Accord relatif au traitement des données personnelles — Holia Pro

Pour les traitements visés par le présent Accord, le Praticien agit en qualité de responsable du traitement et Holia agit en qualité de sous-traitant au sens du Règlement général sur la protection des données.

Cette qualification concerne uniquement les traitements réalisés par Holia pour le compte du Praticien et selon ses instructions dans le cadre des fonctionnalités Holia Pro.

Holia peut, pour d'autres traitements, déterminer lui-même les finalités et moyens du traitement et agir alors pour ses propres finalités conformément à la Politique de confidentialité.

Cela concerne notamment, selon les cas, la gestion de ses propres comptes et de la sécurité de la plateforme, certaines obligations légales ou administratives, l'annuaire public, ses activités éditoriales, ses statistiques propres ou la gestion de sa relation contractuelle.

Le présent Accord ne modifie pas la qualification juridique d'un prestataire tiers lorsque celui-ci agit lui-même en qualité de responsable du traitement ou selon un autre rôle déterminé par la réglementation applicable.

Holia traite, pour le compte du Praticien, les données nécessaires à la fourniture des fonctionnalités professionnelles qu'il utilise.

Ces traitements peuvent notamment avoir pour objet :

• la gestion de rendez-vous et de l'agenda ;
• la gestion du dossier ou du suivi d'un client ;
• le stockage d'informations saisies par le Praticien ;
• le stockage et la mise à disposition de documents ;
• la gestion de bilans, évaluations ou formulaires ;
• la gestion de programmes et ressources attribués ;
• la communication avec les clients ;
• la synchronisation de certaines informations d'agenda lorsque cette fonctionnalité est activée ;
• la génération ou la gestion de documents liés à l'activité du Praticien lorsque Holia intervient pour son compte.

Le présent Accord s'applique pendant la durée au cours de laquelle Holia traite des données personnelles pour le compte du Praticien.

Certaines données peuvent être conservées au-delà de la période d'utilisation active lorsque cette conservation est nécessaire :

• afin de respecter une obligation légale ;
• afin de préserver la sécurité ou l'intégrité du service ;
• afin de gérer une opération en cours ;
• afin de permettre la défense d'un droit ;
• ou selon une durée de conservation expressément prévue pour la catégorie de données concernée.

Les données traitées exclusivement pour le compte du Praticien doivent être supprimées ou restituées dans les conditions prévues à l'article 13 lorsqu'elles ne sont plus nécessaires à la fourniture du service, sous réserve des obligations de conservation applicables.

Holia traite les données personnelles couvertes par le présent Accord uniquement sur instruction documentée du Praticien, sauf lorsqu'une obligation légale impose à Holia un autre traitement.

Les instructions du Praticien résultent notamment :

• de l'utilisation des fonctionnalités Holia Pro ;
• des paramètres choisis ;
• des données saisies ou importées ;
• des actions effectuées depuis son compte ;
• des demandes adressées au support lorsqu'elles portent sur les traitements concernés.

Si Holia considère qu'une instruction constitue manifestement une violation de la réglementation applicable en matière de protection des données, Holia en informe le Praticien dans la mesure permise par la loi.

Le Praticien détermine les finalités des traitements qu'il réalise dans le cadre de sa propre activité et demeure responsable de leur licéité.

Il lui appartient notamment :

• de disposer d'une base juridique appropriée ;
• de respecter ses obligations d'information envers les personnes concernées ;
• de ne collecter que les données nécessaires ;
• de respecter les durées de conservation qui lui sont applicables ;
• de répondre aux demandes d'exercice de droits relevant de sa responsabilité ;
• de veiller à ne pas confier à Holia des catégories de données qu'il n'est pas autorisé à traiter ou qu'Holia n'est pas en mesure d'héberger dans le cadre du service utilisé.

Le Praticien est responsable des contenus qu'il saisit dans les champs libres ou importe dans les documents.

Les fonctionnalités Holia Pro peuvent techniquement permettre la saisie de textes libres ou le dépôt de fichiers susceptibles de contenir des informations concernant l'état physique ou psychologique d'une personne.

Cette possibilité technique ne signifie pas qu'Holia est destiné à héberger toutes les catégories de données de santé dans tous les contextes réglementaires.

