Conditions générales de sous-traitance

Les présentes conditions générales de sous-traitance (ci-après, les « Conditions de sous-traitance ») s’appliquent entre :

La société à responsabilité limitée Doctor Anytime Belgium, dont le siège social est situé Chaussée de Wavre 1100/6 à 1160 Auderghem, enregistrée à la Banque-Carrefour des Entreprises sous le numéro 0643.899.757 (ci-après, « Doctoranytime » ou « le Sous-traitant ») ;

et

tout professionnel des soins de santé, personne physique ou morale, qui a souscrit un abonnement au logiciel eBuddy auprès de Doctoranytime (ci-après, « le Praticien » ou « le Responsable du traitement »).

Doctoranytime et le Praticien sont ci-après dénommés collectivement « les Parties » et individuellement « la Partie ».

***

PRÉAMBULE

Doctoranytime met à la disposition des kinésithérapeutes eBuddy, un logiciel en ligne permettant notamment la gestion de l’agenda, des dossiers patients, des prescriptions et de la facturation. eBuddy repose sur le logiciel DoctorManager, édité par SYLHO GROUP SA, qui administre l’infrastructure dédiée à eBuddy et en assure l’hébergement, la maintenance et le support technique.

Le Praticien a conclu avec Doctoranytime un contrat d’abonnement à eBuddy, composé des conditions particulières signées électroniquement et des conditions générales d’abonnement eBuddy (ci-après, le « Contrat »). Il a par ailleurs accepté les conditions d’utilisation du logiciel DoctorManager, qui régissent sa relation directe avec DoctorManager.

Dans le cadre de l’exécution du Contrat, Doctoranytime traite, pour le compte du Praticien, des Données à caractère personnel relatives notamment à ses patients, en ce compris des Données concernant la santé au sens de l’article 9 du RGPD, lors de la mise en place et du paramétrage du compte du Praticien, de la formation de ses Utilisateurs et du support. L’hébergement et le fonctionnement du logiciel sont assurés par DoctorManager, que le Praticien engage directement en qualité de sous-traitant, sur la base des conditions d’utilisation de DoctorManager. Ces traitements ne relèvent pas des présentes Conditions de sous-traitance.

L’article 28, paragraphe 3, du RGPD impose que le traitement effectué par un sous-traitant soit régi par un contrat qui lie le sous-traitant à l’égard du responsable du traitement et qui définit l’objet et la durée du traitement, sa nature et sa finalité, le type de données à caractère personnel, les catégories de personnes concernées, ainsi que les obligations et les droits du responsable du traitement.

Doctoranytime et DoctorManager traitent par ailleurs certaines Données à caractère personnel du Praticien et de ses Utilisateurs, notamment pour la conclusion et l’exécution du Contrat, la gestion des comptes d’accès à eBuddy, la facturation de l’abonnement et la gestion de la relation client. Ils agissent à cet égard en qualité de responsables conjoints du traitement au sens de l’article 26 du RGPD. Ces traitements ne relèvent pas des présentes Conditions de sous-traitance et sont régis par l’accord conclu entre Doctoranytime et DoctorManager, dont les grandes lignes figurent dans la politique de confidentialité relative à eBuddy.

Les présentes Conditions de sous-traitance ont pour objet de définir les conditions dans lesquelles Doctoranytime effectue, pour le compte du Praticien, les opérations de Traitement décrites ci-après et de délimiter les rôles respectifs des Parties.

Les présentes Conditions de sous-traitance sont disponibles en français et seront éventuellement traduites en néerlandais et en anglais. En cas de divergence entre les versions linguistiques, la version française des présentes Conditions de sous-traitance prévaut.

ARTICLE 1. DÉFINITIONS

1.1. Aux fins des présentes Conditions de sous-traitance, les termes commençant par une majuscule ont la signification indiquée ci-dessous. Les termes non définis ont la signification que leur donne la Législation relative à la protection des données, laquelle prévaut en cas de divergence.

