Accord de Traitement des Données

Le présent Accord de Traitement des Données (ci-après le « DPA ») est conclu, conformément à l'article 28 du règlement (UE) 2016/679 (ci-après le « RGPD »), entre :

Le Responsable du traitement : le Professionnel, Professionnel de santé ou Professionnel du sport, identifié par les informations renseignées lors de son inscription, qui utilise Synkro Clinic ou Synkro Motion dans le cadre de son activité professionnelle, qu'il soit Titulaire de licence, en période d'essai ou dans un accès en pause, ainsi que la structure sportive qui est responsable du traitement dans les conditions de l'article 14.5 (ci-après le « Responsable du traitement ») ;

Le Sous-traitant : Synkro, identifiée comme suit (ci-après « Synkro ») :

Le Responsable du traitement et Synkro sont ci-après désignés ensemble les « Parties ».

Synkro édite Synkro Clinic et Synkro Motion, deux applications destinées aux professionnels qui suivent des personnes dans le cadre du soin ou de l'accompagnement sportif. Leur utilisation implique le traitement, pour le compte du Responsable du traitement, de données à caractère personnel relatives aux personnes qu'il suit, dont des données concernant la santé.

Le présent DPA encadre ce traitement. Il s'applique à tout Professionnel et à toute structure, du secteur de la santé comme du sport. Il se compose d'un socle commun, applicable à tout Responsable du traitement, et de dispositions propres à chaque profil, figurant à l'article 13 (« Dispositions propres aux professionnels de santé (Synkro Clinic) ») et à l'article 14 (« Dispositions propres aux professionnels du sport (Synkro Motion) »). En cas de contradiction, les dispositions propres au profil prévalent sur le socle commun.

Le profil applicable dépend du profil du Responsable du traitement, et non du produit utilisé, selon la règle fixée par les CGU, article 3 : un Professionnel de santé relève de l'article 13 pour l'intégralité de son utilisation, y compris l'analyse biomécanique et le suivi de sportifs hors du cadre du soin, dont les données sont traitées comme des données concernant la santé couvertes par le secret professionnel ; tout autre professionnel relève de l'article 14.

Le DPA fait partie intégrante du cadre contractuel formé par les Conditions Générales d'Utilisation (CGU), les Conditions Générales de Vente (CGV) et la Politique de confidentialité de Synkro. Chaque Professionnel l'accepte personnellement lors de la création de son compte ; le Titulaire de licence qui ne l'a pas encore accepté l'accepte au plus tard lors de l'activation de sa Licence ou de sa première connexion.

Les termes employés dans le présent DPA ont le sens que leur donne le RGPD. En outre, les termes suivants, employés avec une majuscule, ont le sens indiqué ci-dessous, au singulier comme au pluriel. Ces définitions sont communes aux CGU, aux CGV, à la Politique de confidentialité et au DPA.

• « Application » : Synkro Clinic ou Synkro Motion, selon le cas, accessible par navigateur web et par application mobile.
• « Professionnel » : toute personne qui utilise l'Application dans le cadre de son activité professionnelle pour suivre des Personnes suivies, qu'elle soit Titulaire de licence, en période d'essai ou dans un accès en pause. Un Professionnel est soit un Professionnel de santé, soit un Professionnel du sport.
• « Professionnel de santé » : toute personne inscrite à un ordre ou titulaire d'un visa ou d'un agrément d'exercice d'une profession de santé.
• « Professionnel du sport » : tout autre Professionnel, notamment un préparateur physique, un entraîneur, un bike fitter qui n'exerce pas une profession de santé, ou une structure sportive.
• « Personne suivie » : la personne dont un Professionnel assure le suivi au moyen de l'Application. Elle est dénommée « Patient » lorsque le suivi relève d'un Professionnel de santé et « Sportif » lorsqu'il relève d'un Professionnel du sport.
• « Dossier » : l'ensemble des informations qu'un Professionnel tient sur une Personne suivie dans l'Application (bilans, notes, mesures, questionnaires, tests, exercices, vidéos, analyses, documents, rendez-vous et, le cas échéant, données du Module administratif).
• « Souscription » : le contrat d'abonnement payant conclu avec Synkro selon les CGV, pour une périodicité mensuelle ou annuelle, qui porte une ou plusieurs Licences.
• « Souscripteur » : la personne physique ou morale qui conclut la Souscription et en paie le prix (praticien, cabinet exploité en société, club, fédération ou autre structure).
• « Licence » : le droit nominatif d'utiliser l'Application selon une offre, attribué à une seule personne physique.
• « Titulaire de licence » : la personne physique à laquelle une Licence est attribuée par l'activation d'un Code de licence. Le Souscripteur peut être lui-même Titulaire de licence.
• « Code de licence » : le code à usage unique, au format SYNK-XXXX-XXXX, qui permet d'attribuer une Licence à son Titulaire de licence.
• « Cabinet » et « Équipe » : le regroupement de Professionnels au sein de l'Application en vue de travailler ensemble, appelé « cabinet » dans Synkro Clinic et « organisation » ou « groupe » dans Synkro Motion (ci-après « Équipe »). Les règles de partage des Dossiers au sein d'un Cabinet ou d'une Équipe sont fixées à l'article 11 des CGU.
• « Module administratif » : l'ensemble des fonctions de Synkro Clinic reliées à la plateforme eHealth et à MyCareNet, décrit à l'article 14.8 des CGU.
• « Analyse biomécanique » : la fonctionnalité d'analyse vidéo automatisée du mouvement, en deux ou trois dimensions, décrite à l'article 9 des CGU.

