Le SOUS-TRAITANT peut ajouter ou remplacer un SOUS-TRAITANT ultérieur. Dans ce cas il s’engage à informer le CLIENT par le moyen de son choix.  Le CLIENT disposera alors d’un délai de dix (10) jours calendaires à partir de la notification pour présenter ses objections sur un motif valable relatif à la protection des Données personnelles. A défaut d’objection du CLIENT dans ce délai, le SOUS-TRAITANT ultérieur sera considéré comme accepté par le CLIENT, sous réserve de l’établissement d’un contrat de sous-traitance ultérieur imposant des obligations de confidentialités et de sécurité au moins équivalentes à celles de l’Accord avant le transfert des Données au SOUS-TRAITANT ultérieur.

Le(s) SOUS-TRAITANT(s) ultérieurs sont donc tenus de respecter les obligations du Contrat incluant les obligations du présent Accord, pour le compte et selon les instructions du CLIENT agissant le cas échéant au nom du RESPONSABLE DE TRAITEMENT.

Dans le cas où le CLIENT s’oppose à la désignation d’un SOUS-TRAITANT ultérieur dans les conditions décrites ci-dessus, chacune des Parties pourra résilier le Contrat avec un préavis d’un (1) mois suivant les modalités de l’article 15 du Contrat.

D’ores et déjà le CLIENT, le cas échéant au nom et pour le compte du RESPONSABLE DE TRAITEMENT, accepte le recours aux sous-traitants identifiés dans l’annexe 1.

Le CLIENT reconnaît qu’en respectant ses obligations au titre du présent article, NABLA se conforme à ses obligations au titre de l’article 28.2 du RGPD.

  1. EXERCICE DES DROITS DES PERSONNES CONCERNEES

Dans la mesure du possible, le SOUS-TRAITANT doit aider le CLIENT à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des Personnes concernées : droit d’accès, de rectification, d’effacement et d’opposition, droit à la limitation du Traitement, droit à la portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage).

Dans l’hypothèse où le SOUS-TRAITANT serait destinataire de demandes émanant de Personnes concernées, le SOUS-TRAITANT s’engage à transmettre ces demandes au CLIENT ou le cas échéant au RESPONSABLE DE TRAITEMENT sans délai, à l’adresse électronique fourni par le CLIENT.

Les prestations de gestion de l’exercice des droits des personnes au nom et pour le compte du RESPONSABLE DE TRAITEMENT seront facturées au CLIENT selon les tarifs définis au Contrat.

Une procédure de gestion de l’exercice des droits est convenue entre les Parties et visée en annexe 2 du présent Accord.

  1. NOTIFICATION DES VIOLATIONS DE DONNEES A CARACTERE PERSONNEL

Le SOUS-TRAITANT notifie au CLIENT toute violation de Données à caractère personnel dans un délai maximum de 48 heures à compter de la découverte de la violation en adressant à l’adresse électronique fournie par le CLIENT, les informations suivantes :

  • Description de la nature de la Violation de Données à caractère personnel (y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés) ;
  • Description des conséquences probables de la Violation de Données à caractère personnel ;
  • Description des mesures prises ou proposées pour remédier à la violation de données à caractère personnel.

Cette notification est accompagnée de toute documentation utile afin de permettre au CLIENT et le cas échéant au RESPONSABLE DE TRAITEMENT, si nécessaire, de notifier cette violation à l’Autorité de contrôle.

Compte tenu de la nature du Traitement et des informations à sa disposition, le SOUS-TRAITANT aide également le CLIENT et le cas échéant le RESPONSABLE DE TRAITEMENT à notifier les Violations de Données à caractère personnel aux Personnes concernées.

  1. AIDE DU RESPONSABLE DE TRAITEMENT, PAR LE SOUS-TRAITANT, A S’ACQUITTER DE SES OBLIGATIONS

Le cas échéant, et sur demande du CLIENT, le SOUS-TRAITANT aide le CLIENT pour la réalisation d’analyses d’impact relative à la protection des données principalement pour ce qui concerne l’identification des mesures de protection en place ou prévue pour le Traitement.

Le cas échéant, et sur demande du CLIENT, le SOUS-TRAITANT aide le CLIENT pour la réalisation de la demande d’autorisation préalable auprès de la CNIL ou de l’autorité de contrôle compétente.

  1. MESURES DE SECURITE

Le SOUS-TRAITANT s’engage à mettre en œuvre les mesures techniques et organisationnelles de sécurité adéquates à la protection du Traitement et des Données.

