Annexe relative au traitement des données

Le professionnel ou l’établissement de santé client agit en qualité de responsable du traitement pour les données de ses patients. MEDPIX, société par actions simplifiée à associé unique, SIREN 994 956 621, dont le siège est situé Château des Vespins C12, 20 B avenue des Mimosas, 06800 Cagnes-sur-Mer, agit en qualité de sous-traitant.

MedPix traite les données patients uniquement sur instructions documentées du client, y compris celles résultant de l’utilisation configurée du Service, sauf obligation légale contraire.

Les traitements ont pour objet de fournir l’hébergement, l’organisation, la consultation, la synchronisation, le partage contrôlé et, lorsque le client les active, les fonctions d’assistance documentaire et d’intelligence artificielle de MedPix.

Ils durent pendant la relation contractuelle, puis pendant le délai strictly nécessaire à l’export, à la restitution ou à la suppression conformément au contrat, aux instructions du client et aux obligations légales applicables. MedPix ne décide pas d’une conservation clinique autonome.

Les personnes concernées peuvent être les patients, les utilisateurs professionnels, leurs collaborateurs et les destinataires expressément autorisés par le client.

Les données peuvent comprendre l’identité et les coordonnées des patients, les photographies, vidéos et documents cliniques, les métadonnées, les annotations, les comptes rendus dictés ou rédigés, les informations de consentement et de partage, ainsi que les journaux techniques nécessaires à la sécurité. Elles peuvent constituer des données de santé au sens de l’article 9 du RGPD.

Le client détermine la base légale, les finalités, les catégories de personnes autorisées et les durées applicables à son activité. Il informe les patients, gère leurs droits, configure les accès, veille au secret professionnel et s’assure que ses instructions sont licites.

MedPix signale sans délai raisonnable toute instruction qui lui paraît contraire au RGPD ou au droit applicable, sans se substituer au conseil juridique du client.

MedPix limite l’accès aux personnes autorisées soumises à une obligation de confidentialité et applique des mesures adaptées au risque : contrôle des accès, authentification, chiffrement des communications, séparation logique des comptes, journalisation de sécurité, gestion des secrets, mises à jour, sauvegarde et procédures de gestion des incidents.

Les paramètres, régions et services cloud doivent rester dans le périmètre contractuel et HDS applicable. Aucune formulation de cette annexe ne vaut certification autonome de MedPix.

Le client autorise de manière générale le recours aux sous-traitants ultérieurs nécessaires au Service. MedPix maintient une liste à jour et informe le client de tout changement substantiel afin de lui permettre d’émettre une objection motivée liée à la protection des données.

• Google Cloud / Firebase : authentification, bases de données, stockage, fonctions, journaux et hébergement ;
• Google Cloud Vertex AI : fonctions d’assistance par intelligence artificielle activées par l’utilisateur ;
• Google Workspace : envoi des messages transactionnels et de sécurité ;
• RevenueCat : gestion des droits d’abonnement et des événements de facturation ;
• Apple et Google Play : distribution, achats intégrés et justificatifs selon la plateforme.

Les boutiques d’applications peuvent également agir comme responsables de traitement indépendants pour leurs propres opérations de paiement, de compte et de lutte contre la fraude.

MedPix privilégie les régions européennes configurées pour les données patients. Lorsqu’un accès ou un transfert hors de l’Espace économique européen est possible, il doit reposer sur un mécanisme valide, notamment une décision d’adéquation ou des clauses contractuelles types complétées, si nécessaire, par des mesures supplémentaires.

Compte tenu de la nature du traitement et des informations disponibles, MedPix assiste le client pour répondre aux demandes d’exercice de droits, assurer la sécurité, notifier les violations de données, réaliser les analyses d’impact et, le cas échéant, consulter l’autorité de contrôle.

Toute violation de données personnelles confiées est notifiée au client dans les meilleurs délais après que MedPix en a pris connaissance, avec les informations disponibles utiles à son analyse et à ses propres obligations.

À la fin du Service, et selon le choix documenté du client, MedPix restitue ou supprime les données confiées et leurs copies, sauf obligation légale de conservation. Les délais techniques résiduels liés aux sauvegardes sont documentés et les données restent protégées jusqu’à leur effacement.

MedPix met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent article et permet des audits proportionnés, encadrés par la confidentialité, la sécurité des autres clients, un préavis raisonnable et l’absence de perturbation excessive du Service.

Les demandes relatives à cette annexe sont adressées à contact@medpix.app. En cas de contradiction sur le traitement des données personnelles, la présente annexe prévaut sur les conditions générales, sauf accord écrit plus spécifique.