Accord de sous-traitance des données (DPA)

Le présent Accord de sous-traitance des données (ci-après « DPA » pour Data Processing Agreement) a pour objet d’encadrer le traitement de données personnelles confié par le Cabinet à DoctoRiva (ci-après « DoctoRiva ») dans le cadre de la fourniture de la plateforme DoctoRiva (ci-après le « Service »).

Le présent DPA est indissociable et fait partie intégrante des Conditions générales d’utilisation Professionnels et des Conditions générales de vente, qui y renvoient ; il est accepté avec elles lors de l’inscription et sa version en vigueur est celle publiée sur cette page. Il se lit avec la Politique de confidentialité, qui publie la liste à jour des sous-traitants et les durées de conservation en vigueur.

« Cabinet »

le professionnel de santé ou cabinet médical souscripteur du Service, agissant en qualité de responsable du traitement des données de ses patients au sens de la Loi n° 09-08.

« DoctoRiva »

DoctoRiva, agissant en qualité de sous-traitant du Cabinet pour les données traitées via le Service.

« Données »

les données à caractère personnel des patients du Cabinet et de toute personne dont les données sont saisies dans le Service par le Cabinet ou son personnel.

« Données de santé »

les données personnelles relatives à la santé physique ou mentale d’une personne, considérées comme données sensibles au sens de la Loi n° 09-08 et soumises aux formalités préalables qu’elle prévoit.

« Sous-traitant ultérieur »

tout tiers auquel DoctoRiva confie une partie du traitement (hébergement, stockage chiffré et sauvegarde, paiement des abonnements, fourniture de modèles d’intelligence artificielle).

« Violation »

toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé aux Données.

« CNDP »

la Commission Nationale de contrôle de la protection des Données à caractère Personnel du Royaume du Maroc.

3.1 Nature et finalité du traitement

DoctoRiva traite les Données uniquement aux fins de fournir au Cabinet le Service de gestion de cabinet médical : hébergement, stockage chiffré, indexation, sauvegarde, restitution, envoi des e-mails transactionnels (confirmations, rappels), exports, et toute opération nécessaire à l’exécution du contrat. Lorsque le Cabinet a activé le module et qu’un médecin l’utilise, DoctoRiva transmet en outre à un fournisseur de modèles d’IA un extrait clinique construit par liste blanche et dépourvu de tout identifiant direct (article 7 de la Politique de confidentialité) ; ce traitement est instruit par le Cabinet par l’activation du module et par chaque question du médecin, et cesse dès la désactivation du module.

3.2 Catégories de personnes concernées

• les patients du Cabinet ;
• les professionnels de santé et le personnel du Cabinet (utilisateurs du Service) ;
• toute autre personne dont les données sont saisies dans le Service par le Cabinet.

3.3 Catégories de données traitées

• Données d’identification : nom, prénom, date de naissance, sexe, CIN, CNSS ou assurance, adresse, téléphone, e-mail, contact d’urgence, profession, médecin traitant, ainsi qu’un numéro de dossier attribué automatiquement par la plateforme.
• Données médicales : groupe sanguin, antécédents, allergies, traitements en cours, constantes et mesures, notes de consultation, ordonnances, certificats, documents et fichiers importés.
• Données administratives et financières : rendez-vous, actes, règlements, reçus, historique de visites.
• Données d’authentification des utilisateurs du Cabinet : identifiants, mots de passe hachés, secrets et codes de récupération 2FA chiffrés.
• Données de connexion et d’audit : adresses IP, agents utilisateur, horodatages, journaux d’audit et événements de sécurité — pour ces données techniques propres au Service, DoctoRiva agit en qualité de responsable du traitement (article 9).

3.4 Durée du traitement

Le traitement est effectué pendant toute la durée du contrat liant le Cabinet à DoctoRiva. À l’issue du contrat, les modalités de restitution et de suppression sont décrites à l’article 12.