Lorsque les opérations réalisées par le SOUS-TRAITANT sur les données portent sur des Données hébergées par un hébergeur agréé/certifié de données de santé à caractère personnel désigné par le SOUS-TRAITANT à l’article 6 du présent Accord, le CLIENT s’engage à respecter et à faire respecter strictement par les Utilisateurs les mesures de sécurité définies par cet hébergeur, en ce compris notamment l’accès par authentification forte aux Données.

  1. SORT DES DONNEES

Au terme des prestations relatives au Traitement, le SOUS-TRAITANT s’engage, sur demande et au choix du CLIENT, le cas échéant pour le compte du RESPONSABLE DE TRAITEMENT, à restituer les Données à caractère personnel au CLIENT ou au RESPONSABLE DE TRAITEMENT de façon sécurisée définie par le CLIENT ou le cas échéant par le RESPONSABLE DE TRAITEMENT ou à défaut d’effacer toutes les Données à caractère personnel.

  1. REUTILISATION

En raison des investissements financiers, matériels et humains substantiels réalisés par le SOUS-TRAITANT dans le cadre du Contrat pour le développement et la mise à jour de la Solution, le SOUS-TRAITANT souhaite pouvoir réutiliser les Données traitées dans le cadre du Contrat.

Le CLIENT, le cas échéant au nom du RESPONSABLE DE TRAITEMENT, garantit que les personnes concernées ont été informées et ont donné leur consentement à l’utilisation de leurs données à caractère personnel dans le cadre du Contrat lorsque celui-ci est requis par la loi ou la Réglementation, et autorise le SOUS-TRAITANT à réutiliser les Données traitées dans le cadre du Contrat, dès lors que celui-ci s’engage à respecter la Règlementation pour l’ensemble de ces Données, et ce pour les usages ci-après listés :

- la recherche et le développement de la Solution, 

- l’amélioration des performances, des modèles et des algorithmes développés et entraînés par NABLA dans le cadre de la Solution ou de toute autre solution éditée par NABLA,

Sans que le CLIENT ou le RESPONSABLE DE TRAITEMENT ne puissent revendiquer aucun droit de propriété intellectuelle relatifs à ces éléments.

 

Le CLIENT déclare avoir évalué et validé la compatibilité desdits usages au sens de la Réglementation avec les finalités initiales des traitements de données réalisés dans le champ du présent Contrat suivant les conditions figurant au présent Accord. NABLA dispose de la qualité de producteur au sens donné par l’article L. 341-1 du Code de la propriété intellectuelle au titre de la constitution des bases de données dans le contexte des usages de réutilisations définis au présent article.

  1. REGISTRE DES ACTIVITES DE TRAITEMENT

Le SOUS-TRAITANT déclare tenir par écrit un registre de toutes les activités de Traitement effectuées pour le compte du CLIENT comprenant :

  • le nom et les coordonnées du CLIENT et le cas échéant du RESPONSABLE DE TRAITEMENT, des éventuels SOUS-TRAITANTS ultérieurs et, le cas échéant, du délégué à la protection des données du SOUS-TRAITANT ;
  • les catégories de Traitements effectués pour le compte du CLIENT ;
  • les transferts de Données à caractère personnel réalisés en dehors de l’UE, le cas échéant ;
  • dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles, y compris entre autres, le cas échéant :
  • la pseudonymisation et le chiffrement des Données à caractère personnel ;
  • des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de Traitement ;
  • des moyens permettant de rétablir la disponibilité des Données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ;
  • une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du Traitement.

  1. AUDITS ET CONTROLES

Le SOUS-TRAITANT s’engage à mettre à la disposition du CLIENT toutes les informations nécessaires pour démontrer le respect de ses obligations de conformité à la Réglementation et au présent Accord, et pour permettre la réalisation d’audits, y compris des inspections, par le CLIENT ou un autre auditeur mandaté par le CLIENT et contribuer à ces audits.

Le CLIENT sur son initiative se réserve le droit de procéder à toute vérification qui lui paraîtrait utile pour constater le respect de ses obligations par le SOUS-TRAITANT. Toute non-conformité à la Réglementation et/ou au présent Accord fera l’objet sur simple notification du CLIENT d’un plan d’actions correctives à la charge du SOUS-TRAITANT qui devra être mis en place dans les 21 (vingt et un) jours maximum.

Le SOUS-TRAITANT s’engage à notifier dans les meilleurs délais au CLIENT, et le cas échéant au RESPONSABLE DE TRAITEMENT, tout contrôle ou notification de quelque nature que ce soit qui lui est adressée par l’Autorité de contrôle ou par une Personne concernée et impliquant directement ou indirectement les Traitements décrits au présent Accord, à suivre strictement toutes les instructions du CLIENT et le cas échéant du RESPONSABLE DE TRAITEMENT et à collaborer avec l’Autorité de contrôle, et avec le CLIENT et le RESPONSABLE DE TRAITEMENT le cas échéant.

