Annexe - Protection des données à caractère personnel

Dans le cadre des prestations d'installation, de maintenance et de mise au rebut des produits Roche

Version du 10/2024 - Valable à compter du 01/01/2025

 

Accéder aux Conditions spécifiques de vente / location, maintenance et utilisation des matériels (complémentaires des Conditions Générales de Vente)

Accéder aux conditions d'utilisation relatives aux logiciels et services associés de Roche Diagnostics France

Accéder aux Conditions générales de vente pour les gammes Accu-Chek®, Accu-Fine®, CoaguChek®, Combur® et Micral-Test®

Accéder aux Conditions Spécifiques de formation

Accéder aux Conditions Générales de Vente

Préambule  

Roche Diagnostics France (ci-après “ROCHE”) est amenée à fournir des produits  physiques (Systèmes, réactifs…) et numériques (Solutions Logicielles, Logiciels  Tiers…) ainsi que les services associés au profit du CLIENT dans le cadre de  l’exécution d’un contrat signé, composé des documents contractuels suivants,  lorsqu’ils existent :  

  • L’OFFRE ROCHE et/ou le Contrat de Fourniture signé avec le CLIENT, et  leurs annexes 
  • Le Contrat Spécifique de Traitement de Données  
  • Les Conditions Générales de ROCHE et leurs annexes, relatives aux  produits en question  
  • la Commande du CLIENT 

Ci-après le “Contrat”. 

Dans le cadre de l’exécution du Contrat signé entre ROCHE et le CLIENT (ci-après  les “Parties”), ROCHE est amenée à traiter des Données à Caractère Personnel pour  le compte et sur les instructions du CLIENT au cours des prestations d’installation,  de maintenance et de mise au rebut de Systèmes et/ou des Solutions au plus près  des patients et/ou la fourniture de Solutions Logicielles & Services associés (ci après les « Prestations »).  

A ce titre dans le cadre de l’exécution de ces Prestations, ROCHE agit en tant que  Sous-Traitant du CLIENT et le CLIENT agit en tant que Responsable de Traitement  au sens du Règlement (UE) 2016-679 du Parlement et du Conseil du 27 avril 2016  applicable depuis le 25 mai 2018 – « RGPD » et de la loi Informatique et Libertés  modifiée par la loi n°2018-493 du 20 juin 2018 - (ci-après la « Réglementation relative  à la protection des données personnelles»).  

Les Parties entendent s’assurer de la conformité de leurs interactions aux  obligations qui leur incombent au titre de la Réglementation relative à la protection  des données personnelles, elles ont convenu de rédiger la présente Annexe (ci après désigné l’« Annexe »). 

Définitions  

Dans le cadre de cette Annexe les termes listés ci-dessous ont la définition  suivante : 

« Système(s) » : désigne (i) les automates de diagnostics in vitro analytiques ou péri analytiques (ci-après « Matériel ») et/ou (ii) les éléments optionnels choisis pour le  Matériel (ci-après « Option ») fournis par ROCHE permettant de produire un résultat  d’examen de biologie médicale ou de gérer un échantillon biologique qu’il soit  connecté ou non au Système d’information du laboratoire (« SIL »). 

“Contrat de Fourniture” : désigne le contrat signé le cas échéant entre ROCHE et le  CLIENT, pour la fourniture de produits physiques ou numériques commercialisés par  ROCHE (Matériels, Réactifs, Solutions Logicielles…) et les services en lien avec  cette fourniture de produits.  

« Donnée à Caractère Personnel» : Toute information se rapportant à une personne  physique identifiée ou identifiable (une “Personne Concernée”) ; est réputée être  une « personne physique identifiable » une personne physique qui peut être  identifiée, directement ou indirectement, notamment par référence à un  identifiant, tel qu'un nom, un numéro d'identification, des données de localisation,  un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son  identité physique, physiologique, génétique, psychique, économique, culturelle ou  sociale. 

« Données Patient » désigne toutes Données à Caractère Personnel relative à la  santé d’un patient, notamment toutes données connexes provenant de diverses  sources de données (par exemple : de systèmes de dossiers médicaux  électroniques) qui constituent des Données à Caractère Personnel et qui sont  téléchargées automatiquement ou manuellement dans les Solutions Logicielles(le  cas échéant). Les Données Patient constituent une catégorie particulière de  Données à Caractère Personnel sensibles en vertu de l’article 9 du RGPD. 

« Filiale » désigne, eu égard à ROCHE, tout(e) personnes physiques ou morales  contrôlant ROCHE, contrôlée par ROCHE ou se trouvant sous contrôle commun  avec celle-ci, directement ou indirectement, l’ensemble des Filiales étant  désignées comme le « Groupe Roche » 

« Solution(s) au plus près des patients »: désigne les produits physiques  commercialisés par ROCHE, utilisés à proximité des patients ou par les patients  eux-mêmes. Ces Solutions prennent la forme d’EBMD (examens de biologie  médicale délocalisée), de TROD (tests rapides d’orientation diagnostique), et de  tout produit utilisé à domicile par le patient. :  

« Services associés aux Solutions Logicielles» : désignent les services proposés par  ROCHE et commandés par le CLIENT en vertu du Contrat, notamment les services  de maintenance, d’assistance, d’installation, d’intégration, de formation, de  conseil ainsi que les activités analogues concernant les Solutions Logicielles fournies par ROCHE, telles que décrites dans le Contrat, et/ou tous services fournis  à distance eu égard aux autres produits de ROCHE (par exemple : instruments,  dispositifs). 