À la date du présent Accord, Holia n'est pas présenté comme un service bénéficiant d'une certification HDS couvrant l'ensemble des fonctionnalités Holia Pro.

Le Praticien ne doit donc pas utiliser Holia pour confier l'hébergement de données dont l'hébergement par un tiers est légalement soumis à la certification HDS, tant qu'Holia n'indique pas expressément qu'un périmètre adapté et conforme est disponible.

Il appartient au Praticien d'apprécier cette obligation au regard de son activité, de la nature des données concernées et du contexte dans lequel elles ont été recueillies.

Holia veille à ce que les personnes autorisées à traiter les données couvertes par le présent Accord soient soumises à une obligation appropriée de confidentialité.

L'accès interne aux données doit être limité aux personnes et opérations nécessaires à l'exploitation, au support, à la sécurité ou au respect des obligations applicables.

Les habilitations techniques doivent être adaptées aux rôles et aux besoins d'accès.

Holia met en œuvre des mesures techniques et organisationnelles visant à assurer un niveau de sécurité adapté aux risques présentés par les traitements.

Ces mesures comprennent notamment, selon les composants concernés :

• l'utilisation de connexions chiffrées lors des communications réseau ;
• des mécanismes d'authentification ;
• des contrôles d'accès et contrôles de propriété des données ;
• des mécanismes de gestion de rôles ;
• des protections contre certains accès abusifs ;
• des mécanismes de journalisation pour certaines opérations sensibles ;
• des sauvegardes techniques ;
• des mécanismes de chiffrement applicatif pour certaines catégories de données lorsque ceux-ci sont effectivement implémentés ;
• des procédures de maintenance, de sécurité et de gestion des incidents.

Holia ne prétend pas que toutes les données de la plateforme bénéficient d'un chiffrement applicatif individuel au repos lorsque cela n'est pas effectivement le cas.

Les mesures sont susceptibles d'évoluer en fonction des risques, des technologies et du fonctionnement de la plateforme, sans diminution substantielle injustifiée du niveau de protection.

Le Praticien autorise de manière générale Holia à recourir à des sous-traitants ultérieurs lorsque cela est nécessaire à la fourniture du service.

Holia impose aux sous-traitants ultérieurs concernés des obligations de protection des données compatibles avec les exigences applicables au traitement qui leur est confié.

La liste des principaux sous-traitants ultérieurs intervenant dans le périmètre du présent Accord figure en annexe.

En cas d'ajout ou de remplacement d'un sous-traitant ultérieur ayant un impact matériel sur le traitement des données confiées par le Praticien, Holia informe le Praticien par un moyen approprié.

Le Praticien peut faire connaître une objection fondée sur des motifs raisonnables relatifs à la protection des données.

Lorsque les parties ne peuvent résoudre une telle objection de manière raisonnable, le Praticien peut cesser d'utiliser la fonctionnalité concernée ou mettre fin au service concerné.

Certains prestataires techniques peuvent impliquer un traitement de données en dehors de l'Espace économique européen selon le service utilisé et l'organisation du fournisseur concerné.

Lorsqu'un transfert relevant du chapitre V du RGPD intervient dans le cadre d'un traitement effectué par Holia pour le compte du Praticien, Holia veille à ce qu'un mécanisme de transfert prévu par la réglementation applicable soit utilisé.

L'existence du présent Accord ne constitue pas, à elle seule, un mécanisme de transfert international.

Le Praticien demeure l'interlocuteur principal des personnes concernées pour les traitements dont il est responsable.

Dans la mesure du possible et compte tenu de la nature du traitement, Holia assiste le Praticien lorsqu'une personne exerce un droit portant sur des données traitées pour son compte.

Cette assistance peut notamment consister à permettre la consultation, la rectification, l'export ou la suppression de données au moyen des fonctionnalités disponibles ou, lorsque cela est nécessaire, au moyen d'une opération de support.

Holia ne répond pas à la place du Praticien sur les traitements dont celui-ci demeure responsable, sauf obligation légale ou demande expressément coordonnée avec lui.

Lorsqu'Holia prend connaissance d'une violation de données personnelles affectant des données traitées pour le compte du Praticien, Holia informe le Praticien sans délai indu.