1.2. Il faut entendre par :

• « Données à caractère personnel » ou « Données » : toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l’article 4, 1), du RGPD, traitée par Doctoranytime pour le compte du Praticien en exécution du Contrat ;
• « Données concernant la santé » : les Données relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne, au sens de l’article 4, 15) du RGPD. Les Parties reconnaissent que les informations relatives à un rendez-vous auprès d’un professionnel de santé déterminé (notamment l’identité ou la spécialité du praticien et le motif de consultation) sont susceptibles de révéler, directement ou indirectement, de telles données ;
• « DoctorManager » : SYLHO GROUP SA, dont le siège est établi avenue du Prince de Ligne 46 à 1180 Uccle, inscrite à la Banque-Carrefour des Entreprises sous le numéro 0681.618.703, qui édite le logiciel DoctorManager sur lequel repose eBuddy et administre l’infrastructure dédiée à eBuddy ;
• « eBuddy » : le logiciel de gestion destiné aux kinésithérapeutes mis à la disposition du Praticien par Doctoranytime en exécution du Contrat, qui permet notamment la gestion de l’agenda, des dossiers patients, des prescriptions et de la facturation, en ce compris l’ensemble de ses modules ;
• « Législation relative à la protection des données » : le RGPD, la loi du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et toute autre disposition légale ou réglementaire applicable aux Traitements visés par les présentes Conditions de sous-traitance, telles que modifiées ou remplacées ;
• « Patient » : toute personne physique qui prend, ou pour laquelle est pris, un rendez-vous auprès du Praticien ou de l’un de ses Utilisateurs, ou dont les Données sont enregistrées dans la base de données du Praticien au sein d’eBuddy ;
• « Personne concernée » : toute personne physique identifiée ou identifiable à laquelle se rapportent les Données ;
• « RGPD » : le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
• « Sous-traitant ultérieur » : tout sous-traitant auquel Doctoranytime fait appel pour mener des activités de Traitement spécifiques pour le compte du Praticien. DoctorManager, que le Praticien engage directement, et les prestataires auxquels DoctorManager a recours ne sont pas des Sous-traitants ultérieurs au sens des présentes Conditions de sous-traitance ;
• « Traitement » : toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des Données, au sens de l’article 4, 2), du RGPD ;
• « Utilisateur » : toute personne physique autorisée par le Praticien à accéder à eBuddy pour son compte (praticiens, personnel administratif, secrétariat, gestionnaires, etc.) ;
• « Violation de Données à caractère personnel » : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données, ou l’accès non autorisé à de telles Données, au sens de l’article 4, 12), du RGPD.

ARTICLE 2. OBJET ET CHAMP D’APPLICATION

2.1. Les présentes Conditions de sous-traitance définissent les conditions dans lesquelles Doctoranytime traite des Données pour le compte du Praticien. Elles constituent le contrat visé à l’article 28, paragraphe 3, du RGPD et l’« Annexe sous-traitance » visée par le Contrat.

2.2. Les présentes Conditions de sous-traitance complètent le Contrat, dont elles font partie intégrante. Elles s’appliquent à l’ensemble des Traitements effectués par Doctoranytime et ses Sous-traitants ultérieurs pour le compte du Praticien en exécution du Contrat, quels que soient la formule souscrite et les modules activés.

2.3. En cas de contradiction entre les présentes Conditions de sous-traitance et le Contrat, les dispositions des présentes Conditions de sous-traitance prévalent pour tout ce qui concerne la protection des Données à caractère personnel.

2.4. Le Praticien accepte les présentes Conditions de sous-traitance par voie électronique, en cochant la case prévue à cet effet, avant l’activation de son compte eBuddy. Cette acceptation vaut contrat écrit au sens de l’article 28, paragraphe 9, du RGPD. Doctoranytime conserve la preuve de l’acceptation et la version acceptée, qu’elle communique au Praticien sur simple demande.

ARTICLE 3. RÔLES RESPECTIFS DES PARTIES

• Traitements effectués pour le compte du Praticien

Pour les Traitements décrits à l’Annexe 1, le Praticien agit en qualité de responsable du traitement et Doctoranytime en qualité de sous-traitant au sens de l’article 4, 8), du RGPD.

Il s’agit des Traitements que Doctoranytime réalise elle-même pour le compte du Praticien : la mise en place et le paramétrage de son compte eBuddy, la formation de ses Utilisateurs ainsi que le support.