2.1. Objet

Le DPA définit les conditions dans lesquelles Synkro traite, en qualité de sous-traitant, les données à caractère personnel contenues dans les Dossiers du Responsable du traitement, ainsi que les obligations respectives des Parties.

Le DPA ne couvre pas les traitements dont Synkro est elle-même responsable : gestion des comptes, facturation et paiement, sécurité du service et journaux techniques, prévention de la fraude, relation avec les utilisateurs et statistiques d'usage. Ces traitements sont décrits dans la Politique de confidentialité.

2.2. Durée

Le DPA prend effet à la création du compte du Professionnel ou à l'activation de sa Licence, selon ce qui intervient en premier. Il demeure en vigueur tant que Synkro détient des données pour le compte du Responsable du traitement, y compris pendant la pause de son accès. Les obligations de confidentialité survivent à sa cessation.

3.1. Chaque Titulaire de licence est responsable de ses propres Dossiers

Chaque Titulaire de licence est responsable du traitement des Dossiers qu'il crée ou qu'il tient dans l'Application. Le fait de payer une Licence ne confère au Souscripteur aucune qualité ni aucun droit sur les Dossiers du Titulaire de cette Licence : le Souscripteur n'a accès à aucun Dossier du seul fait qu'il paie la Licence. Synkro ne reçoit d'instructions relatives à un Dossier que du Responsable du traitement qui en est responsable, par l'intermédiaire de son propre compte.

Le Titulaire de licence qui exerce pour le compte d'un employeur ou d'une structure et accepte le présent DPA dans ce cadre déclare y être habilité. La répartition des responsabilités entre eux relève de leur relation, à laquelle Synkro est étrangère.

3.2. Partage au sein d'un Cabinet ou d'une Équipe

L'accès d'un autre Professionnel à un Dossier ne résulte jamais de la facturation. Il résulte uniquement de l'appartenance à un Cabinet ou à une Équipe, que chaque Professionnel choisit de rejoindre, selon les règles des CGU, article 11 :

• dans Synkro Clinic, l'appartenance à un Cabinet emporte un partage automatique et complet : chaque membre actif voit l'ensemble des Dossiers des autres membres actifs et peut les modifier. Rejoindre un Cabinet, ou y admettre un membre, vaut instruction de partager avec les membres du Cabinet l'ensemble des Dossiers dont le Responsable du traitement est responsable ;
• dans Synkro Motion, chaque Dossier porte une portée choisie par le Responsable du traitement (privé, groupe ou organisation), privée par défaut ; chaque choix de portée vaut instruction.

Le Responsable du traitement qui partage ses Dossiers :

• s'assure de disposer d'une base légale pour ce partage ;
• en informe préalablement les Personnes suivies et recueille leur accord lorsque le droit applicable ou la nature des données l'exige ;
• limite le partage à ce qui est nécessaire et y met fin lorsqu'il n'est plus justifié, le cas échéant en quittant le Cabinet ou en modifiant la portée du Dossier.

Le membre qui accède à un Dossier partagé répond de l'usage qu'il en fait. Synkro fournit les moyens techniques du partage, journalise les accès et n'en décide jamais l'étendue. La sortie d'un membre du Cabinet ou de l'Équipe met fin à ses accès aux Dossiers des autres membres ; elle est sans effet sur les Dossiers dont il est lui-même responsable, qu'il conserve.