DoctoRiva, en sa qualité de sous-traitant, s’engage à :

1. Traiter les Données uniquement sur instruction documentée du Cabinet, telles que définies dans le contrat, les CGU Pros, les CGV et le présent DPA — y compris les transferts internationaux. Si DoctoRiva considère qu’une instruction constitue une violation de la réglementation applicable, il en informe le Cabinet sans délai.
2. Garantir la confidentialité des Données et veiller à ce que toutes les personnes autorisées à les traiter (employés, prestataires) soient soumises à une obligation de confidentialité contractuelle ou légale.
3. Mettre en œuvre les mesures de sécurité techniques et organisationnelles appropriées décrites à l’article 7, et les maintenir à jour.
4. Respecter les conditions de recours à des sous-traitants ultérieurs définies à l’article 6.
5. Aider le Cabinet à respecter ses propres obligations (réponses aux demandes des personnes concernées, analyses d’impact, consultation préalable de la CNDP, notification de violation).
6. Mettre à disposition du Cabinet toutes les informations nécessaires pour démontrer le respect du présent DPA et permettre la réalisation d’audits dans les conditions de l’article 10.
7. Notifier toute violation au Cabinet dans les délais et conditions prévus à l’article 8.
8. Restituer ou supprimer les Données à l’issue du contrat selon le choix du Cabinet, dans les conditions de l’article 12.
9. Tenir un registre des catégories de traitement effectuées pour le compte du Cabinet, conformément à la réglementation applicable.

Le Cabinet, en sa qualité de responsable du traitement, s’engage à :

1. Effectuer sa propre déclaration auprès de la CNDP pour le traitement des données de santé de ses patients, conformément à la Loi n° 09-08, et fournir à ses patients toute information requise sur le traitement.
2. Recueillir le consentement de ses patients pour la collecte et le traitement de leurs données de santé, lorsque ce consentement est requis, ou s’assurer d’une autre base légale appropriée (exécution d’un contrat de soins, intérêt vital, mission de service public, etc.).
3. Garantir la licéité et l’exactitude des Données saisies dans le Service.
4. Donner à DoctoRiva des instructions licites et documentées pour le traitement des Données.
5. Sécuriser ses propres accès au Service : mots de passe robustes, activation de l’authentification à deux facteurs (2FA) — que l’administrateur du Cabinet peut rendre obligatoire pour toute son équipe —, gestion stricte des comptes utilisateurs et de leurs permissions, révocation immédiate des accès en cas de départ d’un collaborateur.
6. Répondre aux demandes des personnes concernées (droits d’accès, de rectification, d’opposition et de suppression) dans les délais légaux, avec l’assistance apportée par DoctoRiva, décrite à l’article 9 ; informer ses patients, lorsque le module est activé, du recours à l’assistant IA.
7. Notifier la CNDP et les personnes concernées en cas de violation, dans les délais légaux applicables.
8. Coopérer avec DoctoRiva pour la conduite des audits et la résolution de tout incident.

Le Cabinet autorise expressément DoctoRiva à recourir aux sous-traitants ultérieurs listés ci-dessous pour l’exécution du Service, sous réserve que ces sous-traitants présentent des garanties équivalentes à celles décrites dans le présent DPA, notamment en matière de sécurité et de confidentialité.

6.1 Liste des sous-traitants ultérieurs

Cette liste est produite à partir de la configuration en vigueur de la plateforme ; elle reflète les catégories de sous-traitants ultérieurs effectivement actives au moment de la consultation et fait foi entre les Parties. L’identité nominative de chaque sous-traitant ultérieur est communiquée au Cabinet sur demande adressée au délégué à la protection des données.

Les e-mails sont envoyés par un serveur de messagerie exploité par DoctoRiva ; aucun prestataire tiers d’envoi d’e-mails ni de SMS n’est utilisé.