• Traitements des données du Praticien et de ses Utilisateurs (responsabilité conjointe)

Doctoranytime et DoctorManager agissent en qualité de responsables conjoints du traitement, au sens de l’article 26 du RGPD, pour les Traitements des données du Praticien et de ses Utilisateurs liés à eBuddy, notamment :

• La gestion de la relation contractuelle et commerciale avec le Praticien et ses Utilisateurs (gestion des comptes professionnels, facturation, support commercial, communications relatives au service) ;
• La gestion des comptes d’accès à eBuddy, des licences actives et du reporting entre Doctoranytime et DoctorManager.

Ces Traitements sont régis par l’accord de responsabilité conjointe conclu entre Doctoranytime et DoctorManager, dont les grandes lignes sont décrites dans la politique de confidentialité relative à eBuddy. Le Praticien et ses Utilisateurs peuvent exercer leurs droits à l’égard de chacun d’eux (article 26, paragraphe 3, du RGPD). Les présentes Conditions de sous-traitance ne leur sont pas applicables.

Lorsque le Praticien dispose également d’un abonnement à la plateforme doctoranytime.be, les Données communiquées par un Patient qui prend rendez-vous par l’intermédiaire de cette plateforme sont traitées par Doctoranytime pour la gestion de la prise de rendez-vous, conformément à la politique de confidentialité de doctoranytime.be, puis transmises à l’agenda eBuddy du Praticien, où elles sont traitées pour le compte de celui-ci.

• Traitements effectués par DoctorManager pour le compte du Praticien

L’hébergement d’eBuddy, la tenue des dossiers patients, la gestion de l’agenda, les communications avec les Patients, les échanges avec la plateforme eHealth et MyCareNet et, plus généralement, le fonctionnement du logiciel sont assurés par DoctorManager, en qualité de sous-traitant du Praticien. Ces Traitements sont régis par les conditions d’utilisation de DoctorManager, que le Praticien accepte lors de sa première connexion à eBuddy, et ne relèvent pas des présentes Conditions de sous-traitance. Doctoranytime n’est pas partie à cette relation et ne répond pas des obligations de DoctorManager en matière de protection des données.

Compte tenu de la répartition décrite ci-dessus, les Parties déclarent qu’elles ne déterminent pas conjointement les finalités et les moyens des Traitements visés par les présentes Conditions de sous-traitance et qu’elles n’agissent pas en qualité de responsables conjoints du traitement au sens de l’article 26 du RGPD.

ARTICLE 4. DESCRIPTION DES TRAITEMENTS

4.1. L’objet, la durée, la nature et les finalités des Traitements, les types de Données traitées et les catégories de Personnes concernées sont décrits à l’Annexe 1.

4.2. Le Praticien détermine, par le paramétrage et l’utilisation qu’il fait d’eBuddy, les Données effectivement traitées.

4.3. Lorsque des données à caractère non personnel sont combinées à des Données de telle sorte qu’une identification des Personnes concernées devient possible, ces données sont traitées comme des Données à caractère personnel.

ARTICLE 5. INSTRUCTIONS DOCUMENTÉES

5.1. Doctoranytime traite les Données uniquement sur instruction documentée du Praticien, y compris en ce qui concerne les transferts de Données vers un pays tiers ou à une organisation internationale, à moins qu’elle ne soit tenue d’y procéder en vertu du droit de l’Union européenne ou du droit belge. Dans ce cas, Doctoranytime informe le Praticien de cette obligation juridique avant le Traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public.

5.2. Constituent les instructions documentées du Praticien : (i) le Contrat, (ii) les présentes Conditions de sous-traitance et leurs annexes, (iii) le paramétrage et l’utilisation d’eBuddy par le Praticien et ses Utilisateurs, en ce compris l’activation de modules ou d’intégrations et (iv) toute instruction écrite complémentaire convenue entre les Parties. Une instruction complémentaire impliquant une modification des fonctionnalités d’eBuddy ou un coût supplémentaire requiert l’accord préalable des Parties.

5.3. Doctoranytime informe immédiatement le Praticien si, selon elle, une instruction constitue une violation de la Législation relative à la protection des données. Elle peut suspendre l’exécution de l’instruction concernée jusqu’à ce que le Praticien l’ait confirmée ou modifiée.