« Solutions Logicielles » désigne l’ensemble des produits et solutions informatiques actuels et futurs commercialisés par ROCHE, y compris, notamment, (i) les services  fournis à distance eu égard aux produits commercialisés par ROCHE tel que  l’hébergement et (ii) les produits logiciels fournis sous forme de service (Software as-a-Service), (iii) ainsi que les Solutions Hybrides et (iv) les Solutions Sur Site telles  que décrites dans l’Offre ROCHE, y compris la Documentation applicable et toutes  mises à jour, mises à niveau ou nouvelles versions de ces Solutions Logicielles qui  sont expressément incluses dansle Contrat. 

« Solutions Hybrides » désigne les Solutions Logicielles de ROCHE qui comprennent  à la fois des éléments sur site et des éléments basés dans le cloud. Toutes les  stipulations relatives aux Solutions sur site s’appliquent également aux parties des  Solutions hybrides qui sont installées sur un serveur au sein de l’Infrastructure  informatique du CLIENT. 

« Solutions Sur Site » désigne les Solutions Logicielles de ROCHE qui sont installées  sur un serveur au sein de l’Infrastructure Informatique du CLIENT. 

« Responsable de Traitement » : Personne physique ou morale, l'autorité publique,  le service ou un autre organisme qui, seul ou conjointement avec d'autres,  détermine les finalités et les moyens du traitement. Dans le cadre de la présente  Annexe, le Responsable de traitement est le CLIENT.  

« Sous-Traitant » : Personne physique ou morale, l'autorité publique, le service ou  un autre organisme qui traite des Données à Caractère Personnel pour le compte  du Responsable de Traitement. Dans le cadre de la présente Annexe, le Sous Traitant est la société ROCHE. 

« Traitement» : Toute opération ou tout ensemble d'opérations effectué à l'aide de  procédés automatisés ou non et appliqué à des données ou des ensembles de  données à caractère personnel, telles que la collecte, l'enregistrement,  l'organisation, la structuration, la conservation, l'adaptation ou la modification,  l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou  l'interconnexion, la limitation, l'effacement ou la destruction. 

« Télémaintenance » : activité qui consiste à assurer à distance des modifications  de paramètres et de configuration de logiciels de tout ou partie d’un système  d’information afin d’en maintenir le bon fonctionnement ou de faire évoluer son  fonctionnement. Exemples : l’exploitation et l’administration technique, l’analyse  d’incident technique, la mise à jour de logiciel. 

« Télémétrie »: Activité qui consiste à collecter et analyser de manière automatique  et à distance des informations relatives au fonctionnement technique d’un  Système ou de tout ou partie d’un système d’information en vue de suivre ce  fonctionnement, d’en prédire les évolutions ou de détecter d’éventuelles  anomalies. Exemples : le suivi d’indicateurs de charge d’un ensemble  d’équipements, l’exécution cyclique de tests d’une application pour vérifier qu’elle  est toujours disponible. 

Objet :  

La présente Annexe a pour objet de définir les conditions dans lesquelles les Parties  s’engagent à effectuer les opérations de traitement de Données à Caractère  Personnel dans le cadre des Prestations d’installation, de maintenance et de mise  au rebut des Systèmes (Partie 1) et/ou dans le cadre de la fourniture des Solutions  Logicielles et Services associés (Partie 2) et/ou dans le cadre de l’installation, la  mise à jour et la désinstallation des Solutions au plus près des patients (Partie 3).  L’ensemble des obligations des Parties au regard de la Réglementation relative à  la protection des données personnelles est précisé en Partie 4. 

  

Partie 1 : DESCRIPTION DES TRAITEMENTS FAISANT L’OBJET DE LA SOUS-TRAITANCE  DANS LE CADRE DES PRESTATIONS D’INSTALLATION, DE MAINTENANCE ET DE MISE  AU REBUT DES SYSTÈMES  

Dans le cas où ROCHE fournit au CLIENT un ou des Systèmes, ROCHE est autorisée  à traiter des Données à Caractère Personnel pour le compte du CLIENT dans le  cadre des traitements décrits ci-après.  

1. Finalité des Traitements  

Les Traitements réalisés par ROCHE pour le compte du CLIENT ont pour finalité : 

  • INSTALLATION : ROCHE est amenée à traiter les Données à Caractère  Personnel pour le compte du CLIENT en vue de réaliser une prestation  d’installation du ou des Systèmes, comprenant les opérations  suivantes:  
    • Phase de pré-production :  
      • Réalisation de tests sur les échantillons de production afin de  vérifier les traitements réalisés par le Système en cours  d’installation ;  
      • Validation des méthodes avec des échantillons de production ; 
      • Validation des connexions entre le Système et le SIL et/ou le  middleware, le cas échéant. 
    • Phase de bascule : mise en production amorçant la phase de  maintenance. 
  • CYCLE DE VIE :  
    • MAINTENANCE : ROCHE est amenée à traiter les Données à  Caractère Personnel pour le compte du CLIENT en vue de  réaliser des prestations de maintenance préventive, corrective et curative du Système. Il peut s’agir d’une Télémaintenance ou d’une extraction de données sur clé cryptée en vue d’une analyse effectuée par ROCHE 
    • SAUVEGARDE / RESTAURATION : ROCHE est amenée à traiter les  Données à Caractère Personnel pour le compte du CLIENT  en vue de restaurer le Système. 
    • ARCHIVAGE / STOCKAGE : ROCHE est amenée à traiter les  Données à Caractère Personnel pour le compte du CLIENT en vue d’archiver les données patients traitées par les Systèmes dans le cadre de leur utilisation en routine. 
  • FIN DE VIE : Le CLIENT a l’obligation de supprimer toutes les Données à  Caractère Personnel présentes dans les Systèmes avant toute  désinstallation effectuée par ROCHE en vue d’une reprise, d’une mise  au rebut ou de la destruction du Système et de procéder aux  sauvegardes nécessaires pour respecter ses obligations légales de  conservation. C’est seulement dans les cas où le CLIENT ne serait pas  en mesure de supprimer les Données à Caractère Personnel pour des  raisons techniques qu’il peut alors en faire la demande à ROCHE. C’est  donc dans cette unique situation que ROCHE pourrait être amenée à  traiter les Données à Caractère Personnel pour le compte du CLIENT dans le cadre de la fin de vie d’un Système. 

