Contrat de sous-traitance des données

1. Les parties

Le responsable du traitement est l'établissement client : l'entité juridique inscrite sur Auscult, cabinet, permanence, établissement médico-social, service hospitalier ou institut. Il décide de mesurer la satisfaction de ses patient·es et de ce qu'il en fait.

Le sous-traitant est Rhome Sàrl, Chemin des Colombaires 13, 1096 Cully, Suisse, IDE CHE-323.278.364, qui édite et exploite Auscult et traite les données pour le compte du responsable, au sens de l'article 9 de la loi fédérale sur la protection des données (LPD).

2. Objet et finalité

Le sous-traitant traite les données uniquement pour :

• envoyer aux patient·es désigné·es par le responsable les invitations à répondre à un questionnaire, et les relances ;
• recueillir leurs réponses et leurs commentaires ;
• produire pour le responsable les résultats, les rapports et le suivi du plan d'action ;
• si le responsable y a consenti, calculer des moyennes de comparaison anonymes entre établissements, à partir d'au moins cinq établissements et sans jamais y faire figurer un commentaire ni un identifiant.

Il ne les traite à aucune autre fin, et ne les vend ni ne les cède à personne.

3. Les données et les personnes concernées

• Patient·es invité·es : les coordonnées que le responsable importe (civilité, nom, prénom, adresse postale, adresse e-mail, langue). Le fait d'être patient·e d'un établissement de santé est une donnée sensible au sens de l'article 5 LPD.
• Répondant·es : les réponses au questionnaire, qui ne comportent aucun identifiant, et les commentaires libres, qui peuvent en contenir, y compris des données sur la santé.
• Collaborateur·rices du responsable qui utilisent la console : nom, prénom, adresse e-mail, rôle.

4. Instructions

Le sous-traitant n'agit que sur les instructions du responsable. Le paramétrage des campagnes dans la console — questions, destinataires, canaux, dates — vaut instruction. Si une instruction lui paraît contraire à la loi, le sous-traitant en informe le responsable sans délai.

5. Confidentialité et secret professionnel

Le sous-traitant et les personnes qui travaillent pour lui sont tenus à la confidentialité, y compris après la fin du contrat. Lorsque le responsable est soumis au secret professionnel, le sous-traitant intervient comme son auxiliaire au sens de l'article 321 du Code pénal et y est tenu au même titre. Seules les personnes qui en ont besoin pour exploiter le service ont accès aux données.

6. Sécurité

Le sous-traitant met en œuvre au minimum les mesures suivantes :

• hébergement de l'application et des données en Suisse ;
• chiffrement de toutes les communications (HTTPS) ;
• chiffrement au repos, avec une clé distincte, des coordonnées des patient·es et des commentaires libres ;
• cloisonnement des données de chaque établissement ;
• deuxième facteur d'authentification obligatoire pour les administrateur·rices, et droits d'accès par rôle et par périmètre — le rôle chargé de la facturation n'a pas accès aux résultats ;
• anonymat des réponses : aucune réponse n'est rattachée au destinataire invité, et seul le jour de la réponse est conservé, jamais l'heure ;
• retrait automatique des noms propres dans les commentaires cités ;
• aucun résultat publié en dessous de 10 réponses, ni de 30 pour l'accueil d'une petite équipe ;
• aucun traceur ni ressource tierce sur le questionnaire.

7. Conservation et effacement

• Les coordonnées des patient·es sont effacées à la dernière relance d'une campagne.
• Les réponses et les commentaires sont supprimés 5 ans après la clôture de la campagne.
• Une inscription dont l'adresse n'est pas confirmée est supprimée au bout de 30 jours.

8. Sous-traitants ultérieurs

Le responsable autorise le recours aux sous-traitants suivants, tous établis en Suisse :

• Akenes SA (Exoscale), Lausanne — hébergement de l'application et de la base de données (centre de données de Genève).
• Infomaniak Network SA, Genève — envoi des e-mails : invitations, relances, confirmations et factures (Suisse).

Le sous-traitant leur impose des obligations de protection au moins équivalentes à celles de ce contrat. Il informe le responsable de tout ajout ou remplacement au moins trente jours à l'avance ; le responsable peut s'y opposer en résiliant l'abonnement avant ce terme.

9. Aucune communication à l'étranger

Les données sont traitées et conservées en Suisse. Aucune n'est communiquée à l'étranger sans l'accord écrit préalable du responsable.

10. Droits des personnes concernées

Le sous-traitant aide le responsable à répondre aux demandes d'accès, de rectification ou d'effacement. Une demande qui lui parvient directement est transmise au responsable sans délai.

11. Violation de la sécurité des données

Le sous-traitant annonce au responsable toute violation de la sécurité des données dans les meilleurs délais, et au plus tard 72 heures après en avoir pris connaissance, en décrivant sa nature, ses conséquences probables et les mesures prises. Il l'assiste dans ses propres obligations d'annonce.

12. Contrôle

Le sous-traitant fournit au responsable, sur demande, les informations nécessaires pour démontrer le respect de ce contrat. Un audit sur place est possible une fois par an, avec un préavis de trente jours, aux frais du responsable, et sans accès aux données des autres établissements.

13. Fin du contrat

Le contrat dure aussi longtemps que l'abonnement. À sa fin, le responsable reçoit sur demande un extrait de ses données — rapports, réponses, commentaires, plan d'action — puis, s'il le demande, le sous-traitant efface tout, à l'exception des factures qu'il doit conserver dix ans en vertu de l'article 958f du Code des obligations.

14. Droit applicable et for

Le contrat est soumis au droit suisse. Le for est au siège de Rhome Sàrl. Une nouvelle version de ce contrat est annoncée au responsable trente jours avant d'entrer en vigueur.