Avenant relatif au traitement des données

Le présent DPA fait partie des Conditions d'utilisation entre SmileMaxer LLC (le « Sous-traitant ») et la Clinique (le « Responsable du traitement ») et s'applique chaque fois que SmileMaxer traite des données personnelles pour le compte de la Clinique assujetties au RGPD, au RGPD du Royaume-Uni, à la LPD suisse (FADP) ou à des lois similaires. Il est automatiquement incorporé aux Conditions pour de telles Cliniques; aucune signature n'est requise. Besoin d'une copie contresignée? Écrivez à legal@readymaxer.com.

Pour les données de l'équipe que la Clinique saisit ou génère (noms de membres, départements, salles, appareils, signaux, journaux d'activité, entrées de la Digital Line), la Clinique est le responsable du traitement et SmileMaxer est le sous-traitant. Pour les comptes d'administrateur, la facturation et les données du site Web, SmileMaxer est un responsable du traitement indépendant en vertu de la Politique de confidentialité, et le présent DPA ne s'applique pas.

Objet et durée : fournir ReadyMaxer pendant la durée de l'abonnement. Nature et finalité : héberger, stocker, transmettre et afficher les données de signalisation d'équipe; notifications poussées; connexion et jumelage; le journal d'activité de la Clinique. Personnes concernées : le personnel et les administrateurs de la Clinique; les visiteurs qui se joignent à sa Digital Line. Données personnelles : prénoms ou noms d'affichage; département et statut de quart de travail; noms, modèles et jetons de notification des appareils; enregistrements de signaux avec horodatages et brèves notes facultatives; noms de la Digital Line. Aucune catégorie particulière : le service interdit de saisir des renseignements de patient ou de santé, et la Clinique convient de n'en soumettre aucun.

SmileMaxer : (1) ne traitera que selon les instructions documentées de la Clinique (les Conditions, le présent DPA et l'utilisation des contrôles du service), sauf si la loi l'exige, en informant la Clinique sauf si la loi l'interdit; (2) tiendra les personnes autorisées à la confidentialité; (3) mettra en œuvre les mesures techniques et organisationnelles ci-dessous; (4) respectera les conditions relatives aux sous-traitants ultérieurs de la Section 4; (5) aidera la Clinique à répondre aux demandes des personnes concernées et, compte tenu des renseignements disponibles, à ses obligations de sécurité, de notification des violations et d'analyse d'impact; (6) notifiera la Clinique sans retard injustifié après avoir pris connaissance d'une violation de données personnelles touchant ses données; (7) à la fin du service, supprimera les données personnelles de la Clinique dans les 60 jours sauf lorsque la loi exige leur conservation; et (8) mettra à disposition les renseignements raisonnablement nécessaires pour démontrer la conformité et, aux frais de la Clinique et au plus une fois par an, permettra des audits (satisfaisables au moyen de documentation et de rapports de tiers).

La Clinique autorise de façon générale les sous-traitants ultérieurs énumérés à readymaxer.com/subprocessors. Nous mettrons cette page à jour au moins 15 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur; la Clinique peut s'y opposer pour des motifs raisonnables de protection des données à legal@readymaxer.com et, à défaut de résolution, résilier son abonnement. Nous imposons aux sous-traitants ultérieurs des obligations de protection des données cohérentes et demeurons responsables de leur exécution.

Le service est hébergé aux États-Unis. Lorsqu'un mécanisme de transfert est requis, les parties incorporent les Clauses contractuelles types de l'UE (2021/914, Module Deux, du responsable du traitement au sous-traitant), la Clinique étant l'exportateur et SmileMaxer l'importateur, avec : la Clause 7 incluse; la Clause 9(a) Option 2 avec un préavis de 15 jours; le texte facultatif de la Clause 11 omis; la Clause 17 Option 1 (droit irlandais); la Clause 18 (tribunaux d'Irlande). L'Annexe I est la Section 2 plus les coordonnées des comptes des parties; l'Annexe II est les mesures ci-dessous; l'Annexe III est la page des sous-traitants ultérieurs. Transferts vers le Royaume-Uni : l'Avenant international sur le transfert de données du Royaume-Uni (B1.0) s'applique, les tableaux étant remplis par ce qui précède; transferts vers la Suisse : les Clauses adaptées selon le PFPDT (FDPIC).

La responsabilité de chaque partie en vertu du présent DPA est assujettie aux limitations des Conditions sauf lorsque les Lois sur la protection des données ne le permettent pas. Le présent DPA prévaut sur les Conditions pour les questions de protection des données; les Clauses prévalent sur le présent DPA.

Tout le transport chiffré (HTTPS/TLS). Mots de passe hachés avec argon2id; jetons de session, d'appareil et de QR stockés uniquement sous forme de hachages SHA-256; codes de jumelage à usage unique avec expiration brève. Minimisation des données par conception : aucun numéro de téléphone ni courriel de membre; notes limitées à 200 caractères et étiquetées pour exclure les renseignements de patient; aucune analytique dans le service avec session ouverte. Isolation des locataires à la couche applicative; accès fondé sur les rôles. Attestation de plateforme facultative sur les points de terminaison sensibles. Hébergement sur Google Cloud avec la sécurité physique et réseau du fournisseur; accès à la production limité au personnel autorisé. IP traitées de façon transitoire en mémoire, non conservées. Application automatique de la conservation : signaux terminés et entrées de la Digital Line élagués après 90 jours, journal d'activité après 12 mois, membres retirés anonymisés après 60 jours (Politique de confidentialité, section 8). Contrôles offerts à la Clinique : révocation d'appareils, désactivation de membres, suppression de données, journal d'activité.