2. Durée des Traitements  

Les Traitements réalisés par ROCHE pour le compte du CLIENT sont réalisés  pendant toute la durée du Contrat au profit du CLIENT. 

3. Type de Données à caractère personnel traitées  

Les Données à Caractère Personnel traitées sont celles figurant dans le ou les  Système(s) objet(s) du Contrat signé entre ROCHE et le CLIENT et concernant  notamment :  

  • Données relatives à l’examen de biologie médicale et au résultat de  l’examen ;  
  • Donnéesrelatives au patient ;  
  • Données relatives au personnel du CLIENT ;  
  • Données relatives aux personnes intervenant sur le Système. 

4. Catégories de personnes concernées  

Les catégories de personnes concernées sont celles dont les données sont traitées  par le Système, incluant le personnel du CLIENT, les patients pris en charge par le  CLIENT et le personnel des prestataires (ROCHE inclus) intervenant sur le Système. 

 

Partie 2 : DESCRIPTION DES TRAITEMENTS FAISANT L’OBJET DE LA SOUS-TRAITANCE  DANS LE CADRE DE LA FOURNITURE DE SOLUTIONS LOGICIELLES ET SERVICES  ASSOCIÉS 

Dans le cas où ROCHE fournit au CLIENT une ou des Solutions Logicielles, ROCHE est autorisée à traiter des Données à Caractère Personnel pour le compte du  CLIENT dans le cadre des traitements décrits ci-après.  

1. Finalité des Traitements  

Les Traitements réalisés par ROCHE pour le compte du CLIENT ont pour finalité : 

  • INTEGRATION : ROCHE est amenée à traiter les Données à Caractère  Personnel pour le compte du CLIENT en vue de réaliser une prestation  d’intégration de la ou des Solutions Logicielles, comprenant les  opérations suivantes:  
    • Phase de pré-production :  
      • Chargement des bases de données de la ou des Solutions  Logicielles : récupération des bases de données existantes si nécessaire, saisie ou injection des données dans la Solutions Informatique (prescripteurs,  destinataires des comptes rendus, etc.) ;  
      • Si demandé par le CLIENT, reprise des antériorités avec bascule  dans un Logiciel Tiers;  
      • Réalisation de tests sur les échantillons de production afin de  vérifier les traitements réalisés par la Solutions  Informatique en cours d’installation ;  
    • Phase de bascule : mise en production amorçant la phase de  maintenance. 
  • FONCTIONNEMENT DE LA SOLUTION LOGICIELLE : ROCHE est amenée à  traiter les Données à Caractère Personnel pour le compte du CLIENT  dans le cadre du fonctionnement de la ou des Solutions Logicielles.  Les traitements de Données à Caractère Personnel effectués par  ROCHE dans ce cadre varient en fonction de la Solution Logicielle objet  du Contrat. Ces traitements feront, le cas échéant, l’objet d’un Contrat  spécifique de Traitement de Données, sur demande du CLIENT, qui  détaillera notamment les données personnelles traitées, leurs  modalités de traitement et les mesures techniques et  organisationnelles appliquées par ROCHE (« Contrat Spécifique de  Traitement de Données»).  
  • MAINTENANCE : ROCHE est amenée à traiter les Données à Caractère  Personnel pour le compte du CLIENT en vue de réaliser des prestations  de maintenance évolutive (dont règlementaire) et corrective de la  Solution Logicielle.  
  • DÉSINSTALLATION : Le CLIENT a l’obligation de supprimer toutes les  Données à Caractère Personnel présentes dans la ou les Solutions  Logicielles avant toute désinstallation effectuée par ROCHE en vue  d’une reprise ou de destruction de la ou des Solutions Logicielles et  procéder aux sauvegardes nécessaires pour respecter ses obligations  légales de conservation. C’est seulement dans les cas où le CLIENT ne  peut supprimer les Données à Caractère Personnel pour des raisons  techniques qu’il peut en faire la demande à ROCHE C’est dans ce  dernier cas que ROCHE peut être amenée à traiter les Données à  Caractère Personnel pour le compte du CLIENT dans le cadre de la  désinstallation de la Solution Logicielle. Dans ce cas, cette prestation  devra faire l’objet d’un contrat spécifique.  

2. Durée des Traitements  

Les Traitements réalisés par ROCHE pour le compte du CLIENT sont réalisés  pendant toute la durée du Contrat. 