5.4. Sous réserve de l’article 3 des présentes Conditions de sous-traitance, Doctoranytime s’interdit de traiter les Données pour ses propres finalités, de les vendre, de les louer, de les communiquer à des tiers à des fins commerciales ou de les utiliser à des fins de prospection.

ARTICLE 6. OBLIGATIONS DU PRATICIEN

6.1. En sa qualité de responsable du traitement, le Praticien s’engage à :

• Garantir la licéité des Traitements, notamment l’existence d’une base juridique au sens de l’article 6 du RGPD et, pour les Données concernant la santé, d’une exception au sens de l’article 9§2 du RGPD ;
• Informer les Patients et les autres Personnes concernées conformément aux articles 13 et 14 du RGPD, y compris quant au recours à un sous-traitant pour la tenue des dossiers patients ;
• Veiller à l’exactitude et à la mise à jour des Données qu’il enregistre dans eBuddy ;
• Respecter le secret professionnel et les règles déontologiques applicables à lui-même et à ses Utilisateurs ;
• Gérer les accès de ses Utilisateurs (création, attribution des rôles, révocation) et veiller à la confidentialité de leurs identifiants ;
• Réaliser, lorsqu’elle est requise, l’analyse d’impact relative à la protection des données visée à l’article 35 du RGPD.

6.2. Le Praticien informe sans délai Doctoranytime de toute utilisation non autorisée de ses comptes ou de ses identifiants et de tout incident de sécurité dont il a connaissance en lien avec l’utilisation d’eBuddy.

ARTICLE 7. CONFIDENTIALITÉ

7.1. Doctoranytime garantit la confidentialité des Données. Elle limite l’accès aux Données aux seuls membres de son personnel qui en ont besoin pour la mise en place du compte, la formation ou le support demandé par le Praticien.

7.2. Doctoranytime veille à ce que les personnes autorisées à traiter les Données (i) se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité et (ii) aient reçu une formation adéquate en matière de protection des Données.

ARTICLE 8. SÉCURITÉ DES TRAITEMENTS

8.1. Compte tenu de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du Traitement, ainsi que des risques pour les droits et libertés des Personnes concernées, Doctoranytime met en œuvre les mesures techniques et organisationnelles appropriées visées à l’article 32 du RGPD.

8.2. Les mesures mises en œuvre sont décrites à l’Annexe 3. Doctoranytime peut les faire évoluer en fonction de l’état de la technique, pour autant que le niveau global de sécurité ne soit pas diminué. Elle communique au Praticien, sur demande, une description actualisée de ces mesures.

ARTICLE 9. SOUS-TRAITANTS ULTÉRIEURS

9.1. Le Praticien accorde à Doctoranytime une autorisation écrite générale de recourir à des Sous-traitants ultérieurs, au sens de l’article 28, paragraphe 2, du RGPD. Les Sous-traitants ultérieurs auxquels Doctoranytime a recours à la date d’acceptation des présentes Conditions de sous-traitance sont listés à l’Annexe 2 et sont réputés approuvés par le Praticien.

9.2. Doctoranytime informe le Praticien de tout ajout ou remplacement envisagé d’un Sous-traitant ultérieur au moins trente (30) jours avant sa prise d’effet, par courrier électronique adressé au contact désigné par le Praticien ou par une notification via eBuddy. Cette information précise l’identité du Sous-traitant ultérieur, l’activité de traitement concernée, le lieu du Traitement et, le cas échéant, les garanties encadrant tout transfert hors de l’Espace économique européen.

9.3. Le Praticien peut s’opposer à ce changement par écrit, dans un délai de quinze (15) jours à compter de la réception de l’information, pour des motifs raisonnables et dûment justifiés liés à la protection des Données. À défaut d’opposition dans ce délai, le changement est réputé accepté.

9.4. En cas d’opposition, les Parties se concertent de bonne foi afin de trouver une alternative raisonnable dans un délai de soixante (60) jours.

9.5. Lorsqu’un remplacement s’impose en urgence pour des raisons de sécurité ou de continuité du service, Doctoranytime en informe le Praticien dans les meilleurs délais. Le droit d’opposition prévu à l’article 9.3 s’exerce alors à compter de cette information.

