Contrat de sous-traitance

Ce contrat est une annexe des conditions générales (les « CG ») et en fait partie intégrante. Il est accepté en même temps qu’elles. Il fixe les conditions dans lesquelles Docti Sàrl (« Docti ») traite des données personnelles pour le compte du cabinet client (le « Client »), conformément à la loi fédérale sur la protection des données (LPD).

1. Rôles

Pour les données qu’il enregistre dans Docti, le Client est le responsable du traitement. Docti est son sous-traitant.

2. Description du traitement

Finalité. Fournir Docti au Client : agenda, dossiers patients, notes, facturation, réservation en ligne, aide à la rédaction par intelligence artificielle, et l’assistance qui s’y rattache.

Intelligence artificielle. Les fonctions d’intelligence artificielle de Docti (dictée, rédaction de notes et de bilans, reformulation, lecture de documents) s’appuient sur les modèles d’Infomaniak AI Tools (Infomaniak Network SA, Genève), exécutés en Suisse. Avant tout envoi, Docti masque les identités du patient et de ses proches ; Infomaniak ne conserve pas le contenu après traitement et ne l’utilise pas pour entraîner ses modèles.

Personnes concernées. Les patients du Client, ses utilisateurs (praticiens et personnel), les médecins prescripteurs et les autres personnes que le Client enregistre dans Docti.

Catégories de données. Identité et coordonnées, numéro AVS et données d’assurance, rendez-vous, factures, et données sur la santé : dossiers, notes cliniques, prescriptions, documents et dictées.

Durée. La durée du contrat, puis le délai de suppression prévu au point 10.

3. Instructions du Client

Docti traite les données uniquement selon les instructions du Client. Les CG, ce contrat et l’utilisation que le Client fait des fonctions de Docti constituent ses instructions. Docti n’utilise pas ces données à d’autres fins, ne les vend pas et ne s’en sert pas pour entraîner des modèles d’intelligence artificielle.

Si Docti estime qu’une instruction viole la loi, il en informe le Client.

4. Secret professionnel et confidentialité

Docti garde le secret sur les données des patients, comme un auxiliaire tenu au secret professionnel du Client (art. 321 du Code pénal). Seuls les collaborateurs de Docti qui en ont besoin pour leur mission accèdent à ces données. Ils sont tenus à la confidentialité par leur contrat de travail, y compris après la fin de celui-ci.

5. Sécurité

Docti met en place des mesures techniques et organisationnelles adaptées à la sensibilité des données, notamment :

• l’hébergement des données et de leurs sauvegardes en Suisse ;

• des communications chiffrées entre les navigateurs et Docti ;

• la séparation stricte des données de chaque cabinet ;

• des droits d’accès attribués par rôle, sous le contrôle du Client ;

• la journalisation des accès aux dossiers ;

• des sauvegardes régulières.

Docti adapte ces mesures à l’évolution des risques et de la technique.

6. Sous-traitants ultérieurs

Le Client autorise Docti à faire appel aux sous-traitants figurant sur la page sous-traitants. Docti leur impose des obligations de protection des données et de confidentialité équivalentes à celles de ce contrat, et répond de leur respect.

Docti informe le Client au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant. Le Client qui s’y oppose peut résilier le contrat avant ce changement.

7. Autres destinataires

Certaines fonctions transmettent des données à des tiers qui les traitent pour leur propre compte. Ces transmissions n’ont lieu que lorsque le Client utilise la fonction concernée :

• la transmission électronique des factures aux assureurs transmet les données de facturation à MediData AG ;

• la lecture de la carte d’assuré et la vérification du registre ZSR transmettent le numéro de carte ou le numéro RCC/ZSR à SASIS AG ;

• la suggestion d’adresses transmet le texte saisi dans un champ adresse, y compris l’adresse d’un patient, à Google (Google Cloud EMEA Limited, Irlande). Google peut communiquer ces données aux États-Unis, à Google LLC, certifiée selon le Swiss-US Data Privacy Framework, et les utiliser pour ses propres services.

8. Communication à l’étranger

Les données sont hébergées en Suisse. Elles ne sont communiquées à l’étranger que dans le cas décrit au point 7, pour la suggestion d’adresses.

9. Assistance au Client

Docti aide le Client, dans la mesure de ce qui est raisonnable :

• à répondre aux demandes de ses patients (accès, rectification, suppression, remise des données), notamment grâce à l’export du dossier d’un patient ;

• à réaliser une analyse d’impact sur la protection des données, en lui fournissant les informations utiles sur Docti ;

• à annoncer une violation de la sécurité des données au Préposé fédéral à la protection des données et à la transparence (PFPDT) et, le cas échéant, aux personnes concernées.

Violation de la sécurité des données. Docti annonce au Client dans les meilleurs délais toute violation de la sécurité des données qui le concerne. Il lui indique, dans la mesure où il les connaît, la nature de la violation, les données et les personnes touchées, ses conséquences probables et les mesures prises.

10. Fin du contrat

À la fin du contrat, le Client dispose de 90 jours pour exporter ses données ou en demander l’export à Docti. Docti les supprime ensuite définitivement, y compris des sauvegardes selon leur cycle de rotation.

Le Client reste tenu de conserver ses dossiers patients pendant la durée prévue par la loi. Il lui appartient de les exporter avant la suppression.

11. Contrôle

Docti tient un registre des traitements qu’il effectue pour le compte du Client.

Sur demande, Docti fournit au Client une description de ses mesures de sécurité et les informations nécessaires pour vérifier le respect de ce contrat.

Si ces informations ne suffisent pas, le Client peut faire procéder à un audit, au plus une fois par an, annoncé au moins 30 jours à l’avance, pendant les heures ouvrables, sans perturber le service. L’audit est réalisé à ses frais par une personne tenue à la confidentialité.

12. Dispositions finales

Ce contrat suit la durée des CG. En cas de contradiction entre ce contrat et les CG sur la protection des données, ce contrat l’emporte.

Il est soumis au droit suisse. Le for est à Lausanne.