Accord de sous-traitance

Le responsable du traitement est le cabinet qui utilise Praxovi. Le sous-traitant est :

Subodh Yadav
Dr. med. dent. Jeong-Woo Yoo
c/o Smilezone
Bahnhofstrasse 32
6300 Zug
Schweiz

E-mail : subodh@praxovi.com

Nous mettons à la disposition du cabinet un logiciel d’organisation et traitons à cet effet des données personnelles sur son mandat. L’accord s’applique pendant la durée du contrat et au-delà, tant que nous traitons encore des données du cabinet.

Les données traitées dépendent des fonctions que le cabinet utilise :

• Collaborateurs du cabinet : nom, adresse e-mail, photo (si elle est enregistrée), fonction, taux d’occupation et durée d’engagement ; heures de travail, absences avec leur type (par exemple maladie), vacances et heures supplémentaires ; tâches accomplies, y compris des photos comme preuve ; entrées du journal du collaborateur et documents personnels ; messages du chat du cabinet ; données de connexion.
• Patientes et patients, dans la mesure où le cabinet utilise les fonctions correspondantes : appels à la réception IA (numéro, demande, numéro de rappel et déroulement de l’appel) ; demandes via le site du cabinet (nom, numéro de téléphone, demande, horaire souhaité) ; messages aux patients (l’adresse ou le numéro pour l’envoi, abrégé dans le journal) et réponses par SMS.
• Documents que le cabinet téléverse, avec les données qu’ils contiennent.

Il peut s’agir de données sensibles, par exemple des données de santé dans le type d’une absence ou dans la demande d’un appel. Praxovi ne tient ni dossiers patients ni facturation ; ils restent dans le logiciel de gestion du cabinet.

Nous traitons les données uniquement pour fournir, facturer, sécuriser et assister le service, et selon les instructions du cabinet ; ce que le cabinet configure et déclenche dans l’application vaut instruction. Nous n’utilisons pas les données pour de la publicité ni pour entraîner des modèles d’IA, et à nos propres fins sous une seule forme : à partir des journaux de serveur, nous établissons des chiffres d’utilisation hebdomadaires de l’ensemble de la plateforme, afin d’améliorer le service, par exemple la fréquence d’utilisation d’une fonction. Ils ne désignent ni des personnes ni des cabinets, et nous ne conservons un chiffre que si au moins trois cabinets y ont contribué.

Les personnes qui, chez Praxovi, ont accès aux données du cabinet sont tenues au secret et n’y accèdent que si l’exploitation et le support l’exigent. Sont en place aujourd’hui :

• Hébergement chez Google Cloud à Zurich ; transmission et stockage chiffrés.
• Connexion par un code unique envoyé par e-mail au lieu d’un mot de passe, sessions signées et rôles qui déterminent qui voit quoi. Chaque requête est limitée au cabinet concerné.
• Un journal de certains accès aux données du cabinet, par exemple des recherches dans la recherche documentaire IA, conservé séparément de l’exploitation.
• Les photos qui attestent les tâches d’hygiène sont conservées, et supprimées seulement après l’échéance de leur délai de conservation, sur confirmation de notre exploitant.

Sur demande, nous remettons au cabinet le détail des mesures techniques et organisationnelles.

Si nous apprenons une violation de la sécurité des données touchant des données du cabinet, nous l’en informons dans les meilleurs délais.

Le cabinet accepte que nous fassions appel aux sous-traitants suivants :

• Google Cloud : exploitation et stockage à Zurich ; les fonctions d’IA, y compris la reconnaissance et la synthèse vocales, dans l’UE.
• Twilio (Twilio Inc., États-Unis) : SMS et téléphonie, y compris pour la réception IA, et l’envoi d’e-mails.
• Microsoft (USA) : notre boîte aux lettres lorsque le cabinet nous écrit.
• Google (USA) : copies des avis destinés à l’exploitant, par exemple des retours envoyés depuis l’application.
• Les services push des éditeurs de navigateurs (par exemple Google, Apple, Mozilla) : ils transmettent les notifications aux appareils des collaborateurs.

Nous annonçons au cabinet tout autre sous-traitant au préalable par e-mail ; il peut s’y opposer pour de justes motifs.

Les données se trouvent en Suisse (Zurich). Pour les fonctions d’IA, elles sont traitées dans l’UE, dont le Conseil fédéral reconnaît la protection des données comme adéquate ; Twilio traite les SMS en Irlande. Twilio, Microsoft, Google et les services push peuvent aussi traiter des données aux États-Unis, et les journaux de serveur ne sont pas fixés en Suisse. Dans ces cas, nous nous appuyons sur les garanties des prestataires, par exemple le Swiss-U.S. Data Privacy Framework lorsqu’ils y sont certifiés, ou des clauses contractuelles types.

Nous assistons le cabinet dans la mesure de nos moyens lorsqu’il répond aux demandes des personnes concernées (accès, rectification, effacement, remise), établit une analyse d’impact ou annonce une violation de la sécurité des données au PFPDT. Le cabinet peut satisfaire lui-même de nombreuses demandes dans l’application, par exemple avec les exports.

Pendant 30 jours après la fin du contrat, le cabinet peut exporter ses données. Nous les supprimons ensuite dans les 90 jours.

Font exception les enregistrements qui doivent être conservés, notamment les preuves d’hygiène : nous les conservons jusqu’à l’échéance de leur délai de conservation, et les supprimons une fois celui-ci échu, sur confirmation de notre exploitant. Nous conservons séparément le journal des accès pendant dix ans.

Une preuve d’hygiène doit dire qui a effectué chaque étape ; c’est pourquoi le nom des collaborateurs qui l’ont effectuée y reste aussi longtemps que la preuve elle-même.

Le cabinet peut nous demander par écrit comment nous respectons cet accord et reçoit une réponse écrite. Un contrôle plus étendu est convenu au cas par cas.