Accord de sous-traitance des données (DPA)

Entre :

Le Client, tel qu'identifié lors de la souscription au service QR Santé, agissant en qualité de responsable de traitement (ci-après le « Responsable de traitement » ou le « Client ») ;

Et :

MOHAIOO FRANCE, société par actions simplifiée à associé unique au capital de 1 000 euros, dont le siège social est situé 11 rue de Verdun, 92150 Suresnes, immatriculée au RCS de Nanterre sous le numéro 130 984 123, représentée par M. Mohamed Omar SAYADI, Président, agissant en qualité de sous-traitant (ci-après le « Sous-traitant » ou « QR Santé »).

Ci-après ensemble les « Parties ».

Préambule. Le Client a souscrit au service QR Santé (ci-après le « Service »), qui permet à ses patients de remplir, consentir et signer un questionnaire médical en ligne et à son équipe d'en consulter, d'en exporter et d'en imprimer les réponses. Dans ce cadre, QR Santé traite pour le compte du Client des données personnelles, y compris des données de santé. Le présent accord (ci-après l'« Accord ») a pour objet de définir les conditions dans lesquelles QR Santé s'engage à effectuer ces traitements, conformément à l'article 28 du règlement (UE) 2016/679 (ci-après le « RGPD »), à la loi n° 78-17 du 6 janvier 1978 modifiée et aux articles L. 1111-8 et R. 1111-8-8 et suivants du code de la santé publique.

Article 1 – Définitions

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel », « données concernant la santé » et « analyse d'impact » ont le sens qui leur est donné par le RGPD. En outre :

• Données : les données à caractère personnel traitées par QR Santé pour le compte du Client au titre du Service, décrites à l'annexe 1 ;
• Sous-traitant ultérieur : tout sous-traitant auquel QR Santé fait appel pour mener des activités de traitement spécifiques pour le compte du Client ;
• Contrat : l'ensemble contractuel formé par les conditions générales de vente, les conditions générales d'utilisation et le présent Accord.

Article 2 – Objet

L'Accord définit les obligations des Parties relatives aux traitements des Données réalisés par QR Santé pour le compte du Client dans le cadre du Service. Les caractéristiques de ces traitements (objet, nature, finalité, durée, catégories de données et de personnes concernées) sont décrites à l'annexe 1.

Article 3 – Durée

L'Accord entre en vigueur à la date d'acceptation par le Client, y compris pendant la période d'essai, et demeure en vigueur pendant toute la durée du Contrat, puis jusqu'à la suppression ou la restitution complète des Données dans les conditions de l'article 12.

Article 4 – Instructions documentées

4.1. QR Santé ne traite les Données que sur instruction documentée du Client, y compris en ce qui concerne les transferts de Données vers un pays tiers. Constituent des instructions documentées : le Contrat, le présent Accord et le paramétrage du Service par le Client (contenu des formulaires, durée de conservation, gestion de l'équipe, demandes d'export ou d'effacement).

4.2. Si QR Santé est tenu de procéder à un traitement en vertu du droit de l'Union ou du droit français, il en informe le Client avant le traitement, sauf si ce droit l'interdit pour des motifs importants d'intérêt public.

4.3. QR Santé informe immédiatement le Client si, selon lui, une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou du droit des États membres relatives à la protection des données.

4.4. QR Santé s'interdit de traiter les Données pour son propre compte ou à d'autres fins que celles prévues à l'annexe 1, notamment à des fins commerciales, publicitaires, statistiques individuelles ou d'entraînement de modèles d'intelligence artificielle. Les deux événements anonymes envoyés par le formulaire patient (questionnaire commencé, questionnaire terminé avec sa durée de remplissage), enregistrés sans adresse IP, sans type de navigateur, sans cookie ni identifiant et rattachés au seul cabinet, lieu d'accueil et jour, ne contiennent aucune Donnée ; ils servent exclusivement aux statistiques de service mises à la disposition du Client, sont conservés 30 jours puis sous forme de totaux quotidiens 13 mois, ne sont pas envoyés lorsque le navigateur du patient demande à ne pas être suivi (Do Not Track, Global Privacy Control) et ne sont transmis à aucun tiers.

