Accord de traitement de données pour les professionnels de la santé

Objet de ce document

Ce document (l’Accord) établit le cadre contractuel dans lequel Rosa traite des données à caractère personnel pour le compte de ses clients professionnels. Ce document fait partie du contrat entre Vous (le 'Client' tel que défini dans les conditions de Services pour les professionnels de la santé) et Rosa (le Contrat).

“Rosa” désigne Rosa ASBL, une association sans but lucratif établie à Cantersteen 10, 1000 Bruxelles, numéro d’entreprise 0745.832.604. Pour contacter Rosa à propos du traitement de données à caractère personnel ou pour exercer vos droits établis par ce contrat, Vous pouvez envoyer un email à gdpr@rosa.be.

Chaque partie doit se conformer à toutes les lois applicables en matière de confidentialité, y compris les lois sur la protection de la vie privée et des données à caractère personnel en vigueur en Belgique, y compris, sans limitation, le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD), en ce qui concerne toute collecte, utilisation, stockage, divulgation et toute autre activité de traitement des données à caractère personnel dans le cadre de ce contrat de traitement des données.

Traitements de données couverts par cet Accord

Les activités de traitement de données de Rosa sont listées et décrites dans la politique de vie privée de Rosa. Ce contrat ne vise que les traitements entrant dans la catégorie “Données que Rosa traite pour le compte des professionnels de la santé”.

Votre rôle comme responsable de traitement

Vous êtes le responsable de traitement pour les traitements de données visées par cet Accord, parce que:

Ces traitements sont principalement entrepris pour Vos besoins professionnels;
Vous prenez la décision de mettre en oeuvre ces traitements (en activant la fonctionnalité correspondante ou en commençant à utiliser un service) et Vous déterminez les finalités et les moyens du traitement, et
Vous supervisez les informations collectées et enregistrées lors de ces traitements.

En tant que responsable de traitement, Vous êtes responsable des activités de traitement couvertes par cet Accord, y compris, mais sans s'y limiter, à Vous assurer que Vous disposez d'une base légale valide pour les activités de traitement couvertes par cet Accord et que Vos Utilisateurs (le cas échéant) et Vos patients (ou autres personnes concernées, le cas échéant) sont informés de ces activités de traitement. Vous acceptez de fournir à Rosa les instructions et la documentation nécessaires pour permettre à Rosa de remplir ses obligations en tant que sous-traitant.

Obligation générale de Rosa comme sous-traitant

En tant que sous-traitant, Rosa effectue les traitements de données personnelles visés par ce contrat pour votre compte, pour les catégories de données, catégories de personnes et finalités qui sont décrites, pour chaque traitement, dans la politique de vie privée de Rosa. Rosa ne peut pas traiter les données personnelles visées par ce contrat à d’autres fins.

Rosa est soumise à certaines obligations légales en tant que sous-traitant, et doit également vous aider à remplir certaines de vos obligations légales, comme décrit dans ce contrat.

Obligation de confidentialité de Rosa

En tant que sous-traitant, Rosa traite les données à caractère personnel couvertes par cet Accord pour Votre compte, dans la mesure nécessaire à l’exécution du Contrat et conformément à Vos instructions documentées, pour les catégories de données, les catégories de personnes et les finalités qui sont décrites, pour chaque activité de traitement, dans la section “Données que Rosa traite pour le compte des professionnels de la santé” de la politique de vie privée de Rosa. Rosa ne peut pas traiter les données à caractère personnel visées par cet Accord à d’autres fins.

Rosa doit Vous informer immédiatement si, selon elle, une instruction constitue une violation du RGPD ou d’une autre loi applicable en matière de protection des données.

Lorsque cela est nécessaire et dans les conditions de cet Accord (le cas échéant), Rosa Vous assistera pour garantir la conformité à Vos obligations conformément aux articles 32 à 36 du RGPD, y compris en ce qui concerne les droits des personnes concernées, les analyses d'impact relatives à la protection des données et les rapports aux autorités de contrôle et les consultations avec elles, en tenant compte de la nature du traitement et des informations dont dispose Rosa. Dans la mesure permise par la loi, Rosa peut Vous facturer les frais raisonnables découlant de la fourniture de cette assistance.

De plus, à la demande des autorités administratives et judiciaires autorisées, Rosa peut communiquer les données à caractère personnel qu'elle traite pour Votre compte, afin de se conformer à ses obligations légales. Dans ces cas, et si cela est légalement autorisé, Rosa s'engage à Vous informer de cette communication.

Obligation de confidentialité de Rosa

Rosa doit traiter les données à caractère personnel visées par cet Accord confidentiellement. Rosa peut uniquement divulguer ces données à caractère personnel à des tiers si cette divulgation est prévue par la politique de vie privée de Rosa ou cet Accord, si elle est requise par la loi, ou si Vous l’autorisez.

