conditions de services, au titre du consentement aux soins et à la télé-expertise (art. L.1111-4 et L.6316-1 CSP) et des bonnes pratiques. La levée de l'interdiction de traiter des données de santé (art. 9.1 RGPD) repose sur l'art. 9.2.h RGPD (prise en charge sanitaire assurée par des professionnels soumis au secret) ; le consentement ainsi recueilli ne constitue pas la condition RGPD de cette levée. La Plateforme fournit l'outillage d'horodatage serveur de ce recueil ; la charge du recueil et de sa preuve incombe au Requérant, seul en contact avec le patient.
2. Exactitude des données. Le Requérant répond de l'exactitude, de la pertinence et de la mise à jour des données qu'il saisit ; la Plateforme n'exerce aucun contrôle médical sur le contenu.
3. Instructions licites. Le Requérant ne donne que des instructions conformes au RGPD et au droit applicable. Conformément à l'art. 28.3.h RGPD, la Plateforme informe immédiatement le Requérant si, selon elle, une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou du droit national en matière de protection des données.
4. Environnement d'hébergement. La Plateforme est hébergée chez un hébergeur certifié HDS (hébergement de données de santé, art. L.1111-8 CSP) ; elle maintient ce niveau d'hébergement pendant toute la durée de l'accord.

Le Requérant donne son autorisation générale au recours à des sous-traitants ultérieurs. La liste à jour figure en Annexe 2 (à ce jour : Clever Cloud SAS, France, hébergeur certifié HDS, art. L.1111-8 CSP). La Plateforme informe préalablement le Requérant de tout ajout ou remplacement, avec un délai de 30 jours pour objecter ; à défaut d'accord, le Requérant peut résilier sans pénalité. La Plateforme impose par contrat aux sous-traitants ultérieurs les mêmes obligations de protection que celles du présent accord (art. 28.4) et demeure pleinement responsable de leur exécution.

Aucun transfert de données hors de l'Union européenne n'est réalisé (hébergement et stockage exclusivement en France). Tout transfert futur serait subordonné à une instruction écrite du Requérant et à des garanties appropriées (chapitre V du RGPD), après information préalable.

La Plateforme notifie au Requérant toute violation de données concernant les données traitées pour son compte, sans délai indu après en avoir pris connaissance, avec les informations nécessaires à la notification du Requérant à la CNIL dans les 72 heures (art. 33) : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou proposées, coordonnées de contact. Contact : contact@eizor.fr.

La Plateforme fournit au Requérant les éléments en sa possession nécessaires à une AIPD (art. 35) et, le cas échéant, à la consultation préalable de la CNIL (art. 36) : trame d'AIPD, description du traitement et documentation des mesures de sécurité (Annexes 1 et 3).

1. Relais. Toute demande d'exercice de droits reçue directement par la Plateforme est transmise au responsable de traitement compétent sans délai indu, sans y répondre sur le fond. La Plateforme fournit les moyens techniques d'y donner suite : restitution du dossier, restitution de l'historique des accès au dossier du patient (réf. HDS 5.3.1), effacement par pseudonymisation (art. 17, dans les limites de l'art. 17.3.e).
2. Coexistence de deux responsables de traitement. Un même dossier est partagé entre le Requérant (responsable de sa demande) et le médecin requis (responsable de son avis, compte rendu et prescriptions). Chaque responsable exerce ses instructions sur la part dont il répond. Pour préserver la valeur médicale et probante de l'avis du requis, l'effacement demandé par le patient est mis en œuvre par pseudonymisation du patient : l'identité est supprimée du coffre chiffré et le dossier clinique reste rattaché à un identifiant technique ; le dossier perd tout caractère directement identifiant pour les deux responsables simultanément, sans détruire l'avis médical rendu (dont la conservation relève du requis). L'effacement peut en outre être refusé ou différé (art. 17.3.e RGPD) pour la conservation probatoire liée à la responsabilité médicale (prescription de 10 ans à compter de la consolidation du dommage, art. L.1142-28 CSP ; conservation du dossier jusqu'à 20 ans par prudence, réf. art. R.1112-7 CSP). Les modalités détaillées figurent en Annexe 4.

Au terme de la prestation, la Plateforme, au choix du Requérant : (a) restitue l'intégralité des dossiers dont il est responsable dans un format structuré et lisible, puis supprime les copies existantes ; ou (b) supprime les données, sous réserve des obligations légales de conservation applicables et de l'articulation avec le médecin requis (Annexe 4). La suppression est confirmée par écrit et tracée au journal d'audit.

La Plateforme met à disposition du Requérant les informations nécessaires pour démontrer le respect de l'art. 28 et permet la réalisation d'audits, y compris des inspections, par le Requérant ou un auditeur qu'il mandate, dans les conditions suivantes :

• les certifications et rapports d'audit tiers (certification HDS de l'hébergeur, tests d'intrusion) en tiennent lieu en première intention ;
• l'auditeur mandaté est soumis à la validation préalable de la Plateforme : il ne peut être un concurrent de la Plateforme et est tenu à un engagement de confidentialité ;
• l'audit est limité à une fois par période de douze mois, sauf violation de données avérée affectant les données traitées pour le compte du Requérant ;
• il est précédé d'un préavis écrit de 30 jours et se déroule les jours et heures ouvrés, selon un périmètre et un calendrier convenus, sans désorganiser le service ni compromettre la sécurité ou la confidentialité des données des autres clients ;
• les coûts de l'audit sont à la charge du Requérant.

Chaque partie répond des dommages causés par le traitement lorsqu'elle n'a pas respecté les obligations du RGPD qui lui incombent ou a agi en dehors des instructions licites (art. 82 RGPD). La répartition financière est régie par le Contrat principal.

Reprise de la fiche du registre des activités de traitement de la Plateforme : finalités, nature des opérations, catégories de données (identité, NIR/INS, données de santé, photos), catégories de personnes (patients, majoritairement âgés et/ou vulnérables), durées de conservation (dossier : 20 ans à compter de l'avis rendu, réf. art. R.1112-7 CSP, sauf demande de restitution par le professionnel requérant).

Détail de référence : page Sécurité. Principales mesures :

• chiffrement AES-256-GCM de l'identité et du NIR (coffre séparé) ;
• chiffrement applicatif du contenu clinique (mode STRICT) et des photographies, avec suppression des métadonnées EXIF ;
• URLs d'accès pré-signées d'une validité de 5 minutes ;
• journal d'audit chaîné par hash avec vérification d'intégrité ;
• authentification renforcée (Argon2id, MFA obligatoire) ;
• contrôle d'accès par rôle et par propriété de la ressource ;
• réponses 404 anti-énumération ;
• purge automatisée des journaux selon la politique de conservation ;
• sauvegardes managées et chiffrées de la base de données ;
• hébergement chez un hébergeur certifié HDS (art. L.1111-8 CSP).

• Chaque responsable de traitement instruit la Plateforme sur la part dont il répond (demande pour le Requérant, avis pour le Requis).
• L'effacement à la demande du patient est réalisé par pseudonymisation du patient (suppression de l'identité du coffre chiffré, dossier clinique rattaché à un identifiant technique), opposable aux deux responsables simultanément, sans destruction de l'avis médical du Requis (obligation de conservation du dossier médical) ; il peut être refusé ou différé dans les conditions de l'art. 17.3.e RGPD (conservation probatoire, responsabilité médicale).
• La restitution en fin de contrat porte, pour chaque responsable, sur les données qu'il a produites.