Data ProcessingAgreement.

Préambule

Le présent Data Processing Agreement (DPA) est conclu entre :

• Le Responsable de Traitement : le Client, dont l'identité est précisée dans le contrat principal ;
• Le Sous-traitant : Legal Highlight, agissant sous la marque WestMark Group, 6 Rue Jean Cocteau, 13200 Arles, SIREN 888 133 766, représentée par Akhatar Andy.

Conformément à l'Art. 28 du Règlement UE 2016/679 (RGPD).

Article 1 — Objet et durée

Le Sous-traitant produit pour le Responsable des bases de coordonnées professionnelles de professionnels de santé libéraux français, à des fins de prospection commerciale B2B. La durée du traitement correspond à la durée du contrat principal + 30 jours pour suppression complète.

Article 2 — Nature et finalité du traitement

• Nature : production sur mesure, qualification, livraison de fiches de prospection
• Finalité unique : prospection commerciale B2B du Responsable auprès de professionnels de santé libéraux français

Article 3 — Catégories de données traitées

Exclusivement des coordonnées professionnelles : nom, prénom, civilité, profession, spécialité, portable professionnel, email professionnel, adresse cabinet, code postal, ville, conventionnement, nature d'exercice.

Exclusion stricte : données patient, données de santé, données financières, identifiants Sécurité sociale.

Article 4 — Catégories de personnes concernées

Professionnels de santé libéraux français (médecins, dentistes, pharmaciens, kinésithérapeutes, infirmiers, sages-femmes, podologues, orthophonistes et autres professions réglementées). Les données concernent exclusivement l'activité professionnelle des praticiens, non leur vie privée.

Article 5 — Obligations du Sous-traitant

Le Sous-traitant s'engage notamment à :

1. Traiter les données uniquement sur instruction documentée du Responsable ;
2. Garantir la confidentialité par engagement contractuel du personnel ;
3. Mettre en œuvre les mesures techniques et organisationnelles de l'Art. 32 RGPD ;
4. Assister le Responsable dans la mise en œuvre des droits des personnes (Art. 12-23) ;
5. Notifier toute violation de données sous 72 heures (Art. 33-34 RGPD) ;
6. Restituer ou supprimer toutes les données à la fin du contrat dans les 30 jours.

Article 6 — Sous-traitants ultérieurs

Sous-traitant ultérieur autorisé à ce jour :

• Cloudflare Inc. (hébergement Pages + datacenter Frankfurt, UE)

Article 7 — Mesures techniques et organisationnelles (Art. 32 RGPD)

• Chiffrement TLS 1.3 obligatoire pour toute connexion
• Watermarking unique de chaque livraison
• Hébergement exclusivement UE — Cloudflare datacenter Frankfurt (Allemagne)
• Contrôle des accès par habilitation nominative
• Transmission via liens de téléchargement sécurisés à durée limitée
• Audit interne annuel des pratiques de sécurité

Article 8 — Localisation et transferts hors UE

Toutes les données sont hébergées dans l'Union européenne (Cloudflare datacenter Frankfurt, Allemagne). Aucun transfert hors UE n'est effectué dans le cadre standard du contrat.

Article 9 — Notification d'incident

En cas de violation de données, le Sous-traitant notifie le Responsable sous 72 heures (Art. 33 RGPD), via email + courrier recommandé.

Article 10 — Audit

Le Responsable peut auditer le Sous-traitant une fois par an maximum, sur préavis de 30 jours.

Article 11 — Restitution / suppression à fin de contrat

À la fin du contrat, le Sous-traitant restitue ou supprime toutes les données dans un délai de 30 jours et fournit un certificat de destruction sur demande.

Article 12 — Droit applicable

Le présent DPA est soumis au droit français. Tout litige relèvera du Tribunal de commerce de Tarascon.