Si le SOUS-TRAITANT reçoit une injonction, une demande, un mandat ou tout autre document exigeant ou visant à obliger la production de Données à caractère personnel (y compris, par, exemple, par des questions orales, des interrogatoires, des demandes d’information ou de documents au cours de procédures légales, d’assignations, d’enquêtes civiles, d’inspection réglementaire ou autres procédures similaires), le SOUS-TRAITANT informera immédiatement le CLIENT et le cas échéant le RESPONSABLE DE TRAITEMENT, sauf si la Réglementation applicable en dispose autrement, et en tout état de cause au plus tard dans les deux (2) jours ouvrés.

  1. CONFIDENTIALITE —; SECRET DES AFFAIRES —; SECRET PROFESSIONNEL

Le SOUS-TRAITANT est soumis au secret le plus absolu comprenant la confidentialité, le secret professionnel et le secret des affaires (ci-après le « Secret ») sur les Traitements incluant notamment des Données à caractère personnel, mis en œuvre dans le cadre de la fourniture des prestations.

Le SOUS-TRAITANT s’engage, (i) pendant la durée du Contrat et pour une durée de dix (10) ans compter de sa cessation pour quelque cause que celle-ci intervienne, sous réserve que le CLIENT lui ait confié une mission de conservation des données, (ii) pendant toute la durée de cette mission de conservation, à garder le caractère Secret de toutes Données à caractère personnel et, en conséquence :

  • à ne communiquer les Données à caractère personnel qu’aux membres de son personnel qui sont dans la nécessité de le connaitre pour l’exécution du présent Accord ;
  • à prendre les mesures qu’il prend lui-même à l’égard de ses propres informations confidentielles pour en empêcher la publication ou la divulgation à des Tiers.

De manière générale, le SOUS-TRAITANT garantit respecter le Secret le plus absolu, dans les mêmes conditions, de toutes informations qui seraient parvenues à sa connaissance ou à l’un des membres de son personnel.

  1. LOI ET ATTRIBUTION DE COMPÉTENCE

L’Accord est régi par la loi française.

POUR TOUT DIFFÉREND SURVENANT ENTRE ELLES AU SUJET DE L’INTERPRÉTATION OU DE L’EXÉCUTION DU CONTRAT ET APRÈS UNE TENTATIVE DE CONCILIATION AMIABLE, COMPETENCE EXPRESSE EST ATTRIBUEE AU TRIBUNAL DE COMMERCE DE PARIS NONOBSTANT PLURALITÉ DE DÉFENDEURS OU APPEL EN GARANTIE, MÊME POUR LES PROCÉDURES D’URGENCE OU LES PROCEDURES CONSERVATOIRES, EN RÉFÉRÉ OU SUR REQUÊTE.

ANNEXE 1 —; DESCRIPTION DU/DES TRAITEMENT(S)

  • DELEGUES A LA PROTECTION DES DONNEES

Chaque Parties désigne un Délégué à la Protection des Données et communique à l’autre Partie ses coordonnées.

Pour NABLA les coordonnées sont les suivantes : dpo@nabla.com

  • FICHE DE DESCRIPTION DU TRAITEMENT

  • Le responsable de traitement ou les finalité(s) du/des Traitement(s)

Le CLIENT est le RESPONSABLE DE TRAITEMENT ou SOUS-TRAITANT de rang 1.

Les finalités des Traitements confiés au SOUS-TRAITANT :

  • L’hébergement des données dans le cadre de l’utilisation de la Solution,
  • une extension web de traitement automatique du langage enrichie de fonctionnalités utilisant l’intelligence artificielle (la Solution),

Par ailleurs, le SOUS-TRAITANT peut réutiliser les données pour les finalités supplémentaires suivantes :

  • la recherche-développement de la Solution,
  • l’amélioration de ses performances, des modèles et des algorithmes développés et entraînés par NABLA dans le cadre de la Solution ou de toute autre solution éditée par NABLA.

  • Licéité du Traitement

La base légale du Traitement est :

  • Consentement explicite de la Personne concernée au traitement de ses Données à caractère personnel, pour une ou plusieurs finalités spécifiques, lorsque requis par la Réglementation,
  • Nécessité du Traitement aux fins de la médecine préventive, des diagnostics médicaux, de l'administration de soins ou de traitements, ou de la gestion de services de santé et mis en œuvre par un membre d'une profession de santé, ou par une autre personne à laquelle s'impose en raison de ses fonctions l'obligation de secret professionnel,
  • Nécessité du Traitement à l'exécution d'un contrat auquel la Personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci.

