Annexe de sous-traitance des données

La présente annexe (« DPA ») fait partie du contrat conclu entre la pharmacie cliente (« le Client ») et Yassine Boulahnine — Entrepreneur individuel (« le Sous-traitant »). Elle s'applique lorsque le Sous-traitant traite des données personnelles pour le compte du Client dans le cadre de PharmaFlex.

1. Rôles des parties

Le Client détermine les finalités et moyens essentiels des traitements liés à son stock, ses règles, ses utilisateurs, ses profils de conseil et ses résultats. Il demeure responsable du traitement et garantit disposer d'une base juridique appropriée, notamment pour toute donnée de santé. Le Sous-traitant n'agit que sur instructions documentées du Client, sauf obligation légale contraire.

2. Objet et durée

Objet	Hébergement et mise à disposition du catalogue, des imports, des règles, du moteur de conseil, des analytics, de l'audit et du support.
Durée	Durée de l'abonnement, augmentée des délais de restitution, suppression et sauvegarde prévus au contrat.
Personnes	Utilisateurs professionnels, contacts du Client et personnes concernées par un profil de conseil sans identité directe.
Données	Identité professionnelle, rôle, journaux, stock, règles, imports, tranche d'âge, sexe, grossesse, allaitement, pathologies, allergies, traitements, besoins, produits évalués et résultats.
Opérations	Collecte, structuration, consultation, comparaison, transmission configurée, journalisation, export, conservation et suppression.

3. Instructions du Client

Les CGU, la configuration du compte, les actions des utilisateurs autorisés et les demandes écrites du Client constituent ses instructions. Le Sous-traitant informe le Client lorsqu'une instruction lui paraît contraire au droit applicable et peut en suspendre l'exécution le temps d'obtenir une clarification.

4. Confidentialité et personnel

L'accès est limité aux personnes qui en ont besoin pour exploiter, sécuriser ou assister le Service. Ces personnes sont soumises à une obligation de confidentialité et reçoivent des consignes adaptées à leur rôle.

5. Sécurité

Les mesures comprennent, selon le périmètre applicable : contrôle d'accès par rôle, hachage des mots de passe, cookies HttpOnly et SameSite, protection CSRF, isolation des officines, journalisation des actions sensibles, sauvegardes et gestion des vulnérabilités. Les garanties propres à l'infrastructure sont précisées dans la documentation contractuelle de l'environnement retenu.

6. Sous-traitants ultérieurs

Le Client autorise le recours aux catégories suivantes : hébergement et base de données, paiement, email transactionnel, mesure d'audience optionnelle, support et fournisseurs de modèles IA lorsque la fonction est activée. La liste applicable, les pays et les finalités sont communiqués au Client. Une modification substantielle est annoncée avant sa prise d'effet afin de permettre une objection motivée.

7. Fonctions IA

Certaines fonctions peuvent transmettre un texte libre, un profil sans identité directe ou des données produit au fournisseur de modèle configuré. Le Client choisit d'activer ces fonctions en connaissance de la documentation fournie. Le Sous-traitant s'engage à ne pas autoriser l'entraînement d'un modèle général sur ces données sans instruction compatible du Client et garanties contractuelles correspondantes.

8. Transferts hors EEE

Tout transfert international doit reposer sur un mécanisme valable et être documenté. Lorsque des clauses contractuelles types sont utilisées, les parties coopèrent à l'évaluation du transfert et aux mesures supplémentaires raisonnablement nécessaires.

9. Assistance au Client

Le Sous-traitant assiste le Client, compte tenu de la nature du traitement, pour les demandes d'exercice de droits, les analyses d'impact, les consultations de l'autorité et la démonstration de conformité. Une demande reçue directement au sujet des données du Client lui est transmise sans réponse de fond, sauf instruction.

10. Violations de données

Le Sous-traitant informe le Client d'une violation affectant ses données dans les meilleurs délais après en avoir pris connaissance. L'information disponible décrit la nature de l'incident, les catégories de données, les conséquences probables et les mesures prises ou proposées. Le Client reste décisionnaire des notifications à l'autorité et aux personnes, sauf mandat écrit.

11. Restitution et suppression

À la fin du contrat, le Client peut demander la restitution des données disponibles dans un format structuré. Les données sont ensuite supprimées ou rendues anonymes selon les délais contractuels, sous réserve des obligations légales et de la rotation documentée des sauvegardes. Les données conservées pour une obligation légale restent isolées et ne sont plus utilisées aux fins du Service.

12. Documentation et audits

Le Sous-traitant tient à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent DPA. Un audit peut être demandé avec un préavis raisonnable, pendant les heures ouvrées, sans compromettre la sécurité ou la confidentialité des autres clients. Les modalités et coûts exceptionnels sont convenus à l'avance.

13. Hébergement de données de santé

L'absence d'identité directe ne suffit pas à rendre les profils anonymes. Les parties déterminent avant mise en production si le périmètre relève de l'hébergement de données de santé et, le cas échéant, contractualisent un environnement dont la certification HDS couvre effectivement les activités utilisées.

14. Contact

Toute demande relative à cette annexe est adressée à contact@pharmaflex.pro.