Contrat de sous-traitance — Carewell Pool

1. Parties

Le présent contrat de sous-traitance (le « DPA ») est conclu entre :

• Carewell SA, Rue du Grand-Pré 4, 1007 Lausanne, Suisse (« Carewell » ou le « Sous-traitant »), et
• l’Institution identifiée dans le contrat principal (le « Responsable du traitement » ou « Vous »).

Carewell et l’Institution sont collectivement désignées les « Parties ».

2. Objet et champ d’application

Le présent DPA encadre les traitements de données à caractère personnel effectués par Carewell pour le compte de l’Institution dans le cadre de la fourniture des services Carewell Pool (gestion par l’Institution de son pool interne de professionnels : planification, disponibilités, gestion des documents).

Le DPA fait partie intégrante du contrat principal conclu entre les Parties. En cas de contradiction, le DPA prévaut sur les dispositions du contrat principal pour les questions de protection des données.

3. Définitions

Les termes « Données personnelles », « Traitement », « Responsable du traitement », « Sous-traitant », « Personne concernée » et « Violation de données » ont le sens qui leur est donné par la Loi fédérale suisse sur la protection des données (LPD/nLPD) et, lorsqu’applicable, le Règlement (UE) 2016/679 (RGPD).

4. Durée

Le DPA prend effet à la date de signature du contrat principal et reste en vigueur tant que Carewell traite des Données personnelles pour le compte de l’Institution.

5. Nature et finalités du traitement

Carewell traite les Données personnelles aux seules finalités suivantes :

• gestion du pool interne de professionnels de l’Institution (planification, disponibilités, documents) ;
• création et gestion des comptes des professionnels et du personnel de l’Institution ;
• documentation des plannings et des prestations effectuées ;
• communications de service (notifications, rappels) ;
• support utilisateur ;
• toute autre finalité expressément documentée par l’Institution.

6. Catégories de données et personnes concernées

Catégorie de personnes concernées	Catégories de données
Professionnels du pool de l’Institution	Identité, coordonnées, identifiants de connexion, disponibilités, plannings, données d’utilisation
Personnel de l’Institution	Identité, coordonnées professionnelles, identifiants de connexion
Patients (le cas échéant)	Aucune donnée patient n’est traitée par Carewell.

7. Durée de conservation

De manière générale, les données personnelles sont conservées pendant une durée proportionnée aux finalités poursuivies par leur traitement et n’excédant pas celle nécessaire à la réalisation de ces finalités. À l’issue des durées de conservation applicables, les données sont archivées puis supprimées ou anonymisées conformément aux obligations légales applicables ou aux intérêts prépondérants justifiant une conservation prolongée.

À titre indicatif, les données liées au compte utilisateur sont conservées pendant toute la durée de la relation contractuelle, puis archivées conformément aux obligations légales et réglementaires applicables, notamment en matière comptable, fiscale et de preuve.

8. Obligations de Carewell

Carewell s’engage à :

1. ne traiter les Données personnelles que sur instruction documentée de l’Institution ;
2. veiller à ce que les personnes autorisées à traiter les Données personnelles s’engagent à la confidentialité ;
3. mettre en œuvre les mesures techniques et organisationnelles décrites dans la Politique de sécurité ;
4. assister l’Institution dans la gestion des demandes des Personnes concernées (droits d’accès, rectification, suppression, portabilité, opposition) et lui transmettre sans délai toute demande qu’une Personne concernée adresserait directement à Carewell ;
5. notifier l’Institution en cas de Violation de données dans les meilleurs délais et, en tout état de cause, au plus tard dans les 48 heures ;
6. mettre à la disposition de l’Institution toutes les informations nécessaires pour démontrer le respect des présentes obligations ;
7. supprimer ou restituer les Données personnelles à la fin du contrat principal, selon le choix de l’Institution.

9. Sous-traitants ultérieurs

Carewell est autorisée à recourir à des sous-traitants ultérieurs dans le cadre de la fourniture de Carewell Pool. La liste à jour est publiée à l’adresse : Sous-traitants — Carewell Pool.

Carewell informe l’Institution de toute modification de cette liste avec un préavis raisonnable. L’Institution dispose d’un droit d’opposition motivé.

10. Transferts internationaux

Carewell héberge les Données personnelles en Suisse. Lorsqu’un transfert hors de Suisse ou de l’EEE est nécessaire, Carewell met en œuvre les garanties appropriées (clauses contractuelles types, décision d’adéquation, etc.) telles que documentées dans la liste des sous-traitants.

11. Audit

L’Institution peut demander, une fois par an et avec un préavis raisonnable, un audit de la conformité de Carewell aux obligations du DPA. Carewell peut, à son choix, fournir un rapport d’audit indépendant existant (par exemple ISO 27001) en lieu et place d’un audit sur site.

12. Responsabilité

La responsabilité des Parties au titre du DPA est limitée selon les dispositions du contrat principal.

13. Droit applicable et juridiction

Le présent DPA est soumis au droit suisse. Tout litige relève de la compétence exclusive des tribunaux ordinaires de Lausanne.

---

Signatures et entrée en vigueur

Le présent DPA est accepté électroniquement lors de la signature du contrat principal.