Annexe de sous-traitance

1. Parties et qualifications

La présente annexe est conclue entre :

• HubMedical, SAS au capital de 1 000 €, RCS Paris 108 408 113, siège social 47 rue Vivienne, 75002 Paris, ci-après « le Sous-traitant » ;
• l'Établissement titulaire d'un abonnement à la plateforme, ci-après « le Responsable de traitement ».

1.1 Une répartition en deux blocs

La plateforme met en œuvre deux ensembles de traitements aux qualifications distinctes, qu'il convient de ne pas confondre :

Les documents qu'un professionnel transmet à l'appui d'une candidature sont collectés par HubMedical en qualité de responsable de traitement, puis mis à la disposition de l'Établissement. À compter de leur consultation, l'Établissement en devient responsable pour les finalités qui lui sont propres, notamment l'embauche et l'exécution de ses obligations d'employeur. Chaque partie répond alors des traitements qu'elle décide.

2. Périmètre du traitement

2.1 Objet et nature

Hébergement, stockage, structuration, consultation, modification et suppression des données que l'Établissement enregistre ou fait enregistrer sur la plateforme dans le cadre de la gestion de son vivier et de ses vacations.

2.2 Finalité

Permettre à l'Établissement de constituer et d'exploiter son propre vivier de professionnels de santé, de suivre ses candidatures et de conserver la mémoire interne de ses équipes sur les vacations réalisées.

2.3 Catégories de personnes concernées

Les professionnels de santé membres du vivier de l'Établissement, ayant candidaté à l'une de ses vacations, ou ayant été invités par lui à rejoindre la plateforme.

2.4 Catégories de données

• Données de rattachement — appartenance au vivier de l'Établissement, date et statut du rattachement, invitations émises et leur suivi.
• Données d'identification et de contact, telles qu'issues du profil du professionnel et rendues visibles à l'Établissement selon le stade de la candidature.
• Appréciations internes — notes libres rédigées par les équipes de l'Établissement sur un professionnel, commentaires portés sur une candidature, mentions d'un collègue dans ces commentaires.
• Historique d'activité — candidatures reçues, missions confirmées, absences non justifiées constatées et déclarées par l'Établissement.

2.5 Durée

Le traitement est réalisé pendant toute la durée de l'abonnement de l'Établissement, et s'achève dans les conditions prévues à l'article 10 de la présente annexe.

3. Instructions documentées

HubMedical ne traite les données visées à l'article 2 que sur instruction documentée de l'Établissement. Constituent des instructions documentées :

• les conditions générales d'utilisation et la présente annexe ;
• les actions accomplies par l'Établissement au moyen des fonctionnalités de la plateforme ;
• toute demande écrite adressée à contact@hubmedical.fr.

HubMedical informe l'Établissement si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition relative à la protection des données, et peut suspendre son exécution jusqu'à confirmation écrite.

HubMedical peut traiter les données pour satisfaire à une obligation légale à laquelle elle est soumise ; elle en informe alors l'Établissement avant le traitement, sauf interdiction légale.

4. Confidentialité

HubMedical veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation contractuelle de confidentialité, survivant à la fin de leur engagement, et reçoivent la formation nécessaire.

L'accès est restreint aux seules personnes dont les fonctions le justifient, dans la limite de ce qu'elles exigent. Chaque consultation ou téléchargement d'une pièce personnelle est journalisé.

5. Mesures de sécurité

Au titre de l'article 32 du RGPD, HubMedical met en œuvre les mesures techniques et organisationnelles suivantes :

5.1 Mesures techniques

• Chiffrement en transit — communications en HTTPS, TLS 1.2 minimum, transport strictement sécurisé imposé par en-tête.
• Chiffrement au repos — base de données et stockage de fichiers chiffrés par l'infrastructure d'hébergement.
• Stockage privé des documents — conteneur non accessible publiquement ; la consultation passe par des liens signés à usage unique, en lecture seule, expirant au bout de dix minutes.
• Contrôle des fichiers déposés — vérification du format réel du fichier et non de son extension, limitation de taille et de type, analyse antivirus.
• Cloisonnement — chaque requête vérifie que la ressource demandée appartient bien à l'établissement du demandeur, indépendamment de la validité du jeton d'authentification.
• Authentification — jetons de session à durée limitée et jetons de renouvellement révocables ; vérification renforcée pour les accès d'administration.
• Gestion des secrets — secrets applicatifs conservés dans un coffre-fort dédié, accès des services par identité managée sans mot de passe partagé.
• Journalisation et supervision — traçabilité des actions sensibles, supervision applicative avec alertes sur indisponibilité, erreurs et anomalies.
• Sauvegardes — sauvegardes automatiques de la base de données avec restauration à un instant donné, assurées par l'hébergeur.
• Effacement automatisé — traitements quotidiens appliquant les durées de conservation sans intervention manuelle.

5.2 Mesures organisationnelles

• Habilitations nominatives, revues lors de tout changement de fonction.
• Séparation des environnements et absence de données réelles hors production.
• Registre des traitements tenu à jour, incluant la partie prévue à l'article 30-2 du RGPD.
• Procédure documentée de gestion des violations de données.

