Accord de traitement des données

1. Parties et rôles

Le client est responsable du traitement et Qalma, édité par [entité à compléter], est sous-traitant. Le client détermine les finalités et moyens essentiels ; Qalma n’agit que sur ses instructions documentées, sauf obligation légale contraire. Les instructions comprennent le contrat, la configuration du service et les demandes licites transmises au support.

2. Objet, durée et nature

Le traitement a pour objet l’hébergement et l’exploitation du service de gestion d’accueil et de files. Il couvre la collecte via les interfaces configurées, l’enregistrement, l’organisation, la consultation, l’affichage, les notifications, les statistiques, la sauvegarde, l’assistance, l’export et la suppression. Il dure pendant le contrat et jusqu’à la restitution ou suppression complète des données.

3. Personnes et données concernées

Les personnes peuvent être les visiteurs, clients, patients lorsque le client l’autorise légalement, étudiants, usagers, agents, administrateurs et contacts du client. Les données peuvent comprendre identité et coordonnées facultatives, rendez-vous, numéro et état du ticket, file, service, horaires, priorité, historique d’appel, avis, données d’appareil et journaux techniques. Le client s’interdit d’introduire des données sensibles non prévues sans accord écrit et mesures adaptées.

4. Obligations de Qalma

• Traiter les données uniquement sur instruction documentée et signaler une instruction manifestement illicite.
• Limiter l’accès aux personnes soumises à une obligation de confidentialité.
• Mettre en œuvre les mesures de sécurité adaptées au risque.
• Aider raisonnablement le client à répondre aux droits des personnes, analyses d’impact, consultations et obligations de sécurité.
• Notifier au client toute violation de données personnelles sans délai injustifié après en avoir pris connaissance, avec les informations disponibles utiles à son évaluation.
• Tenir à disposition les informations nécessaires pour démontrer le respect du présent accord.

5. Sécurité

Les mesures comprennent, selon le risque : communications chiffrées, séparation des organisations et contrôles serveur, droits au moindre privilège, authentification et MFA disponibles, protection et rotation des secrets, journalisation des opérations sensibles, sauvegardes gérées par l’infrastructure, mises à jour, gestion des incidents et restauration. Le client sécurise ses appareils, comptes, intégrations et attributions de rôles.

6. Sous-traitants ultérieurs

Le client autorise de manière générale le recours aux prestataires nécessaires au service, notamment Supabase pour la base de données et l’authentification, Cloudflare pour l’hébergement et la sécurité, et, selon les options activées, Google, le fournisseur de voix, de notifications ou d’e-mail. Qalma leur impose des obligations équivalentes. Qalma informe le client des changements significatifs afin qu’il puisse émettre une objection motivée liée à la protection des données.

7. Transferts internationaux

Qalma ne réalise un transfert international que conformément au droit applicable, sur la base notamment d’une décision d’adéquation, de clauses contractuelles types ou d’un autre mécanisme valable, avec des mesures supplémentaires lorsque l’analyse du transfert l’exige.

8. Droits, audits et coopération

Qalma transmet au client les demandes reçues concernant ses traitements, sans y répondre sauf instruction ou obligation légale. Une fois par an, le client peut demander les informations de conformité disponibles. Un audit complémentaire peut être réalisé avec un préavis raisonnable, pendant les heures ouvrées, par un auditeur indépendant soumis à confidentialité, sans compromettre les autres clients ni la sécurité. Les coûts extraordinaires restent à la charge du client sauf non-conformité substantielle de Qalma.

9. Restitution et suppression

À la fin du contrat, Qalma, au choix documenté du client, restitue les données disponibles dans le format prévu par l’offre puis les supprime, ou les supprime directement, sauf conservation imposée par la loi. À défaut d’instruction, les données actives sont supprimées dans un délai cible de 90 jours après une période d’export de 30 jours ; les copies de sauvegarde expirent selon leur cycle normal et restent protégées jusqu’à leur effacement.

10. Obligations du client

Le client garantit la licéité de ses instructions, l’information des personnes, la base légale et la minimisation des données. Il configure les durées de conservation, traite les demandes de droits, protège ses accès et notifie à Qalma les contraintes particulières connues. Il reste responsable de ses contenus et des traitements réalisés hors de Qalma.

11. Priorité et entrée en vigueur

Ce DPA entre en vigueur avec le contrat, le devis, le bon de commande ou l’activation du service qui y renvoie. En matière de protection des données, il prévaut sur les conditions générales contradictoires. Les coordonnées, la juridiction et l’identité complète des parties figurent au contrat ou au bon de commande.