3. Type de données à caractère personnel traitées  

Les Données à Caractère Personnel traitées sont celles figurant dans la ou les  Solutions Logicielles utilisées en routine et objet(s) du Contrat. Ces données  concernent notamment :  

  • Données relatives à l’examen de biologie médicale et au résultat de  l’examen ;  
  • Données relatives au patient ;  
  • Données relatives au personnel du CLIENT (collaborateurs,  prestataires et agents);  
  • Données relatives aux médecins ou toute autre Personne Concernée  du secteur de la santé (professionnels de la santé) en lien avec le  Contrat ; 
  • Données relatives aux personnes intervenant sur la Solution Logicielle  ; 
  • Toute autre catégorie de données et de Personnes Concernées en  fonction de la Solution Logicielle concernée.  

4. Catégories de personnes concernées  

Les catégories de personnes concernées sont celles dont les données sont traitées  dans la Solution Logicielle, incluant le personnel du CLIENT, les patients pris en  charge et le personnel des prestataires (ROCHE inclus) intervenant sur la Solution  Logicielle. 

 

Partie 3 : DESCRIPTION DES TRAITEMENTS FAISANT L’OBJET DE LA SOUS-TRAITANCE  DANS LE CADRE DE L’INSTALLATION, LA MISE À JOUR ET LA DÉSINSTALLATION DES  SOLUTIONS AU PLUS PRÈS DES PATIENTS  

 

Dans le cas où ROCHE fournit au CLIENT une ou des Solutions au plus près des  patients, ROCHE est autorisée à traiter des Données à Caractère Personnel pour le  compte du CLIENT dans le cadre des traitements décrits ci-après.  

1. Finalité des Traitements  

Les Traitements réalisés par ROCHE pour le compte du CLIENT ont pour finalité : 

  • INSTALLATION) : ROCHE est amenée à traiter les Données à Caractère  Personnel pour le compte du CLIENT en vue de réaliser une prestation  d’installation des Solutions au plus près des Patients (EBMD et TROD  exclusivement) comprenant les opérations suivantes :  
    • Réalisation de tests sur les échantillons de production afin de  vérifier les traitements réalisés par la Solution au plus près des patients en cours d’installation ;  
    • Validation des connexions entre la Solution au plus près des  patients et le SIL et/ou le middleware, le cas échéant. 
  • MISE À JOUR : ROCHE est amenée à traiter les Données à Caractère  Personnel pour le compte du CLIENT en vue de réaliser des mises à jour  des Solutions au plus près des patients ou de l’IT de ces solutions. Il peut s’agir d’une Télémaintenance ou d’une Télémétrie (dans la cadre  d’une maintenance ou d’une mise à jour prédictive).  
  • DÉSINSTALLATION : Le CLIENT a l’obligation de supprimer toutes les  Données à Caractère Personnel présentes dans les Solution au plus  près des patients avant toute reprise de la Solution par ROCHE en vue  notamment d’une mise au rebut ou de la destruction de la Solution et  de procéder aux sauvegardes nécessaires pour respecter ses  obligations légales de conservation. C’est seulement dans les cas où  le CLIENT ne serait pas en mesure de supprimer les Données à  Caractère Personnel pour des raisons techniques qu’il peut alors en  faire la demande à ROCHE. C’est donc dans cette unique situation que  ROCHE pourrait être amenée à traiter les Données à Caractère  Personnel pour le compte du CLIENT dans le cadre de la fin de vie d’une  Solution au plus près des patients. Dans ce dernier cas, un contrat  spécifique de suppression des données sera conclu entre les Parties.  

2. Durée des Traitements  

Les Traitements réalisés par ROCHE pour le compte du CLIENT sont réalisés  pendant toute la durée du Contrat. 

3. Type de Données à caractère personnel traitées  

Les Données à Caractère Personnel traitées sont celles figurant dans la ou les  Solution(s) au plus près des patients objet(s) du Contrat signé entre ROCHE et le  CLIENT et concernant notamment :  

  • Données relatives à l’examen de biologie médicale et au résultat de  l’examen ;  
  • Données relatives au patient ;  
  • Données relatives au personnel du CLIENT ;  
  • Données relatives aux personnes intervenant sur la Solution au plus  près des patients. 

4. Catégories de personnes concernées  

Les catégories de personnes concernées sont celles dont les données sont traitées  par la Solution au plus près des patients, incluant le personnel du CLIENT, les  patients pris en charge par le CLIENT et le personnel des prestataires (ROCHE inclus) intervenant sur la Solution au plus près des patients. 

 

Partie 4 : OBLIGATIONSDES PARTIES

 

Les Parties s’engagent à respecter l’ensemble des obligations leur incombant au  regard de la Réglementation relative à la protection des Données à Caractère  Personnel dans le cadre des Traitements définis en Partie 1 et/ou en Partie 2 et/ou  en Partie 3. 

1. Obligations de ROCHE  

1.1 Obligations générales en tant que Sous-Traitant 

ROCHE garantit au CLIENT le respect des obligations légales et réglementaires lui  incombant en qualité de Sous-Traitant de Données à Caractère Personnel au  regard de la Réglementation relative à la protection des données personnelles et  le respect de ses obligations au titre de la présente annexe. 