9.6. Doctoranytime impose à chaque Sous-traitant ultérieur, par voie de contrat, les mêmes obligations en matière de protection des Données que celles prévues par les présentes Conditions de sous-traitance, en particulier des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées.

9.7. Lorsqu’un Sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, Doctoranytime demeure pleinement responsable envers le Praticien de l’exécution par ce Sous-traitant ultérieur de ses obligations.

ARTICLE 10. LOCALISATION DES DONNÉES ET TRANSFERTS HORS EEE

10.1. Doctoranytime ne transfère aucune Donnée vers un pays situé en dehors de l’Espace économique européen (« EEE »), en ce compris par voie d’accès à distance, sauf si ce transfert (i) est identifié à l’Annexe 2 ou a fait l’objet de l’information prévue à l’article 9.2 et (ii) est encadré conformément au chapitre V du RGPD, à savoir par une décision d’adéquation au sens de l’article 45 du RGPD (en ce compris, le cas échéant, la certification du destinataire au titre du EU-U.S. Data Privacy Framework) ou par des garanties appropriées au sens de l’article 46 du RGPD, telles que les clauses contractuelles types adoptées par la Commission européenne.

10.2. Lorsque le transfert repose sur des garanties appropriées au sens de l’article 46 du RGPD, Doctoranytime évalue, avec le destinataire, si la législation et les pratiques du pays tiers permettent le respect effectif de ces garanties et met en œuvre, le cas échéant, des mesures supplémentaires.

10.3. En acceptant les présentes Conditions de sous-traitance, le Praticien autorise les transferts identifiés à l’Annexe 2.

ARTICLE 11. DROITS DES PERSONNES CONCERNÉES

11.1. Le Praticien est responsable du traitement des demandes d’exercice des droits prévus aux articles 15 à 22 du RGPD portant sur les Données.

11.2. Compte tenu de la nature du Traitement, Doctoranytime aide le Praticien, par des mesures techniques et organisationnelles appropriées, à s’acquitter de cette obligation.

11.3. Si une Personne concernée adresse directement à Doctoranytime une demande portant sur des Données traitées pour le compte du Praticien, Doctoranytime la transmet au Praticien dans un délai de cinq (5) jours ouvrables et ne répond pas elle-même à cette demande, sauf pour orienter la Personne concernée vers le Praticien ou sur instruction de ce dernier.

11.4. Les demandes portant sur les Traitements visés à l’article 3 b) sont traitées conformément à l’accord de responsabilité conjointe conclu entre Doctoranytime et DoctorManager ; la Personne concernée peut exercer ses droits à l’égard de chacun d’eux. Lorsqu’une demande porte à la fois sur ces Traitements et sur des Données traitées pour le compte du Praticien, chaque Partie y répond pour ce qui la concerne et les Parties coopèrent de bonne foi.

ARTICLE 12. VIOLATIONS DE DONNÉES À CARACTÈRE PERSONNEL

12.1. Doctoranytime notifie au Praticien toute Violation de Données à caractère personnel dans les meilleurs délais après en avoir pris connaissance et, au plus tard, dans un délai de quarante-huit (48) heures.

12.2. La notification comprend, dans la mesure où ces informations sont disponibles :

• La nature de la Violation, y compris, si possible, les catégories et le nombre approximatif de Personnes concernées et d’enregistrements de Données concernés ;
• Le nom et les coordonnées du délégué à la protection des données de Doctoranytime ou d’un autre point de contact ;
• Les conséquences probables de la Violation ;
• Les mesures prises ou proposées pour remédier à la Violation, y compris, le cas échéant, pour en atténuer les éventuelles conséquences négatives.

Lorsqu’il n’est pas possible de fournir toutes ces informations en même temps, elles peuvent être communiquées de manière échelonnée, sans autre retard indu.

12.3. Doctoranytime prend sans délai les mesures raisonnables pour contenir la Violation et en limiter les conséquences, documente celle-ci et coopère avec le Praticien afin de lui permettre de satisfaire à ses obligations au titre des articles 33 et 34 du RGPD.

