Accord de sous-traitance RGPD (article 28)

Le présent accord est la version de référence opposable de l'accord de sous-traitance conclu entre Kyneocare (130 275 431 R.C.S. Chambéry) et le Responsable de traitement. Il prévaut sur toute version synthétique de cet accord.

Article 1 – Objet et articulation contractuelle

Le présent accord de sous-traitance (l'« Accord ») a pour objet de définir les conditions dans lesquelles Kyneocare, en qualité de sous-traitant, est autorisé à traiter, pour le compte du Responsable de traitement, des données à caractère personnel, et en particulier des données de santé, dans le cadre de la fourniture du Service Kyneocare.

L'Accord fait partie intégrante des Conditions Générales d'Utilisation (CGU) du Service conclues entre Kyneocare et le Responsable de traitement, ainsi que de la politique de confidentialité de Kyneocare. En cas de contradiction entre ces documents pour ce qui concerne la protection des données à caractère personnel traitées pour le compte du Responsable de traitement, les stipulations du présent Accord prévalent.

Article 2 – Rôle des parties et description des traitements

2.1. Rôle des parties. Le Responsable de traitement est le professionnel de santé, le cabinet ou la structure de soins qui utilise le Service pour la prise en charge de ses patients et qui détermine les finalités et les moyens des traitements réalisés via le Service. Kyneocare agit en qualité de Sous-traitant, au sens de l'article 28 du RGPD, pour les traitements réalisés pour le compte du Responsable de traitement dans le cadre du Service.

2.2. Nature, finalités et durée des traitements. Kyneocare est autorisé à traiter, pour le compte du Responsable de traitement, les données à caractère personnel, et en particulier les données de santé, pour les finalités suivantes : saisie, structuration et génération assistée de comptes rendus cliniques à partir des informations renseignées par le Responsable de traitement ; stockage, consultation et gestion de l'historique des comptes rendus et autres données cliniques ; gestion des accès et de la sécurité du Service ; maintenance, support et amélioration opérationnelle du Service, dans la mesure strictement nécessaire à son bon fonctionnement. Les traitements sont réalisés pour la durée d'utilisation du Service, augmentée des durées nécessaires à la réversibilité et à la suppression ou anonymisation des données, conformément à l'article 9.

2.3. Catégories de données et de personnes concernées. Les traitements portent sur les patients pris en charge par le Responsable de traitement et sur les professionnels de santé utilisateurs du Service. Les données relatives aux patients (données de santé) comprennent les données d'identification ou pseudonymes, informations cliniques, symptômes, antécédents, diagnostics, éléments d'examen, comptes rendus et informations de suivi. Les données relatives aux utilisateurs professionnels comprennent les données d'identification, coordonnées, données de connexion et d'usage du Service.

2.4. Finalités propres de Kyneocare. Toute utilisation des données à des fins propres de Kyneocare (production de statistiques agrégées, amélioration de modèles d'IA, recherche et développement) fait l'objet d'une information distincte dans la politique de confidentialité et, le cas échéant, d'une base légale autonome. Ces traitements ne relèvent pas du présent Accord, sauf lorsque ces finalités sont expressément définies par le Responsable de traitement et encadrées comme telles.

Article 3 – Instructions du Responsable de traitement

Kyneocare ne traite les données que sur la base d'instructions documentées du Responsable de traitement, telles que décrites dans les CGU, le présent Accord, la documentation contractuelle et les paramétrages effectués dans le Service. Si Kyneocare considère qu'une instruction constitue une violation manifeste du RGPD ou d'une autre disposition relative à la protection des données, il en informe immédiatement le Responsable de traitement.

Article 4 – Confidentialité

Kyneocare veille à ce que les personnes qu'il autorise à traiter les données pour le compte du Responsable de traitement s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et reçoivent la formation nécessaire en matière de protection des données et de sécurité des données de santé.

Article 5 – Sécurité des traitements et hébergement

Kyneocare met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD, en tenant compte de la nature des données de santé traitées, des risques d'atteinte aux droits et libertés des personnes concernées et de l'état de l'art. Ces mesures comprennent le chiffrement des données en transit ; l'authentification à deux facteurs obligatoire et la gestion des habilitations ; le cloisonnement des données par praticien ou par cabinet ; la journalisation des accès et des actions significatives ; le remplacement du nom, du prénom et des coordonnées du patient avant tout envoi au prestataire d'intelligence artificielle ; et des procédures de gestion des incidents de sécurité. Kyneocare révise régulièrement ses mesures de sécurité et met à disposition du Responsable de traitement une documentation synthétique les décrivant.

Pendant la bêta, le Service est hébergé par OVH SAS, en France, sur une infrastructure qui n'est pas certifiée « Hébergeur de données de santé » (article L.1111-8 du code de la santé publique). La saisie de données de santé réelles y est donc interdite : seules des données fictives sont autorisées. Avant toute ouverture aux données réelles, les données de santé seront hébergées chez un hébergeur certifié HDS, en France, et le présent document sera mis à jour en conséquence.