Rosa doit s’assurer que son personnel et ses sous-traitants qui ont accès aux données à caractère personnel visées par cet Accord sont liés par des obligations de confidentialité appropriées.

Obligation de sécurité de Rosa

Rosa doit mettre en place des mesures de sécurité appropriées pour protéger les données à caractère personnel visées par cet Accord contre les accès, modifications, destructions non-autorisés et contre la perte accidentelle ou illégale . Rosa s’appuie sur des services ou technologies fournis par des sous-traitants pour une partie de ces mesures.

Les mesures actuellement en place sont décrites dans le document Technical and Organisational Security Measures

Rosa doit évaluer ces mesures de sécurité de temps en temps et doit les adapter si nécessaire, en tenant compte de l’évolution des risques, de la technologie et du coût de ces mesures.

Recours à des sous-traitants

Vous autorisez Rosa à utiliser les services fournis par d’autres sociétés pour effectuer les traitements de données visés par cet Accord.

Rosa doit sélectionner des sous-traitants qui mettent en place des mesures de sécurité appropriées. Les contrats entre Rosa et ses sous-traitants doivent être cohérents avec cet Accord.

La liste des sous-traitants de Rosa est disponible ici : Data Processors.

Rosa Vous informera si elle change de sous-traitant ou utilise un nouveau sous-traitant, afin de Vous donner l'opportunité de Vous opposer à de tels changements dans les 30 jours suivant la réception de la notification. Si Vous avez des objections concernant l'intention de Rosa de désigner un nouveau sous-traitant, veuillez contacter Rosa par email, étant entendu que Vous ne pouvez Vous opposer à cette nomination que par écrit et sur base de motifs raisonnables et justifiés. Après discussion et en l'absence d'accord entre Vous et Rosa dans un délai de 30 jours, Vous pouvez résilier le Contrat. En l'absence de toute objection de Votre part, Vous serez réputé avoir approuvé et accepté ce nouveau sous-traitant.

Sous réserve de la clause de limitation de responsabilité énoncée dans cet Accord, Rosa restera pleinement responsable envers Vous de l'exécution des obligations de ses sous-traitants en vertu du RGPD.

Transfert de données personnelles

Rosa ne transférera des données à caractère personnel vers un pays en dehors de l'Espace économique européen (EEE) que sur la base d'un mécanisme de transfert de données à caractère personnel conforme aux dispositions du RGPD : (1) une décision d'adéquation, (2) des garanties appropriées (y compris les clauses contractuelles types adoptées par la Commission européenne ou les règles d'entreprise contraignantes), (3) des dérogations autorisées par le RGPD dans des situations spécifiques et après que Vous ayez donné Votre consentement écrit préalable pour le transfert.

Traitement des demandes des personnes concernées pour déposer une plainte ou exercer leurs droits en vertu du RGPD

Si Rosa reçoit une demande ou une plainte d'une personne concernée concernant une activité de traitement des données couverte par cet Accord, Rosa Vous en informera sans retard injustifié. Sauf accord contraire entre les parties, Vous êtes responsable du traitement et de la réponse à ces demandes.

À Votre demande, Rosa Vous fournira une assistance et des informations raisonnables dont Vous avez besoin pour répondre à une demande d'une personne concernée ou pour traiter une plainte. Les parties doivent coopérer et s'efforcer de bonne foi de parvenir à une réponse mutuellement satisfaisante à la demande ou à une résolution de la plainte. Dans la mesure permise par la loi, Rosa peut Vous facturer les frais raisonnables découlant de la fourniture de cette assistance.

Procédure en cas de violation de données

Si une partie constate ou soupçonne une violation de données à caractère personnel ou une violation de la sécurité en relation avec une activité de traitement des données couverte par cet Accord, elle doit en informer l'autre partie sans retard injustifié. Les parties doivent coopérer pour enquêter et, le cas échéant, atténuer les risques associés à l'incident, et Rosa doit Vous assister pour respecter Vos obligations en vertu de l'article 33 du RGPD et, le cas échéant, de l'article 34 du RGPD, et doit coopérer raisonnablement avec toute enquête.

En tout état de cause, Rosa Vous tiendra informé, dans la mesure du possible, des éléments suivants :

la nature et l'étendue de la violation de données ;
les catégories et le nombre estimé de personnes concernées affectées ;
les coordonnées d'un point de contact où des informations supplémentaires concernant la violation de données peuvent être obtenues ;
la (présumée) cause et la date à laquelle la violation de données est survenue (si aucune date exacte n'est connue, la période au cours de laquelle la violation s'est produite) ;
les conséquences probables de la violation ;
les mesures prises par Rosa ou conseillées par Rosa pour atténuer les conséquences de la violation ;
les décisions prises par Rosa concernant une notification aux autorités de régulation et aux personnes concernées.