6.2 Modification de la liste

DoctoRiva informe le Cabinet de tout projet d’ajout ou de remplacement d’un sous-traitant ultérieur, par e-mail à l’adresse de contact du Cabinet et/ou par un avis dans le Service, avant sa mise en œuvre et avec un préavis raisonnable ; les catégories publiées ci-dessus et dans la Politique de confidentialité sont mises à jour au moment du changement, et l’identité du sous-traitant concerné est communiquée au Cabinet avec le préavis. Le Cabinet dispose d’un droit d’objection motivée pour des raisons substantielles de protection des données ; à défaut d’accord, il peut résilier le Service dans les conditions des CGV. La désactivation d’un module (par exemple l’assistant IA) met fin immédiatement au recours au sous-traitant correspondant pour le Cabinet.

6.3 Responsabilité

DoctoRiva demeure pleinement responsable, à l’égard du Cabinet, du respect par les sous-traitants ultérieurs des obligations applicables.

DoctoRiva met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément aux articles 23 et 24 de la Loi n° 09-08 et à l’état de l’art. Les paramètres chiffrés ci-dessous sont ceux en vigueur ; ils sont publiés depuis la configuration de la plateforme.

Ces mesures sont régulièrement réévaluées et mises à jour pour tenir compte de l’évolution des risques et de l’état de l’art.

En cas de Violation affectant les Données, DoctoRiva s’engage à :

1. Notifier le Cabinet sans retard injustifié et au plus tard dans les 72 heures après en avoir pris connaissance, par e-mail à l’adresse de contact du Cabinet enregistrée dans le Service.
2. Fournir au Cabinet toutes les informations utiles à la documentation et à la notification de la Violation à la CNDP et, le cas échéant, aux personnes concernées :
   • Nature de la Violation, catégories et nombre approximatif de personnes et d’enregistrements concernés
   • Conséquences probables
   • Mesures prises ou proposées pour remédier à la Violation et en atténuer les effets
   • Coordonnées du point de contact pour plus d’informations
3. Coopérer pleinement avec le Cabinet pour la gestion de l’incident, sa documentation et la communication avec les autorités et les personnes concernées.

La notification d’une Violation par DoctoRiva ne constitue pas une reconnaissance de faute ou de responsabilité.

DoctoRiva met à la disposition du Cabinet, dans le Service, les fonctionnalités et l’assistance permettant de répondre aux demandes des patients exerçant leurs droits :

• Droit d’accès : consultation du dossier dans le Service ; export structuré des données du Cabinet (JSON, CSV) selon le plan ; à défaut, ou pour un dossier isolé, extraction fournie par DoctoRiva sur demande écrite du Cabinet dans un délai de 30 jours ;
• Droit de rectification : modification des données inexactes directement dans le Service ;
• Droit de suppression : suppression du dossier dans le Service, puis anonymisation irréversible des données d’identification à l’issue de la période de corbeille définie par le Cabinet (30 jours par défaut), sous réserve des obligations légales de conservation ; les données financières sont anonymisées et jamais supprimées ;
• Droit d’opposition : le Cabinet apprécie la demande et, s’il y fait droit, supprime ou n’enregistre pas les données concernées ; il peut désactiver l’assistant IA ou n’inclure aucune donnée du patient dans une question.

Le titulaire d’un compte dans l’espace patient peut en outre télécharger lui-même l’ensemble des données que la plateforme détient à son sujet et supprimer son compte.

Si une personne concernée adresse directement à DoctoRiva une demande relative à des Données traitées pour le compte du Cabinet, DoctoRiva la transmet sans délai au Cabinet et n’y répond qu’à la demande expresse et écrite du Cabinet.

Les demandes relatives aux données techniques propres au Service (Compte, journaux de connexion, sécurité — pour lesquelles DoctoRiva est responsable du traitement) peuvent être adressées directement à contact@doctoriva.ma.

Le Cabinet dispose d’un droit d’audit pour vérifier le respect par DoctoRiva de ses obligations au titre du présent DPA. Ce droit s’exerce dans les conditions suivantes :

1. Préavis : demande écrite adressée à DoctoRiva avec un préavis raisonnable d’au moins 30 jours.
2. Fréquence : limitée à une fois par an, sauf cas de Violation avérée ou demande motivée d’une autorité de contrôle.
3. Modalités : à défaut d’accord contraire, l’audit prend la forme d’une revue documentaire sur la base des certifications, attestations, rapports d’audit et politiques de sécurité fournis par DoctoRiva.
4. Audit sur site : possible uniquement après échec d’une revue documentaire à répondre aux questions du Cabinet, et sous réserve d’un accord préalable sur les modalités, le périmètre et la confidentialité.
5. Frais : pris en charge par le Cabinet, sauf si l’audit révèle un manquement substantiel imputable à DoctoRiva.
6. Confidentialité : toute information obtenue lors de l’audit est strictement confidentielle.