  • Catégories de Données à caractère personnel traitées

Les catégories de Données à caractère personnel traitées pourront inclure :

  • État civil, identité, données d'identification, images, etc.,
  • Vie personnelle (habitudes de vie, situation familiale, etc.),
  • Données de connexion (adresse IP, identifiants dans des logs, etc.),
  • Données de localisation (déplacements, données GPS, GSM, etc.),
  • Données concernant la santé,
  • Numéro de sécurité sociale (NIR / INS) (optionnel —; en France) ou données d’identitovigilance

  • Durées de conservation des Données à caractère personnel traitées

Les Données des Utilisateurs sont conservées pendant toute la durée du Contrat et d’utilisation de la Solution par l’Utilisateur, puis sont archivées suivant les règles fixées par le CLIENT, en conformité avec les préconisations de la Réglementation ou des réglementations locales applicables.

Les Données des patients sont conservées par défaut pendant 14 jours sauf si les Parties conviennent d’une durée de conservation différente ou si le CLIENT fixe une durée de conservation plus longue ou plus courte dans les paramètres de la Solution.

  • Catégories de Personnes concernées

Les Utilisateurs tels que définis dans le Contrat et les patients des Utilisateurs.

  • SOUS-TRAITANCE ULTERIEURE

 

Société

Produit

Finalité / traitement

Google Ireland Ltd

Google Cloud

Hébergement de données de santé au sens de l’article L1111-8 CSP pour les 6 niveaux de services

Microsoft Ireland Operations Ltd

Speech, GPT3 et GPT4

Traitement automatique du langage

Traitement automatique d’enregistrement audio —; reconnaissance vocale

  • TRANSFERTS DE DONNEES A CARACTERE PERSONNEL VERS DES PAYS TIERS (HORS DE L’UE)

Les Données ne sont, en règle générale, pas traitées ou transférées par le SOUS-TRAITANT hors de l’Union européenne. Cependant dans le cas où des informations personnelles sont transférées en dehors de l’Union européenne, NABLA s’assure que le pays tiers concerné dispose d'un niveau de protection jugé adéquat par la Commission européenne au regard de la réglementation européenne (RGPD). Lorsque cela n’est pas le cas, NABLA s’assure que le transfert est réalisé conformément aux Clauses Contractuelles Types (CCT) adoptées par la Commission européenne ou les Autorités de contrôle, dont la CNIL en France, afin de garantir la protection de ces informations

ANNEXE 2 —; PROCÉDURE DE GESTION DES EXERCICE DE DROITS

En application du Chapitre III du RGPD, le CLIENT, en sa qualité de RESPONSABLE DE TRAITEMENT ou de représentant du RESPONSABLE DE TRAITEMENT, doit faciliter l’exercice des droits conférés à la personne concernée.

Pour cela, le CLIENT communique aux personnes concernées les modalités leur permettant de formuler une demande d’accès à leurs données à caractère personnel ou d’exercice de leur droit de rectification, à l’effacement, à la limitation du traitement, à la portabilité des données, d’opposition.

Le CLIENT pourra demander l’aide du SOUS-TRAITANT pour répondre aux demandes d’exercice de leurs droits par les personnes concernées. Dans ce cadre il est dès à présent convenu entre les Parties que le CLIENT garantit qu’il a bien vérifié l’identité du demandeur pour s’assurer que le demandeur est bien fondé à accéder aux données à caractère personnel ou à exercer un droit.

Lorsque le CLIENT aura vérifié l’identité du demandeur et qu’il est bien titulaire du compte, il transmettra le cas échéant la requête à NABLA en utilisant l’adresse dpo@nabla.com.

Nabla examinera la demande d’exercice de droit et répondra sans tarder et au plus tard dans un délai maximum d’un mois à compter de sa réception.

Au besoin, ce délai pourra être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. NABLA informera directement la personne concernée ou le CLIENT, au choix du CLIENT de cette prolongation et des motifs du report dans un délai d’un mois à compter de la réception de la demande.

Si NABLA ne donne pas suite à la demande formulée par la personne concernée, Nabla informe celle-ci ou le CLIENT, au choix du CLIENT, sans tarder et au plus tard dans un délai d’un mois à compter de la réception de la demande, éventuellement prolongé de deux mois si NABLA a informé la personne concernée ou le CLIENT  d’une telle prolongation, des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel.

NABLA informera le CLIENT de la réponse apportée à la personne concernée s'il en fait la demande.

Aucun paiement n’est exigé pour répondre aux demandes de la personne concernée. Lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, NABLA peut cependant:

exiger du CLIENT le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations ou prendre les mesures demandées; ou

refuser de donner suite à ces demandes.