Holia communique, à mesure que les informations sont disponibles, les éléments raisonnablement nécessaires pour permettre au Praticien de respecter ses propres obligations.

Ces informations peuvent notamment porter sur :

• la nature de l'incident ;
• les catégories de données ou personnes concernées ;
• les conséquences probables connues ;
• les mesures prises ou envisagées afin de limiter l'incident.

Holia coopère raisonnablement avec le Praticien dans le traitement de l'incident.

À la fin des services impliquant le traitement de données pour le compte du Praticien, Holia supprime ou restitue, au choix du Praticien, les données personnelles concernées, sauf lorsqu'une disposition légale impose leur conservation.

Lorsque le service ne propose pas de fonction d'export ou de suppression directement accessible au Praticien, celui-ci peut adresser sa demande à Holia.

La restitution est réalisée dans un format techniquement raisonnable au regard des données concernées.

Les données présentes dans des sauvegardes techniques peuvent subsister temporairement jusqu'à leur rotation normale, sous réserve qu'elles restent protégées et ne soient pas remises en production autrement que dans le cadre d'une procédure de restauration.

Les documents ou données que Holia doit conserver pour ses propres obligations légales peuvent continuer à être conservés dans ce cadre et ne sont alors plus traités pour les finalités opérationnelles du Praticien.

Compte tenu de la nature du traitement et des informations à sa disposition, Holia fournit une assistance raisonnable au Praticien pour les obligations qui lui incombent en matière de sécurité, de notification de violations et, lorsque cela est pertinent, d'analyse d'impact relative à la protection des données.

Cette assistance tient compte de la nature du service et des informations dont Holia dispose effectivement.

Holia met à disposition du Praticien les informations raisonnablement nécessaires pour démontrer le respect de ses obligations de sous-traitant au titre du présent Accord.

Lorsque cela est nécessaire et proportionné, Holia permet la réalisation de vérifications raisonnables relatives aux traitements couverts par le présent Accord.

Les demandes d'audit doivent :

• porter sur le périmètre concerné ;
• préserver la confidentialité et la sécurité des autres utilisateurs ;
• ne pas compromettre les systèmes de Holia ;
• éviter les demandes manifestement excessives ou répétitives.

Lorsque des attestations, rapports ou documents permettent raisonnablement de répondre à la demande, leur communication peut être privilégiée avant une inspection technique.

Le présent Accord ne régit pas les traitements effectués par Holia pour ses propres finalités en qualité de responsable du traitement.

Il ne transforme pas non plus automatiquement en sous-traitant de Holia un prestataire tiers disposant de son propre rôle ou de sa propre relation contractuelle avec le Praticien.

Les traitements concernés sont encadrés, selon les cas, par la Politique de confidentialité, les CGU, les CGV ou les conditions propres au prestataire tiers.

Le présent Accord complète les CGV Holia Pro.

En cas de contradiction portant spécifiquement sur les obligations relatives aux traitements effectués par Holia pour le compte du Praticien, le présent Accord prévaut pour ce périmètre.

Les obligations légales impératives demeurent applicables.

Les demandes relatives au présent Accord peuvent être adressées à Holia au moyen des coordonnées figurant dans les Mentions légales ou via la page de contact.

1. Personnes concernées

Selon les fonctionnalités utilisées :

• clients du Praticien ;
• utilisateurs disposant d'un compte Holia ;
• personnes ajoutées par le Praticien à son portefeuille ou dossier client ;
• participants à certaines activités ou événements ;
• personnes mentionnées dans un contenu libre ou un document confié au service.

2. Types de données susceptibles d'être traitées

Selon les fonctionnalités utilisées :

• identité et coordonnées ;
• informations relatives aux rendez-vous ;
• prestations et historique de relation ;
• notes saisies par le Praticien ;
• documents importés ;
• messages et pièces jointes ;
• bilans, évaluations ou réponses à des formulaires ;
• programmes et ressources attribués ;
• informations de facturation nécessaires au fonctionnement des fonctionnalités concernées ;
• identifiants techniques, horodatages et données nécessaires à la sécurité et au fonctionnement du service.

Les champs libres et documents peuvent techniquement contenir des informations susceptibles de révéler l'état physique ou psychologique d'une personne. Leur utilisation reste soumise à l'article 6 du présent Accord.

