Accord de traitement des données des patients
Le présent accord (« l'Accord ») complète les Conditions Générales de Vente. Il encadre, conformément à l'article 28 du RGPD, le traitement des données des patients que le Client confie au service Med-Avis. Il est accepté en ligne lors de la création du compte ; cette acceptation vaut signature. En cas de contradiction avec les CGV, l'Accord prévaut pour ce qui concerne les données des patients.
1. Les parties
- Le Client, professionnel de santé ou structure de soins, est responsable de traitement des données de ses patients.
- RDV PATIENTS, SAS au capital de 1 000 €, RCS Paris n° 818 318 545, 93 rue Jouffroy d'Abbans, 75017 Paris, éditrice du service Med-Avis, agit en qualité de sous-traitant.
2. Objet et durée
RDV PATIENTS traite les données des patients du Client uniquement pour fournir le service Med-Avis, pendant toute la durée de l'abonnement, puis le temps nécessaire à leur suppression (article 11).
3. Finalités du traitement
- importer les rendez-vous du Client (export Doctolib ou fichier déposé) ;
- envoyer aux patients les confirmations et rappels de rendez-vous, ainsi que les consignes de préparation que le Client a associées à un motif de rendez-vous ;
- inviter les patients à donner leur avis après leur rendez-vous, recueillir leurs retours privés et les présenter au Client ;
- produire pour le Client des statistiques (par cabinet, par praticien, par motif).
4. Données traitées et personnes concernées
Personnes concernées : les patients du Client. Données traitées, telles que fournies par le Client ou son agenda :
- identité : nom, prénom, et selon l'export, sexe et date de naissance ;
- coordonnées : adresse e-mail, téléphone, et selon l'export, adresse postale ;
- rendez-vous : date, heure, praticien et motif du rendez-vous ;
- échanges : invitations envoyées, ouvertures, réponses et retours écrits par le patient, désinscriptions.
Données de santé. Le motif du rendez-vous (par exemple la nature d'un examen) peut constituer une donnée de santé au sens de l'article 9 du RGPD. Aucun compte rendu, résultat ou dossier médical n'est traité. À la date du présent Accord, les données sont hébergées en France par OVH sur une infrastructure qui n'est pas certifiée Hébergeur de Données de Santé (HDS) ; RDV PATIENTS prévoit leur migration vers un hébergement certifié HDS et en informera le Client.
5. Instructions du Client
RDV PATIENTS ne traite les données que sur instruction documentée du Client, constituée par le présent Accord, les CGV et les réglages que le Client effectue dans son espace. RDV PATIENTS informe le Client si une instruction lui paraît contraire à la réglementation.
6. Confidentialité
Seules les personnes habilitées de RDV PATIENTS, tenues à la confidentialité, accèdent aux données, et seulement lorsque c'est nécessaire au fonctionnement ou au support du service.
7. Sécurité
- échanges chiffrés (HTTPS) ;
- mots de passe conservés sous forme chiffrée, code PIN et limitation des tentatives de connexion ;
- cloisonnement : chaque Client n'accède qu'aux données de ses propres cabinets ;
- sauvegardes régulières et journalisation des opérations d'administration.
8. Sous-traitants ultérieurs
Le Client autorise RDV PATIENTS à recourir aux prestataires suivants :
- OVH (France) : hébergement du serveur et des données ;
- Brevo (France) : envoi des e-mails aux patients ;
- Gandi (France) : envoi des e-mails en secours ;
- Meta — WhatsApp Business : envoi des messages WhatsApp, uniquement si le Client active cette option ;
- Anthropic (États-Unis) : propositions de réponses aux avis ; seul le texte des avis publics Google lui est transmis, jamais le fichier des patients ;
- Google : lecture de la fiche d'établissement et des avis publics du Client ;
- Stripe : paiement de l'abonnement ; ne reçoit que les données de facturation du Client, aucune donnée de patient.
Tout ajout ou remplacement est annoncé au Client au moins 30 jours à l'avance ; le Client peut s'y opposer en résiliant son abonnement. Lorsqu'un prestataire est situé hors de l'Union européenne, le transfert est encadré par les garanties prévues au chapitre V du RGPD (décision d'adéquation ou clauses contractuelles types).
9. Droits des patients
RDV PATIENTS aide le Client à répondre aux demandes des patients (accès, rectification, effacement, opposition). Une demande reçue directement par RDV PATIENTS est transmise sans délai au Client. Chaque invitation contient un lien de désinscription, appliqué automatiquement.
10. Violation de données
RDV PATIENTS notifie au Client toute violation de données concernant ses patients dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, avec les informations utiles pour que le Client puisse, le cas échéant, la notifier à la CNIL et informer ses patients.
11. Fin du contrat
À la fin de l'abonnement, le Client peut demander l'export de ses données pendant 30 jours. Les données des patients sont ensuite supprimées, sauvegardes comprises, au plus tard 90 jours après la fin de l'abonnement, sauf obligation légale de conservation.
12. Documentation et audit
RDV PATIENTS met à la disposition du Client, sur demande, les informations nécessaires pour démontrer le respect du présent Accord, et l'assiste pour les analyses d'impact relatives à la protection des données qui le concernent.
13. Contact
Pour toute question relative au présent Accord ou aux données des patients : support@med-avis.com.