3.3. Fin de la Licence ou de la Souscription

Lorsque la Souscription prend fin (résiliation, défaut de paiement), l'accès du Titulaire de licence se met en pause à la fin de la période payée. Lorsque le Souscripteur libère la Licence, ou que le Titulaire de licence la quitte, l'accès se met en pause immédiatement ; le Souscripteur prévient le Titulaire de licence au préalable (CGV, section « Licences »). L'accès se met également en pause à l'issue de l'essai gratuit lorsqu'aucune Souscription n'a été conclue ni aucun Code de licence activé.

Pendant la pause, les Dossiers sont conservés et restent exportables pendant au moins quatre-vingt-dix jours, puis sont conservés tant que le compte existe, dans les conditions de la Politique de confidentialité, section « Durées de conservation ». Le Titulaire de licence peut à tout moment prendre sa propre Souscription ou activer un nouveau Code de licence et retrouver l'accès à ses Dossiers sans perte.

4.1. Nature des opérations

Hébergement, enregistrement, organisation, conservation, consultation, calculs automatisés (scores, indicateurs), analyse automatisée de vidéos, structuration assistée de textes, restitution, partage sur instruction, communication aux destinataires désignés par le Responsable du traitement, export et effacement.

4.2. Finalités

Synkro traite les données à la seule fin de fournir au Responsable du traitement les fonctionnalités de l'Application qu'il utilise pour le suivi des Personnes suivies, d'en assurer la sécurité et la traçabilité, et d'exécuter ses instructions. Les finalités propres à chaque profil sont précisées aux articles 13 et 14.

4.3. Catégories de personnes concernées

Les Personnes suivies et, pour les données qui les concernent dans un Dossier, les membres du Cabinet ou de l'Équipe et les tiers dont l'identité y figure. Les catégories propres à chaque profil sont précisées aux articles 13 et 14.

4.4. Catégories de données

Les catégories de données propres à chaque profil sont précisées aux articles 13 et 14. Sont communes aux deux profils :

• les données d'identification et de contact de la Personne suivie, ainsi que ses identifiants de compte lorsqu'elle utilise l'Application ;
• les vidéos et images déposées dans l'Application, et les résultats de leur analyse automatisée (angles articulaires, amplitudes, symétrie, indicateurs de mouvement) ;
• les données de suivi saisies par le Responsable du traitement ou par la Personne suivie ;
• le journal des accès aux Dossiers.

Les vidéos et reconstructions tridimensionnelles sont traitées à seule fin de produire des indicateurs de mouvement. Elles ne font l'objet d'aucun traitement biométrique aux fins d'identifier une personne physique de manière unique au sens de l'article 9.1 du RGPD.

4.5. Assistance par intelligence artificielle

Dans Synkro Clinic, à la demande du Responsable du traitement, un modèle de langage exécuté par le service Amazon Bedrock range un texte libre saisi ou dicté dans les champs d'une note de séance et préremplit des champs du Dossier. Les données transmises peuvent comprendre l'identité et les coordonnées de la Personne suivie. Le service Amazon Bedrock n'est pas utilisé pour l'Analyse biomécanique.

Ces traitements sont réalisés au moyen d'un profil d'inférence restreint à l'Union européenne, qui peut acheminer les demandes vers plusieurs régions AWS de l'Union européenne. Conformément aux conditions de service d'AWS, les contenus soumis à ce service ne sont ni conservés par celui-ci ni utilisés pour entraîner des modèles.

Les propositions générées sont présentées au Responsable du traitement, qui les relit, les modifie ou les écarte, et demeure seul responsable du contenu du Dossier. Aucune proposition n'est transmise directement à la Personne suivie. Il ne s'agit pas d'une décision individuelle automatisée au sens de l'article 22 du RGPD.

Synkro tient un journal de ces appels, qui contient des métriques d'usage et des identifiants mais pas le contenu des textes soumis ni des réponses obtenues, et le conserve douze mois. Le détail figure dans la Politique de confidentialité, section « Assistance par intelligence artificielle ».

4.6. Durée du traitement

Les données sont traitées pendant toute la durée du compte du Responsable du traitement, y compris pendant la pause de son accès, et jusqu'à leur suppression dans les conditions de l'article 7.8. Les durées de conservation applicables figurent dans la Politique de confidentialité, section « Durées de conservation ».

