Contrat de sous-traitance

Le responsable du traitement est le praticien titulaire du compte Origamed.

Le sous-traitant est :

Le présent contrat est conclu en application de l’art. 9 LPD. Il complète les conditions générales, dont il fait partie intégrante.

Le praticien confie à Origamed le traitement de données personnelles de ses patients aux seules fins d’exploitation de la plateforme.

Origamed ne traite ces données que sur instruction documentée du praticien. L’usage de la plateforme conformément à sa destination vaut instruction. Origamed informe le praticien s’il estime qu’une instruction contrevient au droit applicable.

3.1 Personnes concernées

Les patients du praticien, ainsi que le cas échéant leurs représentants légaux et les tiers mentionnés dans un dossier, notamment un médecin prescripteur.

3.2 Catégories de données

• Identification : nom, prénom, date de naissance, sexe, adresse, téléphone, adresse électronique.
• Administratif d’assurance : assureur, numéro d’assuré, numéro AVS, numéro d’identification du praticien.
• Données de santé, qui constituent des données sensibles au sens de l’art. 5 let. c LPD : motif de consultation, anamnèse, diagnostic, notes et observations cliniques, données de suivi, objectifs thérapeutiques, prescriptions et quotas de séances, résumés de consultation, documents transmis par le patient.
• Séance à distance : flux audio et vidéo, et le cas échéant enregistrement temporaire aux fins de production d’un résumé.
• Facturation : prestations, codes tarifaires, montants, statut de prise en charge.

3.3 Finalités

Tenue du dossier patient, gestion des rendez-vous et rappels, téléséance, production de résumés de consultation, établissement et transmission des factures aux assureurs, communication avec le patient, mise à disposition de l’espace patient.

3.4 Durée

Le traitement dure aussi longtemps que le contrat principal, puis pendant le délai de récupération prévu à l’article 9.

Origamed s’engage à :

• ne traiter les données que sur instruction du praticien ;
• astreindre à la confidentialité toute personne autorisée à accéder aux données, y compris après la fin de sa collaboration ;
• mettre en oeuvre les mesures techniques et organisationnelles décrites à l’article 5 ;
• respecter les conditions de recours à un sous-traitant ultérieur fixées à l’article 6 ;
• assister le praticien dans le traitement des demandes des patients (art. 7) ;
• l’assister en cas de violation de la sécurité (art. 8) ;
• restituer ou supprimer les données en fin de contrat (art. 9) ;
• tenir à disposition les éléments nécessaires à la démonstration du respect des présentes (art. 10).

Cette section décrit l’état effectif de la plateforme. Les mesures non encore en place figurent à l’article 5.6, séparément, plutôt que d’être annoncées comme acquises.

5.1 Chiffrement

Les communications sont chiffrées en transit par TLS. Les données stockées bénéficient du chiffrement au repos assuré par l’infrastructure d’hébergement. Un chiffrement applicatif supplémentaire, en AES-256-GCM avec dérivation de clé par utilisateur, est appliqué aux données extraites des ordonnances.

5.2 Contrôle d’accès

Cloisonnement des données par compte au niveau de la base de données, de sorte qu’un praticien n’accède pas aux données d’un autre. Authentification requise pour toute route accédant à des données de patients. Gestion des accès collaborateurs sous la responsabilité du praticien.

5.3 Hébergement

Base de données et fichiers hébergés sur une infrastructure managée en Suisse. Application et traitements hébergés en Europe. La localisation par prestataire figure à l’article 6.

5.4 Sauvegardes

Sauvegardes régulières assurées par l’infrastructure d’hébergement, avec possibilité de restauration à une date antérieure.

5.5 Journalisation

Journalisation technique des opérations à des fins d’exploitation et de sécurité.

5.6 Mesures en cours de déploiement

Parce qu’un contrat de sous-traitance ne doit décrire que ce qui existe, les mesures suivantes sont identifiées comme non encore en place :

Origamed s’engage à informer le praticien de l’évolution de ce tableau. Celui-ci constitue une déclaration de bonne foi sur l’état réel du service, opposable à Origamed.

6.1 Liste des sous-traitants

Le praticien autorise Origamed à recourir aux sous-traitants ultérieurs énumérés ci-dessous. Origamed impose à chacun des obligations de protection équivalentes aux présentes.

Origamed n’a recours à aucun outil de mesure d’audience tiers ni à aucune régie publicitaire.

6.2 Transferts hors de Suisse

Les données confiées aux prestataires établis hors de Suisse font l’objet de transferts au sens de l’art. 16 LPD, encadrés par des clauses contractuelles types.

Ces prestataires ne sont pas autorisés à utiliser les données pour entraîner leurs modèles. Le praticien qui souhaite éviter tout transfert de données cliniques hors de Suisse peut renoncer aux fonctions d’assistance automatisée et à la téléséance sans que le reste de la plateforme en soit affecté.

6.3 Changement de sous-traitant

Origamed informe le praticien de toute adjonction ou remplacement de sous-traitant ultérieur 30 jours à l’avance. Le praticien qui s’y oppose pour un motif tenant à la protection des données peut résilier sans frais avant la prise d’effet.

Les demandes des patients relèvent du praticien, en sa qualité de responsable du traitement. Un patient qui s’adresse directement à Origamed est renvoyé vers son praticien.

Origamed assiste le praticien dans le traitement de ces demandes, notamment pour les droits d’accès, de rectification, de suppression et de remise des données prévus aux art. 25 et 28 LPD.

Tant que les fonctions correspondantes ne sont pas automatisées, cette assistance prend la forme d’un traitement manuel, dans un délai de 30 jours à compter d’une demande écrite du praticien.

Origamed notifie au praticien toute violation de la sécurité affectant des données de patients dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les 72 heures.

La notification comprend la nature de la violation, les catégories et le volume approximatif de données concernées, les conséquences probables et les mesures prises.

Il appartient au praticien, en qualité de responsable du traitement, d’apprécier s’il y a lieu d’annoncer la violation au PFPDT au sens de l’art. 24 LPD et d’en informer les patients. Origamed lui fournit les éléments nécessaires.

À la fin du contrat principal, le praticien dispose de 90 jours pour récupérer les données.

À l’expiration de ce délai, Origamed supprime les données, y compris chez ses sous-traitants ultérieurs, sous réserve de ce que la loi lui impose de conserver, notamment les pièces de facturation le concernant. La suppression chez les sous-traitants ultérieurs s’opère selon les délais propres à chacun.

Origamed met à disposition du praticien les informations nécessaires pour démontrer le respect des présentes, notamment le tableau de l’article 5.6 tenu à jour.

Le praticien peut demander, une fois par année civile et moyennant un préavis raisonnable, des informations complémentaires sur les mesures mises en oeuvre. Un audit sur place peut être convenu si des circonstances particulières le justifient, aux frais du praticien, sous réserve de la confidentialité des données des autres clients.

La responsabilité d’Origamed au titre du présent contrat suit le régime de l’article 13 des conditions générales. Chaque partie répond des conséquences du manquement à ses propres obligations. En particulier, le praticien répond de l’absence de recueil des consentements qui lui incombent, notamment celui prévu à l’article 6.2.

Le présent contrat produit effet aussi longtemps qu’Origamed traite des données de patients pour le compte du praticien. Il est soumis au droit suisse. Le for est celui prévu par les conditions générales.

Pour toute question relative au présent contrat : support@origamed.com