Contrat de sous-traitance du traitement des données

1. Parties et objet

Ce contrat est conclu entre la clinique vétérinaire ou le refuge qui utilise Mizuu (le « Responsable du traitement ») et Mizuu (le « Sous-traitant »). Il est accepté lors de l'inscription de la clinique ou du refuge et fait partie de leurs conditions d'utilisation.

Objet : Mizuu traite pour le compte du Responsable du traitement les données personnelles que celui-ci conserve sur la plateforme, uniquement pour lui fournir le service souscrit (agenda et rendez-vous, historique clinique, clients, factures, alertes et rappels, import de données depuis un autre logiciel, gestion des animaux, candidatures, familles d'accueil et bénévolat, et contrats d'adoption).

2. Données et personnes concernées

• Personnes concernées : clients et responsables des animaux, candidats à l'adoption, familles d'accueil, bénévoles et membres de l'équipe du Responsable du traitement.
• Données : données d'identification et de contact, adresse, données des animaux et leur historique, rendez-vous, factures et paiements, messages, pièces d'identité des adoptants (chiffrées) et signatures de contrats.
• Aucune catégorie particulière de données de l'art. 9 RGPD n'est traitée, sauf si le Responsable du traitement les saisit de son propre chef dans des champs de texte libre, ce qu'il doit éviter.

3. Durée

Il dure tant que le Responsable du traitement a un compte sur Mizuu. À la fin, le point 11 (restitution et suppression) s'applique.

4. Instructions du Responsable du traitement

Mizuu traite les données uniquement selon les instructions documentées du Responsable du traitement : ces conditions, la configuration que le Responsable du traitement choisit dans son tableau de bord et les demandes qu'il fait par écrit à [email protected]. Si Mizuu estime qu'une instruction enfreint la réglementation sur la protection des données, il le dira immédiatement au Responsable du traitement.

Mizuu n'utilise pas ces données pour ses propres fins, ne les vend pas et ne les cède pas, sauf obligation légale. Les familles qui ont leur propre compte sur Mizuu sont, pour les données de ce compte, des utilisatrices de Mizuu, et là Mizuu est responsable de son propre traitement.

5. Confidentialité

Les personnes de Mizuu qui accèdent aux données sont tenues au secret, y compris après avoir cessé de travailler avec Mizuu, et n'y accèdent que lorsque c'est nécessaire pour fournir le service ou pour traiter un incident ou un signalement.

6. Mesures de sécurité (art. 32 RGPD)

• Chiffrement en transit (TLS) et chiffrement au repos des données les plus sensibles (pièces d'identité, IBAN, téléphones et adresses) avec AES-256-GCM.
• Mots de passe conservés avec Argon2id, double authentification pour les comptes de refuge et d'administration, blocage après des tentatives échouées et limites de requêtes.
• Permissions par rôle au sein de l'équipe du Responsable du traitement et journal d'audit des actions sensibles.
• Sauvegardes chiffrées et procédure de gestion des incidents.

7. Sous-traitants ultérieurs

Le Responsable du traitement autorise de manière générale Mizuu à recourir à ces sous-traitants ultérieurs, qui traitent les données avec des garanties équivalentes à celles de ce contrat :

• Cloudflare (réseau, protection et hébergement de fichiers).
• Resend (envoi d'emails).
• Google Firebase (notifications push).
• Stripe (paiements).
• Google Play (paiement de l'abonnement depuis l'application Android).
• Anthropic (seulement si le scan de carnets de santé par IA est utilisé).
• OpenAI (seulement pour transformer des notes vocales en texte).

Mizuu préviendra le Responsable du traitement au moins 15 jours à l'avance avant d'ajouter ou de changer un sous-traitant ultérieur, et le Responsable du traitement pourra s'y opposer. Si l'opposition empêche de fournir le service, le Responsable du traitement pourra résilier sans frais. Les transferts hors de l'Espace économique européen sont encadrés par le Cadre de protection des données UE-États-Unis ou par des clauses contractuelles types.

8. Aide pour les droits des personnes concernées

Si une personne concernée demande à Mizuu d'exercer ses droits sur des données du Responsable du traitement, Mizuu les transmettra au Responsable du traitement dans un délai maximum de 5 jours ouvrés. Mizuu aidera le Responsable du traitement avec les outils de la plateforme (exporter, corriger et supprimer des données) pour qu'il puisse répondre dans les délais.

9. Violations de sécurité

Mizuu préviendra le Responsable du traitement sans retard injustifié, et en tout cas dans un délai de 48 heures à partir du moment où il a connaissance d'une violation touchant ses données, avec les informations disponibles : ce qui s'est passé, quelles données et combien de personnes sont touchées, conséquences probables et mesures prises. Ainsi, le Responsable du traitement peut notifier l'autorité de contrôle dans les 72 heures (art. 33 RGPD) et, s'il y a un risque élevé, les personnes concernées (art. 34 RGPD).

10. Autres aides au Responsable du traitement

Mizuu fournira au Responsable du traitement les informations raisonnables dont il a besoin pour réaliser des analyses d'impact ou des consultations préalables, lorsqu'elles sont requises.

11. Restitution et suppression à la fin

Avant de résilier, le Responsable du traitement peut télécharger ses données depuis le tableau de bord (export des clients, de l'historique et des factures). Après la résiliation, Mizuu supprimera les données du Responsable du traitement dans un délai maximum de 90 jours, sauf ce que la loi oblige à conserver (par exemple, les factures), qui sera conservé bloqué pendant le délai légal. L'historique clinique qui fait partie du passeport d'un animal ayant un propriétaire sur Mizuu est conservé dans ce passeport, comme information sur l'animal.

12. Informations et audits

Mizuu mettra à la disposition du Responsable du traitement les informations nécessaires pour démontrer qu'il respecte ce contrat et permettra des audits raisonnables, avec un préavis de 30 jours, une fois par an au maximum sauf violation, aux frais du Responsable du traitement et sans accès aux données d'autres clients.

13. Obligations du Responsable du traitement

Le Responsable du traitement garantit qu'il a une base légale pour traiter les données qu'il charge sur Mizuu (y compris celles qu'il importe depuis un autre logiciel) et qu'il a informé ses clients, candidats et bénévoles. Si la réglementation l'exige, c'est lui qui répond aux droits des personnes concernées et qui notifie les violations à l'autorité.