10.1 Respect de la réglementation

Chacune des parties s'engage à respecter la réglementation applicable en matière de protection des données à caractère personnel, et en particulier :

le Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) ;
la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
les recommandations de la Commission Nationale de l'Informatique et des Libertés (CNIL) ;
les dispositions du Code de la santé publique relatives aux données de santé.

10.2 Rôles respectifs

Dans le cadre de l'exécution des présentes CGUV, le Client agit en qualité de responsable de traitement et la Société agit en qualité de sous-traitant au sens du RGPD, pour les traitements de Données Personnelles et de Données de Santé effectués pour le compte du Client via la Plateforme.

10.3 Obligations de la Société en tant que sous-traitant

La Société s'engage notamment à :

traiter les Données Personnelles uniquement sur instructions documentées du Client ;
garantir la confidentialité des données traitées et veiller à ce que les personnes autorisées à traiter ces données soient soumises à une obligation de confidentialité ;
mettre en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD ;
assister le Client dans le respect de ses obligations en matière de droits des personnes concernées ;
notifier au Client toute violation de données à caractère personnel dans les meilleurs délais et au plus tard dans les soixante-douze (72) heures suivant sa découverte ;
supprimer ou restituer l'ensemble des Données Personnelles au terme de la prestation, conformément aux choix du Client et aux obligations légales de conservation.

10.4 Hébergement des Données de Santé

Lorsque les Services impliquent le traitement de Données de Santé, celles-ci sont hébergées auprès d'un prestataire certifié Hébergeur de Données de Santé (HDS) conformément aux dispositions de l'article L.1111-8 du Code de la santé publique et à la certification prévue par le décret n° 2018-137 du 26 février 2018.

10.5 Données traitées par la Société pour son propre compte

La Société collecte et traite certaines données relatives au Client et à ses Utilisateurs Autorisés pour les besoins de la gestion de la relation contractuelle, comprenant :

les données d'identification (nom, prénom, fonction, coordonnées professionnelles) ;
les données de connexion et d'utilisation de la Plateforme ;
les données de facturation.

Identité du responsable de traitement : DIAGNORA, SAS, 18 rue Général Fabvier, 54000 Nancy, France.

Bases légales : exécution du contrat (article 6(1)(b) du RGPD), intérêts légitimes de la Société (article 6(1)(f) du RGPD), respect d'obligations légales (article 6(1)(c) du RGPD).

Durée de conservation : les données sont conservées pendant la durée de la relation contractuelle, puis archivées conformément aux obligations légales de conservation (notamment comptables et fiscales), et au maximum pendant la durée des prescriptions légales applicables.

10.6 Droits des personnes concernées

Conformément au RGPD et à la loi Informatique et Libertés, les personnes concernées disposent des droits suivants sur leurs données personnelles :

droit d'accès, de rectification et d'effacement ;
droit à la limitation du traitement ;
droit à la portabilité des données ;
droit d'opposition ;
droit de définir des directives relatives au sort de ses données après son décès.

Ces droits peuvent être exercés en contactant la Société par email à l'adresse dpo@diagnora.com ou par courrier à l'adresse : DIAGNORA – 18, rue Général Fabvier, 54000 Nancy, France, en joignant un justificatif d'identité.

Dans votre labo, on vous demande de faire plus, pour moins, avec moins.