1. Parties et objet
Cet accord lie le client, praticien ou laboratoire, responsable du traitement des données de ses patients, et Sunday Orthodontics SAS (« Sunday »), son sous-traitant, au sens de l'article 28 du règlement (UE) 2016/679 (RGPD). Il fait partie du contrat, avec les conditions générales d'utilisation et les conditions générales de vente ; pour la protection des données, il prime.
2. Durée
Il dure autant que le contrat, puis jusqu'à l'effacement prévu à l'article 13.
3. Nature et finalités
Sunday traite les données des patients du client pour :
- héberger les dossiers et leurs pièces ;
- préparer les scans et concevoir les appareils, par le praticien (Sunday Studio) ou par l'équipe de Sunday sur sa prescription (Sunday Design) ;
- partager les propositions par lien, recevoir les réponses et produire les fichiers de fabrication ;
- faire fonctionner la messagerie et les notifications du dossier ;
- facturer les cas, sous le seul numéro du patient.
4. Données et personnes concernées
Les patients du client, et les utilisateurs de ses comptes. Les données : l'identité du patient saisie par le praticien (nom, prénom, date de naissance), son numéro (initiales et quatre chiffres), les scans 3D, les photos et radiographies déposées, les prescriptions, les notes, les messages, les propositions et les fichiers de conception. Ce sont des données de santé.
5. Instructions
Sunday ne traite ces données que sur les instructions du client : ce contrat, l'usage qu'il fait de la plateforme et, en Sunday Design, sa prescription. Sunday prévient le client si une instruction lui paraît contraire au droit. L'article 15 décrit la seule réutilisation que le client autorise en plus.
6. Confidentialité et accès de l'équipe de Sunday
L'équipe de Sunday n'ouvre un dossier que pour le concevoir (Sunday Design), pour le support demandé par le client, ou pour la sécurité et la maintenance. Pour les patients d'un dentiste, et ceux d'un laboratoire qui le choisit, elle ne voit ni le nom ni la date de naissance : seulement le numéro du patient et son âge. Les photos et radiographies déposées restent visibles de qui conçoit. Toute personne qui accède aux données est tenue à la confidentialité.
7. Sécurité
- hébergement certifié pour les données de santé, en France (article 8) ;
- connexions chiffrées, du navigateur jusqu'à la base de données ;
- mots de passe hachés, jamais conservés en clair ; pas d'inscription libre ;
- chaque compte ne voit que ses dossiers, contrôlé par le serveur à chaque demande ;
- fichiers servis par des liens signés, valables une heure au plus ;
- sauvegardes quotidiennes par l'hébergeur.
8. Hébergement des données de santé
Les données sont hébergées par Scalingo SAS, hébergeur certifié pour l'hébergement de données de santé (article L.1111-8 du code de la santé publique), dans des centres de données situés en France. Tout nouvel hébergeur de ces données sera lui aussi certifié et annoncé selon l'article 9.
9. Sous-traitants ultérieurs
Le client autorise Sunday à faire appel aux prestataires de la liste des sous-traitants. Sunday annonce par e-mail, trente jours avant, tout ajout ou remplacement ; le client qui s'y oppose peut résilier sans frais. Sunday impose à chacun les obligations de cet accord.
10. Transferts hors de l'Union européenne
Aucune donnée de patient ne quitte l'Union européenne. Les prestataires qui peuvent transférer des données hors de l'Union ne reçoivent que des données de praticiens (facturation, adresses e-mail), sous le cadre de protection des données UE-États-Unis ou des clauses contractuelles types de la Commission européenne.
11. Droits des patients
Les demandes des patients s'adressent au praticien. Sunday transmet au client, sous cinq jours ouvrés, toute demande reçue directement, et l'aide à y répondre : le praticien corrige l'identité ou efface un patient depuis la plateforme ; Sunday fournit sur demande une copie des données d'un patient.
12. Violation de données
Sunday prévient le client au plus tard 48 heures après avoir eu connaissance d'une violation de données qui le concerne, avec ce qu'il faut pour la notifier à la CNIL et, si besoin, aux patients.
13. Fin du contrat
Pendant le contrat et dans les 90 jours qui suivent sa fin, le client peut demander l'export de ses données (les fichiers tels qu'ils sont conservés : modèles 3D, PDF, données de conception). Au plus tard 90 jours après la fin du contrat, Sunday efface les données des patients du client. Restent, pour les obligations comptables, les lignes de facturation des cas (numéro du patient, appareil, date), dix ans. Les sauvegardes de l'hébergeur s'effacent à leur rotation.
14. Analyse d'impact et audit
Sunday donne au client ce qu'il faut pour une analyse d'impact ou pour répondre à la CNIL. Le client peut, une fois par an, faire vérifier le respect de cet accord : d'abord sur documents, puis, si besoin, par un auditeur tenu à la confidentialité, prévenu trente jours avant, à ses frais.
15. Réutilisation pour améliorer les outils de Sunday
En acceptant le contrat, le client autorise Sunday à réutiliser, pour améliorer et entraîner ses outils et ses modèles de conception, des données de conception issues de ses dossiers : modèles 3D des arcades et des dents, segmentations, repères, positions et mouvements des dents, paramètres des appareils. Avec ces garanties :
- jamais le nom, la date de naissance, les photos, les radiographies, les notes ni le texte libre ; les données réutilisées sont pseudonymisées, sous un identifiant sans lien direct avec le dossier ;
- elles restent dans l'hébergement certifié pour les données de santé, en France ; elles ne sont ni vendues ni cédées ;
- pour cette réutilisation, Sunday agit comme responsable de traitement ; il ne la commence qu'après avoir accompli les formalités prévues par la loi Informatique et Libertés pour les traitements de données de santé à des fins de recherche et d'évaluation, et réalisé une analyse d'impact ;
- le client informe ses patients, notamment par la note d'information fournie par Sunday ; un patient qui s'y oppose est marqué dans son dossier et n'est plus réutilisé ; un modèle déjà entraîné ne peut pas oublier un patient, mais ce patient ne sert à aucun entraînement suivant ;
- les modèles et les statistiques obtenus ne permettent d'identifier aucun patient et appartiennent à Sunday.
16. Obligations du client
- traiter les données de ses patients sur une base légale et les informer, notamment de l'article 15 ;
- ne déposer que ce qui sert à la conception ;
- tenir lui-même le dossier médical de ses patients : la plateforme n'en est pas l'archive ;
- s'il fabrique l'appareil, ou son laboratoire, en conserver la documentation de fabrication le temps exigé par la loi.
Contact pour cet accord et pour les données : studio@sundayortho.com.