ROCHE s’engage à prendre toutes les mesures nécessaires au respect par elle même et par son personnel de ses obligations et notamment à : 

  • Dans le cadre du Contrat s’interdire toute extraction de données,  excepté si cela est nécessaire à l’exécution des Prestations ;  
  • Ne pas traiter, consulter les Données à Caractère Personnel à d’autres  fins que l’exécution du Contrat excepté si un autre contrat spécifique  existe entre le CLIENT et ROCHE prévoyant d’autres cas d’utilisation  des données ; 
  • Ne pas traiter ou consulter les Données à Caractère Personnel en  dehors du cadre des instructions documentées et des autorisations  reçues du CLIENT ; 
  • Transférer les Données à Caractère Personnel vers un pays tiers ou à  une organisation internationale situés en dehors de l’Union  européenne ou ne possédant pas un niveau de protection adéquat  uniquement après avoir mis en œuvre des garanties appropriées et en  avoir informé le CLIENT à moins que cette information soit interdite  pour des motifs importants d'intérêt public ; 
  • Ne pas insérer dans le ou les Systèmes des Données à Caractère  Personnel étrangères; 
  • Ne pas insérer dans le Système d’Information du Laboratoire (« SIL »)  des Données à Caractère Personnel étrangères excepté si cela est  prévu dans le cadre des Prestations et des missions de ROCHE ;  
  • Prendre toute mesure permettant d’empêcher toute utilisation  détournée, malveillante ou frauduleuse des Données à Caractère  Personnel ; 
  • Notifier au CLIENT toute modification ou changement pouvant  impacter le Traitement des Données à Caractère Personnel par tout  moyen approprié ; 
  • Informer immédiatement le CLIENT si, selon elle, une instruction  constitue une violation de la Réglementation relative à la protection  des données personnelles ; 
  • Fournir au CLIENT tous les éléments nécessaires pour démontrer le  respect de ses obligations. 

D’autre part, ROCHE s'interdit : 

  • De divulguer à des tiers non autorisés, sous quelque forme que ce soit,  tout ou partie des Données à Caractère Personnel exploitées ; 
  • De prendre copie ou de stocker, quelles qu'en soient la forme et la  finalité, tout ou partie des informations ou données contenues sur les  supports ou documents qui lui ont été confiés ou recueillies par elle au  cours de l'exécution des Prestations, excepté si cela est nécessaire à  l’exécution desdites Prestations ou requis par une disposition légale  ou réglementaire. 

ROCHE s’engage à prendre en compte, s’agissant de ses outils, produits,  applications ou services en lien avec les Solutions Logicielles et Systèmes, les  principes de protection des Données à Caractère Personnel dès la conception et  de protection de ces données par défaut. 

ROCHE veille à ce que les personnes autorisées à traiter les Données à Caractère  Personnel s'engagent à respecter la confidentialité des Données à Caractère  Personnel et reçoivent la formation nécessaire en matière de protection des  Données à Caractère Personnel. ROCHE et les personnes agissant sous son  autorité et ayant accès aux Données à Caractère Personnel ne traiteront ces  Données à Caractère Personnel que sur les instructions du CLIENT. 

ROCHE communique au CLIENT le nom et les coordonnées de son délégué à la protection des données que le CLIENT peut contacter en écrivant à  [email protected] ou par courrier à :  

Roche Diagnostics France 
Data Protection Officer  
2 avenue du Vercors 
38240 Meylan  

1.2 Obligations en matière de sécurité des données 

1.2.1 Principes généraux  

ROCHE s’engage, conformément à la Réglementation relative à la protection des  données personnelles, à prendre toutes mesures utiles au regard de la nature des  Données à Caractère Personnel et des risques présentés par le traitement, pour  préserver la sécurité des Données à Caractère Personnel et notamment empêcher  toute déformation, altération, endommagement, destruction de manière fortuite  ou illicite, perte, divulgation et/ou tout accès par des tiers non autorisés  préalablement. 

Elle met en œuvre toutes les mesures techniques et organisationnelles  appropriées pour protéger les Données à Caractère Personnel, en prenant en  compte l'état des connaissances, les coûts de mise en œuvre et la nature, portée,  contexte et les finalités du traitement ainsi que les risques, dont le degré de  probabilité et de gravité varie, pour les droits et libertés des personnes physiques,  afin de garantir un niveau de sécurité adapté au risque. 

ROCHE contrôlera périodiquement les processus internes ainsi que les Mesures  Techniques et Organisationnelles afin de s’assurer que le traitement relevant de  son domaine de responsabilité est conforme aux exigences du droit applicable en  matière de protection des Données à Caractère Personnel et de protection des  droits de la Personne Concernée. 

1.2.2 Mesures de sécurité spécifiques  

Les moyens mis en œuvre par ROCHE destinés à assurer la sécurité et la  confidentialité des Données à Caractère Personnel sont conformes à l’état de l’art. 

ROCHE s’engage à maintenir ces moyens tout au long de l’exécution des  Prestations et à défaut, à en informer immédiatement le CLIENT. 

En tout état de cause, ROCHE s’engage en cas de changement des moyens visant  à assurer la sécurité et la confidentialité des données, à les remplacer par des  moyens d’une performance supérieure. Aucune évolution ne pourra conduire à une  régression du niveau de sécurité. 