Le Responsable du traitement s'engage à :

• disposer d'une base légale valable pour chaque traitement confié à Synkro, dans les conditions précisées pour son profil aux articles 13 et 14 ;
• informer les Personnes suivies du traitement de leurs données, notamment en leur indiquant qu'il recourt à l'Application et en les renvoyant à la Politique de confidentialité de Synkro ;
• recueillir les consentements requis pour son profil et, pour les personnes mineures, appliquer la règle de l'article 6 ;
• n'enregistrer dans l'Application que des personnes dont il assure effectivement le suivi, et n'y déposer que les données nécessaires à ce suivi ;
• apprécier, avant de rejoindre un Cabinet ou une Équipe ou de modifier la portée d'un Dossier, les accès qui en résultent pour les autres membres (article 3.2) ;
• tenir son propre registre des activités de traitement et prendre les mesures de sécurité qui lui incombent, notamment la protection de ses identifiants et de ses appareils ;
• traiter les demandes d'exercice des droits que lui adressent les Personnes suivies ;
• exporter ses Dossiers avant toute suppression prévue à l'article 7.8 lorsqu'il est tenu de les conserver plus longtemps ;
• donner à Synkro des instructions licites et documentées.

5.1. Captation vidéo

Le Responsable du traitement est responsable des conditions dans lesquelles les vidéos sont réalisées. Il informe la personne filmée, recueille son accord préalable, ne dépose de vidéos montrant des tiers identifiables qu'avec leur accord et respecte les règles applicables au lieu de captation.

La règle suivante s'applique à toute Personne suivie mineure, Patient comme Sportif, quel que soit le pays :

• moins de treize ans : le compte est créé et tout consentement est donné exclusivement par le titulaire de l'autorité parentale ;
• de treize à dix-huit ans : le consentement est donné conjointement par le mineur et par le titulaire de l'autorité parentale.

Cette règle est plus protectrice que les seuils prévus par les droits nationaux (treize ans en Belgique, quinze ans en France) ; elle s'applique donc dans tous les cas. Le Professionnel vérifie l'âge de la Personne suivie et recueille les consentements requis avant de lui transmettre un code d'invitation et avant toute captation vidéo.

Synkro conditionne techniquement la création du compte d'une Personne suivie à la saisie d'un code d'invitation fourni par le Responsable du traitement. L'exercice des droits d'une Personne suivie mineure est précisé par la Politique de confidentialité, section « Mineurs ».

7.1. Instructions documentées

Synkro traite les données exclusivement sur instruction documentée du Responsable du traitement. Constituent ces instructions : le présent DPA, les CGU, les fonctionnalités de l'Application telles que le Responsable du traitement les utilise, les paramètres de son compte et les actions qu'il déclenche (notamment l'entrée dans un Cabinet ou une Équipe, le choix de la portée d'un Dossier, l'activation de la synchronisation avec un agenda Google, un envoi à un organisme assureur, un export ou une suppression). Il en va de même en cas de transfert vers un pays tiers.

Si Synkro est tenue de procéder à un traitement en vertu du droit de l'Union ou du droit belge, elle en informe le Responsable du traitement avant le traitement, sauf si ce droit l'interdit pour des motifs importants d'intérêt public. Synkro informe immédiatement le Responsable du traitement si, selon elle, une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou des États membres relatives à la protection des données.

Synkro n'utilise pas les données des Dossiers à ses propres fins, sous la seule réserve de l'article 8.

7.2. Confidentialité

Synkro veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation contractuelle de confidentialité, informées des exigences du RGPD et des spécificités des données concernant la santé, et n'accèdent aux Dossiers qu'en cas de nécessité (support demandé par le Responsable du traitement, sécurité, incident), dans la limite de cette nécessité et avec traçabilité.

7.3. Sécurité du traitement

Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes, Synkro met en œuvre les mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD, notamment :

• hébergement chez Amazon Web Services, région de Paris (eu-west-3), données stockées en France ;
• chiffrement au repos : AES-256 au moyen d'AWS KMS pour la base de données, et AES-256 pour le stockage des fichiers et vidéos, complété par un chiffrement propre à certains champs sensibles, dont le NISS ;
• chiffrement en transit (HTTPS, TLS 1.2 au minimum) ;
• mots de passe hachés (bcrypt) et jetons de session à durée limitée ;
• cloisonnement des accès : chaque Professionnel n'accède qu'aux Dossiers qu'il tient et à ceux auxquels les règles de partage de son Cabinet ou de son Équipe lui donnent accès (article 3.2) ;
• journalisation des accès aux Dossiers ; journaux applicatifs expurgés à la source des données concernant la santé ;
• conservation des secrets, dont les certificats eHealth, dans un coffre chiffré (AWS Secrets Manager) ;
• principe du moindre privilège pour l'accès à l'infrastructure, réservé aux personnes autorisées de Synkro, et revue périodique de ces accès ;
• sauvegardes automatiques de la base de données ;
• surveillance de l'infrastructure avec alarmes.

Synkro peut faire évoluer ces mesures, à condition de ne pas réduire le niveau de sécurité global.

