Contrat de sous-traitance (modèle)

Contrat relatif au traitement de données personnelles pour le compte d'un responsable conformément à l'art. 28 RGPD entre le laboratoire utilisateur (« Responsable ») et [FIRMA EINTRAGEN], [STRASSE + HAUSNUMMER EINTRAGEN], [PLZ EINTRAGEN] [ORT EINTRAGEN] (« Sous-traitant »). Ce contrat devient partie intégrante de l'accord dès que le Responsable l'accepte lors de l'inscription ou dans les paramètres du compte.

1. Objet et durée

Le Sous-traitant exploite la plateforme Pontiq et traite des données personnelles pour le compte du Responsable pendant la durée du contrat d'utilisation.

2. Nature, finalité et étendue

Collecte, stockage, affichage, transmission et suppression des données que le Responsable traite via la plateforme, notamment pour la gestion des cas et des commandes, la planification de la production, la génération de documents et les fonctions IA optionnelles. Cela comprend le stockage chiffré (coffre à identifiants) des identifiants déposés par le Responsable pour les clouds de scanners et les portails fabricant, ainsi que la récupération automatisée de nouveaux cas depuis ces services tiers sur instruction documentée du Responsable.

3. Catégories de personnes concernées et de données

• Personnes concernées : patients des cabinets dentaires ; employés du Responsable ; interlocuteurs des cabinets.
• Catégories de données : données d'identification (nom/pseudonyme du patient, numéros de cas), données de commandes et de cas (type de travail, matériau, teinte, notes), fichiers de scan 3D et pièces jointes, données utilisateur des employés (nom, e-mail, rôle), données de communication. Des données de santé au sens de l'art. 9 RGPD peuvent être incluses.

4. Instructions

Le Sous-traitant traite les données exclusivement sur instruction documentée du Responsable ; l'utilisation des fonctions de la plateforme vaut instruction. S'il estime qu'une instruction est illicite, il en informe le Responsable sans délai.

5. Confidentialité

Seules interviennent des personnes engagées à la confidentialité ou soumises à une obligation légale appropriée de secret.

6. Mesures techniques et organisationnelles (art. 32 RGPD)

Chiffrement TLS de toutes les connexions ; stockage chiffré des jetons et hachage des mots de passe ; contrôle d'accès basé sur les rôles et cloisonnement des clients au niveau des données ; journalisation des événements de sécurité ; sauvegardes régulières et tests de restauration ; hébergement exclusivement dans des centres de données de l'UE.

7. Sous-traitants ultérieurs

Le Responsable autorise de manière générale des sous-traitants ultérieurs pour l'hébergement (UE), l'envoi d'e-mails et le traitement IA (Mistral AI SAS, France — traitement dans l'UE). Le Sous-traitant annonce les changements prévus avec un préavis raisonnable ; le Responsable peut s'y opposer pour des motifs importants de protection des données. Des contrats selon l'art. 28, par. 4 RGPD existent avec tous les sous-traitants ultérieurs.

8. Assistance

Le Sous-traitant assiste raisonnablement le Responsable pour les droits des personnes concernées (art. 12–23 RGPD), la sécurité du traitement, les notifications de violations (art. 33 et 34 RGPD) et les analyses d'impact (art. 35 et 36 RGPD).

9. Notification des violations

Le Sous-traitant notifie au Responsable les violations de données personnelles sans retard injustifié, au plus tard 48 heures après en avoir pris connaissance, avec les informations de l'art. 33, par. 3 RGPD lorsqu'elles sont disponibles.

10. Suppression et restitution

À la fin du contrat d'utilisation, le Sous-traitant supprime ou restitue toutes les données personnelles, sauf obligation légale de conservation. Le Responsable peut auparavant demander un export des données (fourni sous 30 jours).

11. Preuves et audits

Le Sous-traitant fournit toutes les informations nécessaires pour démontrer la conformité. Le Responsable peut effectuer des audits après préavis pendant les heures ouvrables habituelles ou les faire réaliser par des tiers appropriés ; les attestations et rapports existants sont utilisés en priorité.

12. Dispositions finales

Le droit allemand s'applique. Pour le reste, les conditions générales s'appliquent. La nullité de certaines clauses n'affecte pas les autres.