Contrat de sous-traitance des données

Article 1 — Objet et qualification des parties

Le Cabinet détermine seul les finalités et les moyens du traitement des données de ses patients : il est responsable du traitement au sens de l’article 1 de la loi 09-08. Il procède aux formalités qui lui incombent auprès de la CNDP (autorisation préalable pour les données de santé) et informe ses patients.

L’Éditeur héberge et traite ces données exclusivement pour le compte du Cabinet et sur ses instructions documentées, dans le cadre de la fourniture du logiciel : il est sous-traitant au sens de l’article 23 de la loi 09-08. Il n’utilise jamais les données des patients pour son propre compte.

Article 2 — Données et personnes concernées

Données d’identification et de contact des patients (nom, prénom, date de naissance, téléphone, email, adresse, CIN), données administratives (couvertures d’assurance, honoraires, paiements), données de santé (antécédents, allergies, traitements, odontogramme, actes, séances, radiographies et photographies, prescriptions, consentements, comptes rendus, questionnaires médicaux), journaux de connexion et d’accès. Personnes concernées : patients du Cabinet et leurs représentants légaux, membres de l’équipe du Cabinet.

Article 3 — Instructions et finalités

L’Éditeur traite les données uniquement pour : stocker et restituer les dossiers, exécuter les fonctions du logiciel demandées par le Cabinet (agenda, rappels, documents, facturation, prise de rendez-vous en ligne, exports), assurer la sécurité, les sauvegardes et la continuité du service, et fournir un support technique sur demande explicite du Cabinet. Toute autre finalité est exclue. Si une instruction paraît contraire à la loi, l’Éditeur en informe le Cabinet sans délai.

Article 4 — Confidentialité

Les personnes autorisées par l’Éditeur à intervenir sur l’infrastructure sont soumises à une obligation contractuelle de confidentialité et formées à la protection des données de santé. Les données de santé sont chiffrées en base (AES-256-GCM, clé détenue sur le serveur hors du code source) : les interventions techniques courantes s’effectuent sans accès au contenu médical. Aucun accès à un dossier n’a lieu sans demande du Cabinet, et tout accès est journalisé.

Article 5 — Mesures de sécurité

Chiffrement des données de santé au repos et de toutes les communications (TLS), cloisonnement strict entre cabinets (chaque requête est liée à un cabinet, vérifié au niveau de la base de données), authentification par mot de passe robuste avec verrouillage après échecs répétés et sessions courtes renouvelées, journal d’audit horodaté de chaque lecture et écriture de dossier consultable par le Cabinet, sauvegardes chiffrées quotidiennes conservées au Maroc, mises à jour de sécurité régulières, limitation du débit des requêtes et protection contre les attaques courantes, purge automatique des données expirées selon les durées fixées par le Cabinet.

Article 6 — Localisation et transferts

Les données sont hébergées et sauvegardées exclusivement au Maroc, chez l’hébergeur désigné dans les mentions légales. Aucun transfert de données de santé hors du Maroc n’est réalisé.

Lorsque le Cabinet active l’envoi automatique de messages WhatsApp (rappels, confirmations, questionnaire), le numéro de téléphone du patient et le texte du message sont transmis à WhatsApp (Meta Platforms Ireland Ltd) via son API officielle : ce transfert, limité aux coordonnées et au contenu du message (jamais le dossier), est effectué sur instruction du Cabinet, qui en informe ses patients et recueille leur accord pour ce canal. Sans activation, aucun numéro n’est transmis : les liens « wa.me » sont ouverts par le Cabinet depuis son propre téléphone.

Article 7 — Sous-traitants ultérieurs

L’Éditeur recourt aux sous-traitants ultérieurs suivants : l’hébergeur des serveurs (Maroc) ; WhatsApp / Meta pour les messages, uniquement si le Cabinet active cette fonction. Tout nouveau sous-traitant est annoncé au Cabinet au moins 30 jours à l’avance sur la page Données personnelles du site et dans l’application ; le Cabinet peut s’y opposer en résiliant sans frais et en exportant ses données. L’Éditeur impose à ses sous-traitants des obligations équivalentes à celles du présent contrat.

Article 8 — Assistance au Cabinet

L’Éditeur met à disposition les outils permettant au Cabinet de répondre aux demandes des patients : export complet d’un dossier (droit d’accès), modification de la fiche (rectification), anonymisation irréversible (suppression), journal des accès, trace de l’information donnée au patient. Les demandes déposées sur le site à l’attention du Cabinet lui sont transmises dans l’application. L’Éditeur assiste le Cabinet pour toute demande de la CNDP.

Article 9 — Violation de données

En cas de violation de données à caractère personnel (accès non autorisé, perte, divulgation), l’Éditeur notifie le Cabinet dans les 48 heures suivant sa découverte, en précisant la nature de la violation, les données et personnes concernées, les conséquences probables et les mesures prises. Il tient un registre des incidents et coopère avec le Cabinet pour l’information de la CNDP et, le cas échéant, des patients.

Article 10 — Durée de conservation, restitution et suppression

Le Cabinet fixe dans l’application la durée de conservation des dossiers après le dernier contact (20 ans par défaut), le délai de purge de la corbeille et la durée du journal d’audit. À l’échéance, les dossiers sont anonymisés de façon irréversible, sur confirmation du Cabinet ou automatiquement s’il l’a choisi.

À la fin du contrat, quel qu’en soit le motif, le Cabinet télécharge l’intégralité de ses données (tableurs, base SQL, images et fichiers) depuis Paramètres › Données du cabinet, sans frais. Trente jours après la fin du contrat, l’Éditeur supprime les données et leurs sauvegardes, sauf obligation légale de conservation, et l’atteste par écrit sur demande.

Article 11 — Audit et documentation

L’Éditeur tient à disposition du Cabinet la documentation des mesures de sécurité, la liste des sous-traitants ultérieurs et le registre des incidents. Le Cabinet peut, une fois par an et avec un préavis de 30 jours, faire vérifier le respect du présent contrat par un auditeur indépendant soumis à confidentialité, à ses frais.

Article 12 — Durée et droit applicable

Le présent contrat s’applique pendant toute la durée d’utilisation du logiciel et survit à sa résiliation jusqu’à la suppression effective des données. Il est soumis au droit marocain ; tout litige relève des tribunaux compétents de Rabat.