Contrat de sous-traitance (DPA)

Rôles. Pour les données personnelles de vos appelants et des visiteurs de votre chat en ligne, vous êtes le responsable du traitement et nous sommes votre sous-traitant (LPD art. 5 let. j et k ; RGPD art. 4, points 7 et 8).

Droit applicable. Le « droit de la protection des données » désigne la LPD et l’OPDo suisses et, lorsqu’il s’applique, le RGPD. Le RGPD s’applique en particulier aux clients établis au Liechtenstein et aux personnes concernées dans l’EEE.

Ce que sont vos instructions. Nous ne traitons les données que sur vos instructions documentées (RGPD art. 28, par. 3, let. a). Vos instructions sont :

Seulement ce que vous pourriez faire vous-même. Nous ne traitons les données que comme vous seriez vous-même en droit de le faire (LPD art. 9, al. 1, let. a).

Instructions illicites. Si nous estimons qu’une instruction viole le droit de la protection des données, nous vous le signalons (RGPD art. 28, par. 3, dernier alinéa).

Obligations légales. Si la loi nous oblige à traiter des données autrement (par exemple sur ordre d’une autorité), nous vous en informons avant de le faire, sauf si la loi l’interdit.

Champ d’application. Cette clause s’applique si vous, ou les personnes qui travaillent pour vous, êtes tenus au secret professionnel. Exemples : l’art. 321 du Code pénal suisse (médecins, dentistes, chiropraticiens, pharmaciens, psychologues, physiothérapeutes et autres professions de la santé, ainsi que leurs auxiliaires), le droit cantonal de la santé ou le droit du Liechtenstein.

Nous agissons comme votre auxiliaire. Nous agissons comme votre auxiliaire au sens de l’art. 321, ch. 1, du Code pénal suisse.

La même obligation pour toutes les personnes impliquées. Nous astreignons par écrit au même secret toute personne qui a accès. Avec nos sous-traitants ultérieurs, nous convenons de clauses de confidentialité au moins aussi protectrices que la présente clause, dans la mesure où les conditions de chaque prestataire le permettent.

Messages aux détenteurs de secrets. Pour les détenteurs de secrets, aucun contenu d’appel n’est envoyé à un canal de messages : le choix de plus de détails n’est pas proposé aux établissements de santé, et les conditions générales client l’interdisent à tout autre détenteur de secrets (conditions générales client, clause 6.2). Les messages après un appel contiennent alors seulement le numéro de l’appelant, l’heure, et si un rappel a été demandé et si l’appel est urgent.

Votre propre obligation reste la vôtre. Votre propre obligation de secret, et la décision de savoir si l’utilisation d’Oraklo est compatible avec elle, restent les vôtres. Cela comprend la question de savoir si vous devez informer vos patients ou vos clients ou obtenir leur consentement.

Sans limite de durée. Cette clause continue de s’appliquer sans limite de durée après la fin du contrat.

Les appelants peuvent parler à l’assistant de leur santé, de leur religion ou d’autres sujets. Ce sont des données sensibles (LPD art. 5, let. c ; RGPD art. 9, par. 1). Nous traitons chaque enregistrement d’appel comme pouvant contenir des données sensibles :

Il vous appartient de juger si vous avez besoin d’une analyse d’impact relative à la protection des données (LPD art. 22 ; RGPD art. 35). Nous vous aidons avec les informations nécessaires (clause 11).

Votre autorisation. Vous nous autorisez de manière générale à recourir aux sous-traitants ultérieurs de l’annexe 2 (LPD art. 9, al. 3 ; RGPD art. 28, par. 2). L’annexe 2 est aussi publiée, et tenue à jour, sur notre page d’informations légales.

Sous-traitants ultérieurs nouveaux ou remplacés. Nous vous informons par e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur qui traite les données de vos appelants. Vous pouvez vous y opposer, avec motifs, dans ces 30 jours. Si nous ne pouvons pas répondre à votre opposition, vous pouvez mettre fin au contrat sans frais avant que le changement prenne effet. Pour un changement à bref délai nécessaire à la sécurité ou à la continuité, le préavis peut être plus court, et nous expliquons pourquoi.

