Contrat de sous-traitance (RGPD)

1. Parties et objet

Le présent contrat est conclu entre l'organisation cliente qui l'accepte depuis son espace KolBase (le « responsable de traitement ») et MUTARA, société par actions simplifiée (SAS), 20 rue Léon Martine, 92290 Châtenay-Malabry, au RCS de Nanterre sous le numéro 927 839 134, éditeur de KolBase (le « sous-traitant »). Il encadre, conformément à l'article 28 du règlement (UE) 2016/679 (RGPD), les traitements de données personnelles que le sous-traitant effectue pour le compte de l'organisation lorsqu'elle utilise KolBase. Il complète les conditions générales d'utilisation ; en cas de contradiction sur la protection des données, il prévaut.

2. Traitements confiés

• Finalités : sollicitation et conventionnement d'experts, gestion des dossiers de collaboration et de leur validation, organisation d'événements (inscriptions, hospitalités, pointage, attestations, questionnaires), suivi des prestataires, préparation des déclarations et autorisations au titre des articles L.1453-1 et suivants du Code de la santé publique, statistiques internes.
• Personnes concernées : professionnels de santé et étudiants sollicités ou inscrits, membres de l'organisation, interlocuteurs des prestataires.
• Données : identité, coordonnées professionnelles, profession, identifiant professionnel (RPPS ou étranger), spécialité, lieu d'exercice, montants des conventions, rémunérations et avantages, présence aux événements, échanges et documents des dossiers, coordonnées de facturation des experts. Aucune donnée de santé de patients n'est traitée.
• Durée : celle de l'utilisation de KolBase par l'organisation, puis les durées de conservation ci-dessous.

3. Obligations du sous-traitant

• Ne traiter les données que sur instruction documentée de l'organisation : ces instructions résultent du paramétrage et de l'usage de KolBase par ses membres. Il informe l'organisation si une instruction lui paraît contraire à la réglementation.
• Garantir la confidentialité : les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité.
• Mettre en œuvre les mesures de sécurité décrites ci-dessous et les maintenir à un niveau adapté au risque.
• Aider l'organisation à répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, opposition, portabilité), notamment par les exports et suppressions disponibles dans KolBase, et à réaliser, le cas échéant, une analyse d'impact.
• Notifier à l'organisation toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification à la CNIL.
• Tenir un registre des traitements effectués pour le compte de l'organisation et mettre à sa disposition les informations nécessaires pour démontrer le respect de ses obligations ; permettre des audits, sur demande écrite raisonnable et à la charge de l'organisation, au plus une fois par an sauf violation avérée.
• Au terme du contrat, supprimer les données de l'organisation ou les lui restituer (exports disponibles dans KolBase), sauf obligation légale de conservation.

4. Sous-traitants ultérieurs

L'organisation autorise le recours aux sous-traitants ultérieurs suivants : hébergement de l'application et de la base de données (Render, région Francfort, Union européenne) ; envoi des e-mails (Ligne Web Services (LWS), Golbey (France)) ; signature électronique (Youtrust SAS (anciennement Yousign), Caen), lorsque l'organisation l'utilise ; assistant d'IA (Anthropic PBC, San Francisco (États-Unis)), seulement lorsqu'un membre le sollicite. Le sous-traitant impose à chacun des obligations de protection équivalentes et informe l'organisation de tout changement envisagé, qui peut s'y opposer pour un motif légitime. Pour l'assistant d'IA, situé aux États-Unis, le transfert est encadré par les garanties prévues au chapitre V du RGPD [mécanisme à préciser avec votre conseil].

5. Mesures de sécurité

• Hébergement dans l'Union européenne, chiffrement des échanges (HTTPS), base de données accessible uniquement depuis le réseau privé de l'hébergeur.
• Mots de passe hachés (scrypt) ; jetons de session et liens envoyés par e-mail stockés sous forme hachée ; limitation des tentatives de connexion.
• Cloisonnement par organisation et par rôle (administrateur, projets, conformité, agence mandatée), double validation des dossiers, journal des actions sensibles.
• Documents servis par liens temporaires, sur un stockage privé ; en-têtes de sécurité (cadres interdits, politique de contenu).
• Sauvegardes de la base par l'hébergeur ; alertes en cas d'erreur applicative.

6. Durées de conservation

• Données de compte : durée d'utilisation du service, puis 3 ans.
• Conventions, rémunérations, avantages et pièces justificatives : durée imposée par la réglementation applicable à l'organisation [à préciser avec votre conseil].
• Sessions et liens de connexion expirés : supprimés automatiquement sous 30 jours.
• Journal des actions sensibles : durée de la relation, pour la traçabilité réglementaire.

7. Obligations de l'organisation

L'organisation, responsable de traitement, détermine les finalités et s'assure de leur base légale (obligations légales de transparence et d'encadrement des avantages, exécution des conventions, intérêt légitime pour les statistiques internes), informe les personnes concernées, et veille à ce que ses membres n'utilisent KolBase que pour ces finalités. Contact du sous-traitant pour les données personnelles : contact@kolbase.io.