La localisation des serveurs de la plateforme est publiée dans les Mentions légales. Les copies chiffrées des fichiers et des sauvegardes sont conservées chez les prestataires de stockage décrits à l’article 6, dans les juridictions qui y sont indiquées ; les clés de chiffrement ne quittent jamais DoctoRiva.

Le seul traitement de Données susceptible d’impliquer un prestataire situé hors du Maroc à partir de données médicales est l’assistant IA (article 3.1) : il ne porte que sur un extrait dé-identifié, sans aucun identifiant direct, et n’a lieu que si le Cabinet a activé le module. Les catégories de fournisseurs et leur juridiction sont publiées à l’article 6 et dans la Politique de confidentialité.

Tout transfert de Données hors du Maroc s’effectue dans le respect des articles 43 et 44 de la Loi n° 09-08 et des décisions de la CNDP, au moyen des formalités et garanties appropriées ; le Cabinet en est informé par le présent DPA et par toute mise à jour de la liste des sous-traitants (article 6.2).

Pendant toute la durée de l’abonnement, le Cabinet exporte ses Données via les fonctions d’export du Service (selon le plan). À la fin de l’abonnement, l’accès au Service — exports compris — est suspendu.

12.1 Restitution

Sur demande écrite du Cabinet adressée à contact@doctoriva.ma, DoctoRiva fournit dans un délai de 30 jours une copie complète et structurée des Données dans des formats couramment utilisés (JSON et CSV, fichiers joints inclus), permettant leur réutilisation par le Cabinet ou son nouveau prestataire.

12.2 Suppression

Les Données d’un Cabinet ayant souscrit un abonnement sont conservées après la fin du contrat jusqu’à leur suppression, qui intervient à la demande écrite du Cabinet ou si DoctoRiva en prend l’initiative, après un préavis écrit de 30 jours, sauf obligation légale de conservation. Les Données d’un Cabinet n’ayant jamais souscrit d’abonnement payant sont supprimées 60 jours après la fin de sa période d’essai, après un avertissement envoyé 7 jours avant. La suppression est sécurisée et irréversible :

• suppression des bases de production et des fichiers sur le stockage principal ;
• purge des sauvegardes selon le cycle de rotation, soit au plus tard 90 jours après la suppression, les copies hors site étant en outre protégées par un verrou d’immuabilité d’au moins 30 jours qui retarde d’autant leur effacement ;
• effacement des journaux d’audit à l’issue de leur durée de conservation (365 jours), les entrées relatives à un incident de sécurité étant conservées jusqu’à sa clôture.

12.3 Attestation

Sur demande écrite du Cabinet, DoctoRiva fournit une attestation de suppression précisant les opérations effectuées et leur date.

Chaque Partie est responsable des dommages causés par un manquement à ses propres obligations au titre du présent DPA et de la réglementation applicable à la protection des données personnelles.

La responsabilité incombant à DoctoRiva au titre du présent DPA est plafonnée dans les conditions prévues par les CGU Pros et les CGV, sous réserve des dispositions impératives de la loi.

Le présent DPA prend effet à compter de la souscription au Service et demeure en vigueur pendant toute la durée du contrat liant le Cabinet à DoctoRiva.

Les obligations relatives à la confidentialité, à la sécurité, à la notification des violations et au sort des Données en fin de contrat survivent à la résiliation du contrat principal jusqu’à la suppression effective des Données.

Le présent DPA est régi par le droit marocain. Tout litige relatif à son interprétation ou à son exécution relève des juridictions désignées dans les CGU Pros.