A ce titre, ROCHE s’engage à mettre en œuvre les mesures de sécurité suivantes :  

  • Garantir que l’accès aux Données à Caractère Personnel est limité aux  personnes agissant pour son compte dont l’accès est strictement  nécessaire à l’exécution des Prestations ; 
  • Garantir le respect de la confidentialité des Données à Caractère  Personnel auxquelles son personnel peut avoir accès en s’assurant  que chaque personne agissant pour son compte ait signé un  engagement individuel de confidentialité ; 
  • Garantir que le personnel agissant pour le compte de ROCHE qui peut  avoir accès aux Données à Caractère Personnel n’intervient que dans  le cadre du Contrat et des missions qui lui sont confiées par ROCHE ou  le CLIENT.  

ROCHE devra informer le CLIENT si elle estime qu’une instruction de celui-ci  enfreint une loi applicable sur la confidentialité des Données à Caractère  Personnel, étant entendu que cette exigence ne saurait faire naître aucune  obligation à l’égard de ROCHE de mener une enquête indépendante ou de fournir  des conseils juridiques ou réglementaires. 

Si le CLIENT exige que ROCHE suive une instruction de traitement en dépit de l’avis  de ROCHE selon lequel cette instruction enfreint une loi applicable sur la  confidentialité des données, le CLIENT assumera toute responsabilité eu égard à  toutes prétentions et tous dommages découlant de la poursuite d’un traitement  selon ces instructions, et garantira et défendra ROCHE, qu’il indemnisera en  conséquence, contre toutes prétentions et tous dommages de cette nature. 

Les Mesures Techniques et Organisationnelles mises en œuvre par ROCHE sont  soumises aux progrès techniques et développements ultérieurs. À cet égard, il est  permis à ROCHE de mettre en œuvre des mesures alternatives adéquates. Ce  faisant, le niveau de sécurité des mesures définies ne devra pas être réduit. Les  modifications substantielles devront être convenues entre les parties et  documentées le cas échéant.  

1.2.3 Mesures spécifiques de sécurité dans le cadre d’intervention à distance  (télémaintenance ou télémétrie)  

Lorsque ROCHE procède au Traitement à distance de Données à Caractère  Personnel, elle doit se conformer aux règles obligatoires définies dans le cadre de  la politique générale de sécurité des systèmes d’information de santé (« PGSSI-S »)  publiée par l’Agence des Systèmes d'Information Partagé de Santé et, en  particulier, celles issues des règles pour les interventions à distance sur les  systèmes d’information de santé. 

A ce titre, ROCHE s’engage à mettre en œuvre les mesures de sécurité suivantes:  

  • Procédés d’identification et d’authentification de l’intervenant sur la  plateforme d’intervention à distance de ROCHE, dans le respect des  règles de l’art et notamment des recommandations de la CNIL et de la  PGSSI-S ; 
  • Mesures de restriction des accès physiques et logiques des postes  d’intervention aux seules personnes autorisées. Par exemple,  sensibilisation du personnel à la sécurisation des accès (physiques et  logiques) des postes d’intervention et fourniture des postes  d’intervention et des moyens de sécurité associés ; 
  • Mesures permettant de déterminer, en toute circonstance, l’identité  de la personne qui se connecte ou s’est connectée sur la plateforme  d’intervention et d’assurer la traçabilité de chaque connexion et de  chaque action aux fins d’imputabilité ; 
  • Moyens et procédures conformes aux règles de l’art permettant de  lutter contre les incidents pouvant affecter la sécurité du Système et  du SIL ou les données du Système ou la sécurité de l’intervention  (incidents de sécurité dans l’environnement humain, organisationnel,  technique ou physique) ; 
  • Moyens et procédures conformes aux règles de l’art permettant de  lutter contre les codes malveillants et contre l’exploitation de  vulnérabilités connues des moyens informatiques ou de  télécommunication mis en place dans le cadre du Contrat par ROCHE ;
  • Moyens et procédures conformes aux règles de l’art permettant de  lutter contre la propagation de codes malveillants ou d’incidents de  sécurité à partir de la plateforme de ROCHE, au travers des échanges  électroniques effectués dans le cadre des Prestations de ROCHE ; 
  • Moyens et procédures conformes aux règles de l’art permettant de  lutter contre les codes malveillants dans les Solutions Logicielles transmis au titre des Prestations ou dans leur mise à jour, et contre  l’exploitation de vulnérabilités connues dans ces éléments ; 
  • Pour les Prestations liées aux Systèmes, mise en œuvre d’un dispositif  de gestion de configuration permettant de contrôler les accès aux  composants produits ou fournis au titre de la télémaintenance des  Solutions Logicielles (code source, code exécutable, documentation,  données de tests etc.) ; 
  • Destruction de toutes données résiduelles en provenance de la  Solution Informatique et/ou du SIL de la plateforme de ROCHE (fichiers  temporaires ou zones de mémoire vive), étant précisé que  l’intervention n’est considérée comme terminée que lorsque l’objectif  de l’intervention est atteint (résolution d’un incident, mise à jour d’un  composant, etc.) ou que le CLIENT et ROCHE déclarent d’un commun  accord que l’objectif n’est pas atteignable ; 
  • Etablissement de documents conformes aux règles de l’art et  comportant la description des dispositions de sécurité que ROCHE met  en œuvre pour ses Prestations et, a minima, les thèmes suivants :  
    • Identification de l’interlocuteur en charge de la sécurité des  interventions chez ROCHE ; 
    • Critères de sécurité utilisés dans la désignation des personnes  chargées de l’intervention à distance, engagement de  sécurité, information de ces personnes sur la sécurité de  la prestation et sensibilisation ;  
    • Règles de protection des informations relatives au SIL ou à  l’intervention et détenues par ROCHE ;  
    • Désignation des sites d’exécution des traitements, protection  et accès physiques des locaux utilisés ;  
    • Architecture générale de la plateforme utilisée pour  l’intervention à distance, cloisonnement technique vis-à vis d’autres prestations ;  
    • Accès logique des intervenants à la plateforme d’intervention à  distance de ROCHE, identification et authentification,  gestion des droits, traçabilité des actions ;  
    • Dispositions prises pour continuer à assurer les activités de  traitement à la suite d’un sinistre majeur ;  
    • Assurance et contrôle de la sécurité des services d’intervention  fournis ; 
    • Pour les Prestations liées aux Systèmes modalités pratiques  pour la bonne réalisation de l’intervention à distance : 
      • Procédés d’authentification sur la base d’une habilitation par profils avec des droits limités ;  
      • Pour la télémaintenance établissement d’un rapport par ROCHE 

