Accord de sous-traitance – Tournée facile
Dernière mise à jour : 12/08/2026
1. Objet
Le présent accord (l'« Accord ») encadre le traitement de données à caractère personnel réalisé par Hakimon Solutions pour le compte de l'utilisateur professionnel, en application de l'article 28 du Règlement (UE) 2016/679 (« RGPD »).
Il complète les Conditions Générales d'Utilisation, dont il fait partie intégrante. En cas de contradiction sur le traitement des données à caractère personnel, le présent Accord prévaut.
2. Qualification des parties
2.1 Le professionnel de santé est responsable de traitement
L'infirmier ou le cabinet qui utilise Tournée facile (le « Responsable de traitement ») détermine les finalités et les moyens du traitement des données de ses patients : quels patients suivre, quels soins consigner, quelles transmissions rédiger, quelles tournées organiser.
Ces traitements relèvent de son exercice professionnel et de ses obligations propres, notamment le secret professionnel (article L1110-4 du Code de la santé publique) et la tenue du dossier de soins.
2.2 Hakimon Solutions est sous-traitant
Hakimon Solutions, SAS au capital de 1 000 €, 200 rue de la Croix Nivert, 75015 Paris, RCS Paris 992 080 192 00014 (le « Sous-traitant ») traite ces données uniquement sur instruction documentée du Responsable de traitement, pour lui fournir le service.
Le Sous-traitant ne détermine ni les finalités ni les moyens du traitement des données de patients.
Deux traitements distincts. Le Sous-traitant est en revanche responsable de traitement pour ses propres données : compte utilisateur, facturation, journaux techniques, support. Ces traitements-là sont décrits dans la Politique de confidentialité et sortent du périmètre du présent Accord.
3. Description du traitement
- Nature du traitement : hébergement, stockage, organisation, consultation, structuration et suppression.
- Finalité : fournir les fonctionnalités de Tournée facile — dossier patient, planification des tournées, transmissions, piluliers, relevé de passages.
- Durée : la durée du contrat, augmentée des délais de suppression prévus à l'article 9.
3.1 Catégories de personnes concernées
- Les patients suivis par le Responsable de traitement ;
- les contacts de référence des patients (proche, aidant, médecin traitant) ;
- les membres du cabinet invités par le Responsable de traitement.
3.2 Catégories de données
- Données d'identification : nom, prénom, date de naissance, sexe ;
- Coordonnées : adresse postale, téléphone, courriel ;
- Données de santé (article 9 du RGPD) : soins réalisés, actes NGAP, transmissions écrites, photographies et enregistrements vocaux versés par le soignant, constantes, traitements et piluliers, documents versés au dossier ;
- Données d'identité de santé : numéro d'inscription au répertoire (NIR) ou identité nationale de santé (INS), lorsque le Responsable de traitement les renseigne.
4. Instructions du responsable de traitement
Le Sous-traitant ne traite les données que sur instruction documentée. Les présentes constituent l'instruction initiale ; toute instruction ultérieure est transmise par écrit à simon@hakimon.com.
Le Sous-traitant informe immédiatement le Responsable de traitement s'il estime qu'une instruction constitue une violation du RGPD.
Ce que le Sous-traitant ne fait pas. Il s'interdit, sans instruction écrite du Responsable de traitement :
- d'accéder au contenu des dossiers patients, sauf nécessité technique documentée (incident, demande de support) ;
- d'utiliser les données à des fins qui lui sont propres, y compris statistiques ou d'amélioration du service, sauf après anonymisation irréversible ;
- d'entraîner un système d'intelligence artificielle sur ces données ;
- de céder, louer ou communiquer ces données à un tiers.
5. Confidentialité et personnes autorisées
Le Sous-traitant garantit que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité contractuelle et n'accèdent aux données que dans la limite de ce que leurs fonctions exigent.
Les accès techniques aux données de production sont nominatifs, tracés et limités aux personnes chargées de l'exploitation.
6. Sécurité (article 32 du RGPD)
Les mesures en place, à la date de mise à jour du présent Accord :
- Hébergement certifié HDS — l'application et les données sont hébergées par AZNETWORK, hébergeur agréé de données de santé, sur des serveurs situés en France ;
- Chiffrement des échanges — TLS sur toutes les communications ;
- Chiffrement des médias au repos — les photographies et enregistrements vocaux sont chiffrés (AES-256-GCM, chiffrement à enveloppe) ;
- Authentification — protocole OpenID Connect, jetons conservés dans le coffre sécurisé du système d'exploitation ;
- Cloisonnement par cabinet — chaque ressource est rattachée à un cabinet, et une donnée appartenant à un autre cabinet est inaccessible ;
- Habilitations par rôle — propriétaire, associé, infirmier, remplaçant, assistant, consultation ;
- Journalisation — les accès aux données de santé sont journalisés ;
- Sauvegardes — sauvegardes régulières, chiffrées.
