Asclion

Accord de Traitement de Données (DPA)

Document type — modèle de Data Processing Agreement entre Asclion (sous-traitant) et la pharmacie cliente (responsable de traitement), conforme aux articles 28 et 29 du RGPD.

1. Parties

Sous-traitant : Asclion — éditeur du logiciel d'aide à la dispensation.
Responsable de traitement : la pharmacie cliente, telle qu'identifiée dans son contrat d'abonnement.

2. Objet

Le présent accord définit les conditions dans lesquelles Asclion traite, pour le compte du Responsable, les données à caractère personnel nécessaires à la fourniture du service d'analyse d'ordonnance et de recommandation de produits complémentaires.

3. Durée

Le présent accord s'applique pendant toute la durée du contrat principal et survit à sa résiliation pour les obligations de restitution et de suppression des données.

4. Nature et finalité du traitement

  • Analyse d'ordonnance (extraction texte, identification médicaments)
  • Recommandation de produits complémentaires (OTC, conseils associés)
  • Suivi anonymisé des KPIs commerciaux (taux de conversion, paniers moyens)
  • CRM patient anonymisé (rappels de fin de traitement, opt-in)

5. Catégories de données

  • Hash SHA-256 irréversible du nom patient (pas de PII directe)
  • Liste des médicaments dispensés (nom commercial, CIP)
  • Métadonnées techniques (timestamps, identifiants pharmacie)
  • Numéro de téléphone patient (chiffré, opt-in pour rappels)

6. Localisation des données

Toutes les données sont hébergées au sein de l'Union Européenne, sur une infrastructure cloud sécurisée — région Frankfurt (Allemagne). Aucun transfert hors UE n'est réalisé sans garanties appropriées (Clauses Contractuelles Types).

7. Obligations du sous-traitant

  • Traiter les données uniquement sur instructions documentées du Responsable
  • Garantir la confidentialité par toute personne autorisée à traiter les données
  • Mettre en œuvre les mesures techniques et organisationnelles appropriées : chiffrement TLS 1.3, RLS PostgreSQL, JWT, hash patient, isolation multi-tenant
  • Notifier toute violation de données dans un délai maximum de 72 heures
  • Aider le Responsable dans l'exercice des droits des personnes concernées
  • Permettre et contribuer à des audits, à la demande du Responsable

8. Sous-traitants ultérieurs

Asclion fait appel aux sous-traitants ultérieurs suivants, autorisés par le Responsable :

  • Hébergeur cloud (UE) — hébergement infrastructure
  • Resend — envoi emails transactionnels
  • Twilio — envoi SMS rappels (si fonctionnalité activée)
  • Modèle IA propriétaire — analyse linguistique des ordonnances

9. Droits des personnes concernées

Le Responsable dispose, via son interface administrateur, d'outils permettant d'exercer immédiatement les droits suivants pour le compte des personnes concernées :

  • Droit à la portabilité (export JSON complet — Article 20)
  • Droit à l'effacement / anonymisation (Article 17)
  • Droit d'accès aux données (Article 15)

10. Sort des données en fin de contrat

À la résiliation du contrat principal, et sur demande écrite du Responsable, Asclion procède soit à la restitution complète des données (export JSON), soit à leur anonymisation irréversible, dans un délai maximum de 30 jours.

11. Audit

Le Responsable peut, après préavis raisonnable de 30 jours, demander un audit documentaire des mesures de sécurité mises en œuvre. Asclion fournit les rapports disponibles (registre des traitements, journal d'audit clinique, lineage_audit_log).

12. Signature

Ce document peut être signé électroniquement et joint au contrat principal. Les deux parties reconnaissent en avoir pris connaissance et acceptent ses termes.

Document version 1.0 — généré automatiquement par Asclion. Pour toute question, contactez le DPO via les coordonnées indiquées sur la Politique de Confidentialité.