Accord de traitement des données à caractère personnel (DPA)
Annexe au Contrat de collaboration Praticien
⚠️ Ce document encadre les responsabilités RGPD entre la Plateforme et le Praticien. La qualification exacte des rôles (responsables autonomes, responsabilité conjointe, ou sous-traitance) dépend de l'architecture réelle de votre traitement et doit être validée par un juriste / DPO.
1. Objet et cadre
Le présent accord définit les obligations respectives de la Plateforme et du Praticien concernant le traitement des données à caractère personnel des Utilisateurs, dans le cadre de l'exécution du Contrat de collaboration Praticien, conformément au RGPD (UE) 2016/679 et à la loi belge du 30 juillet 2018.
2. Répartition des rôles
2.1 La Plateforme est responsable du traitement pour : la gestion des comptes, la mise en relation, les paiements, la sécurité et le fonctionnement du service.
2.2 Le Praticien est responsable du traitement autonome pour les données qu'il collecte et traite dans le cadre de la relation de soin avec l'Utilisateur (dossier de suivi, notes, données de santé recueillies pendant la séance).
2.3 Pour la mise à disposition de l'outil d'agenda et l'hébergement technique de certaines données saisies par le Praticien, la Plateforme peut agir en qualité de sous-traitant du Praticien. Dans ce cas, les articles 4 à 10 s'appliquent.
3. Nature et finalité du traitement (sous-traitance)
- Objet : hébergement et traitement technique des données des Utilisateurs pour permettre la prestation.
- Durée : durée du Contrat.
- Nature des opérations : collecte, enregistrement, stockage, consultation, structuration.
- Catégories de personnes : Utilisateurs / patients du Praticien.
- Catégories de données : identification, coordonnées, rendez-vous, et le cas échéant données de santé (catégorie particulière — art. 9).
4. Obligations de la Plateforme en tant que sous-traitant
La Plateforme s'engage à :
- traiter les données uniquement sur instruction documentée du Praticien ;
- garantir la confidentialité (personnel soumis à une obligation de confidentialité) ;
- mettre en œuvre les mesures de sécurité appropriées (art. 32 RGPD) : chiffrement, contrôle d'accès, sauvegardes, journalisation ;
- n'avoir recours à des sous-traitants ultérieurs qu'avec autorisation et en leur imposant les mêmes obligations ;
- assister le Praticien pour répondre aux demandes d'exercice de droits et pour ses obligations de sécurité, de notification de violation et d'analyse d'impact ;
- notifier au Praticien toute violation de données dans les meilleurs délais (au plus tard 48 heures après en avoir pris connaissance) ;
- au terme du contrat, restituer ou supprimer les données selon le choix du Praticien, sauf obligation légale de conservation.
5. Obligations du Praticien
Le Praticien s'engage à :
- ne traiter que les données strictement nécessaires (minimisation) ;
- disposer d'une base légale valable (consentement explicite pour les données de santé, ou soins de santé — art. 9.2.a/h) ;
- informer les Utilisateurs de ses propres traitements ;
- respecter le secret professionnel et les règles déontologiques ;
- documenter ses traitements (registre) et sécuriser ses propres accès.
6. Sous-traitants ultérieurs
Le Praticien autorise la Plateforme à recourir aux sous-traitants techniques listés dans la Politique de confidentialité (hébergeur, paiement, e-mail, etc.). La Plateforme informe le Praticien de tout changement et lui permet de s'y opposer pour des motifs légitimes.
7. Transferts hors UE
Aucun transfert hors de l'EEE n'est réalisé sans garanties appropriées (clauses contractuelles types, décision d'adéquation).
8. Droits des personnes
La Plateforme met à disposition les fonctionnalités techniques permettant au Praticien et aux Utilisateurs d'exercer les droits d'accès, rectification, effacement, portabilité, etc., et assiste le Praticien dans le traitement de ces demandes.
9. Violation de données
Chaque Partie coopère pour identifier, documenter et, le cas échéant, notifier à l'Autorité de protection des données (dans les 72 heures) et aux personnes concernées toute violation de données à caractère personnel présentant un risque.
10. Audit
Le Praticien peut, moyennant préavis raisonnable et dans le respect de la confidentialité des autres clients de la Plateforme, demander la démonstration du respect des obligations du présent accord (documentation, attestations, certifications).
11. Durée
Le présent accord produit ses effets pendant toute la durée du Contrat de collaboration Praticien et pour toute la durée pendant laquelle des données sont traitées.
Document type fourni à titre informatif — à faire valider par un avocat/DPO avant signature.