Accord de sous-traitance des données (DPA)

1. Objet et cadre

Le présent accord définit les conditions dans lesquelles MedPlanning (« le Sous-traitant ») traite des données à caractère personnel pour le compte de l'établissement ou du service utilisateur (« le Responsable de traitement »), dans le cadre de la fourniture du service de planification des gardes et astreintes. Il complète le contrat d'utilisation et met en œuvre l'article 28 du Règlement (UE) 2016/679 (RGPD). En cas de contradiction, il prévaut pour les questions de protection des données.

2. Rôles des parties

Pour les données des personnels de son service (internes, praticiens, personnel), l'établissement est responsable de traitement : il détermine les finalités et les moyens. MedPlanning agit en sous-traitant : il ne traite ces données que sur instruction documentée du Responsable, et jamais à ses propres fins.

3. Finalités et instructions

Le traitement a pour seules finalités : la génération, l'équilibrage et la publication des plannings de gardes et d'astreintes ; la gestion des disponibilités, absences, échanges et récupérations ; le suivi de l'équité et de la conformité aux règles du service ; les notifications associées. L'utilisation du service par le Responsable (paramétrage, saisie, publication) constitue son instruction documentée. MedPlanning informe le Responsable si une instruction lui paraît contraire au RGPD.

4. Catégories de données traitées

• Identité et contact : nom, prénom, adresse email.
• Données de planning : affectations, postes, horaires, gardes, astreintes, récupérations.
• Disponibilités et absences : type (congé, formation, indisponibilité…), dates et portée.
• Données de temps de travail dérivées (volumes de gardes, nuits, week-ends, plafonds).
• Données de compte et de sécurité : mot de passe haché, second facteur (2FA) le cas échéant, journal d'audit des actions.

Aucune donnée de santé de patient n'est traitée. Les éventuels motifs d'absence relevant de la santé de la personne (art. 9 RGPD) sont minimisés : le motif libre n'est jamais transmis par email ou notification, il est chiffré au niveau applicatif (AES-256-GCM) et n'est consultable que par les référents habilités du service après authentification.

5. Personnes concernées

Les internes, praticiens et personnels du service dont le planning est géré, ainsi que les référents et administrateurs du service.

6. Durée du traitement

Le traitement dure le temps du contrat. Les données sont conservées conformément à la politique de confidentialité (purge automatisée des comptes inactifs, tokens expirés et notifications de plus de six mois), puis exportées et supprimées à la fin du contrat (cf. section 11).

7. Confidentialité et personnes autorisées

MedPlanning garantit que les personnes autorisées à traiter les données sont tenues à la confidentialité et n'accèdent qu'aux données strictement nécessaires. Les accès sont limités par le rôle (séparation référent / interne / administrateur) et tracés dans un journal d'audit.

8. Mesures de sécurité

MedPlanning met en œuvre des mesures techniques et organisationnelles appropriées (art. 32 RGPD) :

• Chiffrement en transit (TLS 1.3) et au repos (AES-256) ; chiffrement applicatif supplémentaire (AES-256-GCM) des champs sensibles (motif et commentaire d'absence).
• Mots de passe hachés (bcrypt), second facteur disponible pour les administrateurs.
• Contrôle d'accès par rôle et minimisation des données collectées.
• Journal d'audit horodaté des actions sensibles.
• Sauvegardes quotidiennes chiffrées, restauration possible sur les dernières 24 h.

Le détail figure sur la page sécurité.

9. Sous-traitants ultérieurs

Le Responsable autorise le recours aux sous-traitants ultérieurs suivants. MedPlanning s'assure qu'ils présentent des garanties équivalentes et informe le Responsable de tout ajout ou remplacement, en lui laissant la possibilité de s'y opposer.

10. Transferts hors Union européenne

L'hébergement des données de planning et de compte est réalisé dans l'Union européenne (Supabase et Vercel, région Irlande). Seuls des services facultatifs (assistant IA, envoi d'emails) peuvent impliquer un sous-traitant situé hors UE ; ces transferts sont alors encadrés par des clauses contractuelles types de la Commission européenne. L'assistant IA, lorsqu'il est utilisé, ne reçoit que des données pseudonymisées, à l'exclusion des motifs d'absence.

11. Assistance aux droits des personnes

MedPlanning aide le Responsable à répondre aux demandes d'exercice des droits (accès, rectification, effacement, portabilité, opposition). Chaque utilisateur peut demander l'export ou la suppression de ses données, traités sous 72 h.

12. Assistance aux obligations du Responsable

MedPlanning met à disposition les informations nécessaires pour l'analyse d'impact (AIPD) éventuelle, la sécurité du traitement et la gestion des violations, compte tenu de la nature du traitement et des informations à sa disposition.

13. Notification des violations de données

En cas de violation de données à caractère personnel, MedPlanning en informe le Responsable dans les meilleurs délais après en avoir pris connaissance, avec les éléments utiles (nature, catégories et volume approximatif de personnes et de données concernées, conséquences probables, mesures prises), afin de permettre au Responsable de respecter ses obligations (art. 33 et 34 RGPD).

14. Fin du contrat : réversibilité et suppression

À la fin du contrat, au choix du Responsable, MedPlanning lui restitue l'ensemble des données dans un format exploitable (export) puis supprime les données et les copies existantes, sauf obligation légale de conservation. Le Responsable peut à tout moment exporter ses données pendant la durée du contrat.

15. Registre et audit

MedPlanning tient à jour la liste de ses traitements pour le compte du Responsable et met à sa disposition les informations nécessaires pour démontrer le respect de l'article 28, y compris la possibilité d'audits raisonnables, planifiés et proportionnés.

16. Contact

Pour toute question relative au présent accord, à une version signée ou à une adaptation à votre établissement : admin@med-planning.com.