Sous-traitance des données
à caractère personnel

1. Parties et objet

La présente annexe fait partie intégrante des conditions générales de vente et d'utilisation de Résiscreen. Elle constitue le contrat prévu à l'article 28 du règlement (UE) 2016/679 (RGPD) entre :

• le Client, établissement qui utilise le Service, agissant en qualité de responsable de traitement ;
• WTF! EXPERIENCE, SASU au capital de 350 €, 9 rue Pierre Marinier, 97438 Sainte-Marie, La Réunion, RCS Saint-Denis de La Réunion 130 815 640, éditrice de Résiscreen, agissant en qualité de sous-traitant.

Elle s'applique pendant toute la durée de l'abonnement, puis jusqu'à la suppression ou la restitution des données prévue à l'article 7.

2. Description des traitements

Nature et finalités

Hébergement et traitement des données nécessaires à la vie sociale de l'Établissement : publication et diffusion de contenus sur les écrans (menus, animations, actualités, anniversaires), gestion des inscriptions et des réservations, gestion des accès de l'équipe, des Proches, des résidents et des partenaires, envoi des invitations, et fonctions d'assistance par intelligence artificielle.

Personnes concernées

Résidents de l'Établissement, membres de son équipe, Proches invités, partenaires extérieurs invités.

Catégories de données

Pour les résidents : civilité, nom, prénom, date de naissance, chambre, dates d'entrée et de sortie, photographie, consentement à l'affichage de l'anniversaire, biographie et souvenirs saisis, inscriptions aux animations. Pour les membres de l'équipe, Proches et partenaires : nom affiché, adresse de courriel, rôle et droits d'accès, lien avec un résident pour un Proche. Pour les écrans : identifiant et rapports techniques de fonctionnement.

Données de santé

Aucune. Les champs relatifs aux régimes alimentaires, aux allergies et aux notes alimentaires, présents dans la base, sont fermés en lecture comme en écriture à tous les utilisateurs. Le Client s'interdit de déposer des données de santé dans les champs de texte libre.

Intelligence artificielle

Lorsqu'une fonction d'IA est sollicitée, la matière nécessaire à la tâche est transmise à Anthropic, PBC (États-Unis) : document importé, texte à reformuler et, lorsqu'ils sont le sujet de la tâche, le prénom d'un résident et des éléments de sa biographie ou de ses souvenirs (article 10 des CGV).

3. Engagements du sous-traitant

WTF! EXPERIENCE s'engage à :

• ne traiter les données que sur instruction documentée du Client, les présentes CGV et l'usage du Service valant instruction, et l'informer si une instruction lui paraît contraire à la réglementation ;
• garantir que les personnes autorisées à traiter les données sont tenues à la confidentialité ;
• mettre en œuvre les mesures de sécurité décrites à l'article 4 ;
• ne recourir à un sous-traitant ultérieur que dans les conditions de l'article 5 ;
• aider le Client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées, et lui transmettre sans délai toute demande reçue directement ;
• aider le Client à garantir le respect de ses obligations de sécurité, de notification des violations et, le cas échéant, d'analyse d'impact ;
• supprimer ou restituer les données au terme du contrat (article 7) ;
• mettre à la disposition du Client les informations nécessaires pour démontrer le respect de ces obligations, et permettre la réalisation d'audits, sur demande écrite motivée adressée avec un préavis raisonnable, aux frais du Client.

WTF! EXPERIENCE n'a pas désigné de délégué à la protection des données. Contact pour toute question relative à la présente annexe : donnees@resiscreen.fr.

4. Mesures de sécurité

Les mesures effectivement en place à la date de la présente annexe sont :

• chiffrement de tous les échanges entre les navigateurs, les écrans et le Service (HTTPS) ;
• cloisonnement des données par Établissement appliqué par la base de données elle-même (sécurité au niveau des lignes), et droits d'accès par rôle au sein de l'équipe ;
• absence, dans l'application, de clé d'accès à pleins pouvoirs sur la base ;
• mots de passe gérés par le service d'authentification, jamais conservés en clair ; écrans authentifiés par un jeton propre à chacun ;
• limitation du nombre d'essais sur les points d'accès publics et plafond d'usage des fonctions d'IA ;
• sauvegardes automatiques quotidiennes de la base, conservées sept (7) jours.

5. Sous-traitants ultérieurs

Le Client autorise WTF! EXPERIENCE à recourir aux sous-traitants ultérieurs ci-dessous, qui composent le socle technique du Service et sont actifs pour tous les Établissements. Aucune intégration tierce optionnelle n'est proposée à ce jour.

Chaque sous-traitant ultérieur est tenu, par contrat, à des obligations de protection des données équivalentes à celles de la présente annexe. Tout ajout ou remplacement est notifié au Client au moins trente (30) jours à l'avance ; le Client peut s'y opposer par écrit pour un motif légitime et, à défaut d'accord, résilier sans frais avant la prise d'effet du changement.

6. Violations de données

WTF! EXPERIENCE notifie au Client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, avec les informations dont elle dispose sur sa nature, ses conséquences probables et les mesures prises ou envisagées, afin de permettre au Client de satisfaire à ses propres obligations de notification.

7. Fin du contrat

Au terme du contrat, et sur demande écrite formulée dans les trente (30) jours, WTF! EXPERIENCE remet au Client l'export de ses données dans les conditions de l'article 13 des conditions générales. Les données sont ensuite supprimées des systèmes de production, puis des sauvegardes à l'expiration de leur durée de conservation de sept (7) jours, sauf obligation légale de conservation. Une attestation de suppression est délivrée sur demande.

Voir aussi les conditions générales et les mentions légales. Pour toute question : donnees@resiscreen.fr, ou revenir à l'accueil de Résiscreen.