Politique RGPD applicable aux Etablissements

1. Préambule

L’objectif de la solution WEDOXA (ci-après le « Solution ») est de fournir aux clients (ci-après les « Clients ») une plateforme dédiée à la collecte, au traitement, à la gestion, à la diffusion et à l’analyse de Commentaires de la part des utilisateurs (ci-après dénommés les « Usagers ») ou de salariés (ci-après dénommés les « Salariés ») concernant leurs services, dans la perspective d’en améliorer la qualité et d’accroître la satisfaction des personnes interrogées, permettant aux Clients :

• de collecter et de traiter des Commentaires de la part de leurs Usagers et Salariés ;
• de restituer aux Clients les Commentaires des Usagers et/ou des Salariés ;
• de restituer auprès de leurs instances règlementaires (CVS, CDU, etc.) (ci-après les « Instances Réglementaires ») les Commentaires des Usagers et/ou des Salariés ;
• de publier des Commentaires anonymisés sur les réseaux sociaux, moteurs de recherche et annuaires spécialisés ;
• de collecter et analyser les avis publiés sur des plateformes tierces (GoogleTM,  etc.) (ci-après les « Plateformes Tierces ») ;
• et de gérer leur présence sur les réseaux sociaux, moteurs de recherche et annuaires spécialisés.

Dans le cadre de la Solution, la société WESATIS (ci-après, le « Prestataire ») est amenée à traiter des données personnelles (ci-après, les « Données personnelles ») au nom et pour le compte des Clients, en qualité de sous-traitant au sens du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le « RGPD »).

La présente politique de traitement des données (ci-après la « Politique de Traitement des Données ») s’applique aux traitements de Données personnelles réalisés par le Prestataire sur la base des instructions écrites des Clients, et complète les conditions générales d’utilisation de la Solution WEDOXA (ci-après, les « CGU »), ainsi que le contrat conclue entre le Prestataire et le Client (ci-après le « Contrat »).

2. Données à caractère personnel traitées

Pour le bon fonctionnement de la Solution, le Prestataire est amené à traiter tout ou partie des données à caractère personnel suivantes :

• Identifiant et numéros uniques patients – résidents - salariés
• Nom (aidant, résident, patient, visiteur, salarié)
• Prénom (aidant, résident, patient, visiteur, salarié)
• Civilité
• Numéros de téléphone mobile
• Adresse email
• Lien de parenté avec le résident
• Langue
• Dates de séjour dans l’établissement (date d’admission, date de sortie)
• Type de séjour (hospitalisation...)
• Etablissement fréquenté
• Preuve de l’expérience vécue par l’Usager/le Salarié (sollicitée dans le cadre des opérations aléatoires de contrôle des Commentaires opérées par le Prestataire).

Ces Données personnelles sont nécessaires à :

• la collecte des Commentaires des Usagers et/ou des Salariés sur les Clients concernés ;
• la récupération des Commentaires des Usagers et/ou des Salariés sur les Clients concernés auprès de Plateformes Tierces ;
• la vérification auprès des Usagers et/ou des Salariés de la réalité des Commentaires collectés ;
• l’identification et la suppression d’éventuels faux Commentaires ;
• la restitution des Commentaires aux Clients concernés et à leurs Instances Réglementaires ;
• la publication de Commentaires anonymisés sur les réseaux sociaux et sur Internet, sous forme anonymisée.

3. Finalités du traitement

Les Données personnelles et informations susvisées sont traitées pour les finalités suivantes :

• fournir aux Clients ainsi que, le cas échéant, à leurs Instances Réglementaires, un outil permettant de mesurer la satisfaction des Usagers et/ou des Salariés ;
• permettre aux Usagers et/ou aux Salariés de partager leur expérience avec les Clients ainsi que, le cas échéant, leurs Instances Réglementaires ;
• permettre aux Clients de publier des Commentaires en ligne (avis) sous forme synthétique et anonymisée, afin de communiquer sur la satisfaction ressentie par leurs Usagers et/ou leurs Salariés ;
• réaliser des statistiques anonymes sur la satisfaction des Usagers et/ou des Salariés afin de permettre aux Clients ainsi que, le cas échéant, à leurs Instances Réglementaires, de suivre son évolution et d’améliorer les services proposés ;
• procéder aux opérations de vérification et de contrôle requises par la norme ISO 20488.

4. Licéité du traitement des Données personnelles

La collecte des Données personnelles est opérée directement par les Clients auprès de leurs Usagers et Salariés.