Les mêmes obligations s’appliquent à eux. Nous imposons des obligations de protection des données à chaque sous-traitant ultérieur dans un contrat, en acceptant les conditions de sous-traitance du prestataire. Ces obligations doivent être aussi protectrices que le présent DPA, dans la mesure du possible (RGPD art. 28, par. 4).

Où nous transférons, et sur quelle base. Nous ne transférons des données personnelles à l’étranger que sur l’une de ces bases :

Données provenant de l’EEE. Les données provenant du Liechtenstein ou du reste de l’EEE sont traitées en Suisse et en Allemagne. La Suisse est reconnue comme adéquate par la Commission européenne (décision 2000/518/CE). Les transferts ultérieurs vers les États-Unis n’ont lieu que sur l’une des bases de la clause 9.1.

Si vous nous demandez de remettre les messages après un appel à un canal de votre choix (Telegram, ou votre adresse e-mail), nous les y remettons sur votre instruction.

Ce que nous remettons :

Nous ne conservons que l’identifiant de votre chat et l’état de remise.

Demandes des personnes concernées. Si une personne concernée s’adresse directement à nous pour exercer ses droits, nous vous transmettons la demande dans les 5 jours ouvrables et n’y répondons pas nous-mêmes, sauf si vous nous le demandez. Nous vous aidons à répondre, via le tableau de bord ou manuellement (RGPD art. 28, par. 3, let. e ; LPD art. 25 ss).

Vos autres obligations. Nous vous aidons pour la sécurité, la notification des violations, les analyses d’impact et la consultation préalable de l’autorité (LPD art. 22 à 24 ; RGPD art. 32 à 36), avec les informations dont nous disposons.

Coût. L’assistance qui va au-delà de ce que fait le tableau de bord peut être facturée à un tarif horaire, si nous en convenons avec vous à l’avance. L’assistance rendue nécessaire par notre propre manquement est gratuite.

Phrase pour votre propre déclaration de confidentialité. Vous pouvez l’utiliser telle quelle :

Nous vous informons dans les meilleurs délais, et nous visons à le faire dans les 48 heures après avoir pris connaissance d’une violation de la sécurité des données qui touche vos données (LPD art. 24, al. 3 ; RGPD art. 33, par. 2).

L’annonce indique, dans la mesure où cela est connu à ce moment :

Pendant le contrat. Les enregistrements d’appels (transcription, heure, numéro de l’appelant, message) sont supprimés automatiquement 30 jours après l’appel, et les données du chat du site web 30 jours après le dernier message.

À la fin du contrat. Les enregistrements d’appels restants sont supprimés au plus tard 30 jours après la fin. Des sauvegardes chiffrées peuvent en conserver une copie jusqu’à 35 jours de plus, après quoi elle est écrasée. Avant la fin, vous pouvez nous demander une copie de vos enregistrements, et nous supprimons plus tôt si vous le demandez (RGPD art. 28, par. 3, let. g).

Enregistrement du numéro. À la fin du contrat, nous demandons à Twilio de supprimer l’enregistrement de votre numéro, sauf si Twilio doit le conserver en vertu de la loi.

Conservation légale. Nous ne conservons des données plus longtemps que lorsque la loi nous y oblige.

Nous mettons à votre disposition les informations dont vous avez besoin pour démontrer le respect du présent DPA (RGPD art. 28, par. 3, let. h) :

Vous pouvez faire réaliser un audit sur place :

Le présent DPA s’applique aussi longtemps que nous traitons vos données. Les clauses 5, 13 et 16 continuent de s’appliquer après la fin du contrat.

En cas de contradiction entre le présent DPA et les conditions générales client, le présent DPA prévaut pour la protection des données.