Accord de Traitement des Données

Le présent Accord de Traitement des Données (ci-après le « DPA ») est conclu entre :

Le Professionnel et Synkro sont ci-après désignés ensemble les « Parties ».

Le Professionnel agit en qualité de responsable du traitement des données de santé de ses patients, conformément au Règlement (UE) 2016/679 (RGPD). Synkro met à sa disposition l'application Synkro Clinic, dont les fonctionnalités impliquent le traitement de données à caractère personnel, dont des données de santé, pour le compte du Professionnel.

Une offre distincte, Synkro Motion, s'adresse aux professionnels du sport et fait l'objet d'un accord de traitement séparé. Le Professionnel de santé qui souscrit le module d'analyse biomécanique demeure régi par le présent DPA, y compris pour l'usage de ce module.

Le présent DPA a pour objet d'encadrer ce traitement conformément à l'article 28 RGPD. Il fait partie intégrante du cadre contractuel composé des CGU, des CGV et de la Politique de confidentialité Synkro. Il est accepté par le Professionnel lors de la création de son compte.

Le DPA s'applique à toutes les opérations de traitement réalisées par Synkro pour le compte du Professionnel dans le cadre de l'utilisation de l'application Synkro.

Il prend effet à la création du compte du Professionnel et demeure en vigueur pendant toute la durée de la relation contractuelle. À la cessation de la relation, les dispositions relatives à la restitution, à la suppression et à la confidentialité continuent de s'appliquer.

Les vidéos et reconstructions tridimensionnelles sont traitées à seule fin de produire des indicateurs de mouvement. Elles ne font l'objet d'aucun traitement biométrique aux fins d'identifier une personne physique au sens de l'art. 9.1 RGPD.

Le Professionnel s'engage à :

• disposer d'une base légale valable pour chaque traitement confié à Synkro, notamment l'art. 9.2.h RGPD combiné à son statut de professionnel de santé soumis au secret professionnel (art. 9.3 RGPD) ;
• informer ses patients du traitement de leurs données, notamment via la Politique de confidentialité Synkro et les mentions d'information communiquées lors de l'invitation ;
• recueillir les consentements requis auprès de chaque patient lors de l'inscription, à savoir : (i) un consentement explicite au traitement des données de santé dans le cadre du suivi thérapeutique, incluant l'administration de questionnaires et l'analyse biomécanique automatisée comme moyens techniques (art. 9.2.a RGPD) — obligatoire ; (ii) un consentement distinct et facultatif à l'utilisation de données pseudonymisées individuelles pour l'amélioration longitudinale des algorithmes Synkro (flux B). Les statistiques anonymes agrégées (flux A) ne requièrent pas de consentement spécifique, conformément au considérant 26 du RGPD ;
• n'ajouter que des patients dont il assure effectivement le suivi clinique ;
• documenter son propre registre des traitements et ses mesures internes de sécurité ;
• donner à Synkro des instructions documentées via la souscription au service et les paramètres de son compte.

3.1. Partage de dossiers au sein d'un cabinet

Lorsque le Professionnel partage un dossier avec un autre membre de son cabinet ou de son groupe, ce partage constitue une instruction donnée à Synkro. Le Professionnel demeure responsable du traitement pour les données concernées et s'engage à :

• disposer d'une base légale pour ce partage, notamment la continuité du suivi ;
• informer préalablement la personne concernée et recueillir son accord lorsque le droit applicable ou la nature des données l'exige ;
• limiter le partage à ce qui est nécessaire à la continuité des soins ;
• y mettre fin lorsqu'il n'est plus justifié.

Synkro fournit les moyens techniques du partage, en journalise les accès, et n'en décide jamais l'étendue.

3.2. Patients mineurs

Pour tout patient mineur, le Professionnel vérifie l'âge avant de transmettre le code d'invitation permettant la création du compte, et recueille les consentements requis auprès du titulaire de l'autorité parentale, conformément au droit national applicable. Synkro conditionne techniquement la création du compte à la saisie d'un code d'invitation fourni par le Professionnel, garantissant un contrôle en amont par le responsable du traitement.

Les seuils nationaux applicables sont les suivants :

• en Belgique : consentement de l'autorité parentale obligatoire pour tout mineur de moins de treize ans (loi du 30 juillet 2018, art. 7, transposant l'art. 8 RGPD) ;
• en France : consentement conjoint du mineur et du titulaire de l'autorité parentale pour tout mineur de moins de quinze ans (loi Informatique et Libertés, art. 45, modifiée par la loi du 20 juin 2018).

Compte tenu de la sensibilité particulière des données de santé (art. 9 RGPD), il est recommandé de recueillir le consentement conjoint du mineur et de son représentant légal jusqu'à la majorité (dix-huit ans), indépendamment du seuil national retenu.

Conformément à l'article 28.3 RGPD, Synkro s'engage à :

4.1. Traiter les données uniquement sur instruction documentée

Synkro traite les données exclusivement sur instruction documentée du Professionnel, telles que définies par la souscription au service, les CGU, le présent DPA et les paramètres de l'application. Synkro informera le Professionnel si, selon elle, une instruction constitue une violation du RGPD ou d'une autre disposition de l'Union ou des États membres.

4.2. Garantir la confidentialité

Synkro s'engage à ce que les personnes autorisées à traiter les données (équipe technique Synkro) soient soumises à une obligation de confidentialité contractuelle, sensibilisées aux exigences RGPD et aux spécificités des données de santé.

