1. Rôles et instructions
Le client agit en qualité de responsable du traitement pour les données de cabinet. Fintrate LTD agit en qualité de sous-traitant et ne traite ces données que sur instruction documentée du client, notamment les paramètres du service, l’utilisation de ses fonctions et les demandes écrites autorisées.
Si une instruction paraît contraire au droit applicable, Fintrate LTD en informe le client et peut suspendre son exécution le temps d’une clarification. Le client garantit disposer d’une base juridique et, pour les données de santé, d’une condition conforme à l’article 9 du RGPD.
2. Obligations du sous-traitant
- Limiter l’accès aux personnes soumises à une obligation de confidentialité.
- Mettre en œuvre les mesures de sécurité publiées et celles prévues par la commande.
- Aider raisonnablement le client à répondre aux droits des personnes, à documenter une analyse d’impact et à échanger avec une autorité de contrôle.
- Informer le client sans délai indu après confirmation d’une violation de données affectant les données confiées et lui communiquer les informations disponibles.
- Tenir à disposition les informations nécessaires pour démontrer le respect de cet accord.
3. Sous-traitants ultérieurs
Le client donne une autorisation générale pour les prestataires inscrits au registre public. Fintrate LTD leur impose des obligations de protection substantiellement équivalentes et reste responsable de leurs prestations au titre du présent accord.
Une modification importante du registre est annoncée avant son entrée en vigueur lorsqu’elle concerne des données de cabinet. Le client peut formuler une objection motivée par la protection des données ; les parties recherchent alors une solution raisonnable.
4. Localisation et transferts
Le service est destiné aux professionnels établis en France. Les données de santé confiées au service ne sont activées en production qu’avec une chaîne d’hébergement répondant aux exigences françaises applicables, notamment HDS lorsque requis.
Tout transfert hors de l’Espace économique européen qui ne bénéficie pas d’une décision d’adéquation doit reposer sur un mécanisme valable et des mesures complémentaires adaptées au risque.
5. Droits, audits et coopération
Fintrate LTD transmet au client les demandes reçues directement au sujet de données de cabinet et ne répond pas à la place du client sauf instruction ou obligation légale. Le client peut demander les éléments raisonnablement nécessaires à son contrôle.
Un audit doit respecter la confidentialité, la sécurité des autres clients et un préavis raisonnable. Les attestations, questionnaires et preuves documentaires sont privilégiés avant une inspection sur site.
6. Fin du service
À la fin du service, le client peut demander la restitution ou la suppression des données de cabinet selon les fonctions disponibles et le contrat. Fintrate LTD supprime ensuite les copies restantes selon son cycle de suppression, sauf conservation imposée par la loi.
Les obligations de confidentialité, de sécurité et de suppression survivent pendant la période nécessaire à la clôture du traitement.
7. Ordre de priorité
La commande identifie le client, la durée, les services et les éventuelles instructions particulières. La description des traitements et les mesures de sécurité font partie du présent accord. En cas de contradiction sur la protection des données, le présent accord prévaut sur les conditions générales, puis la commande prévaut lorsqu’elle renforce la protection.