Accord de traitement des données (DPA)

Article 1 — Objet

Le présent DPA a pour objet de définir les conditions dans lesquelles le Sous-traitant (Kadu) s'engage à effectuer des opérations de traitement de données à caractère personnel pour le compte du Responsable de Traitement (le professionnel utilisateur), dans le cadre de la fourniture de la plateforme de gestion de cabinet Kadu.

Article 2 — Nature, finalité et durée des traitements

Nature des traitements

Collecte, enregistrement, organisation, structuration, conservation, adaptation, extraction, consultation, utilisation, communication par transmission, diffusion ou toute autre forme de mise à disposition, effacement ou destruction de données à caractère personnel, y compris de données de santé.

Finalités

• Hébergement et gestion des dossiers patients
• Fourniture des outils de dictée vocale et de transcription IA
• Transcription de la conversation de séance (mode Live), avec l'accord du patient recueilli et noté par le RT, et propositions soumises à sa validation
• Rédaction des comptes rendus et des bilans par intelligence artificielle
• Gestion du calendrier et des rendez-vous
• Envoi au patient, sur instruction du RT, d'un lien vers ses rendez-vous à venir, de rappels la veille et des avis d'annulation ou de déplacement ; enregistrement des annulations faites par le patient ; envoi au patient des horaires proposés par le RT et création, à son choix, des rendez-vous correspondants ; rappel une semaine avant, au choix du RT ; déplacement par le patient d’un rendez-vous pris en ligne et retard annoncé le jour même, inscrits dans l’agenda du RT
• Liste d’attente du RT : inscription d’une adresse e-mail vérifiée par un code, ou d’un patient qui veut avancer son rendez-vous, et envoi d’un e-mail quand une place se libère, sans que le RT voie les adresses inscrites
• Ponctualité : qui a annulé une séance ou l’absence notée par le RT, et compteurs calculés sur 12 mois, sans aucune décision automatique
• Sur instruction du RT : publication de son agenda à un lien secret (iCalendar), avec les initiales des patients, pour un service de calendrier qu’il choisit sous sa responsabilité
• Page de réservation du RT : recueil des demandes de rendez-vous, vérification de l’adresse e-mail par un code, rapprochement avec un dossier existant sans le modifier, confirmation ou transmission au RT pour validation, création du rendez-vous et, le cas échéant, du dossier du patient
• Gestion des remplaçants et des accès délégués
• Facturation et gestion de l'abonnement
• Sécurité et continuité de service

Durée

Le traitement est effectué tant que le compte du RT existe, y compris après la fin de son abonnement. À la suppression du compte, les données sont supprimées immédiatement et définitivement : il appartient au RT d'exporter au préalable les dossiers qu'il est tenu de conserver (20 ans pour les dossiers patients, conformément à l'Art. R. 1112-7 CSP).

Par exception, la transcription mot à mot d'une conversation de séance (mode Live) est effacée automatiquement 30 jours après la fin de l'enregistrement, avec les éléments que le RT n'a pas gardés. Les éléments gardés, la note de séance et le résumé restent avec la séance dans le dossier du patient.

Type de données traitées

• Données d'identification des patients (nom, prénom, date de naissance) et, pour un patient mineur ou protégé, de son responsable légal (nom, lien, coordonnées)
• Données de contact des patients (téléphone, email, adresse)
• Pour le lien « Gérer mes rendez-vous » : adresse e-mail de destination, empreinte du lien et dates d'ouverture, dates des rendez-vous, raison d'annulation choisie par le patient, opposition aux rappels, horaires proposés et réponse du patient
• Pour une demande prise sur la page de réservation : motif, date et heure, identité saisie (nom, prénom, date de naissance, e-mail, téléphone facultatif, personne qui réserve pour un enfant ou un proche), déclaration « déjà suivi », ordonnance (kinésithérapie), précision facultative, empreintes du code de confirmation et de l’adresse IP, décision du RT
• Pour la liste d’attente : adresse e-mail, motif, moment de la journée, empreintes du code et des liens de désinscription, nombre et date des e-mails ; pour une place plus tôt, le rendez-vous concerné ; retard annoncé par le patient, qui a annulé une séance, absence notée
• Données de santé : antécédents, pathologies, bilans, comptes-rendus, transcriptions vocales, transcriptions des conversations de séance en mode Live et accord du patient, informations extraites des ordonnances et confirmées par le praticien, informations lues dans les documents ajoutés à la dictée d’un bilan et relues par le praticien, patients importés depuis une liste du praticien (lignes retenues seulement) ; les images ne sont pas conservées
• Données des médecins référents et des prescripteurs, dont celles vérifiées dans l'Annuaire Santé public de l'ANS à partir du seul numéro RPPS (aucune donnée de patient n'est transmise à l'ANS)
• Données d'identification et de facturation du professionnel utilisateur

Catégories de personnes concernées

Patients du professionnel utilisateur et, pour un patient mineur ou protégé, son responsable légal ; professionnel utilisateur, remplaçants autorisés.