4.3. Mettre en œuvre les mesures de sécurité (art. 32)

Synkro met en œuvre les mesures techniques et organisationnelles décrites dans sa Politique de sécurité interne (RGPD art. 32), notamment :

• hébergement AWS région Paris (eu-west-3), certifié HDS, ISO 27001, SOC 2 ;
• chiffrement au repos : AES-256 via AWS KMS pour la base PostgreSQL (RDS) ; SSE-S3 (AES-256) pour le stockage des vidéos ;
• chiffrement en transit (HTTPS/TLS 1.2 minimum) ;
• mots de passe hachés avec bcrypt, jetons de session à durée limitée ;
• cloisonnement des accès : chaque Professionnel n'accède qu'aux données des patients qu'il suit et à celles qui lui ont été explicitement partagées au sein de son cabinet, dans la limite de ce partage ;
• journalisation des accès aux dossiers et sanitisation à la source des logs applicatifs (aucune donnée de santé journalisée) ;
• moindre privilège IAM ; accès infrastructure restreint à l'équipe technique Synkro ; revue périodique des accès ;
• sauvegardes automatiques de la base de données ;
• surveillance CloudWatch avec alarmes actives.

4.4. Sous-traitance ultérieure

Le Professionnel autorise Synkro à recourir aux sous-traitants ultérieurs listés ci-dessous, dont les obligations de protection des données sont équivalentes à celles du présent DPA :

Toute modification de cette liste fera l'objet d'une information préalable du Professionnel, au moins trente jours avant sa prise d'effet, lui permettant de s'y opposer pour un motif légitime.

Agenda externe. Lorsque le Professionnel connecte un agenda externe, la synchronisation est unidirectionnelle et en lecture seule : Synkro importe les périodes d'indisponibilité et ne transmet au fournisseur de cet agenda aucune donnée de patient, aucun motif de rendez-vous et aucune donnée de santé. Le fournisseur choisi par le Professionnel n'est donc pas un sous-traitant ultérieur de Synkro.

4.5. Assistance au responsable

Synkro assiste le Professionnel, dans la mesure du possible et compte tenu de la nature du traitement :

• pour répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité, opposition, retrait du consentement) — les modalités techniques sont intégrées à l'application ;
• pour la sécurité du traitement (art. 32), la notification et la communication d'une violation (art. 33 et 34) et, le cas échéant, la réalisation d'une analyse d'impact (art. 35).

Lorsqu'une personne concernée adresse directement une demande à Synkro, Synkro l'oriente sans délai vers le Professionnel responsable et lui apporte l'assistance technique nécessaire.

4.6. Notification des violations

En cas de violation de données à caractère personnel affectant les données traitées pour le compte du Professionnel, Synkro informe le Professionnel dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les quarante-huit heures, afin de lui permettre de respecter ses propres obligations de notification à l'autorité de contrôle (art. 33 RGPD) et, le cas échéant, aux personnes concernées (art. 34 RGPD). La procédure interne Synkro de gestion des violations fait partie du dossier de conformité et est communicable sur demande raisonnable et justifiée.

4.7. Restitution ou suppression à la fin du traitement

À l'issue de la relation contractuelle, et selon le choix du Professionnel :

• Restitution : le Professionnel peut exporter les données depuis l'application dans un format structuré (JSON ou CSV) avant la résiliation.
• Suppression automatique : quatre-vingt-dix jours après la résiliation ou la suppression du compte, l'ensemble des données du Professionnel et des patients rattachés est purgé automatiquement des bases Synkro et de l'ensemble des sauvegardes, conformément à la Politique de confidentialité.

Lorsqu'un dossier a été partagé au sein d'un cabinet, la suppression du compte d'un membre bénéficiaire met fin à ses accès sans affecter le dossier détenu par le Professionnel qui en est responsable.

4.8. Démontrer la conformité

Synkro met à disposition du Professionnel, sur demande raisonnable et justifiée, les informations nécessaires pour démontrer le respect des obligations du présent DPA : registre des traitements, liste des sous-traitants, politique de sécurité, procédure de gestion des violations de données, certificats HDS d'AWS et preuves techniques associées. Synkro pourra répondre par des déclarations écrites, des certifications tierces et, si nécessaire, par un audit contradictoire aux frais de la Partie demanderesse, dans des conditions préservant la confidentialité des autres Professionnels utilisateurs.

L'ensemble des données de santé des patients est hébergé en France (AWS région Paris, eu-west-3), y compris pour les traitements d'analyse par intelligence artificielle, réalisés au moyen d'un profil d'inférence restreint à l'Union européenne. Aucun transfert de données de santé hors Union européenne n'est effectué.

Les transferts liés aux opérations techniques du prestataire de paiement Stripe (supervision, détection de fraude) concernent exclusivement les données de facturation du Professionnel et sont encadrés par les Clauses Contractuelles Types (décision 2021/914) intégrées au DPA Stripe.

L'acheminement des emails transactionnels peut impliquer un traitement hors Union européenne, encadré par les Clauses Contractuelles Types, et limité à l'adresse email du destinataire et au contenu du message.

Chaque Partie est responsable des dommages causés par un traitement qui ne respecte pas le RGPD, dans les conditions prévues à l'article 82 RGPD. Dans le cadre contractuel, la responsabilité financière de Synkro est plafonnée conformément aux CGV, sous réserve des cas de faute lourde ou intentionnelle.

• Articulation : le DPA prévaut en cas de contradiction sur des points relatifs à la protection des données entre les présents termes et les CGU ou CGV Synkro.
• Modifications : toute modification substantielle du DPA fera l'objet d'une notification au Professionnel au moins trente jours avant entrée en vigueur.
• Droit applicable : droit belge ; juridiction : tribunaux de l'arrondissement judiciaire de Bruxelles.

Le présent DPA est rédigé en français. Des traductions peuvent être mises à disposition à titre informatif. En cas de divergence d'interprétation entre la version française et une traduction, la version française prévaut.