4.5. Signature à distance. Sur instruction du Client, QR Santé envoie à un patient, par courrier électronique, un document à signer à distance, avec les informations d'identité préremplies par le Client. Les consentements sont proposés aux patients uniquement de cette manière, jamais au moyen d'un QR code. Lors de l'envoi, l'Utilisateur du Client qui envoie le document (administrateur, personnel ou docteur) complète les champs prévus à cet effet (nom du praticien, textes, choix dans des listes) ; le patient complète, en texte libre, les champs laissés vides, puis signe. Les valeurs complétées lors de l'envoi sont enregistrées, chiffrées, avec la demande de signature, et le document signé, avec l'ensemble des valeurs complétées, est enregistré comme une réponse. L'adresse électronique du patient est traitée à cette seule fin ; elle est, comme les informations préremplies et les valeurs complétées, chiffrée au repos (annexe 2) et transmise pour l'envoi au seul Sous-traitant ultérieur d'envoi de courriers électroniques mentionné à l'annexe 3, avec le nom du cabinet, le titre du document et le lien de signature. Le lien est personnel, à usage unique et expire 7 jours après son envoi ; un nouvel envoi remplace le lien précédent. Le Client s'assure de disposer de l'adresse électronique du patient de manière licite et choisit des titres de documents qui ne révèlent pas d'information de santé.

Article 5 – Obligations du Sous-traitant

QR Santé s'engage à :

1. Confidentialité : veiller à ce que les personnes autorisées à traiter les Données s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et reçoivent la sensibilisation nécessaire en matière de protection des données ;
2. Sécurité : mettre en œuvre les mesures techniques et organisationnelles appropriées décrites à l'annexe 2, conformément à l'article 32 du RGPD, et les maintenir à jour au regard de l'état de l'art ;
3. Hébergement de données de santé : héberger les Données exclusivement auprès d'un hébergeur certifié Hébergeur de Données de Santé (HDS), en France, conformément à l'article L. 1111-8 du code de la santé publique ;
4. Minimisation : ne traiter que les Données nécessaires à la fourniture du Service et garantir que les environnements de développement et de recette n'utilisent que des données fictives ;
5. Journalisation : enregistrer dans un journal d'audit non modifiable les accès et opérations réalisés sur les Données, et mettre ce journal à la disposition du Client dans le Service ;
6. Accès du support : ne permettre l'accès de ses équipes au compte du Client que dans le cadre d'une session d'assistance motivée, limitée à 30 minutes, tracée et ne permettant ni la consultation détaillée, ni l'export, ni l'impression des réponses des patients ;
7. Registre : tenir un registre des catégories d'activités de traitement effectuées pour le compte du Client, conformément à l'article 30, paragraphe 2, du RGPD ;
8. Assistance : aider le Client à respecter ses obligations dans les conditions des articles 9 à 11 ;
9. Information : mettre à la disposition du Client toutes les informations nécessaires pour démontrer le respect de ses obligations et permettre la réalisation d'audits dans les conditions de l'article 13.

Article 6 – Obligations du Responsable de traitement

Le Client s'engage à :

1. disposer d'une base légale pour chaque traitement et, pour les données de santé, d'une condition de l'article 9, paragraphe 2, du RGPD ;
2. informer les patients conformément aux articles 13 et 14 du RGPD. Le Service met à disposition un texte d'information et de consentement que le Client vérifie et complète si nécessaire ;
3. déterminer la durée de conservation adaptée à sa pratique, la durée par défaut étant de 10 ans ;
4. ne collecter, au moyen des formulaires qu'il configure, que des données adéquates, pertinentes et limitées à ce qui est nécessaire ;
5. réaliser, s'il y a lieu, une analyse d'impact relative à la protection des données (article 35 du RGPD) ;
6. gérer les habilitations de son équipe, retirer sans délai les accès devenus inutiles et veiller au respect du secret professionnel par les personnes habilitées ;
7. traiter les demandes d'exercice de droits des patients ;
8. superviser le traitement, y compris par la réalisation d'audits.

