Accord de traitement des données (DPA)

1. Parties et rôles

Le cabinet abonné est le responsable du traitement. Le sous-traitant est Limitless Royalty LLC, société à responsabilité limitée constituée dans l’État de Floride, aux États-Unis, qui exploite la plateforme 3yadtk. Le sous-traitant n’agit que sur les instructions documentées du cabinet concernant les données des patients.

2. Finalité du traitement

3yadtk traite les données des patients dans le seul but de fournir au cabinet abonné le service de gestion du cabinet. Cela inclut ce que le cabinet ordonne en activant une fonctionnalité — par exemple l’envoi de ses factures, avoirs et notes de débit à la ZATCA dans le cadre de la phase 2 de la facturation électronique, l’envoi d’e-mails à ses patients, l’envoi du nom d’un patient, de ses coordonnées et du montant à Tap Payments pour encaisser un paiement sur le compte Tap du cabinet, ou la rédaction d’une note de consultation à partir d’un enregistrement de la consultation avec l’assistant de rédaction IA, ou l’envoi de messages WhatsApp aux patients qui les ont acceptés, depuis le propre compte WhatsApp Business du cabinet. Les catégories traitées sont décrites à l’annexe A.

3. Mesures de sécurité

Les mesures de sécurité comprennent : le chiffrement de toutes les données en transit ; le chiffrement champ par champ des données sensibles des patients dans la base de données (les noms des patients, les numéros de dossier, les dates de naissance, le groupe sanguin et les allergies ne sont pas chiffrés de cette manière, pas plus que les fichiers versés) ; la connexion en deux étapes que chaque compte de l’équipe du cabinet peut activer ; un accès selon le rôle au sein du cabinet ; la journalisation de chaque export ; et un journal d’activité qui ne peut être ni modifié ni supprimé, qui enregistre les ouvertures de dossiers patients et les modifications, ainsi que les accès du personnel du sous-traitant au cabinet. Les sauvegardes sont chiffrées avec une phrase secrète choisie par le cabinet ; le sous-traitant en conserve une copie chiffrée sur le serveur pour pouvoir réaliser les sauvegardes, y compris les sauvegardes programmées qui s’exécutent sans intervention, ce qui signifie que les systèmes du sous-traitant peuvent ouvrir ces sauvegardes. Seul le titulaire du cabinet peut télécharger ou restaurer une sauvegarde.

4. Lieu de stockage et transferts transfrontaliers

Par défaut, les données des patients sont stockées sur l’infrastructure de notre hébergeur en Europe — y compris les données des cabinets d’Arabie saoudite et des Émirats arabes unis —, si bien que l’utilisation de la plateforme avec l’abonnement standard implique un transfert de données hors de ces pays. Le responsable du traitement doit tenir compte de plusieurs destinations : la région d’hébergement européenne ; les États-Unis, où le sous-traitant est établi et où son personnel accède aux données hébergées ; et les sous-traitants ultérieurs de la section 6, qui peuvent les traiter aux États-Unis ou ailleurs. L’hébergement dans la région est disponible sur demande en option payante, une fois convenu par écrit et mis en place pour le cabinet ; il déplace la base de données clinique du cabinet, ainsi que ses fichiers lorsqu’un stockage est mis en place pour eux dans ce pays, tandis que les comptes de l’équipe et des patients, le journal d’activité et les sous-traitants ultérieurs restent où ils sont. En tant que responsable du traitement, le cabinet est chargé d’évaluer la licéité de ces transferts et d’obtenir tout consentement réglementaire requis ; nous fournirons sur demande les informations nécessaires à cette évaluation.

5. Notification des violations de données

Dès que nous avons connaissance d’une violation touchant des données de patients, nous en informons le cabinet abonné dans les meilleurs délais, et en tout état de cause dans les 24 heures suivant cette prise de connaissance, afin que le cabinet dispose du temps nécessaire pour respecter son propre délai légal de notification.