Le SOUS-TRAITANT peut ajouter ou remplacer un SOUS-TRAITANT ultérieur. Dans ce cas il s’engage à informer le CLIENT par le moyen de son choix.  Le CLIENT disposera alors d’un délai de dix (10) jours calendaires à partir de la notification pour présenter ses objections sur un motif valable relatif à la protection des Données personnelles. A défaut d’objection du CLIENT dans ce délai, le SOUS-TRAITANT ultérieur sera considéré comme accepté par le CLIENT, sous réserve de l’établissement d’un contrat de sous-traitance ultérieur imposant des obligations de confidentialités et de sécurité au moins équivalentes à celles de l’Accord avant le transfert des Données au SOUS-TRAITANT ultérieur.

Le(s) SOUS-TRAITANT(s) ultérieurs sont donc tenus de respecter les obligations du Contrat incluant les obligations du présent Accord, pour le compte et selon les instructions du CLIENT agissant le cas échéant au nom du RESPONSABLE DE TRAITEMENT.

Dans le cas où le CLIENT s’oppose à la désignation d’un SOUS-TRAITANT ultérieur dans les conditions décrites ci-dessus, chacune des Parties pourra résilier le Contrat avec un préavis d’un (1) mois suivant les modalités de l’article 15 du Contrat.

D’ores et déjà le CLIENT, le cas échéant au nom et pour le compte du RESPONSABLE DE TRAITEMENT, accepte le recours aux sous-traitants identifiés dans l’annexe 1.

Le CLIENT reconnaît qu’en respectant ses obligations au titre du présent article, NABLA se conforme à ses obligations au titre de l’article 28.2 du RGPD.

  1. EXERCICE DES DROITS DES PERSONNES CONCERNEES

Dans la mesure du possible, le SOUS-TRAITANT doit aider le CLIENT à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des Personnes concernées : droit d’accès, de rectification, d’effacement et d’opposition, droit à la limitation du Traitement, droit à la portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage).

Dans l’hypothèse où le SOUS-TRAITANT serait destinataire de demandes émanant de Personnes concernées, le SOUS-TRAITANT s’engage à transmettre ces demandes au CLIENT ou le cas échéant au RESPONSABLE DE TRAITEMENT sans délai, à l’adresse électronique fourni par le CLIENT.

Les prestations de gestion de l’exercice des droits des personnes au nom et pour le compte du RESPONSABLE DE TRAITEMENT seront facturées au CLIENT selon les tarifs définis au Contrat.

Une procédure de gestion de l’exercice des droits est convenue entre les Parties et visée en annexe 2 du présent Accord.

  1. NOTIFICATION DES VIOLATIONS DE DONNEES A CARACTERE PERSONNEL

Le SOUS-TRAITANT notifie au CLIENT toute violation de Données à caractère personnel dans un délai maximum de 48 heures à compter de la découverte de la violation en adressant à l’adresse électronique fournie par le CLIENT, les informations suivantes :

  • Description de la nature de la Violation de Données à caractère personnel (y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés) ;
  • Description des conséquences probables de la Violation de Données à caractère personnel ;
  • Description des mesures prises ou proposées pour remédier à la violation de données à caractère personnel.

Cette notification est accompagnée de toute documentation utile afin de permettre au CLIENT et le cas échéant au RESPONSABLE DE TRAITEMENT, si nécessaire, de notifier cette violation à l’Autorité de contrôle.

Compte tenu de la nature du Traitement et des informations à sa disposition, le SOUS-TRAITANT aide également le CLIENT et le cas échéant le RESPONSABLE DE TRAITEMENT à notifier les Violations de Données à caractère personnel aux Personnes concernées.

  1. AIDE DU RESPONSABLE DE TRAITEMENT, PAR LE SOUS-TRAITANT, A S’ACQUITTER DE SES OBLIGATIONS

Le cas échéant, et sur demande du CLIENT, le SOUS-TRAITANT aide le CLIENT pour la réalisation d’analyses d’impact relative à la protection des données principalement pour ce qui concerne l’identification des mesures de protection en place ou prévue pour le Traitement.

Le cas échéant, et sur demande du CLIENT, le SOUS-TRAITANT aide le CLIENT pour la réalisation de la demande d’autorisation préalable auprès de la CNIL ou de l’autorité de contrôle compétente.

  1. MESURES DE SECURITE

Le SOUS-TRAITANT s’engage à mettre en œuvre les mesures techniques et organisationnelles de sécurité adéquates à la protection du Traitement et des Données.