Il appartient aux Clients de s’assurer de la licéité du traitement opéré, qu’il soit fondé sur leur intérêt légitime ou sur le consentement exprès des Usagers ou des Salariés.

5. Exercice des droits des Clients et des Salariés

Les Usagers et les Salariés peuvent exercer directement auprès des Clients concernés les droits suivants qui leur sont consentis :

• Droit d'accès : tout Usager ou tout Salarié peut obtenir la confirmation que des données à caractère personnel le concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, accéder à tout moment aux données à caractère personnel le concernant. En cas de demande d’exercice du droit d’accès auprès d’un Client, le Prestataire s’engage à répondre au Client dans un délai maximum de trente (30) jours.
• Droit de rectification : tout Usager ou tout Salarié peut demander la rectification de données à caractère personnel le concernant qui seraient inexactes, erronées ou incomplètes. En cas de demande d’exercice du droit de rectification auprès du Client, le Prestataire s’engage à répondre au Client dans un délai maximum de trente (30) jours.
• Droit à l'effacement des données à caractère personnel et droit à la limitation de leur traitement : tout Usager ou tout Salarié peut solliciter l'effacement des données à caractère personnel le concernant ou la limitation du traitement de ces données. En cas de demande d’exercice du droit à l'effacement des données à caractère personnel ou à la limitation du traitement de ces données auprès d’un Client, le Prestataire s’engage à répondre au Client dans un délai maximum de trente (30) jours.
• Droit de retirer le consentement au traitement des données personnelles : tout Usager ou tout Salarié peut retirer son consentement au traitement de ses données à caractère personnel à tout moment. En cas de demande d’exercice du droit de retrait du consentement auprès d’un Client, le Prestataire s’engage à répondre au Client dans un délai maximum de trente (30) jours.
• Droit à la portabilité des données : tout Usager ou tout Salarié peut demander à ce que les données à caractère personnel le concernant soient transférées à un autre responsable du traitement. En cas d’exercice de ce droit auprès du Client, le Prestataire s’engage à répondre au Client dans un délai maximum de trente (30) jours et à fournir les données à caractère personnel dans le format CSV.
• Droit d’opposition : tout Usager ou tout Salarié peut s’opposer à tout moment, pour des raisons tenant à sa situation particulière, au traitement des données personnelles le concernant. En cas d’exercice du droit d’opposition auprès d’un à Client, le Prestataire s’engage à répondre au Client dans un délai maximum de trente (30) jours.
• Droit de définir des directives : tout Usager ou tout Salarié peut transmettre au Client des directives relatives à la conservation, à l'effacement et à la communication de ses données à caractère personnel après son décès. Ces directives sont communiquées au Prestataire par les Clients concernés.

Conformément au RGPD, les Usagers et Salariés peuvent en outre informer directement le Prestataire de l’exercice de leurs droits, à l’adresse de courrier électronique suivante : moderateur@wedoxa.com. Les demandes formulées par les Usagers ou Salariés directement auprès de WESATIS sont retransmises dans les quarante-huit (48) heures suivant la réception de la demande de l’Usager ou du Salarié aux Clients concernés.

En cas de difficulté en lien avec la gestion de leurs Données personnelles, les Usagers et Salariés peuvent également introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).

6. Durée de conservation des données à caractère personnel

Les données à caractère personnel des Usagers et des Salariés sont conservées par le Prestataire pendant une durée de vingt-quatre (24) mois à compter de leur transmission. Elles font ensuite l’objet d’une anonymisation irréversible et sont conservées uniquement à des fins statistiques.

En cas de résiliation ou d’expiration du Contrat conclu avec un Client, les Données personnelles transmises au Prestataire par ce dernier sont supprimées des bases de données actives dans un délai de trente (30) jours.

A toute fin utile, il est précisé que le Prestataire se réserve le droit de procéder à l’archivage des Données personnelles qu’elle a pu être amenée à traiter en exécution des présentes, pour la durée de prescription des actions en responsabilité. Dans ce cas, les données archivées seront stockées sur un serveur sécurisé auquel seul le Président de WESATIS pourra accéder, et ce, exclusivement dans le cadre d’un contentieux dont la résolution nécessite la communication judiciaire desdites données.

7. Sécurité des données à caractère personnel

Le Solution constitue un système de traitement automatisé de données. Tout accès frauduleux à ce dernier est interdit et sanctionné pénalement, tout comme le sont le maintien, l’altération et l’entrave à un système de traitement automatisé de données, ainsi que l’introduction, la suppression ou la modification frauduleuses de données.