7.4. Sous-traitants ultérieurs

Le Responsable du traitement donne à Synkro une autorisation générale de recourir à des sous-traitants ultérieurs. À la date du présent DPA, les sous-traitants ultérieurs sont ceux indiqués comme tels dans le tableau ci-dessous, identique à celui de la Politique de confidentialité ; les autres prestataires et destinataires y figurent pour information et ne traitent pas de données des Dossiers pour le compte du Responsable du traitement, à l'exception de Google Agenda, destinataire que le Responsable du traitement choisit lui-même d'activer.

Amazon Web Services détient notamment les certifications ISO 27001 et SOC 2, ainsi que la certification Hébergeur de Données de Santé (HDS) pour l'hébergement d'infrastructure ; son accord de traitement des données est intégré à ses conditions de service.

Synkro impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent DPA, notamment des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Synkro demeure pleinement responsable, envers le Responsable du traitement, de l'exécution de leurs obligations par ses sous-traitants ultérieurs.

Synkro informe le Responsable du traitement, par e-mail et dans l'Application, de tout ajout ou remplacement d'un sous-traitant ultérieur au moins trente jours avant sa prise d'effet. Le Responsable du traitement peut s'y opposer par écrit, pour un motif légitime tenant à la protection des données, pendant ce délai. Les Parties recherchent alors de bonne foi une solution. À défaut, le Responsable du traitement peut cesser d'utiliser le service et, s'il est aussi Souscripteur, résilier sa Souscription sans frais avec effet au jour de la prise d'effet du changement ; il conserve dans tous les cas le droit d'exporter ses Dossiers prévu à l'article 7.8.

Ne sont pas non plus des sous-traitants ultérieurs de Synkro les destinataires auxquels le Responsable du traitement décide de communiquer des données, notamment les organismes assureurs et les plateformes visées à l'article 13.4.

7.5. Assistance pour l'exercice des droits

Synkro aide le Responsable du traitement, par des mesures techniques et organisationnelles appropriées et dans toute la mesure du possible, à répondre aux demandes d'exercice des droits des Personnes suivies (accès, rectification, effacement, limitation, portabilité, opposition, retrait du consentement). L'Application permet au Responsable du traitement de consulter, corriger, exporter et supprimer les Dossiers. Lorsqu'une Personne suivie s'adresse directement à Synkro au sujet d'un Dossier, Synkro transmet la demande au Responsable du traitement dans les cinq jours ouvrables, ne lui répond pas sur le fond sans son instruction, et lui apporte l'assistance technique nécessaire.

La suppression, par une Personne suivie, de son compte dans l'Application met fin à son accès. Elle n'emporte pas la suppression du Dossier tenu par le Responsable du traitement : le Dossier est détaché du compte supprimé et demeure intact chez le Responsable du traitement, à qui il appartient de statuer sur toute demande d'effacement, dans le respect de ses propres obligations de conservation.

7.6. Assistance pour la sécurité, l'analyse d'impact et la consultation préalable

Synkro aide le Responsable du traitement à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations à sa disposition. Elle met notamment à sa disposition, sur demande, une description des traitements et des mesures de sécurité utile à la réalisation de son analyse d'impact relative à la protection des données et, le cas échéant, à la consultation préalable de l'autorité de contrôle.

7.7. Notification des violations de données

Synkro notifie au Responsable du traitement toute violation de données à caractère personnel affectant ses Dossiers dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les quarante-huit heures. La notification décrit, dans la mesure où ces informations sont disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, ses conséquences probables et les mesures prises ou envisagées pour y remédier et en atténuer les effets. Les informations qui ne sont pas disponibles immédiatement sont communiquées dès qu'elles le sont.

Il appartient au Responsable du traitement de notifier la violation à l'autorité de contrôle et, le cas échéant, de la communiquer aux personnes concernées ; Synkro l'y assiste. La procédure interne de gestion des violations de Synkro est communicable sur demande.

7.8. Export, restitution et suppression des données

Export. Le Responsable du traitement peut exporter ses Dossiers depuis l'Application dans les conditions des CGU, section « Export et portabilité des données » : dans des formats structurés (JSON, CSV ou archive ZIP, selon le produit), pendant toute la durée de son accès et pendant toute la pause de celui-ci, et en tout état de cause pendant au moins quatre-vingt-dix jours après la fin de sa Souscription, de sa Licence ou de son essai. Cet export vaut restitution des données au sens de l'article 28.3.g du RGPD.