Article 7 – Sous-traitants ultérieurs

7.1. Le Client accorde à QR Santé une autorisation générale de recourir aux Sous-traitants ultérieurs dont la liste figure à l'annexe 3 et sur la page Sous-traitants.

7.2. QR Santé informe le Client de tout projet d'ajout ou de remplacement d'un Sous-traitant ultérieur au moins 30 jours avant sa mise en œuvre, par courrier électronique adressé à l'administrateur du Client et par la mise à jour de la page Sous-traitants. Le Client peut formuler des objections motivées pendant ce délai. Si les Parties ne parviennent pas à une solution, le Client peut résilier le Contrat sans pénalité, avant la mise en œuvre du changement, la résiliation prenant effet à la date de celle-ci et ouvrant droit au remboursement de la fraction du prix correspondant à la période non consommée.

7.3. QR Santé impose à chaque Sous-traitant ultérieur, par contrat, les mêmes obligations en matière de protection des Données que celles prévues par l'Accord, en particulier des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. QR Santé demeure pleinement responsable envers le Client de l'exécution par ses Sous-traitants ultérieurs de leurs obligations.

Article 8 – Localisation et transferts

8.1. Les Données des patients sont hébergées et traitées exclusivement en France, sur l'infrastructure de l'hébergeur certifié HDS mentionné à l'annexe 3. Par exception, l'adresse électronique d'un patient à qui le Client envoie un document à signer à distance (article 4.5) est transmise au Sous-traitant ultérieur d'envoi de courriers électroniques mentionné à l'annexe 3, qui envoie le courrier depuis l'Union européenne (Irlande) ; cette société étant établie aux États-Unis, les éventuels transferts sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) et les clauses contractuelles types. Aucune réponse ni aucune donnée de santé n'est transférée vers un pays situé hors de l'Espace économique européen.

8.2. Tout transfert futur ne pourrait intervenir qu'après information préalable du Client dans les conditions de l'article 7 et moyennant l'une des garanties prévues au chapitre V du RGPD.

Article 9 – Droits des personnes concernées

9.1. Le Service met à la disposition du Client des outils lui permettant de répondre aux demandes des patients : recherche des réponses d'un patient par adresse électronique ou téléphone, export de ses données au format JSON (accès et portabilité), effacement définitif (effacement), consultation et impression (accès).

9.2. Lorsqu'un patient adresse directement à QR Santé une demande d'exercice de ses droits, QR Santé la transmet au Client par courrier électronique dans un délai de 5 jours ouvrés, sans y répondre lui-même sauf instruction du Client.

Article 10 – Notification des violations de données

10.1. QR Santé notifie au Client toute violation de données à caractère personnel affectant les Données dans un délai maximal de 48 heures après en avoir pris connaissance, par courrier électronique adressé à l'administrateur du Client.

10.2. La notification comprend, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, le nom et les coordonnées du point de contact, les conséquences probables, ainsi que les mesures prises ou envisagées pour y remédier et en atténuer les effets. Les informations peuvent être fournies de manière échelonnée.

10.3. Il appartient au Client, en sa qualité de responsable de traitement, de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées. QR Santé l'assiste dans ces démarches.

Article 11 – Analyse d'impact et consultation préalable

QR Santé fournit au Client, sur demande, les informations dont il dispose et qui sont nécessaires à la réalisation d'une analyse d'impact relative à la protection des données et, le cas échéant, à la consultation préalable de la CNIL (articles 35 et 36 du RGPD), notamment la description du Service, des flux de données et des mesures de sécurité.

Article 12 – Sort des Données en fin de Contrat

12.1. Pendant toute la durée du Contrat, le Client peut exporter les Données au moyen des outils du Service (CSV, XLSX, PDF, JSON).