Le Prestataire fait ses meilleurs efforts, conformément aux règles de l’art, pour sécuriser le Solution et l’accès aux Données personnelles eu égard à la complexité de l’Internet. En raison des caractéristiques et des contraintes du réseau Internet, les Données personnelles ne peuvent pas être protégées contre toute forme d’intrusion, y compris par voie de piratage.

Afin d'assurer la confidentialité des Données personnelles, l'accès à la Solution nécessite une authentification préalable au moyen d’un identifiant et d’un mot de passe.

Lors de l’authentification et pour l’accès à la Solution, un protocole de liaison sécurisé est utilisé (protocole du type SSL confirmé par la présence du terme « https » dans l’adresse internet et affichage d’un cadenas).

L’accès à la Solution peut également être opéré, sur option prévue au Contrat, au moyen d’un service Single-Sign-On (SSO). Le tiers de confiance du Prestataire assure la vérification d’identité des Utilisateurs du Client via l’assertion SAML prévue à cet effet. Le tiers de confiance du Prestataire n’accède pas aux informations relatives aux Utilisateurs du Client (dont leurs adresses email) en vue d’opérer cette vérification.

Le Prestataire s’engage à notifier les violations de Données personnelles lorsqu’elles sont susceptibles d'engendrer un risque élevé pour les droits et libertés d'une personne physique, directement auprès du Client, et au plus tard dans un délai de quarante-huit (48) heures après en avoir eu connaissance.

Dans une telle hypothèse, le Prestataire s’engage à fournir au Client toute assistance raisonnable pour la recherche et la documentation des conditions de survenance de la violation de Données personnelles, ainsi que la mise en œuvre de mesures correctives.

Il appartient au Client concerné, le cas échéant, de notifier les violations de Données personnelles constatées :

• aux Usagers et/ou Salariés concernés, dans les meilleurs délais,
• et à la CNIL, dans les meilleurs délais, et au plus tard dans les soixante-douze (72) heures.

8. Audits

Le Prestataire peut, dans les conditions prévues au Contrat (notamment les conditions tarifaires) assister le Client dans la réalisation d’audits par le Client ou par un auditeur mandaté par ce dernier, ainsi que pour la réalisation d’une analyse d’impact sur la vie privée.

9. Personnel

Le Prestataire s’engage à ce que les membres de son personnel salarié autorisés à traiter les Données personnelles soient soumis à un engagement de confidentialité. Le Prestataire s’engage à ce que seules les membres de son personnel salarié ayant besoin de traiter les Données personnelles aient accès à ces dernières, ainsi qu’à leur fournir une formation adaptée en matière de protection des données à caractère personnel

10. Instructions du Client

Dans le cas où le Prestataire considérerait qu’une instruction documentée du Client pourrait être considérée comme illicite au regard du RGPD ou de la loi Informatique et libertés, il s’engage à en informer immédiatement le Client, étant précisé que celui-ci sera seul juge, et seul responsable, de la validité des instructions données. 

11. Hébergement des données à caractère personnel

Les données à caractère personnel sont hébergées exclusivement au sein de l’Union Européenne auprès de :

• Site Wedoxa.com : DigitalOcean, 101 Avenue of the Americas 10th Floor, New York, NY 10013. Supervision de l'hébergement et infogérance assurés par l'équipe technique de Versio en s'appuyant sur les services de la société DigitalOcean, et des infrastructures physiques basées en Europe (Frankfort et Amsterdam). Les solutions de sauvegarde exploitent les solutions de Amazon Web Services, https://aws.amazon.com/fr et des infrastructures physiques basées en Europe (Datacenter à Dublin).
• Pro.Wedoxa.com : Numih France - 12 rue Michel Labrousse - 31100 Toulouse - Tel : 05 34 61 50 00 - SIRET 183 100 213 00028 - contact[@]numihfrance.fr. Hébergement et infogérance certifiés ISO 27001 :2023 et HDS v2

12. Transfert des données à caractère personnel

Les Données personnelles traitées ne sont transférées à des tiers autres que les sous-traitants ultérieurs du Prestataire que sous forme de statistiques totalement et irréversiblement anonymes.

Les Usagers et Salariés ont la possibilité de recevoir à leur demande des informations sur le traitement des données qui les concernent en respectant la procédure suivante : demande écrite et signée par l’Usager ou le Salarié à laquelle est jointe la photocopie d’une pièce d’identité envoyée par courrier postal au Client concerné.

Les Données personnelles ne font pas l’objet d’un transfert hors de l’Union Européenne par le Prestataire.