Suppression. Synkro supprime les Dossiers du Responsable du traitement lorsque son compte est supprimé, à sa demande ou pour inactivité dans les conditions de la Politique de confidentialité, section « Durées de conservation ». L'accès est désactivé dès la demande ; la suppression peut être annulée pendant trente jours au moyen du lien reçu par e-mail ; à l'expiration de ce délai, le compte et tous les Dossiers dont le Responsable du traitement est responsable sont supprimés définitivement. Les comptes des Personnes suivies ne sont pas supprimés, mais ne donnent plus accès à ces Dossiers. Le Responsable du traitement procède à l'export de ses Dossiers avant de demander la suppression.

Les données supprimées disparaissent des sauvegardes au plus tard trente jours après leur suppression. Synkro ne conserve aucune copie des Dossiers, sauf obligation légale qui lui serait propre.

La suppression du compte d'un membre d'un Cabinet ou d'une Équipe met fin à ses accès aux Dossiers des autres membres, sans affecter ces Dossiers, qui restent chez le Responsable du traitement qui en est responsable.

7.9. Documentation et audits

Synkro met à la disposition du Responsable du traitement, sur demande, les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD : registre des activités de traitement tenu en qualité de sous-traitant, liste des sous-traitants ultérieurs, description des mesures de sécurité, procédure de gestion des violations et attestations de certification de ses sous-traitants ultérieurs.

Synkro permet la réalisation d'audits, y compris d'inspections, par le Responsable du traitement ou par un auditeur qu'il mandate, tenu à la confidentialité. Sauf violation de données ou demande d'une autorité de contrôle, l'audit est annoncé au moins trente jours à l'avance, porte sur les seuls traitements réalisés pour le compte du Responsable du traitement, a lieu au plus une fois par an, pendant les heures ouvrables, et ne peut porter atteinte ni à la sécurité du service ni à la confidentialité des données des autres utilisateurs. Synkro peut proposer de répondre d'abord par des documents et des déclarations écrites. Les frais de l'audit sont à la charge du Responsable du traitement, sauf si l'audit révèle un manquement significatif de Synkro à ses obligations.

Synkro produit des statistiques de fonctionnement agrégées (par exemple le nombre de Dossiers, d'analyses ou d'utilisations d'une fonction), qui ne contiennent aucun contenu des Dossiers ni aucun identifiant de personne et ne permettent pas de remonter à une personne. Ces statistiques sont des données anonymes qui ne relèvent plus du RGPD (considérant 26).

Aucune donnée des Dossiers n'est aujourd'hui utilisée à des fins de recherche ou d'amélioration des algorithmes. Un consentement facultatif à la recherche est recueilli auprès des Patients dans l'Application ; si Synkro devait un jour utiliser des données à ces fins, seules des données anonymisées le seraient, et la Politique de confidentialité ainsi que le présent DPA seraient mis à jour au préalable, dans les conditions de l'article 11.

Aucune vidéo n'est utilisée pour l'amélioration des algorithmes.

Les Dossiers sont hébergés en France (AWS, région de Paris, eu-west-3). Les traitements par intelligence artificielle sont réalisés dans l'Union européenne, au moyen d'un profil d'inférence restreint à l'Union européenne qui peut acheminer les demandes vers plusieurs régions AWS de l'Union européenne.

Certains éléments issus d'un Dossier peuvent être transférés aux États-Unis par des sous-traitants ultérieurs : l'adresse e-mail et le nom d'une Personne suivie dans un e-mail acheminé par Resend, son nom et l'horaire d'un rendez-vous dans une notification acheminée par Expo. Ces transferts sont encadrés comme indiqué à l'article 7.4. Lorsque le Responsable du traitement active la synchronisation avec un agenda Google, les rendez-vous inscrits dans cet agenda sont traités par Google selon le contrat qui les lie. Les transferts réalisés par Stripe portent exclusivement sur les données de facturation du Souscripteur.

Tout nouveau transfert de données d'un Dossier hors de l'Union européenne serait soumis à la procédure de l'article 7.4 et à l'existence de garanties appropriées au sens du chapitre V du RGPD.

Chaque Partie répond des dommages causés par un traitement qui ne respecte pas le RGPD, dans les conditions de l'article 82 du RGPD. Synkro répond des manquements de ses sous-traitants ultérieurs, notamment de l'hébergeur, comme des siens ; seule la force majeure, au sens des CGV, section « Force majeure », l'exonère.

Dans les relations entre les Parties, la responsabilité de Synkro est soumise au plafond prévu par les CGV, section « Responsabilité », sauf faute lourde ou intentionnelle. Ce plafond ne limite pas les droits que les personnes concernées tiennent du RGPD.