12.4. Il appartient au Praticien, en tant que responsable du traitement, de décider de la notification de la Violation à l’Autorité de protection des données et de sa communication aux Personnes concernées. Doctoranytime ne procède à aucune notification ou communication pour le compte du Praticien sans l’instruction de ce dernier, sauf obligation légale.

12.5. La notification ou la gestion d’une Violation par une Partie ne constitue pas une reconnaissance de faute ou de responsabilité de sa part.

12.6. Lorsque Doctoranytime a connaissance d’une violation de données à caractère personnel affectant les données du Praticien traitées par DoctorManager, elle en informe le Praticien sans délai, afin qu’il puisse prendre les mesures nécessaires.

ARTICLE 13. ASSISTANCE ET COOPÉRATION

13.1. Compte tenu de la nature du Traitement et des informations à sa disposition, Doctoranytime aide le Praticien à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD.

13.2. Doctoranytime met à la disposition du Praticien la documentation nécessaire à cette fin, notamment la description d’eBuddy, des mesures techniques et organisationnelles et des Sous-traitants ultérieurs. Toute assistance allant au-delà de cette documentation et des obligations légales de Doctoranytime peut faire l’objet d’une facturation, sur devis préalablement accepté par le Praticien, sauf si elle est rendue nécessaire par un manquement de Doctoranytime.

13.3. Doctoranytime coopère avec l’Autorité de protection des données, à la demande de celle-ci ou du Praticien. Sauf interdiction légale, elle informe sans délai le Praticien de toute demande d’une autorité publique portant sur les Données.

ARTICLE 14. DÉLÉGUÉ À LA PROTECTION DES DONNÉES ET CONTACTS

14.1. Les Parties désignent les contacts suivants pour l’exécution des présentes Conditions de sous-traitance :

• Délégué à la protection des données de Doctoranytime (externe) : le cabinet d’avocats Lex4u (Frédéric Dechamps SRL), legal@doctoranytime.be ;
• Contact du Praticien : la personne et l’adresse e-mail désignées par le Praticien lors de la souscription ou ultérieurement, à défaut l’adresse e-mail figurant dans les conditions particulières ;
• Délégué à la protection des données du Praticien, le cas échéant : la personne dont le Praticien communique les coordonnées à Doctoranytime.

14.2. Les notifications prévues par les présentes Conditions de sous-traitance sont adressées par courrier électronique à ces contacts. Chaque Partie informe l’autre sans délai de toute modification de ses contacts.

ARTICLE 15. AUDITS

15.1. Doctoranytime met à la disposition du Praticien toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD et aux présentes Conditions de sous-traitance.

15.2. À cette fin, Doctoranytime communique en premier lieu, sur demande écrite, la documentation pertinente, notamment la description à jour des mesures techniques et organisationnelles, les certifications ou rapports d’audit dont elle dispose, et répond à un questionnaire de sécurité raisonnable, au maximum une fois par an.

15.3. Si les informations envoyées par Doctoranytime en premier lieu ne permettent pas raisonnablement de vérifier le respect des présentes Conditions de sous-traitance, le Praticien peut faire réaliser un audit aux conditions suivantes :

• L’audit est réalisé au maximum une fois par période de douze (12) mois, sauf en cas de Violation de Données à caractère personnel, de demande de l’Autorité de protection des données ou d’indices sérieux de manquement ;
• Il est notifié par écrit moyennant un préavis de trente (30) jours, son périmètre, sa date et sa durée étant convenus préalablement entre les Parties ;
• Il est réalisé aux frais du Praticien, par lui-même ou par un auditeur indépendant tenu à une obligation de confidentialité et qui n’est pas un concurrent de Doctoranytime ;
• Il se déroule pendant les heures de bureau, sans perturber de manière déraisonnable les activités de Doctoranytime, dans le respect de ses règles de sécurité et sans accès aux données des autres clients de Doctoranytime.

15.4. Une copie du rapport d’audit est remise gratuitement à Doctoranytime. Si l’audit révèle un manquement, Doctoranytime prend, à ses frais, les mesures correctrices nécessaires dans un délai convenu entre les Parties.