13. Sous-traitants

L’utilisation de la Solution nécessite que les Données personnelles traitées soient transmises à des sous- traitants ultérieurs, lesquels présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées par rapport aux exigences des traitements de données personnelles.

Les données à caractère personnel ne font l'objet d'opérations de traitement par un sous-traitant ou une personne agissant sous l'autorité du sous-traitant, que sur instruction du Prestataire et conformément aux instructions des Clients agissant en qualité de responsables du traitement.

Les sous-traitants auxquels WESATIS transmet des données à caractère personnel sont les suivants :

Dénomintaion	Adresse et localisation	Rôle du sous-traitant ultérieur
DigitalOcean	101 Avenue of the Americas 10th Floor, New York, NY 10013 Infrastructures physiques basées en Europe (Frankfort et Amsterdam).	Hébergement de données en Europe.
Versio	16 rue Jean Macé, 35000 Rennes	Supervision de l'hébergement DigitalOcean et infogérance.
Numih France	12 rue Michel Labrousse - 31100 Toulouse	Hébergement et infogérance certifiés ISO 27001 :2023 et HDS v2.
Amazon Web Services	38 Avenue John F. Kennedy, L-1855 Luxembourg Infrastructures physiques basées en Europe (Datacenter à Dublin).	Sauvegardes de données
WizVille	122, rue Amelot – 75011 Paris - France 751 226 606 R.C.S. PARIS	Editeur de la plateforme de collecte de Commentaires des Usagers et Salariés utilisée par le Solution
Google Cloud	Gordon House, Barrow Street, Dublin 4, Ireland Registered Company no. 368047 - SIRET : 79976916100016	Hébergeur de fichiers bureautiques, messagerie
Matomo	https://matomo.org Solution installée sur le serveur dédié souscrit chez DigitalOcean.	Editeur d’une solution de suivi analytique des utilisateurs

Dans le cas où le Prestataire déciderait de recourir à un autre sous-traitant ultérieur pour les besoins des traitements de données, il en informera le Client par écrit. Le Client dispose de quinze (15) jours ouvrés à compter de la notification pour formuler une objection pour des motifs raisonnables liés à la protection des données à caractère personnel. A défaut de réponse du Client dans ce délai, le nouveau sous-traitant ultérieur sera considéré comme agréé par le Client.

14. Délégué à la Protection des Données (DPO)

WESATIS a désigné en qualité de Délégué à la Protection des Données (DPO) :

• le cabinet PARADOX AVOCATS, société à responsabilité limitée, dont le siège social est situé 5, rue Lalo – 75116 Paris, immatriculée au registre du commerce et des sociétés sous le numéro unique d’identification 821 811 700 R.C.S. PARIS.

Le Délégué à la Protection des Données peut être contacté à l’adresse suivante : contact[@]paradox- avocats.com.

15. Dispositions spécifiques concernant le site Wedoxa.com

Le Prestataire réalise par ailleurs un traitement de données personnelles spécifique, en qualité de responsable de traitement, sur le site internet www.wedoxa.com, dans le cadre du service de l’Observatoire Wedoxa.

A cet égard, le Prestataire collecte auprès des internautes qui l’acceptent, les Données personnelles suivantes :

• Identifiant 
• Nom 
• Prénom 
• Civilité
• Numéros de téléphone mobile
• Adresse email
• Profil (aidant, résident, patient, visiteur, salarié)

Avec l’accord de l’internaute concerné, ses Données personnelles peuvent être communiquées par le Prestataire au Client, afin de permettre au Client de recontacter l’internaute, de lui fournir des informations complémentaires, etc.

Dans une telle hypothèse, les Données personnelles sont conservées par le Prestataire pendant une durée maximum de sept (7) jours calendaires. Le Client, pour sa part, s’engage à les conserver pendant une durée maximum de sept (7) jours calendaires également à compter de leur réception.

Le Client accepte que le Prestataire puisse lui imposer toute suppression, modification, correction, effacement des Données personnelles communiquées dans ce cadre, et s’engage à respecter les instructions qui lui seront communiquées par le Prestataire à cet effet, sans délai.

16. Informations de contact

Pour toute question relative à la présente Politique de Traitement des Données ou au traitement des Données personnelles effectué par le Prestataire au moyen de la Solution, ou pour exercer les droits conférés par le RGPD, l’Usager, le Salarié ou le Client peut s’adresser directement au Prestataire aux coordonnées suivantes :

• par courrier électronique : moderateur[@]wedoxa.com
• par courrier postal : WESATIS, 28, boulevard du Colombier – 35000 Rennes – 832 551 345 R.C.S. SAINT-BRIEUC.