• Articulation : en cas de contradiction sur un point relatif à la protection des données, le présent DPA prévaut sur les CGU et les CGV.
• Structures sur devis : les prestations proposées sur devis aux structures sportives peuvent faire l'objet de dispositions complémentaires, précisées dans la proposition correspondante, qui ne peuvent réduire le niveau de protection prévu par le présent DPA.
• Modifications : toute modification substantielle du DPA est notifiée au Responsable du traitement, par e-mail et dans l'Application, au moins trente jours avant son entrée en vigueur. Le Responsable du traitement qui la refuse peut cesser d'utiliser le service avant cette date et exporter ses Dossiers dans les conditions de l'article 7.8.
• Fin : la cessation du DPA n'affecte ni les obligations de suppression et de confidentialité, ni le droit d'export prévu à l'article 7.8.

Le présent DPA est rédigé en français. Des traductions en anglais et en néerlandais sont mises à disposition à titre informatif. En cas de divergence entre la version française et une traduction, la version française fait foi.

Le présent DPA est soumis au droit belge. À défaut de solution amiable, les tribunaux de l'arrondissement judiciaire de Bruxelles sont seuls compétents, sans préjudice des règles impératives qui protègent les consommateurs et des droits que les personnes concernées tiennent de l'article 79 du RGPD.

Le présent article s'applique au Responsable du traitement Professionnel de santé, pour l'intégralité de son utilisation de l'Application, conformément à la règle énoncée au préambule.

13.1. Finalités

Tenue du Dossier du Patient ; administration de questionnaires standardisés et de tests cliniques, avec calcul automatisé des scores ; prescription et suivi d'exercices ; échanges entre le Responsable du traitement et le Patient dans l'Application ; Analyse biomécanique à l'appui de l'évaluation clinique ; assistance par intelligence artificielle (article 4.5) ; gestion de l'agenda, des rendez-vous, de la prise de rendez-vous en ligne et des rappels ; partage de Dossiers au sein d'un Cabinet ; lorsque le Responsable du traitement dispose du Module administratif, les finalités décrites à l'article 13.4.

13.2. Catégories de personnes concernées

• les Patients du Responsable du traitement ;
• les personnes qui prennent rendez-vous en ligne auprès de lui, avec ou sans compte ;
• lorsque le Module administratif est utilisé, les médecins prescripteurs et les médecins détenteurs du dossier médical global, pour les données qui les identifient.

13.3. Catégories de données

• données d'identification et de contact ;
• données concernant la santé au sens de l'article 9 du RGPD : anamnèse, bilans, notes de séance, prescriptions et séances d'exercices, alertes et messages échangés dans l'Application ;
• réponses aux questionnaires standardisés et résultats des tests cliniques, y compris les scores et sous-scores calculés automatiquement ;
• vidéos, images et documents déposés dans l'Application, et résultats de l'Analyse biomécanique ;
• données de rendez-vous, y compris, pour une réservation en ligne sans compte, le nom, les coordonnées, le créneau choisi, le motif éventuel, les réponses au questionnaire préalable et les pièces jointes ;
• lorsque le Module administratif est utilisé, les données énumérées à l'article 13.4.

13.4. Module administratif (MyCareNet et plateforme eHealth)

Lorsque son offre comprend le Module administratif, le Responsable du traitement peut, depuis l'Application, pour les services ouverts :

• lire la carte d'identité électronique (eID) d'un Patient, au moyen d'un programme installé sur son ordinateur, afin de préremplir son Dossier ;
• consulter l'assurabilité du Patient auprès de son organisme assureur (service MyCareNet Member Data) ;
• établir et transmettre des attestations de soins électroniques (eAttest) ;
• facturer les prestations aux organismes assureurs (eFact) ;
• demander, prolonger ou suivre les accords du médecin-conseil (eAgreement).

Données traitées : numéro d'identification de la sécurité sociale (NISS) ; données d'identité lues sur la carte eID (nom, prénoms, date de naissance, sexe, nationalité, adresse), la photographie de la carte n'étant pas enregistrée ; données d'assurabilité (organisme assureur, codes de remboursement, statut particulier, tiers payant, maison médicale, médecin détenteur du dossier médical global) ; prestations, dates des séances, codes de nomenclature et montants ; données de prescription (date, numéro INAMI du prescripteur) ; demandes d'accord, situations pathologiques, décisions, numéros d'accord et motifs de refus ; messages échangés avec les organismes assureurs, conservés y compris sous leur forme brute signée, à des fins de preuve et de traçabilité, pendant les durées imposées par la réglementation de l'INAMI et des organismes assureurs, et au plus tant que le compte du Responsable du traitement existe.