6. Sous-traitants ultérieurs

Nous faisons appel à des sous-traitants ultérieurs de confiance : Railway (hébergement, bases de données, stockage des fichiers et sauvegardes), Netlify (diffusion de l’application et transmission de chaque requête aux serveurs de la plateforme), Resend (e-mails transactionnels, rappels de rendez-vous et messages aux patients), Stripe (traitement des paiements, sans accès aux données des patients), Google (l’assistant intégré, lorsqu’une question lui est posée, et, lorsque le cabinet l’active, l’assistant de rédaction IA : enregistrements de consultations, pour rédiger la note ; nous ne les conservons pas, et Google les traite selon les conditions de son API, qui peuvent prévoir une journalisation temporaire pour détecter les abus) et Daily (Daily.co, Inc. — téléconsultations, lorsque le cabinet les active : vidéo et son en temps réel, acheminés dans l’UE ; non enregistrés). Tap Payments n’est pas notre sous-traitant ultérieur : un cabinet qui connecte son propre compte Tap contracte directement avec Tap, Tap traite les données de paiement pour le cabinet, et nous lui transmettons ces données sur instruction du cabinet. Meta n’est pas non plus notre sous-traitant ultérieur : un cabinet qui connecte son propre compte WhatsApp Business le détient auprès de Meta et paie Meta pour ses messages, Meta traite les messages pour le cabinet, et, sur instruction du cabinet, nous lui transmettons le numéro WhatsApp du patient, son prénom, la date et l’heure du rendez-vous, le nom du cabinet et les liens — jamais de contenu clinique — et recevons de Meta le statut de chaque message et les réponses des patients. Nous n’utilisons aujourd’hui aucun prestataire de SMS, car les SMS ne sont pas disponibles et n’envoient rien. Nous prévenons les cabinets 30 jours avant l’ajout ou le changement de tout sous-traitant ultérieur, et nous mettons à jour cette liste et la politique de confidentialité ensemble. Un prestataire utilisé uniquement par une fonction facultative désactivée par défaut (le scribe IA, les téléconsultations) figure sur cette liste dès le départ et ne reçoit des données qu’une fois que le cabinet active lui-même cette fonction ; cette activation vaut instruction du cabinet, sans préavis séparé. Les messages WhatsApp automatiques sont de même désactivés tant que le cabinet n’a pas connecté son propre compte.

7. Suppression des données

À la fin d’un abonnement payant, le cabinet reste ouvert en lecture seule pendant 60 jours, comptés à partir de la fin de la dernière période payée, pour qu’il puisse consulter ses données et exporter ses principaux dossiers — patients, rendez-vous, notes de consultation, ordonnances, demandes d’analyses, factures, paiements, demandes de remboursement et forfaits — en CSV ou Excel ; la copie complète du cabinet, fichiers compris, est la sauvegarde chiffrée, qui ne peut être restaurée que dans 3yadtk. L’accès prend ensuite fin et les données sont conservées. Nous conservons les données d’un cabinet tant que son compte existe, y compris après la fin de l’accès, pour qu’il puisse revenir ou récupérer ses données. Nous les supprimons lorsque le cabinet le demande par écrit, dans les 90 jours suivant la demande, à l’exception de ce que la loi nous oblige à conserver — y compris les dossiers médicaux encore dans la durée de conservation du pays du cabinet, qui varie selon les pays et atteint vingt-cinq ans dans certains. La suppression inclut les sauvegardes que nous stockons pour le cabinet. Le journal d’activité ne peut être ni modifié ni supprimé, et demeure après la suppression comme trace de qui a fait quoi. La durée de conservation qui s’impose à vous est fixée par la loi de votre pays, et non par notre choix.

8. Clauses contractuelles types (CCT)

Pour les transferts de données personnelles hors de l’Espace économique européen ou autrement soumis à l’article 46 du RGPD — y compris l’accès depuis les États-Unis, où le sous-traitant est établi —, Limitless Royalty LLC adopte les clauses contractuelles types de la Commission européenne (module 2 : responsable du traitement → sous-traitant) comme principal mécanisme de transfert international.

9. Autorités de contrôle régionales

Si une réclamation ne peut être résolue en interne, les cabinets et les patients ont le droit d’introduire une réclamation auprès de l’autorité de contrôle compétente :

L’Irak, la Libye et le Yémen ne figurent pas dans la liste : nous n’y connaissons pas d’autorité dédiée à la protection des données ; l’autorité sanitaire du pays du cabinet et le droit commun s’appliquent donc. Ce tableau est un guide et non un avis juridique ; vérifiez la situation auprès de votre propre autorité.