Accord de sous-traitance des données

Les rôles

La clinique est responsable des données personnelles qu'elle saisit dans Labrador. YUFU CAPITAL, qui édite Labrador, les traite pour son compte, comme sous-traitant au sens de l'article 28 du RGPD. L'accord s'applique pendant tout le contrat, puis pendant la période de restitution qui le suit.

Ce que nous faisons des données

Nous les hébergeons, les conservons, les affichons et les mettons en forme, pour fournir le service, l'assistance et l'aide au démarrage. Rien d'autre.

Nous n'agissons que sur les instructions de la clinique : le contrat, et l'usage qu'elle fait de Labrador. Si une instruction nous paraît contraire à la loi, nous le lui disons tout de suite.

Les personnes et les données concernées

Deux groupes de personnes sont concernés.

• Les propriétaires d'animaux, clients de la clinique : identité, coordonnées, factures et encaissements, informations sur l'animal et son suivi (identification, dossier médical, analyses, ordonnances, rappels, rendez-vous, documents, photos), notes de l'équipe.
• Les membres de l'équipe de la clinique : identité, e-mail, identifiants de connexion, rôle, journaux de connexion et d'actions.
• Aucune donnée sensible au sens de l'article 9 du RGPD n'est attendue : les informations médicales portent sur l'animal. La clinique s'abstient d'en saisir, y compris dans les notes libres.

Combien de temps

Pendant le contrat, puis 12 mois pour permettre à la clinique de reprendre ses données. Les journaux techniques sont gardés 12 mois. Ensuite, ou plus tôt si la clinique le demande, nous supprimons les données et leurs copies, sauf obligation légale de les garder. Nous attestons la suppression sur demande.

Sécurité

Nous appliquons les mesures de l'article 32 du RGPD, notamment :

• le chiffrement des échanges, et celui des données stockées chez l'hébergeur ;
• des mots de passe jamais conservés en clair ;
• le cloisonnement des données de chaque clinique, appliqué par la base elle-même, ligne par ligne ;
• des accès selon le rôle de chacun, au plus juste ;
• un accès de notre équipe à l'espace d'une clinique motivé, limité à quatre heures et inscrit au journal ;
• des composants logiciels tenus à jour, et une procédure de gestion des incidents.

Confidentialité

Les personnes qui traitent les données s'engagent à les garder confidentielles, ou y sont tenues par la loi.

Sous-traitants ultérieurs

La clinique autorise le recours aux prestataires ci-dessous. Tout ajout ou remplacement lui est annoncé par écrit au moins 30 jours à l'avance. Elle peut s'y opposer pour un motif légitime ; faute de solution, elle peut résilier sans frais, remboursée de la période non consommée. Chaque prestataire est tenu à des obligations équivalentes, et nous restons responsables de lui.

• Supabase Pte. Ltd. : base de données et authentification. Union européenne (Irlande).
• Vercel Inc. : hébergement de l'application et exécution du serveur. États-Unis et réseau mondial.
• Plus Five Five, Inc. (Resend) : envoi des e-mails. États-Unis.

L'horodatage de la caisse

Chaque nuit, une empreinte de la caisse est datée par des services d'horodatage (Sectigo, DigiCert). Ils ne reçoivent que cette empreinte, un calcul qui ne contient aucune donnée personnelle : ce ne sont pas des sous-traitants.

Hors de l'Union européenne

Les données sont stockées en Irlande. Mais le serveur de l'application tourne aux États-Unis, et l'envoi des e-mails passe par une société américaine. Ces transferts sont encadrés par une décision d'adéquation de la Commission européenne, dont le cadre de protection des données entre l'Union européenne et les États-Unis pour les sociétés qui y adhèrent, ou par les clauses contractuelles types de la Commission.

Les droits des personnes

Nous aidons la clinique à répondre aux demandes de ses clients et de son équipe : accès, rectification, effacement, limitation, portabilité, opposition. Une demande qui nous arrive directement lui est transmise sous 5 jours ouvrés.

Violation de données

Nous prévenons la clinique sans délai, et au plus tard 48 heures après en avoir eu connaissance, par e-mail à l'adresse indiquée au contrat, avec les informations prévues à l'article 33 du RGPD. Nous prenons aussitôt les mesures pour en limiter les conséquences.

Assistance, documentation et audit

Nous aidons la clinique, dans la mesure du possible, pour une analyse d'impact ou une consultation de l'autorité de contrôle. Au-delà de la documentation disponible, cette aide peut faire l'objet d'un devis. Nous tenons à sa disposition la documentation qui montre que nous respectons cet accord, et un registre des traitements faits pour le compte de nos clients.

La clinique peut faire réaliser un audit une fois par an, à ses frais, avec un préavis écrit de 30 jours, par un auditeur indépendant tenu au secret et qui n'est pas notre concurrent. Un audit de plus est possible après une violation de données.

Nous écrire

Pour toute question sur les données personnelles : bonjour@labrador.vet.