12.2. À la fin du Contrat, le Client dispose d'une période de réversibilité de 30 jours à compter de la fin de l'abonnement, pendant laquelle le Service reste accessible en lecture seule pour lui permettre d'exporter les Données (formats PDF et CSV notamment), jusqu'à leur suppression. Au choix du Client, exprimé par écrit, QR Santé peut également lui restituer les Données dans un format structuré et couramment utilisé.

12.3. À l'issue de cette période, soit 30 jours après la fin de l'abonnement, QR Santé détruit l'ensemble des Données, y compris les copies, à l'exception des copies de sauvegarde, qui sont détruites au terme de leur cycle de rotation dans un délai maximal de 12 mois (politique de sauvegarde de l'hébergeur : 7 sauvegardes quotidiennes, 8 hebdomadaires et 12 mensuelles). QR Santé justifie par écrit de la destruction sur demande du Client.

12.4. En cours de Contrat, un traitement automatique exécuté chaque nuit détruit définitivement les Données dont la durée de conservation fixée par le Client est expirée, ainsi que celles supprimées par le Client depuis plus de 30 jours. Il ne détruit que ces Données ; chaque passage est consigné dans le journal d'audit du Client, sous la forme d'un nombre de réponses détruites. Les journaux d'audit, qui ne contiennent ni réponses ni données de santé, sont conservés à des fins de preuve.

Article 13 – Audits

13.1. QR Santé met à la disposition du Client la documentation nécessaire pour démontrer le respect de ses obligations (description des mesures de sécurité, certificats de l'hébergeur, liste des Sous-traitants ultérieurs) et répond aux questionnaires de sécurité raisonnables du Client.

13.2. Le Client peut faire réaliser, à ses frais, un audit sur pièces et, si nécessaire, sur place, au plus une fois par an sauf violation de données avérée, par un auditeur indépendant non concurrent de QR Santé et tenu à une obligation de confidentialité, moyennant un préavis de 30 jours. L'audit ne doit pas perturber le fonctionnement du Service ni porter atteinte à la confidentialité des données des autres clients. Le rapport d'audit est communiqué à QR Santé.

Article 14 – Responsabilité

Chaque Partie est responsable des dommages causés par un traitement qui ne respecte pas le RGPD dans les conditions de son article 82. Entre les Parties, les limitations de responsabilité prévues par l'article 15 des CGV s'appliquent, dans la mesure permise par la loi.

Article 15 – Dispositions finales

15.1. En cas de contradiction entre l'Accord et les autres documents du Contrat, l'Accord prévaut pour toute question relative à la protection des Données.

15.2. L'Accord peut être modifié pour tenir compte de l'évolution de la réglementation, des recommandations de la CNIL ou du Service, dans les conditions de modification prévues par les CGV.

15.3. L'Accord est régi par le droit français. Les stipulations de l'article 21 des CGV relatives au règlement des litiges s'appliquent.

Annexe 1 – Description du traitement

Annexe 2 – Mesures techniques et organisationnelles de sécurité

A. Chiffrement

• Chiffrement au niveau des champs : l'identité, les réponses et la signature de chaque patient sont chiffrées individuellement avec l'algorithme AES-256-GCM, avant leur enregistrement en base de données. Chaque valeur chiffrée est liée à son cabinet et à son champ (données authentifiées associées), ce qui empêche son déplacement vers un autre compte.
• Les clés de chiffrement sont distinctes de la base de données, stockées dans la configuration sécurisée du serveur, identifiées par version et peuvent faire l'objet d'une rotation sans perte d'accès aux données anciennes.
• La recherche par nom, adresse électronique ou téléphone utilise un index aveugle (empreintes HMAC-SHA-256 à clé secrète) : aucune donnée en clair n'est indexée.
• Chiffrement en transit : tous les échanges sont chiffrés par TLS (HTTPS), avec en-têtes de sécurité stricts.
• Les sauvegardes sont chiffrées.

