Accord de traitement des données

Le présent ATD fait partie intégrante du contrat entre le Client (le « Responsable du traitement ») et TP53 S.r.l. (le « Sous-traitant ») et régit le traitement des données à caractère personnel effectué par le Sous-traitant pour le compte du Responsable du traitement dans le cadre de l'utilisation de Scriva.

Le Client, en tant que Responsable du traitement, détermine les finalités et les moyens du traitement. Le Sous-traitant ne traite les données à caractère personnel que sur instructions documentées du Responsable du traitement, y compris en ce qui concerne les transferts, à moins qu'il ne soit tenu d'y procéder en vertu du droit applicable.

Le traitement consiste en la capture et le traitement en temps réel du flux audio de la consultation clinique, sa transcription automatique sur une infrastructure européenne, la génération de projets de notes cliniques après pseudonymisation des données identifiantes, ainsi que le stockage et la mise à disposition des résultats via le Service selon les durées choisies par le Responsable du traitement.

Catégories de personnes concernées

• Patients du Client
• Professionnels de santé et personnel du Client

Catégories de données à caractère personnel

• Données d'identification et de contact
• Flux audio traité en temps réel et transcriptions associées
• Données de santé et autres catégories particulières de données (Art. 9 du RGPD)

Le traitement dure toute la durée du contrat. À la résiliation, le Sous-traitant supprimera ou restituera les données à caractère personnel conformément à la section relative à la restitution et à la suppression des données.

• Traiter les données à caractère personnel uniquement sur instructions documentées du Responsable du traitement.
• Veiller à ce que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité.
• Mettre en œuvre les mesures de sécurité techniques et organisationnelles appropriées (Art. 32 du RGPD).
• Aider le Responsable du traitement à répondre aux demandes des personnes concernées et à garantir le respect des articles 32 à 36 du RGPD.
• Mettre à disposition toutes les informations nécessaires pour démontrer la conformité et permettre la réalisation d'audits.

Le Responsable de traitement autorise le Sous-traitant à faire appel à des sous-traitants ultérieurs (par exemple, des fournisseurs d'hébergement cloud et d'infrastructure). Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles énoncées dans le présent DPA et demeure pleinement responsable de leur exécution.

Les sous-traitants ultérieurs actuellement engagés, ainsi que leur finalité et l'emplacement de leurs serveurs, sont les suivants :

Le Sous-traitant informera le Responsable de traitement au moins trente (30) jours avant d'ajouter ou de remplacer un sous-traitant ultérieur, donnant ainsi au Responsable de traitement la possibilité de s'y opposer.

L'infrastructure principale de stockage et de traitement est située dans l'Union européenne.

Un composant du Service implique un transfert de données à caractère personnel vers les États-Unis : la génération de brouillons de notes cliniques. Ces transferts s'effectuent sur la base des Clauses Contractuelles Types adoptées par la Décision d'exécution (UE) 2021/914, intégrées aux accords conclus avec les prestataires respectifs.

En acceptant ce DPA, le Responsable de traitement autorise ces transferts en tant qu'instructions documentées au sens de la section 1.

• Chiffrement des données en transit et au repos
• Contrôles d'accès basés sur les rôles et le principe du moindre privilège
• Pseudonymisation des données d'identification du patient avant transmission au fournisseur d'IA, avec la table de correspondance générée en mémoire et supprimée à la fin de la requête
• Sauvegardes régulières et procédures de continuité d'activité

Le Sous-traitant notifie le Responsable de traitement dans les meilleurs délais après avoir pris connaissance d'une violation de données à caractère personnel, en fournissant les informations nécessaires pour permettre au Responsable de traitement de respecter ses obligations au titre des articles 33 et 34 du RGPD.

À la fin du Service, le Sous-traitant, au choix du Responsable de traitement, restituera ou supprimera toutes les données à caractère personnel et les copies existantes, à moins que la conservation ne soit requise par la loi applicable.

Pour toute question relative à ce DPA : TP53 S.r.l., Via Pomposa 153, 44123 Ferrara (FE), Italie. Confidentialité : privacy@tp53health.com.