Lorsque les opérations réalisées par le SOUS-TRAITANT sur les données portent sur des Données hébergées par un hébergeur agréé/certifié de données de santé à caractère personnel désigné par le SOUS-TRAITANT à l’article 6 du présent Accord, le CLIENT s’engage à respecter et à faire respecter strictement par les Utilisateurs les mesures de sécurité définies par cet hébergeur, en ce compris notamment l’accès par authentification forte aux Données.

  1. SORT DES DONNEES

Au terme des prestations relatives au Traitement, le SOUS-TRAITANT s’engage, sur demande et au choix du CLIENT, le cas échéant pour le compte du RESPONSABLE DE TRAITEMENT, à restituer les Données à caractère personnel au CLIENT ou au RESPONSABLE DE TRAITEMENT de façon sécurisée définie par le CLIENT ou le cas échéant par le RESPONSABLE DE TRAITEMENT ou à défaut d’effacer toutes les Données à caractère personnel.

  1. REUTILISATION

En raison des investissements financiers, matériels et humains substantiels réalisés par le SOUS-TRAITANT dans le cadre du Contrat pour le développement et la mise à jour de la Solution, le SOUS-TRAITANT souhaite pouvoir réutiliser les Données traitées dans le cadre du Contrat.

Le CLIENT, le cas échéant au nom du RESPONSABLE DE TRAITEMENT, garantit que les personnes concernées ont été informées et ont donné leur consentement à l’utilisation de leurs données à caractère personnel dans le cadre du Contrat lorsque celui-ci est requis par la loi ou la Réglementation, et autorise le SOUS-TRAITANT à réutiliser les Données traitées dans le cadre du Contrat, dès lors que celui-ci s’engage à respecter la Règlementation pour l’ensemble de ces Données, et ce pour les usages ci-après listés :

- la recherche et le développement de la Solution, 

- l’amélioration des performances, des modèles et des algorithmes développés et entraînés par NABLA dans le cadre de la Solution ou de toute autre solution éditée par NABLA,

Sans que le CLIENT ou le RESPONSABLE DE TRAITEMENT ne puissent revendiquer aucun droit de propriété intellectuelle relatifs à ces éléments.

 

Le CLIENT déclare avoir évalué et validé la compatibilité desdits usages au sens de la Réglementation avec les finalités initiales des traitements de données réalisés dans le champ du présent Contrat suivant les conditions figurant au présent Accord. NABLA dispose de la qualité de producteur au sens donné par l’article L. 341-1 du Code de la propriété intellectuelle au titre de la constitution des bases de données dans le contexte des usages de réutilisations définis au présent article.

  1. REGISTRE DES ACTIVITES DE TRAITEMENT

Le SOUS-TRAITANT déclare tenir par écrit un registre de toutes les activités de Traitement effectuées pour le compte du CLIENT comprenant :

  • le nom et les coordonnées du CLIENT et le cas échéant du RESPONSABLE DE TRAITEMENT, des éventuels SOUS-TRAITANTS ultérieurs et, le cas échéant, du délégué à la protection des données du SOUS-TRAITANT ;
  • les catégories de Traitements effectués pour le compte du CLIENT ;
  • les transferts de Données à caractère personnel réalisés en dehors de l’UE, le cas échéant ;
  • dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles, y compris entre autres, le cas échéant :
  • la pseudonymisation et le chiffrement des Données à caractère personnel ;
  • des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de Traitement ;
  • des moyens permettant de rétablir la disponibilité des Données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ;
  • une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du Traitement.

  1. AUDITS ET CONTROLES

Le SOUS-TRAITANT s’engage à mettre à la disposition du CLIENT toutes les informations nécessaires pour démontrer le respect de ses obligations de conformité à la Réglementation et au présent Accord, et pour permettre la réalisation d’audits, y compris des inspections, par le CLIENT ou un autre auditeur mandaté par le CLIENT et contribuer à ces audits.

Le CLIENT sur son initiative se réserve le droit de procéder à toute vérification qui lui paraîtrait utile pour constater le respect de ses obligations par le SOUS-TRAITANT. Toute non-conformité à la Réglementation et/ou au présent Accord fera l’objet sur simple notification du CLIENT d’un plan d’actions correctives à la charge du SOUS-TRAITANT qui devra être mis en place dans les 21 (vingt et un) jours maximum.

Le SOUS-TRAITANT s’engage à notifier dans les meilleurs délais au CLIENT, et le cas échéant au RESPONSABLE DE TRAITEMENT, tout contrôle ou notification de quelque nature que ce soit qui lui est adressée par l’Autorité de contrôle ou par une Personne concernée et impliquant directement ou indirectement les Traitements décrits au présent Accord, à suivre strictement toutes les instructions du CLIENT et le cas échéant du RESPONSABLE DE TRAITEMENT et à collaborer avec l’Autorité de contrôle, et avec le CLIENT et le RESPONSABLE DE TRAITEMENT le cas échéant.