15.5. En ce qui concerne les Sous-traitants ultérieurs fournissant des services d’infrastructure standardisés, notamment d’hébergement en nuage, le droit d’audit s’exerce au moyen des certifications et rapports d’audit indépendants mis à disposition par ces Sous-traitants ultérieurs.

ARTICLE 16. SORT DES DONNÉES AU TERME DU CONTRAT

16.1. Au terme du Contrat, pour quelque cause que ce soit, Doctoranytime supprime les Données qu’elle détient elle-même pour le compte du Praticien, notamment celles reçues lors de la mise en place du compte, de l’import ou du support, sauf si le Praticien en demande la restitution dans un délai de nonante (90) jours.

16.2. La restitution et la suppression des Données hébergées dans eBuddy sont réalisées par DoctorManager, conformément aux conditions d’utilisation de DoctorManager : un export complet est remis au Praticien sur demande, dans les six (6) mois suivant la fin du contrat, puis les Données sont détruites ; elles disparaissent des sauvegardes au plus tard six (6) mois après leur suppression.

16.3. L’obligation de suppression ne s’applique pas lorsque le droit de l’Union européenne ou le droit belge exige la conservation des Données. Dans ce cas, Doctoranytime en informe le Praticien, garantit la confidentialité des Données et ne les traite qu’aux fins de cette conservation.

16.4. Doctoranytime confirme par écrit la suppression des Données, sur demande du Praticien.

16.5. Il appartient au Praticien d’obtenir, avant leur suppression, la restitution des Données qu’il est tenu de conserver en vertu de ses propres obligations légales, notamment l’obligation de conserver le dossier patient pendant 30 ans au minimum et 50 ans au maximum après le dernier contact (article 35 de la loi du 22 avril 2019 relative à la qualité de la pratique des soins de santé). Le présent article est sans effet sur les Données traitées par Doctoranytime et DoctorManager en qualité de responsables conjoints du traitement conformément à l’article 3 b).

ARTICLE 17. RESPONSABILITÉ

17.1. Dans leurs rapports réciproques et sans préjudice de l'article 82 du RGPD, chaque Partie est responsable des dommages résultant de la violation, par elle-même, de ses obligations au titre des présentes Conditions de sous-traitance ou de la Législation relative à la protection des données.

17.2. Les présentes Conditions de sous-traitance ne limitent pas les droits des Personnes concernées au titre de l'article 82 du RGPD. Lorsqu'une Partie a réparé la totalité d'un dommage subi par une Personne concernée, elle est en droit de réclamer à l'autre Partie, dès lors que celle-ci a participé au même traitement, la part de la réparation correspondant à sa part de responsabilité dans le dommage, conformément à l'article 82§5 du RGPD.

17.3. En tout état de cause et pour autant que sa responsabilité soit établie, la responsabilité totale de Doctoranytime au titre du Contrat est limitée au montant hors TVA payé par le Praticien au titre du Contrat pendant les 12 mois qui précèdent le fait générateur du dommage. Cette limitation ne s'applique pas en cas de faute intentionnelle, de faute lourde, de fraude, d'atteinte à la vie ou à l'intégrité physique, ni en cas de manquement à une obligation essentielle des présentes Conditions de sous-traitance, notamment les obligations de confidentialité et de sécurité.

ARTICLE 18. DURÉE ET RÉSILIATION

18.1. Les présentes Conditions de sous-traitance s’appliquent à compter de leur acceptation par le Praticien conformément à l’article 2.4. Elles demeurent applicables pendant toute la durée du Contrat et, au-delà, aussi longtemps que Doctoranytime traite des Données pour le compte du Praticien.

18.2. La fin du Contrat, pour quelque cause que ce soit, entraîne de plein droit la fin des présentes Conditions de sous-traitance, sans préjudice des articles 7, 16 et 17, qui survivent pour la durée nécessaire à leur exécution.

18.3. En cas de manquement grave d’une Partie à ses obligations au titre des présentes Conditions de sous-traitance, auquel il n’est pas remédié dans un délai de trente (30) jours suivant une mise en demeure écrite, l’autre Partie peut résilier le Contrat, sans préjudice de tout autre droit ou recours.