Article 3 — Obligations du Sous-traitant (Kadu)

Le Sous-traitant s'engage à :

1. Traiter les données uniquement sur instruction documentée du Responsable de Traitement et dans le cadre défini par le présent DPA ;
2. Garantir la confidentialité des données traitées. Toutes les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
3. Mettre en œuvre des mesures de sécurité appropriées (chiffrement des échanges, cloisonnement des accès par compte et par permission, révocation des sessions, journalisation des événements de sécurité, tests automatisés du cloisonnement des accès) ;
4. Héberger les données sur une infrastructure certifiée HDS, selon les exigences de l'article L. 1111-8 du Code de la Santé Publique, avec localisation en France / EEE ;
5. Ne pas recruter de sous-traitants ultérieurs sans en informer préalablement le RT et sans assurer contractuellement les mêmes garanties de protection des données ;
6. Aider le RT à répondre aux demandes d'exercice des droits formulées par les personnes concernées (patients, utilisateurs) ;
7. Aider le RT à assurer le respect de ses obligations en matière de sécurité, de notification des violations, d'AIPD et de consultation préalable ;
8. Notifier le RT dans les 72 heures de toute violation de données à caractère personnel dont il aurait connaissance (Art. 33 RGPD) ;
9. Supprimer ou restituer les données à l'issue du contrat, selon les instructions du RT et dans le respect des durées minimales légales de conservation ;
10. Mettre à disposition du RT toutes les informations nécessaires pour démontrer le respect de ses obligations et permettre les audits ou inspections mandatés par le RT.

Article 4 — Obligations du Responsable de Traitement

Le professionnel utilisateur, en qualité de Responsable de Traitement, s'engage à :

• Fournir au Sous-traitant des instructions licites et documentées ;
• Informer ses patients du traitement de leurs données de santé sur la plateforme Kadu, conformément aux articles 13 et 14 du RGPD ;
• Obtenir, le cas échéant, le consentement explicite des patients ;
• Tenir à jour un registre des activités de traitement conformément à l'article 30 du RGPD ;
• S'assurer que les remplaçants auxquels il délègue un accès respectent les obligations du présent DPA et les CGU ;
• Signaler au Sous-traitant toute demande directe d'une autorité de contrôle ;
• S'assurer de la licéité du traitement des données de santé au regard des textes applicables (RGPD, Loi Kouchner et, le cas échéant, le code de déontologie de sa profession).

Article 5 — Sous-traitants ultérieurs

Le Sous-traitant est autorisé à faire appel aux sous-traitants ultérieurs suivants, qui présentent des garanties suffisantes de conformité RGPD :

L'Annuaire Santé de l'Agence du numérique en santé, annuaire public des professionnels de santé, n'est pas un sous-traitant : Kadu le consulte avec le nom ou le numéro RPPS d'un professionnel, sans aucune donnée de patient.

L'assistant d'aide de la Plateforme n'est pas un traitement de données de santé pour le compte du RT : il répond aux questions sur l'utilisation de Kadu et ne reçoit aucune donnée du dossier patient. Il est opéré par Microsoft Azure dans la zone de données de l'Union européenne de Microsoft, hors du périmètre de la certification HDS ; le RT s'abstient d'y saisir des données de patients. Ce traitement est décrit dans la politique de confidentialité (section 8.1).

Toute modification de cette liste fera l'objet d'une information préalable du RT avec un délai raisonnable pour permettre l'exercice d'un droit d'opposition.

Article 6 — Transferts hors UE

Tout transfert de données vers un pays tiers est encadré par des Clauses Contractuelles Types (CCT) adoptées par la Commission européenne, conformément à l'article 46 du RGPD.

Article 7 — Durée et résiliation

Le présent DPA prend effet à la date d'acceptation des CGU et reste en vigueur pendant toute la durée du contrat d'abonnement. Il prend fin automatiquement à la résiliation du contrat, sous réserve des obligations de conservation légale des données de santé.

Article 8 — Loi applicable

Le présent DPA est soumis au droit français et européen (RGPD). Tout litige sera soumis à la juridiction compétente conformément aux CGU.

Article 9 — Contact