Contrat de sous-traitance

Annexe aux conditions générales — Version 1.0, en vigueur le [À COMPLÉTER]

Le présent contrat encadre le traitement, par medi.tn, des données à caractère personnel des patients du Praticien. Il est conclu en application de la loi organique n° 2004-63 du 27 juillet 2004 et de la délibération n° 4 du 5 septembre 2018 de l'Instance nationale de protection des données à caractère personnel (INPDP) relative au traitement des données à caractère personnel liées à la santé.

1. Qualification des parties

Le Praticien est le responsable du traitement. Il détermine les finalités et les moyens du traitement des données de ses patients, et lui seul accomplit les formalités préalables auprès de l'INPDP — la déclaration préalable de l'article 7 de la loi n° 2004-63, et l'autorisation du deuxième paragraphe de l'article 63 avant toute communication de données de santé à des personnes ou à des établissements.

medi.tn est sous-traitant. Il ne traite les données des patients que pour le compte du Praticien et sur son instruction.

medi.tn n'est responsable de traitement que pour les données décrites dans la politique de confidentialité — compte, facturation, support, sécurité.

2. Objet, durée et périmètre

3. Instructions documentées

medi.tn traite les données des patients exclusivement sur instruction documentée du Praticien. Les présentes conditions et l'usage du Service constituent cette instruction.

medi.tn n'utilise les données des patients à aucune fin propre. En particulier, il ne les exploite ni à des fins commerciales, ni statistiques, ni de recherche, ni d'entraînement de systèmes automatisés, et ne les cède à aucun tiers.

Si une instruction du Praticien paraît constituer une violation de la réglementation, medi.tn l'en informe.

4. Confidentialité et habilitation du personnel

Conformément au premier paragraphe de l'article 63 de la loi n° 2004-63, les données de santé ne peuvent être traitées que par des médecins ou par des personnes soumises, en raison de leurs fonctions, à l'obligation de garder le secret professionnel.

L'article 23 de la même loi impose au responsable du traitement, au sous-traitant et à leurs agents de préserver la confidentialité des données même après la fin du traitement ou la perte de leur qualité. L'article 20 impose au sous-traitant de n'agir que dans les limites autorisées par le responsable du traitement et de disposer des moyens techniques appropriés.

En conséquence :

• toute personne de l'équipe medi.tn susceptible d'accéder aux données est nommément identifiée et signe un engagement de confidentialité ;
• l'équipe d'assistance n'accède pas au contenu clinique. Cette restriction est appliquée côté serveur, par exclusion des colonnes concernées des requêtes, et non par un masquage d'affichage qui pourrait être désactivé ;
• l'accès d'un membre de notre équipe au compte d'un cabinet suppose un motif écrit et une référence de demande d'assistance ;
• les habilitations sont limitées aux données strictement nécessaires à chaque fonction.

5. Sécurité

medi.tn met en œuvre :

• des comptes nominatifs, le partage d'identifiants étant proscrit, et un identifiant unique par utilisateur ;
• le chiffrement des communications ;
• un cloisonnement strict des données entre cabinets, appliqué à chaque requête ;
• la journalisation des accès et des incidents, permettant d'identifier un accès frauduleux ou un usage abusif et de réagir à une violation de données ;
• des sauvegardes régulières et des restaurations testées ;
• l'audit périodique de sécurité prévu par la loi n° 2004-5 du 3 février 2004 et le décret n° 2004-1250 du 25 mai 2004.

[À COMPLÉTER : ajouter, le cas échéant, le chiffrement au repos et la politique de gestion des correctifs une fois arrêtés.]

6. Localisation des données

Les données des patients sont hébergées exclusivement sur le territoire tunisien.

medi.tn ne transfère aucune donnée de patient hors de Tunisie. Un tel transfert ne pourrait intervenir qu'après information et accord écrit préalables du Praticien, et après obtention de l'autorisation de l'INPDP exigée par les articles 51 et 52 de la loi n° 2004-63.

7. Sous-traitance ultérieure

La liste des sous-traitants auxquels medi.tn fait appel figure dans la politique de confidentialité.

medi.tn ne recrute aucun sous-traitant ultérieur ayant accès à des données de santé sans l'autorisation écrite préalable du Praticien. Tout projet d'ajout ou de remplacement est notifié avec un préavis de [À COMPLÉTER : ex. 30] jours, pendant lequel le Praticien peut s'y opposer et, en cas de désaccord, résilier sans frais.

medi.tn impose à chaque sous-traitant ultérieur les mêmes obligations que celles du présent contrat et demeure pleinement responsable de leur exécution.

8. Assistance au Praticien

medi.tn assiste le Praticien :

• Droits des personnes — en mettant à disposition les fonctions permettant de retrouver, rectifier, extraire ou supprimer les données d'un patient qui exerce ses droits. Une demande d'un patient reçue directement par medi.tn est transmise au Praticien sans y être répondue au fond. L'article 21 de la loi n° 2004-63 impose au responsable du traitement comme au sous-traitant de rectifier ou de compléter les données dont ils ont connaissance de l'inexactitude, et de notifier toute modification à la personne concernée dans un délai de deux mois.
• Violation de données — en notifiant le Praticien sans délai après en avoir pris connaissance, avec la nature de la violation, les catégories et le volume approximatif de données concernées, les conséquences probables et les mesures prises. La notification éventuelle à l'INPDP et aux patients relève du Praticien, responsable de traitement.
• Formalités et analyse d'impact — en fournissant les informations relatives au Service nécessaires au dossier INPDP du Praticien et à son analyse d'impact.

9. Sort des données en fin de contrat

À la fin de l'abonnement, le Praticien dispose d'un délai de [À COMPLÉTER : ex. 90] jours pour obtenir l'export intégral des données de son cabinet dans un format exploitable.

À l'expiration de ce délai, medi.tn supprime les données des systèmes actifs, puis des sauvegardes selon le cycle de rotation de celles-ci, et en atteste par écrit sur demande.

Conformément à l'article 64 de la loi n° 2004-63, le traitement ne peut en aucun cas dépasser la durée nécessaire à la réalisation du but pour lequel il est effectué.

Si medi.tn envisageait de cesser définitivement son activité, il en informerait l'INPDP trois mois avant la date de cessation, conformément à l'article 24 de la même loi, la destruction des données étant alors subordonnée à l'autorisation de l'Instance. Le Praticien en serait informé dans le même délai afin de pouvoir exporter ses données.

Il appartient au Praticien de conserver les dossiers médicaux de ses patients conformément aux obligations qui lui incombent en sa qualité de praticien.

10. Contrôle

Le Praticien peut demander, une fois par an et moyennant un préavis raisonnable, les éléments justifiant du respect du présent contrat, notamment les conclusions du dernier audit de sécurité. Un audit sur site peut être conduit par le Praticien ou un tiers indépendant tenu à la confidentialité, à ses frais, sans compromettre la sécurité des autres cabinets.

11. Contact

contact@medi.tn — [À COMPLÉTER : adresse électronique du DPO]