B. Authentification et sessions

• Signature à distance : lien personnel, à usage unique, valable 7 jours, généré aléatoirement et stocké uniquement sous forme d'empreinte SHA-256 ; un nouvel envoi invalide le lien précédent. L'adresse électronique du patient, les informations préremplies et les valeurs complétées lors de l'envoi sont chiffrées au niveau des champs (AES-256-GCM), comme les réponses.
• Connexion sans mot de passe par lien magique envoyé par courrier électronique : lien personnel, à usage unique, valable 15 minutes, stocké uniquement sous forme d'empreinte SHA-256 ; limitation du nombre de demandes.
• Sessions gérées par cookie HttpOnly, Secure et SameSite, expirant après 90 jours sans activité, révoquées à la déconnexion et invalidées immédiatement en cas de désactivation de l'utilisateur ou de suspension du compte.
• Administration de la plateforme : sessions expirant après 7 jours sans activité et 30 jours au plus après la connexion, restriction par adresse IP.
• Protection contre la falsification de requêtes intersites par contrôle de l'origine des requêtes.

C. Contrôle des accès

• Isolement des cabinets : chaque requête est restreinte aux données du cabinet de l'utilisateur connecté, déterminé côté serveur à partir de la session ; une donnée d'un autre cabinet est traitée comme inexistante.
• Habilitations par rôle : administrateur (gestion de l'équipe, des formulaires, des paramètres et de la conformité, export des réponses), personnel et docteur, ces deux rôles ayant les mêmes droits (consultation et impression des réponses, envoi de documents à signer à distance).
• Accès du support QR Santé : uniquement par session d'assistance ouverte par un administrateur habilité de la plateforme, après saisie obligatoire d'un motif, limitée à 30 minutes, signalée par un bandeau et intégralement tracée ; la consultation détaillée, l'export et l'impression des réponses y sont bloqués.
• Principe du moindre privilège pour les accès d'administration technique aux serveurs.

D. Traçabilité et intégrité

• Journal d'audit en ajout seul : les consultations, impressions, exports, suppressions, restaurations, modifications de paramètres, connexions et sessions d'assistance sont enregistrés ; la base de données interdit toute modification ou suppression des entrées.
• Les journaux techniques de l'application masquent automatiquement les données personnelles et ne contiennent jamais de données de santé.
• Une empreinte SHA-256 des réponses est calculée lors de la transmission, permettant de vérifier leur intégrité.
• Protection contre les doubles envois (clé d'idempotence) et limitation du nombre de requêtes par adresse IP.

E. Disponibilité et résilience

• Hébergement chez Scalingo, hébergeur certifié HDS (certificat n° 38436), en France (région osc-fr1, Paris).
• Sauvegardes chiffrées de la base de données par l'hébergeur : sauvegarde complète quotidienne (conservation de 7 sauvegardes quotidiennes, 8 hebdomadaires et 12 mensuelles) et sauvegarde continue permettant une restauration à un instant donné sur les 7 derniers jours ; sauvegarde manuelle avant les mises en production à risque ; sauvegardes stockées en France, dans la région osc-fr1 (Paris), dupliquées sur ses trois zones de disponibilité ; test de restauration réalisé avant la mise en service puis périodiquement.
• Déploiements automatisés avec vérification de l'état de santé et retour arrière automatique.

F. Mesures organisationnelles

• Engagement de confidentialité des personnes habilitées.
• Environnements de développement et de recette alimentés exclusivement par des données fictives.
• Revue de code, tests automatisés et intégration continue ; suivi et application des mises à jour de sécurité des dépendances.
• Effacement automatique des données à l'expiration de la durée de conservation et purge quotidienne des liens de connexion expirés.
• Procédure de gestion des incidents et de notification des violations (article 10).

Annexe 3 – Sous-traitants ultérieurs autorisés

Ne sont pas des sous-traitants ultérieurs au titre du présent Accord, car ils ne reçoivent aucune donnée de patient : Stripe (paiement et facturation du Client, données de facturation uniquement) et Cloudflare (résolution DNS uniquement). Ils figurent sur la page Sous-traitants au titre des traitements dont QR Santé est responsable.