Rôles et bases légales. Synkro agit comme sous-traitant du Responsable du traitement. Les échanges sont réalisés au nom du Responsable du traitement, sur son instruction et au moyen de son propre certificat eHealth ; Synkro n'utilise ce certificat que pour exécuter les échanges qu'il déclenche. Le Responsable du traitement fonde ces traitements sur l'article 9.2.h du RGPD et sur les obligations légales qui lui incombent en vertu de la réglementation de l'assurance obligatoire soins de santé (INAMI).

Destinataires. Les organismes assureurs, par l'intermédiaire du réseau MyCareNet et de la plateforme eHealth. Ces organismes et plateformes agissent dans leur propre cadre légal ; ils ne sont pas des sous-traitants ultérieurs de Synkro.

Disponibilité. Chaque service requiert un agrément. Les services sont mis à disposition un par un, au fur et à mesure de leur ouverture ; l'Application indique les services ouverts. Synkro ne s'engage sur aucune date d'ouverture.

13.5. Bases légales du Responsable du traitement

Le Dossier du Patient est tenu sous la responsabilité du Responsable du traitement, professionnel de santé soumis au secret professionnel. Il repose sur l'article 9.2.h du RGPD, dans le respect de la condition de l'article 9.3, et, pour sa tenue et sa conservation, sur les obligations légales du Responsable du traitement. Le consentement que le Patient donne dans l'Application porte sur l'utilisation de celle-ci ; son retrait met fin à cette utilisation mais n'emporte pas la suppression du Dossier, dont le sort relève du Responsable du traitement.

13.6. Secret professionnel

Synkro reconnaît que les Dossiers sont couverts par le secret professionnel du Responsable du traitement. Elle n'y accède que dans les conditions de l'article 7.2 et ne les communique à aucun tiers en dehors des instructions du Responsable du traitement et des obligations légales qui s'imposeraient à elle, dont elle l'informerait dans les conditions de l'article 7.1.

13.7. Conservation du dossier

La conservation du dossier du Patient pendant la durée légale incombe au Responsable du traitement, dans les conditions des CGU, article 14.4. Synkro conserve les Dossiers tant que le compte du Responsable du traitement existe et les supprime avec lui (article 7.8) : il appartient au Responsable du traitement de les exporter et d'en assurer lui-même la conservation.

13.8. Hébergement et usage en France

Les données sont hébergées en France par Amazon Web Services, qui détient la certification Hébergeur de Données de Santé (HDS) pour l'hébergement d'infrastructure. Synkro n'est pas elle-même certifiée HDS. Le Professionnel de santé qui exerce en France apprécie, au regard de cette information, si l'utilisation de l'Application est compatible avec les obligations qui lui incombent.

Le présent article s'applique au Responsable du traitement qui n'est pas Professionnel de santé : préparateur physique, entraîneur, bike fitter non soignant, club, fédération, centre de performance ou autre structure sportive.

14.1. Finalités

Tenue du Dossier sportif ; Analyse biomécanique de vidéos ; situation des indicateurs par rapport à des référentiels publiés ; comparaison de relevés successifs ; partage de Dossiers au sein d'une Équipe.

14.2. Catégories de personnes concernées

Les Sportifs suivis par le Responsable du traitement.

14.3. Catégories de données

• données d'identification et de contact ;
• données de suivi sportif : mesures, observations, discipline, niveau, historique des séances ;
• vidéos et résultats de l'analyse automatisée, y compris les estimations aérodynamiques ;
• le cas échéant, informations révélant une donnée concernant la santé au sens de l'article 9 du RGPD, telles que la mention d'une blessure, d'une douleur ou d'un retour d'indisponibilité.

14.4. Bases légales du Responsable du traitement

Le Responsable du traitement fonde le traitement sur l'exécution du contrat qui le lie au Sportif ou sur son intérêt légitime à assurer l'accompagnement demandé (articles 6.1.b et 6.1.f du RGPD). Lorsque les données traitées révèlent une information concernant la santé, il recueille le consentement explicite du Sportif (article 9.2.a du RGPD), dans le respect, pour les personnes mineures, de la règle de l'article 6. Le Sportif peut retirer ce consentement à tout moment ; le Responsable du traitement cesse alors les traitements qui en dépendent et supprime les données correspondantes, sauf autre base légale.

14.5. Structures sportives et nature de l'outil

Lorsqu'une structure (club, fédération, centre) organise le suivi de ses Sportifs dans une organisation Synkro Motion et en détermine les finalités et les moyens, elle est Responsable du traitement des Dossiers concernés, dans les conditions des CGU, article 15.5.

Synkro Motion n'est pas un dispositif médical, dans les conditions des CGU, article 15.2.