ARTICLE 19. MODIFICATIONS

19.1. Doctoranytime peut proposer de modifier les présentes Conditions de sous-traitance. Elle notifie au Praticien, par courrier électronique adressé au contact visé à l’article 14, la nouvelle version en indiquant les modifications apportées, au moins trente (30) jours avant la date d’entrée en vigueur proposée. La nouvelle version s’applique au Praticien à compter de son acceptation par celui-ci, selon les modalités prévues à l’article 2.4. À défaut d’acceptation, la version antérieure continue de s’appliquer au Praticien.

19.2. Par dérogation à l’article 19.1, l’Annexe 2 est mise à jour conformément à l’article 9 et l’Annexe 3 conformément à l’article 8.2.

19.3. Si une modification de la Législation relative à la protection des données, une décision d’une autorité de contrôle ou une décision de la Commission européenne requiert l’adaptation des présentes Conditions de sous-traitance, les Parties négocient de bonne foi les modifications nécessaires dans un délai raisonnable.

ARTICLE 20. NULLITÉ PARTIELLE

La nullité éventuelle d’une disposition des présentes Conditions de sous-traitance n’affecte pas la validité de leurs autres dispositions ni celle du Contrat. Les Parties s’efforcent de remplacer la disposition concernée par une disposition valide ayant un effet aussi proche que possible de celui initialement recherché.

ARTICLE 21. DROIT APPLICABLE ET JURIDICTIONS COMPÉTENTES

21.1. Les présentes Conditions de sous-traitance sont régies par le droit belge.

21.2. Tout litige relatif à la validité, à l’interprétation ou à l’exécution des présentes Conditions de sous-traitance relève de la compétence exclusive des tribunaux francophones de l’arrondissement judiciaire de Bruxelles.

ANNEXE 1. DESCRIPTION DES TRAITEMENTS EFFECTUÉS POUR LE COMPTE DU PRATICIEN

ANNEXE 2. SOUS-TRAITANTS ULTÉRIEURS AUTORISÉS

À la date d’acceptation des présentes Conditions de sous-traitance, Doctoranytime a recours aux Sous-traitants ultérieurs suivants :

ANNEXE 3. MESURES TECHNIQUES ET ORGANISATIONNELLES

A. Mesures mises en œuvre par Doctoranytime

1. Gouvernance de la protection des données

• Doctoranytime a adopté une politique de protection des données personnelles, publiée et régulièrement mise à jour.
• Un délégué à la protection des données est désigné. Il constitue le point de contact pour toute question relative à la protection des données et pour le signalement de tout incident : le cabinet d’avocats Lex4u (Frédéric Dechamps SRL) disponible à l’adresse legal@doctoranytime.be.
• Doctoranytime met en œuvre les mesures techniques et organisationnelles destinées à protéger les Données contre la destruction accidentelle ou délibérée, la perte, la modification non autorisée, la divulgation et l’accès non autorisé. Ces mesures sont régulièrement contrôlées.
• Le personnel ayant accès aux Données est soumis à une obligation de confidentialité. Toute information communiquée par les utilisateurs est traitée comme confidentielle. Une formation à la protection des données et à la sécurité est dispensée en interne.

2. Contrôle des accès

• Gestion des accès du personnel de Doctoranytime aux données du Praticien, sur base du principe du moindre privilège et gestion des profils habilités.
• Revue périodique des droits d’accès.
• Procédure de révocation des accès en cas de départ d’un collaborateur.

3. Gestion des incidents et des violations de données

• Procédure interne de détection, de qualification et de traitement des violations de Données établie.
• Documentation interne des violations de données dans le registre tenu par le DPO de Doctoranytime.

B. Sécurité du logiciel eBuddy

Les mesures de sécurité mises en œuvre par DoctorManager pour l’hébergement et le fonctionnement d’eBuddy relèvent des conditions d’utilisation de DoctorManager et de sa fiche sécurité, que DoctorManager communique au Praticien.

C. Transferts hors de l’Espace économique européen

• Les transferts éventuels vers des destinataires établis en dehors de l’Espace économique européen sont encadrés par des garanties appropriées au sens du chapitre V du RGPD, complétées, le cas échéant, de mesures techniques de sécurité additionnelles.
• Les destinataires concernés et les garanties applicables sont identifiés à l’Annexe 2.