3. Nature des opérations

Les opérations peuvent comprendre :

• collecte ;
• réception ;
• enregistrement ;
• organisation ;
• stockage ;
• consultation ;
• modification ;
• mise à disposition ;
• transmission aux sous-traitants nécessaires ;
• synchronisation ;
• génération de documents ;
• export ;
• sauvegarde ;
• suppression.

4. Finalités

Les finalités réalisées pour le compte du Praticien comprennent notamment :

• organisation de l'agenda ;
• gestion des rendez-vous ;
• gestion du suivi client ;
• gestion des documents ;
• communication ;
• gestion de bilans et programmes ;
• attribution de ressources ;
• synchronisation d'outils activés par le Praticien ;
• génération et mise à disposition de documents nécessaires aux fonctionnalités professionnelles.

La présente liste porte sur les prestataires confirmés comme susceptibles d'intervenir dans les traitements réalisés pour le compte du Praticien.

CONTABO

Service : Infrastructure serveur utilisée par Holia.

Finalité : Hébergement de l'application, de la base PostgreSQL locale et des éléments techniques associés.

Données : Données Holia Pro hébergées sur l'infrastructure selon les fonctionnalités utilisées.

Localisation : Infrastructure configurée par Holia dans l'Union européenne selon l'environnement audité.

ZOHO

Service : Transport d'emails transactionnels via SMTP.

Finalité : Acheminement des communications nécessaires au fonctionnement du service.

Données : Adresse email du destinataire et contenu des emails transactionnels concernés.

Remarque : Les notes libres et bilans clients ne sont pas destinés à être transmis tels quels au prestataire email dans le fonctionnement audité.

Localisation / transferts : Peut dépendre de la configuration et de l'infrastructure contractuelle du fournisseur.

CLOUDFLARE

Service : Services réseau, protection et sécurité, notamment selon les fonctionnalités activées.

Finalité : Acheminement et protection du trafic, prévention de certains abus et mécanismes de sécurité.

Données : Adresses IP, métadonnées techniques et données transitant par les services concernés selon leur configuration.

Localisation / transferts : Infrastructure internationale ; des traitements hors Espace économique européen peuvent être possibles.

GOOGLE — CALENDAR

Service : Google Calendar lorsque la synchronisation est volontairement activée par le Praticien.

Finalité : Synchronisation limitée des éléments d'agenda nécessaires à la fonctionnalité.

Données : Métadonnées de rendez-vous transmises par la synchronisation selon son fonctionnement technique.

Activation : Optionnelle et déclenchée par le Praticien.

Localisation / transferts : Dépend de l'organisation et des conditions applicables au service Google concerné ; des traitements hors Espace économique européen peuvent être possibles.

Holia utilise ou peut utiliser d'autres prestataires pour des fonctions distinctes de celles couvertes par le présent Accord.

L'audit technique ayant précédé le présent Accord a notamment identifié Stripe, OpenAI, Mapbox, INSEE et, selon configuration, certains services Apple ou Google.

Leur présence technique dans Holia ne signifie pas automatiquement qu'ils agissent comme sous-traitants ultérieurs pour les données confiées par le Praticien au titre du présent Accord.

En particulier, dans le fonctionnement audité à la date de cette version, les notes et bilans du dossier client ne sont pas envoyés à un modèle de langage OpenAI.

Toute évolution qui ferait intervenir un nouveau sous-traitant dans le périmètre du présent Accord devra être traitée conformément à l'article 9.

Le périmètre audité comprend notamment :

• communications HTTPS/TLS ;
• authentification des comptes ;
• contrôles d'autorisation et de propriété ;
• gestion de rôles ;
• protections et limitations applicatives sur certaines surfaces ;
• journalisation de certaines opérations administratives ou sensibles ;
• chiffrement applicatif de certaines catégories de données lorsque la fonctionnalité le prévoit ;
• sauvegardes techniques avec rotation ;
• procédures de maintenance et de correction de sécurité ;
• procédure de traitement des incidents de données personnelles.

Les données ne sont pas présentées comme bénéficiant uniformément d'un chiffrement applicatif au repos lorsque cela n'est pas effectivement implémenté.