Accord de sous-traitance — article 28 RGPD
1. Rôles et objet
Le client opticien est responsable des traitements qu'il confie à Clic-Optic ; Octet Libre est sous-traitant. Le traitement couvre la consultation et l'automatisation autorisée de dossiers de tiers payant pendant la durée de l'abonnement.
2. Personnes, données et opérations
Personnes : clients ou patients de l'opticien, utilisateurs et professionnels prescripteurs. Données possibles : identité, coordonnées, identifiants de dossier, NIR lorsque le portail l'exige, prescription, correction, équipement, droits et informations susceptibles de révéler la santé. Opérations : lecture dans le logiciel métier source, transformation en mémoire, affichage et saisie dans les portails autorisés. Aucun cache patient durable n'est prévu dans l'extension.
3. Instructions et confidentialité
Clic-Optic ne traite les données que sur instruction documentée du client, y compris pour un transfert. Il informe immédiatement le client si une instruction paraît enfreindre le droit applicable. Les personnes autorisées sont soumises à une obligation de confidentialité.
4. Sécurité
Mesures : accès par rôles et organisation, appareils et sessions révocables par l'organisation, plafonnement du nombre d'appareils par compte, chiffrement en transit, secrets hors code, limitation des journaux, diagnostics à vocabulaire fermé, absence de données patient dans analytics/Sentry/Resend, tests d'isolation, sauvegardes contrôlées et gestion des vulnérabilités. L'annexe de sécurité et le runbook d'incident complètent ces mesures.
5. Sous-traitants ultérieurs
La liste publique est incorporée au présent DPA. Le client autorise généralement les prestataires listés. Un ajout matériel est annoncé 30 jours avant effet avec possibilité d'objection motivée. Clic-Optic reste responsable de leurs obligations de protection des données.
6. Assistance
Clic-Optic assiste le client pour les demandes de droits, la sécurité, les violations, l'AIPD et, si nécessaire, la consultation préalable. Toute violation confirmée est notifiée sans délai indu avec les informations disponibles, complétées progressivement.
7. Fin de prestation
Au choix du client et sous réserve de la loi, les données confiées sont restituées par export puis supprimées, copies comprises. Les sauvegardes expirent sous 30 jours et un tombstone de suppression doit être rejoué après restauration.
8. Audit
Clic-Optic fournit les informations raisonnablement nécessaires et accepte un audit proportionné, confidentiel, annoncé et non perturbateur. Les coûts sont supportés par le client sauf non-conformité substantielle constatée.