1. Champ d'application et rôles

Le présent DPA s'applique aux données personnelles que vous, les membres de votre équipe ou vos clients finaux saisissez dans Vigore, et que nous traitons pour vous fournir le service (les « Données Clients Finaux »). Vous êtes le responsable du traitement des Données Clients Finaux ; nous sommes le sous-traitant. L'annexe 1 décrit le traitement.

Il ne couvre pas les données que nous traitons en tant que responsable du traitement pour nos propres finalités, comme votre compte, la facturation et notre site web. Notre politique de confidentialité décrit ce traitement.

2. Vos responsabilités

• Vous vous assurez de disposer d'une base juridique valable pour les Données Clients Finaux que vous saisissez et, pour les données de santé ou d'autres catégories particulières, d'une exception valable au titre de l'article 9 du RGPD.
• Vous informez vos clients finaux de la manière dont vous traitez leurs données, y compris du fait que vous utilisez Vigore.
• Vigore est un outil de planification, pas un système de dossiers médicaux. Vous n'enregistrez pas de diagnostics, de détails de traitement ou d'autres dossiers médicaux dans les notes sur les clients finaux ou dans les formulaires de réservation.
• Vous décidez de la durée de conservation des Données Clients Finaux, et vous supprimez les clients finaux et rendez-vous dans Vigore lorsque vous n'en avez plus besoin.

3. Nos obligations

Nous nous engageons à :

• Traiter les Données Clients Finaux uniquement sur vos instructions documentées. Vos instructions sont le présent DPA, les conditions d'utilisation et la manière dont vous utilisez et configurez Vigore. Nous vous informerons si nous estimons qu'une instruction enfreint la législation sur la protection des données.
• Veiller à ce que toute personne chez Vigore ayant accès aux Données Clients Finaux soit tenue à la confidentialité.
• Prendre des mesures techniques et organisationnelles appropriées pour protéger les Données Clients Finaux, comme décrit à l'annexe 2.
• Vous aider, dans la mesure du raisonnable, à répondre aux demandes de vos clients finaux qui exercent leurs droits, et vous transmettre toute demande de ce type que nous recevons directement.
• Vous aider à remplir vos obligations en matière de sécurité, de violations de données, d'analyses d'impact relatives à la protection des données et de consultation préalable, compte tenu des informations dont nous disposons.
• Ne pas utiliser les Données Clients Finaux à nos propres fins, et ne pas les vendre.

4. Violations de données

Si nous avons connaissance d'une violation de données personnelles affectant les Données Clients Finaux, nous vous en informerons dans les meilleurs délais et, si possible, dans les 48 heures. Nous vous fournirons les informations nécessaires pour évaluer la violation et, le cas échéant, la notifier à l'autorité de contrôle dans les 72 heures et en informer les personnes concernées. Nous prendrons des mesures raisonnables pour en limiter les conséquences.

5. Sous-traitants ultérieurs

Vous nous accordez une autorisation générale de recourir à des sous-traitants ultérieurs. Les sous-traitants ultérieurs actuels sont listés à l'annexe 3. Nous avons conclu avec chacun d'eux un accord écrit comportant des obligations de protection des données au moins aussi protectrices que le présent DPA, et nous restons responsables de leur travail.

Nous vous informerons par e-mail ou dans Vigore au moins 15 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Vous pouvez vous y opposer pour des motifs raisonnables liés à la protection des données dans ce délai en écrivant à [email protected]. Nous chercherons alors une solution avec vous. À défaut, vous pouvez mettre fin au service concerné sans pénalité.

Les intégrations que vous choisissez de connecter, comme Google Agenda, Microsoft Outlook ou votre propre compte Stripe, ne sont pas nos sous-traitants ultérieurs. Vous les utilisez dans le cadre de votre propre accord avec ce fournisseur, et nous leur envoyons des données sur votre instruction.

6. Transferts hors de l'EEE

Notre hébergement principal se trouve dans l'UE. Lorsqu'un sous-traitant ultérieur traite des Données Clients Finaux en dehors de l'Espace économique européen, nous veillons à ce que le transfert soit protégé par une décision d'adéquation (comme le cadre de protection des données UE-États-Unis pour les fournisseurs certifiés) ou par les clauses contractuelles types de la Commission européenne.

7. Informations et audits

Sur demande, nous vous fournirons les informations raisonnablement nécessaires pour démontrer le respect du présent DPA. Si cela ne suffit pas, vous pouvez faire réaliser un audit une fois par an, par vous-même ou par un auditeur indépendant tenu à la confidentialité, moyennant un préavis d'au moins 30 jours, pendant les heures ouvrables et à vos frais.

8. Suppression et restitution

Vous pouvez exporter vos données depuis Vigore à tout moment tant que votre compte existe. Lorsque le titulaire du compte supprime le compte, nous supprimons les Données Clients Finaux de nos systèmes actifs dans un délai de 30 jours, sauf si la loi nous oblige à les conserver. Les données supprimées peuvent rester dans les sauvegardes jusqu'à 7 jours, jusqu'à ce qu'elles soient écrasées.

Un client final peut réserver auprès de plusieurs cabinets qui utilisent Vigore. Chaque cabinet est responsable du traitement de ses propres données concernant ce client final. Lorsque vous supprimez votre compte, nous supprimons vos données concernant le client final, mais conservons les informations du client final pour les autres cabinets.

9. Responsabilité, durée et droit applicable

La limitation de responsabilité prévue dans les conditions d'utilisation s'applique au présent DPA, dans la mesure permise par la loi. Le présent DPA s'applique tant que nous traitons des Données Clients Finaux pour vous. En cas de contradiction entre le présent DPA et les conditions d'utilisation concernant la protection des données personnelles, le présent DPA prévaut. Le présent DPA est régi par le droit néerlandais, et les litiges sont soumis au tribunal compétent d'Amsterdam.

En utilisant Vigore, vous acceptez le présent DPA. Si vous avez besoin d'un exemplaire signé, contactez-nous à [email protected].

Annexe 1 : Description du traitement

• Objet et finalité : fournir le service de réservation et de planification de Vigore : pages de réservation et widget, rendez-vous, gestion des clients finaux, paiements, e-mails et intégrations d'agenda.
• Durée : tant que vous utilisez Vigore, plus le délai de suppression prévu à la section 8.
• Nature : collecte, stockage, organisation, affichage, envoi et suppression de données.
• Personnes concernées : vos clients finaux, et les membres de votre équipe dans la mesure où vous les gérez dans Vigore.
• Types de données : nom, adresse e-mail, numéro de téléphone, détails des rendez-vous (prestation, date, heure, lieu, prix, statut du paiement), réponses au formulaire de réservation, notes que vous ajoutez et messages envoyés via Vigore.
• Catégories particulières : certaines données peuvent révéler des informations sur la santé, comme le nom d'un soin ou une réponse au formulaire de réservation. Nous les traitons uniquement pour fournir le service sur vos instructions.

Annexe 2 : Mesures de sécurité

• Chiffrement des données en transit (HTTPS/TLS)
• Stockage chiffré fourni par notre hébergeur
• Chiffrement supplémentaire des jetons d'accès à l'agenda et des titres des événements d'agenda
• Accès basé sur les rôles dans Vigore, afin que les membres de l'équipe ne voient que ce que leur rôle autorise
• Accès aux systèmes de production limité au personnel qui en a besoin
• Masquage des données personnelles dans les analyses produit
• Sauvegardes quotidiennes, conservées 7 jours
• Journaux des serveurs conservés 30 jours

Annexe 3 : Sous-traitants ultérieurs