Dans les cas où il n'est pas possible de fournir toutes ces informations en même temps, la notification initiale contiendra les informations alors disponibles, et des informations complémentaires seront fournies ultérieurement sans retard injustifié à mesure qu'elles seront disponibles.

Sauf accord contraire entre les parties, Vous êtes responsable de signaler (le cas échéant) toute violation de données aux autorités de contrôle et aux personnes concernées conformément aux lois applicables.

Droits d’audit

Rosa mettra à Votre disposition, en toute confidentialité, toutes les informations pertinentes nécessaires pour démontrer le respect des obligations énoncées dans cet Accord et permettra, ainsi que contribuera aux audits, y compris les inspections, effectués à Vos frais, par un auditeur indépendant mandaté par Vous. Les auditeurs ne doivent pas être un concurrent de Rosa et doivent être soumis à des obligations de confidentialité. Les audits et inspections auront lieu pendant les heures normales de travail de Rosa, à un moment convenu à l'avance entre les parties, et ne doivent pas interférer de manière déraisonnable avec les activités commerciales de Rosa. Un tel audit ne peut avoir lieu plus d'une fois par année contractuelle (sauf si l'audit est effectué en réponse à une demande d'une autorité de contrôle) et doit faire l'objet d'un préavis écrit d'au moins trente (30) jours.

Vous et vos auditeurs devez garder confidentielles les informations divulguées dans le cadre d'un audit et ne les utiliser que dans le but de vérifier la conformité de Rosa avec cet Accord.

Les conclusions de l'audit seront évaluées par les parties en consultation mutuelle et, si nécessaire, conduiront à la mise en œuvre d'ajustements par l'une des parties ou conjointement par les deux parties, dans la mesure où cela est raisonnable dans le cadre de l'exécution du Contrat.

Responsabilité

La responsabilité de Rosa envers Vous en vertu de cet Accord est soumise aux limitations et exclusions prévues dans le Contrat. Rosa ne pourra en aucun cas être tenue responsable en vertu de cet Accord que si elle a manqué à ses obligations spécifiques en vertu du RGPD, ou si elle a agi en dehors ou en violation de Vos instructions légales.

Durée des traitements

Cet Accord restera en vigueur tant que le Contrat restera en vigueur, ou tant que Rosa conservera des données à caractère personnel liées au Contrat en sa possession.

Sauf accord contraire entre les parties, Rosa conservera les données à caractère personnel pendant la durée du Contrat.

Vous pouvez demander à Rosa de supprimer des données à caractère personnel dont Vous êtes responsable et qui ne sont plus nécessaires pour finalités envisagées avant la résiliation du Contrat.

À la résiliation du Contrat, Rosa devra, dans un délai de 30 jours, supprimer ou Vous rendre toutes les données à caractère personnel et supprimer les copies existantes, sauf si la législation de l'Union ou la législation belge exige une conservation plus longue des données à caractère personnel.

Communications

Vous reconnaissez que l’envoi d’emails à l’adresse de contact principale renseignée dans Votre compte est un moyen valable de communiquer avec Vous à propos de cet Accord. Vous devez maintenir cette adresse à jour.

Modification de ce contrat de traitement de données

Cet Accord est à jour en date du 9 octobre 2024. Des modifications ont été apportées à la version précédente afin d'améliorer la conformité avec le RGPD. Rosa peut modifier cet Accord mais doit annoncer toute modification substantielle à l’avance ainsi que la date à laquelle elle prendra effet. Le Contrat entre Vous et Rosa sera modifié en conséquence à partir de cette date. Toute modification non-substantielle entrera en vigueur à la date de sa publication sur le site internet de Rosa.

Droit applicable et litiges

Cet Accord sera régi par, et interprété conformément aux lois et autres clauses diverses applicables au Contrat. S’il n’est malheureusement pas possible de régler à l’amiable un litige entre Vous et Rosa, les tribunaux compétents de Bruxelles, section française ou néerlandaise, trancheront le litige.

Divers

En cas de conflit ou d'ambiguïté entre une disposition de cet Accord et les dispositions du Contrat, les dispositions de cet Accord prévaudront.

Toute disposition de cet Accord qui, expressément ou implicitement, doit entrer en vigueur ou continuer à être en vigueur après la résiliation du Contrat restera en vigueur et de plein effet.

Les termes non définis dans cet Accord mais définis dans le RGPD auront la même signification que dans le RGPD.

Si l'une des dispositions de cet Accord est jugée invalide, illégale ou inapplicable, la validité, la légalité et l'applicabilité des autres dispositions cet Accord ne seront pas affectées, et la disposition invalide, illégale ou inapplicable sera automatiquement remplacée par une clause dont l'effet se rapproche autant que possible de celui de la disposition invalide, illégale ou inapplicable.