Si le SOUS-TRAITANT reçoit une injonction, une demande, un mandat ou tout autre document exigeant ou visant à obliger la production de Données à caractère personnel (y compris, par, exemple, par des questions orales, des interrogatoires, des demandes d’information ou de documents au cours de procédures légales, d’assignations, d’enquêtes civiles, d’inspection réglementaire ou autres procédures similaires), le SOUS-TRAITANT informera immédiatement le CLIENT et le cas échéant le RESPONSABLE DE TRAITEMENT, sauf si la Réglementation applicable en dispose autrement, et en tout état de cause au plus tard dans les deux (2) jours ouvrés.

  1. CONFIDENTIALITE – SECRET DES AFFAIRES – SECRET PROFESSIONNEL

Le SOUS-TRAITANT est soumis au secret le plus absolu comprenant la confidentialité, le secret professionnel et le secret des affaires (ci-après le « Secret ») sur les Traitements incluant notamment des Données à caractère personnel, mis en œuvre dans le cadre de la fourniture des prestations.

Le SOUS-TRAITANT s’engage, (i) pendant la durée du Contrat et pour une durée de dix (10) ans compter de sa cessation pour quelque cause que celle-ci intervienne, sous réserve que le CLIENT lui ait confié une mission de conservation des données, (ii) pendant toute la durée de cette mission de conservation, à garder le caractère Secret de toutes Données à caractère personnel et, en conséquence :

  • à ne communiquer les Données à caractère personnel qu’aux membres de son personnel qui sont dans la nécessité de le connaitre pour l’exécution du présent Accord ;
  • à prendre les mesures qu’il prend lui-même à l’égard de ses propres informations confidentielles pour en empêcher la publication ou la divulgation à des Tiers.

De manière générale, le SOUS-TRAITANT garantit respecter le Secret le plus absolu, dans les mêmes conditions, de toutes informations qui seraient parvenues à sa connaissance ou à l’un des membres de son personnel.

  1. LOI ET ATTRIBUTION DE COMPÉTENCE

L’Accord est régi par la loi française.

POUR TOUT DIFFÉREND SURVENANT ENTRE ELLES AU SUJET DE L’INTERPRÉTATION OU DE L’EXÉCUTION DU CONTRAT ET APRÈS UNE TENTATIVE DE CONCILIATION AMIABLE, COMPETENCE EXPRESSE EST ATTRIBUEE AU TRIBUNAL DE COMMERCE DE PARIS NONOBSTANT PLURALITÉ DE DÉFENDEURS OU APPEL EN GARANTIE, MÊME POUR LES PROCÉDURES D’URGENCE OU LES PROCEDURES CONSERVATOIRES, EN RÉFÉRÉ OU SUR REQUÊTE.

ANNEXE 1 – DESCRIPTION DU/DES TRAITEMENT(S)

  • DELEGUES A LA PROTECTION DES DONNEES

Chaque Parties désigne un Délégué à la Protection des Données et communique à l’autre Partie ses coordonnées.

Pour NABLA les coordonnées sont les suivantes : dpo@nabla.com

  • FICHE DE DESCRIPTION DU TRAITEMENT

  • Le responsable de traitement ou les finalité(s) du/des Traitement(s)

Le CLIENT est le RESPONSABLE DE TRAITEMENT ou SOUS-TRAITANT de rang 1.

Les finalités des Traitements confiés au SOUS-TRAITANT :

  • L’hébergement des données dans le cadre de l’utilisation de la Solution,
  • une extension web de traitement automatique du langage enrichie de fonctionnalités utilisant l’intelligence artificielle (la Solution),

Par ailleurs, le SOUS-TRAITANT peut réutiliser les données pour les finalités supplémentaires suivantes :

  • la recherche-développement de la Solution,
  • l’amélioration de ses performances, des modèles et des algorithmes développés et entraînés par NABLA dans le cadre de la Solution ou de toute autre solution éditée par NABLA.

  • Licéité du Traitement

La base légale du Traitement est :

  • Consentement explicite de la Personne concernée au traitement de ses Données à caractère personnel, pour une ou plusieurs finalités spécifiques, lorsque requis par la Réglementation,
  • Nécessité du Traitement aux fins de la médecine préventive, des diagnostics médicaux, de l'administration de soins ou de traitements, ou de la gestion de services de santé et mis en œuvre par un membre d'une profession de santé, ou par une autre personne à laquelle s'impose en raison de ses fonctions l'obligation de secret professionnel,
  • Nécessité du Traitement à l'exécution d'un contrat auquel la Personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci.