ROCHE doit s’assurer de la mise en œuvre des dispositions techniques de sécurité  suivantes: 

  • Absence de connexion directe du télé-mainteneur sur le Système, le  SIL ou des équipements contenant des applications ou des Données à  Caractère Personnel. Une connexion directe du télé-mainteneur sur  les Solutions Logicielles ou des équipements contenant des  applications ou des données à caractère personnel est à éviter.    
    • Dans la mesure du possible, un point (ou passerelle ou VPN  sécurisé et dédié) d’accès distant est mis en place pour accéder  aux équipements objets de l’intervention à distance : 
      • Connexion des équipements à ce point d’accès par un  réseau d’administration mis en œuvre soit via un réseau  sécurisé dédié physiquement à la télémaintenance du  Système ou physiquement distinct du reste de la Solution  Informatique, soit via une DMZ ou tout autre mécanisme  permettant une isolation logique de ce flux  d’administration. Cette isolation logique est réalisée au  moyen d’un réseau dédié derrière un firewall ; 
      • Protection du point d’accès distant contre les attaques  logiques en provenance des réseaux, de sorte que son  contournement en vue d’accéder au réseau du SIL ou de la  Solution Informatique ne doit pas être possible dans la  pratique ; 
      • Protection des échanges entre la plateforme  d’intervention et le point d’accès distant par des fonctions  de chiffrement et d’authentification mutuelle. Ces fonctions sont conformes à l’état de l’art. 
    • Si le point d’accès distant n’est pas la solution adoptée : 
      • Protection des échanges de bout en bout par des fonctions  de chiffrements et d’authentification mutuelle, ces fonctions étant de préférence conformes à l’état de l’art ; 
      • Mise en place d’un dispositif de filtrage autorisant  uniquement les flux nécessaires à l’intervention à  distance.  
  • Mise en place d’un espace de stockage dans lequel les traces des  accès et des opérations effectuées à distance sont centralisées et  conservées sous contrôle, en vue d’être exploitées en cas de litige ou  d’incident, étant précisé que les fichiers de traces ne doivent pas être  modifiables. 

1.2.4 Mesures spécifiques de sécurité dans le cadre d’intervention sur le site  du CLIENT  

Dans le cadre de l’intervention sur le site du CLIENT, ROCHE s’engage à respecter  les mesures de sécurité raisonnablement demandées par le CLIENT telles que : 

  • Planification des interventions sur rendez-vous confirmé par le CLIENT,  permettant de déterminer les autorisations d’accès dans les périodes  convenues;  
  • Identification de la personne intervenant sur le site du CLIENT ; ● Procédé d’émargement ; 
  • Respect des dispositions sur la sécurité des Données à Caractère  Personnel et des Traitements à définir au préalable (exemple :  sauvegarde préalable à toute intervention, arrêt de la production,  isolement du Système, possibilité de retour arrière en cas d’échec de  l’intervention, possibilité de contrôler les opérations effectuées, etc.) ; 
  • Traçabilité des opérations réalisées sur le Système ou sur la Solution  au plus près des patients ;  
  • Etablissement d’un rapport transmis au CLIENT par ROCHE, dans les  meilleurs délais, à la personne désignée comme point de contact, par  tout moyen approprié ; 
  • Intervention sous la responsabilité d’un membre du personnel du  CLIENT. 

1.2.5 Mesures spécifiques de sécurité dans le cadre d’intervention sur le site  de ROCHE pour les Prestations liées aux Systèmes  

Dans le cadre d’une intervention sur un Système ayant été rapatrié sur le site de  ROCHE, ROCHE s’engage à respecter les mesures de sécurité qui seraient  raisonnablement demandées par le CLIENT telles que :  

  • Planification du retrait du Système chez le CLIENT et, le cas échéant,  de son retour, sur rendez-vous confirmé par le CLIENT, permettant de  déterminer les autorisations d’accès dans les périodes convenues ;  
  • Identification de la personne intervenant sur le site du CLIENT pour le  transport du Système; 
  • Procédé d’émargement ; 
  • Vérification qu’une sauvegarde préalable de la base de données du  Système a été effectuée par le CLIENT avant l’intervention ;  
  • Vérification que le CLIENT a pseudonymisé et chiffré les Données à  Caractère Personnel présentes dans les bases de données du Système  avant le transport du Système hors de son site ; 
  • Traçabilité du Système pendant le transport jusqu’au site de ROCHE ; 
  • Établissement d’un rapport transmis au CLIENT par ROCHE, dans les  meilleurs délais, à la personne désignée comme point de contact, par  tout moyen approprié. 