Article 6 – Sous-traitants ultérieurs (y compris prestataire d'IA)

Kyneocare est autorisé à faire appel à des sous-traitants ultérieurs pour la fourniture du Service. À la date du présent Accord, il s'agit de :

• OVH SAS : hébergement de l'application, de la base de données et des fichiers, en France ;
• Mistral AI : aide à la rédaction et transcription de la dictée, traitement dans l'Union européenne ;
• Resend : envoi des e-mails de l'application (documents, questionnaires, rappels), configuré sur sa région Union européenne.

Kyneocare informe le Responsable de traitement de tout ajout ou remplacement de sous-traitant ultérieur au moins trente (30) jours avant sa mise en œuvre ; le Responsable de traitement peut s'y opposer par écrit, pour des motifs légitimes, dans ce délai ; à défaut d'opposition, il est réputé avoir accepté le nouveau sous-traitant ; en cas d'opposition motivée, les parties recherchent de bonne foi une solution alternative et, à défaut d'accord dans un délai raisonnable, le Responsable de traitement peut résilier le contrat sans pénalité pour ce motif.

Kyneocare s'assure que tout sous-traitant ultérieur est soumis à des obligations de protection des données au moins équivalentes à celles prévues par le présent Accord, conformément à l'article 28 §4 du RGPD, et demeure pleinement responsable à l'égard du Responsable de traitement.

6.1. Prestataire d'intelligence artificielle. Lorsque Kyneocare recourt à un prestataire d'IA pour des fonctionnalités d'aide à la rédaction : les données transmises sont strictement limitées à ce qui est nécessaire à la génération des contenus demandés ; le modèle n'opère aucune décision autonome, il propose des suggestions, le Responsable de traitement demeurant seul décisionnaire quant au contenu final ; le prestataire d'IA ne conserve pas les données au-delà de la durée strictement nécessaire à la génération de la réponse et ne les utilise pas pour entraîner ses modèles, ni pour d'autres clients, ni pour des finalités propres, sauf accord exprès et spécifique du Responsable de traitement. Ces engagements sont repris contractuellement par Kyneocare dans sa relation avec le prestataire d'IA.

Article 7 – Assistance au Responsable de traitement

Kyneocare assiste le Responsable de traitement, dans la mesure du possible, pour lui permettre de satisfaire à ses propres obligations au titre des articles 32 à 36 du RGPD, notamment en mettant à disposition une documentation relative aux mesures de sécurité, en fournissant les informations nécessaires aux analyses d'impact (AIPD) lorsqu'elles sont requises, en notifiant toute violation de données dans les conditions de l'article 8, et en l'aidant à répondre aux demandes d'exercice de droits des personnes concernées.

Article 8 – Notification des violations de données

Kyneocare notifie au Responsable de traitement toute violation de données à caractère personnel dont il a connaissance, sans retard injustifié et, si possible, au plus tard dans les quarante-huit (48) heures suivant cette connaissance. Cette notification comporte, dans la mesure du possible, la description de la nature de la violation, le nom et les coordonnées du point de contact, la description des conséquences probables, et les mesures prises ou proposées. Il appartient au Responsable de traitement de décider des notifications à effectuer à l'autorité de contrôle et aux personnes concernées, conformément aux articles 33 et 34 du RGPD.

Article 9 – Sort des données en fin de contrat (réversibilité et suppression)

À la cessation de la relation contractuelle relative au Service, pour quelque cause que ce soit, le Responsable de traitement dispose d'un délai de huit (8) jours pour exporter ses données via les fonctionnalités du Service ou en demander la restitution dans un format standard et exploitable. À l'issue de ce délai, et sauf obligation légale de conservation, Kyneocare procède, selon le choix documenté du Responsable de traitement, soit à la suppression des données, y compris dans ses environnements de production et, dans un délai raisonnable, dans ses éventuels systèmes de sauvegarde, soit à leur anonymisation irréversible. Kyneocare tient à disposition un calendrier de purge documenté décrivant les délais et modalités de suppression ou d'anonymisation dans les différents environnements.

Article 10 – Documentation et audits

Kyneocare met à la disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues par le présent Accord et par l'article 28 du RGPD, et pour permettre la réalisation d'audits. Les audits sont réalisés au plus une fois par an, sauf incident de sécurité majeur, pendant les heures ouvrées, moyennant un préavis écrit de trente (30) jours, aux frais du Responsable de traitement, sans perturber de manière excessive le fonctionnement de Kyneocare et sans permettre l'accès à des secrets d'affaires ni aux données d'autres responsables de traitement. Kyneocare peut mettre à disposition des rapports d'audit ou de certification réalisés par des tiers indépendants, en substitution d'un audit sur site.

Article 11 – Transferts de données hors de l'Union européenne

Aucun transfert de données à caractère personnel hors de l'Union européenne n'est réalisé dans le cadre des traitements couverts par le présent Accord. En cas de projet de transfert vers un pays tiers ou une organisation internationale, Kyneocare s'engage à en informer préalablement le Responsable de traitement et à mettre en place un mécanisme de transfert conforme au chapitre V du RGPD.

Article 12 – Droit applicable et durée

Le présent Accord est régi par le droit français et suit la même durée que la relation contractuelle relative au Service. Il entre en vigueur à la date d'acceptation des CGU ou de signature du contrat de Service et demeure applicable pendant toute la durée d'utilisation du Service, ainsi que pendant les périodes nécessaires à la réversibilité et à la suppression ou anonymisation des données, conformément à l'article 9.