Ces mesures peuvent évoluer. HubMedical s'engage à ne pas diminuer le niveau de sécurité global pendant la durée du contrat.

6. Sous-traitants ultérieurs

L'Établissement autorise HubMedical à recourir aux sous-traitants ultérieurs suivants :

HubMedical impose contractuellement à chacun d'eux des obligations de protection des données au moins équivalentes à celles de la présente annexe, et demeure pleinement responsable de leur exécution devant l'Établissement.

Toute adjonction ou remplacement d'un sous-traitant ultérieur est notifié à l'Établissement au moins trente jours à l'avance. L'Établissement peut s'y opposer par écrit et de façon motivée dans ce délai ; à défaut d'accord, il peut résilier son abonnement sans frais ni pénalité, au prorata de la période non consommée.

7. Assistance aux droits des personnes

Les demandes d'exercice de droits reçues par HubMedical et relevant du périmètre de l'Établissement lui sont transmises sans délai, HubMedical n'y répondant pas de sa propre initiative.

Compte tenu de la nature du traitement, HubMedical assiste l'Établissement par les moyens suivants :

• consultation, rectification et suppression des données du vivier et des appréciations internes, directement depuis l'interface ;
• extraction des données rattachées à une personne, sur demande écrite, dans un format structuré et lisible par machine ;
• fourniture des éléments nécessaires pour répondre à une demande dans le délai d'un mois de l'article 12 du RGPD.

Cette assistance est comprise dans l'abonnement, sauf demandes manifestement excessives ou répétitives.

8. Violations de données et analyses d'impact

HubMedical notifie à l'Établissement toute violation de données à caractère personnel affectant le périmètre de la présente annexe dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées.

Ce délai est fixé pour permettre à l'Établissement de respecter, le cas échéant, son propre délai de 72 heures prévu à l'article 33 du RGPD. La notification à l'autorité de contrôle et l'information des personnes concernées relèvent de l'Établissement.

HubMedical apporte à l'Établissement l'assistance raisonnable nécessaire à la réalisation d'une analyse d'impact relative à la protection des données et, le cas échéant, à une consultation préalable de l'autorité de contrôle.

9. Transferts hors Union européenne

Les données sont hébergées et stockées au sein de l'Union européenne. Les transferts vers des pays tiers se limitent à ceux qu'impliquent les prestations d'acheminement mentionnées à l'article 6.

Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne, complétées le cas échéant par des mesures supplémentaires, ou par l'adhésion du prestataire au cadre de protection des données UE–États-Unis. Copie des garanties est mise à disposition de l'Établissement sur demande.

HubMedical ne procède à aucun autre transfert hors Union européenne sans instruction ou autorisation préalable de l'Établissement.

10. Sort des données en fin de contrat

Au terme de l'abonnement, quelle qu'en soit la cause, l'Établissement dispose d'un délai de trente jours pour demander la restitution des données relevant du périmètre de la présente annexe, dans un format structuré et lisible par machine.

À l'expiration de ce délai, HubMedical procède à la suppression des données concernées ainsi que des copies existantes, sauf obligation légale de conservation. Sont notamment conservées au-delà, en application d'obligations propres à HubMedical :

• les pièces comptables et factures, pendant dix ans ;
• les attestations de mission, pendant cinq ans ;
• le journal des accès aux documents personnels, afin de pouvoir rendre compte des consultations passées.

La suppression du vivier d'un Établissement n'entraîne pas celle du compte des professionnels concernés, dont HubMedical demeure responsable de traitement.

Une attestation de suppression est délivrée sur demande.

11. Documentation et audit

HubMedical met à la disposition de l'Établissement les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD, notamment la description des mesures de sécurité, la liste des sous-traitants ultérieurs et les garanties encadrant les transferts.

L'Établissement peut faire réaliser un audit, dans les conditions suivantes : au plus une fois par an, sauf survenance d'une violation de données ; sur préavis écrit de trente jours ; pendant les heures ouvrées ; sans perturbation du service ; par l'Établissement ou un auditeur indépendant non concurrent de HubMedical, soumis à une obligation de confidentialité. Les frais sont à la charge de l'Établissement, sauf si l'audit révèle un manquement substantiel de HubMedical.

12. Responsabilités respectives

L'Établissement garantit disposer d'une base légale pour les traitements qu'il met en œuvre, informer les personnes concernées, ne saisir que des données adéquates, pertinentes et limitées à ce qui est nécessaire, et n'habiliter à la plateforme que les membres de son personnel qui en ont l'usage. Il révoque sans délai les accès des personnes ayant quitté leurs fonctions.

Chaque partie répond des dommages causés par le traitement lorsqu'elle n'a pas respecté les obligations du RGPD qui lui incombent, ou qu'elle a agi en dehors des instructions licites de l'autre partie, dans les conditions de l'article 82 du règlement.

13. Modifications

Toute modification substantielle de la présente annexe est notifiée à l'Établissement au moins trente jours avant son entrée en vigueur. À défaut d'acceptation, l'Établissement peut résilier son abonnement sans frais ni pénalité.

En cas de contradiction entre la présente annexe et les conditions générales d'utilisation, la présente annexe prévaut pour ce qui concerne la protection des données à caractère personnel.