Le Sous-traitant peut faire évoluer ces mesures, à condition de ne pas diminuer le niveau de sécurité.
7. Sous-traitants ultérieurs
Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants :
- AZNETWORK — hébergement HDS de l'application et des données. France.
- OVHcloud — hébergement du site vitrine, aucune donnée de patient. France.
- Apple et Google — traitement des abonnements achetés depuis les magasins d'applications, aucune donnée de patient. Irlande et États-Unis.
- Google Maps (Google LLC) — conversion d'une adresse en coordonnées et calcul des itinéraires de tournée. Seule l'adresse postale est transmise, sans nom, sans identifiant et sans aucune donnée de santé. États-Unis. Ce transfert repose sur les clauses contractuelles types de la Commission européenne et sur le Data Privacy Framework UE–États-Unis auquel Google LLC adhère.
Le Sous-traitant impose à chacun les mêmes obligations que celles du présent Accord, et demeure pleinement responsable de leur exécution.
Tout ajout ou remplacement est notifié au moins trente (30) jours à l'avance. Le Responsable de traitement peut s'y opposer pour un motif légitime tenant à la protection des données ; à défaut d'accord, il peut résilier sans frais et obtenir le remboursement au prorata de la période payée d'avance.
8. Assistance du sous-traitant
Le Sous-traitant assiste le Responsable de traitement pour :
8.1 Les droits des personnes concernées
Les fonctionnalités de l'application permettent au Responsable de traitement de consulter, rectifier, exporter et supprimer les données d'un patient par lui-même. Lorsque cela ne suffit pas, le Sous-traitant l'assiste dans un délai raisonnable.
Une demande adressée directement au Sous-traitant par un patient est transmise au Responsable de traitement sans y répondre au fond : c'est à lui qu'il revient d'y répondre.
8.2 Les violations de données
Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais et au plus tard soixante-douze (72) heures après en avoir pris connaissance, par courriel à l'adresse du compte propriétaire.
La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises.
La notification à la CNIL (article 33) et, le cas échéant, aux personnes concernées (article 34) incombe au Responsable de traitement.
8.3 Analyse d'impact
Le Sous-traitant fournit, sur demande, les informations nécessaires à une analyse d'impact relative à la protection des données.
9. Sort des données en fin de contrat
À la fin du contrat, le Responsable de traitement peut exporter ses données depuis l'application.
Passé un délai de trente (30) jours après la fin du contrat, le Sous-traitant supprime les données de patients de ses systèmes actifs. Les sauvegardes sont purgées par rotation, au plus tard six (6) mois après la fin du contrat.
Ce délai n'est pas une durée de conservation. Le dossier de soins relève des obligations de conservation propres au professionnel de santé. Il appartient au Responsable de traitement d'exporter ce qu'il doit conserver avant la fin du contrat.
10. Audit
Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect de l'article 28, notamment le certificat HDS de son hébergeur et la description des mesures de sécurité.
Le Responsable de traitement peut demander un audit, au maximum une fois par an, sous préavis de trente (30) jours, aux frais du demandeur, dans des conditions préservant la confidentialité des autres cabinets.
11. Transferts hors Union européenne
Les données de patients sont hébergées en France et ne font l'objet d'aucun transfert hors de l'Union européenne.
Les données relatives aux abonnements achetés depuis un magasin d'applications sont traitées par Apple ou Google selon leurs propres conditions ; elles ne comportent aucune donnée de patient.
12. Responsabilité
Chaque partie répond des dommages causés par un traitement en violation du RGPD, dans les conditions de son article 82.
13. Durée et acceptation
Le présent Accord prend effet à l'acceptation des Conditions Générales d'Utilisation et court pour la durée d'utilisation du service.
L'acceptation est recueillie par voie électronique lors de la création du compte, conformément aux articles 1127-1 et 1127-2 du Code civil. La version acceptée et la date de son acceptation sont conservées par le Sous-traitant.
Toute modification substantielle est notifiée au moins trente (30) jours à l'avance.
14. Contact
Délégué à la Protection des Données : Simon Defretin Courriel : simon@hakimon.com Adresse : Hakimon Solutions, 200 rue de la Croix Nivert, 75015 Paris