  • Catégories de Données à caractère personnel traitées

Les catégories de Données à caractère personnel traitées pourront inclure :

  • État civil, identité, données d'identification, images, etc.,
  • Vie personnelle (habitudes de vie, situation familiale, etc.),
  • Données de connexion (adresse IP, identifiants dans des logs, etc.),
  • Données de localisation (déplacements, données GPS, GSM, etc.),
  • Données concernant la santé,
  • Numéro de sécurité sociale (NIR / INS) (optionnel – en France) ou données d’identitovigilance

  • Durées de conservation des Données à caractère personnel traitées

Les Données des Utilisateurs sont conservées pendant toute la durée du Contrat et d’utilisation de la Solution par l’Utilisateur, puis sont archivées suivant les règles fixées par le CLIENT, en conformité avec les préconisations de la Réglementation ou des réglementations locales applicables.

Les Données des patients sont conservées par défaut pendant 14 jours sauf si les Parties conviennent d’une durée de conservation différente ou si le CLIENT fixe une durée de conservation plus longue ou plus courte dans les paramètres de la Solution.

  • Catégories de Personnes concernées

Les Utilisateurs tels que définis dans le Contrat et les patients des Utilisateurs.

  • SOUS-TRAITANCE ULTERIEURE

 

Société

Produit

Finalité / traitement

Google Ireland Ltd

Google Cloud

Hébergement de données de santé au sens de l’article L1111-8 CSP pour les 6 niveaux de services

Microsoft Ireland Operations Ltd

Speech, GPT3 et GPT4

Traitement automatique du langage

Traitement automatique d’enregistrement audio – reconnaissance vocale

  • TRANSFERTS DE DONNEES A CARACTERE PERSONNEL VERS DES PAYS TIERS (HORS DE L’UE)

Les Données ne sont, en règle générale, pas traitées ou transférées par le SOUS-TRAITANT hors de l’Union européenne. Cependant dans le cas où des informations personnelles sont transférées en dehors de l’Union européenne, NABLA s’assure que le pays tiers concerné dispose d'un niveau de protection jugé adéquat par la Commission européenne au regard de la réglementation européenne (RGPD). Lorsque cela n’est pas le cas, NABLA s’assure que le transfert est réalisé conformément aux Clauses Contractuelles Types (CCT) adoptées par la Commission européenne ou les Autorités de contrôle, dont la CNIL en France, afin de garantir la protection de ces informations

ANNEXE 2 – PROCÉDURE DE GESTION DES EXERCICE DE DROITS

En application du Chapitre III du RGPD, le CLIENT, en sa qualité de RESPONSABLE DE TRAITEMENT ou de représentant du RESPONSABLE DE TRAITEMENT, doit faciliter l’exercice des droits conférés à la personne concernée.

Pour cela, le CLIENT communique aux personnes concernées les modalités leur permettant de formuler une demande d’accès à leurs données à caractère personnel ou d’exercice de leur droit de rectification, à l’effacement, à la limitation du traitement, à la portabilité des données, d’opposition.

Le CLIENT pourra demander l’aide du SOUS-TRAITANT pour répondre aux demandes d’exercice de leurs droits par les personnes concernées. Dans ce cadre il est dès à présent convenu entre les Parties que le CLIENT garantit qu’il a bien vérifié l’identité du demandeur pour s’assurer que le demandeur est bien fondé à accéder aux données à caractère personnel ou à exercer un droit.

Lorsque le CLIENT aura vérifié l’identité du demandeur et qu’il est bien titulaire du compte, il transmettra le cas échéant la requête à NABLA en utilisant l’adresse dpo@nabla.com.

Nabla examinera la demande d’exercice de droit et répondra sans tarder et au plus tard dans un délai maximum d’un mois à compter de sa réception.

Au besoin, ce délai pourra être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. NABLA informera directement la personne concernée ou le CLIENT, au choix du CLIENT de cette prolongation et des motifs du report dans un délai d’un mois à compter de la réception de la demande.

Si NABLA ne donne pas suite à la demande formulée par la personne concernée, Nabla informe celle-ci ou le CLIENT, au choix du CLIENT, sans tarder et au plus tard dans un délai d’un mois à compter de la réception de la demande, éventuellement prolongé de deux mois si NABLA a informé la personne concernée ou le CLIENT  d’une telle prolongation, des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel.

NABLA informera le CLIENT de la réponse apportée à la personne concernée s'il en fait la demande.

Aucun paiement n’est exigé pour répondre aux demandes de la personne concernée. Lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, NABLA peut cependant:

exiger du CLIENT le paiement de frais raisonnables qui tiennent compte des coûts administratifs supportés pour fournir les informations ou prendre les mesures demandées; ou

refuser de donner suite à ces demandes.