Dans le cadre d’un transfert du Système pour un problème mécanique : 

  • Vérification de la suppression de la base de données du Système par  le CLIENT ; 
  • Si le CLIENT n’a pas pu supprimer la base de données, vérification que  le CLIENT a pseudonymisé et chiffré les Données à Caractère  Personnel présentes dans les bases de données du Système. 

1.2.6. Mesures spécifiques de sécurité dans le cadre de la fourniture de  Solutions Logicielles  

Les Mesures Techniques et Organisationnelles nécessaires applicables à une  Solution Logicielle varient en fonction de la Solution Logicielle objet du Contrat.  Elles feront l’objet d’une documentation spécifique. Dans l’hypothèse où le CLIENT  exige des modifications aux Mesures Techniques et Organisationnelles d’une  Solution Logicielle spécifique, celles-ci seront mises en œuvre d’un commun  accord. 

1.3 Obligations en cas de violation de données  

ROCHE s'engage à notifier au CLIENT, dans les meilleurs délais et, au plus tard, dans  un délai maximum de 48 heures après en avoir pris connaissance, toute violation de  Donnée à Caractère Personnel. 

Cette notification doit être adressée au délégué à la protection de données ou à la  personne du CLIENT désignée comme point de contact. Elle doit préciser la nature  et les conséquences de la violation des Données à Caractère Personnel, les  mesures déjà prises ou celles qui sont proposées pour y remédier et les personnes  auprès desquelles des informations supplémentaires peuvent être obtenues, les  coordonnées du délégué à la protection des Données à Caractère Personnel ou  d’un autre point de contact de ROCHE auprès duquel des informations  supplémentaires peuvent être obtenues et lorsque cela est possible, une  estimation du nombre de personnes susceptibles d’être impactées par la violation  en cause ainsi que les catégories et le nombre approximatif d’enregistrement de  données concernés. 

Lors d’une violation de Donnée à Caractère Personnel, ROCHE s’engage à procéder  à toutes investigations utiles sur les manquements aux règles de protection afin  d’y remédier dès que possible et de diminuer l’impact de tels manquements sur les  personnes concernées. ROCHE s’engage à informer le CLIENT de ses investigations  et ce de manière régulière. 

ROCHE s’engage à collaborer activement avec le CLIENT pour qu’ils soient en  mesure de répondre à leurs obligations réglementaires et contractuelles. Il revient  uniquement au CLIENT, de notifier cette violation de Données à Caractère  Personnel à la CNIL ainsi que, le cas échéant, à la personne concernée et/ou à  l’Agence Régionale de Santé par le biais du portail concernant le signalement des  évènements sanitaires indésirables figurant à l’adresse :  http://signalement.social-sante.gouv.fr. 

1.4 Obligations en cas sous-traitance du traitement de données 

Le CLIENT autorise ROCHE à sous-traiter, au sens de la Réglementation relative à  la protection des données personnelles, tout ou partie des Prestations sous  réserve de respecter les conditions suivantes : 

  • Informer le CLIENT de tout ajout ou remplacement de sous traitant ultérieur dans un délai d’un mois permettant au CLIENT,  le cas échéant, de s’y opposer ; 
  • Fournir, à première demande du CLIENT, une liste exhaustive des  sous-traitants ultérieurs prenant part aux Traitements de  Données à Caractère Personnel envisagés dans le cadre des  Prestations ; 
  • Informer et signer avec des sous-traitants ultérieurs un contrat  écrit leur imposant les mêmes obligations en matière de  protection des Données à Caractère Personnel que celles fixées  dans la présente Annexe ;
  • Mettre à la charge des sous-traitants ultérieurs toutes  obligations nécessaires pour que soient respectées la  confidentialité, la sécurité et l’intégrité des Données à  Caractère Personnel, et pour que lesdites Données ne puissent  être ni cédées ou louées à un tiers à titre gratuit ou non, ni  utilisées à d’autres fins que celles définies dans la présente  Annexe et au Contrat ; 
  • Communiquer au CLIENT qui en ferait la demande une description  des éléments essentiels du contrat de sous-traitance, incluant  la mise en œuvre des obligations relatives à la protection des  Données à Caractère Personnel ; 

Les Données à Caractère Personnel traitées en exécution des Prestations ne  pourront faire l’objet d’aucune divulgation à des tiers, en dehors des cas prévus  dans la présente Annexe ou de ceux prévus par une disposition légale ou  réglementaire. 

Il appartient à ROCHE de s’assurer que les sous-traitants ultérieurs présentent les  mêmes garanties suffisantes quant à la mise en œuvre de mesures techniques et  organisationnelles appropriées de manière à ce que le traitement réponde aux  exigences du RGPD. 

Lorsqu’un sous-traitant ultérieur ne remplit pas ses obligations en matière de  protection des données, ROCHE demeure pleinement responsable devant le CLIENT  de l'exécution par le sous-traitant de ses obligations. 

Toute sous-traitance supplémentaire par le sous-traitant ultérieur de ROCHE requiert l’accord exprès de cette dernière (au minimum sous forme écrite). Toutes  les stipulations contractuelles de la chaîne contractuelle devront être  communiquées et convenues avec chacun des sous-traitants ultérieurs  supplémentaires. 

1.5 Obligations en cas de flux transfrontières de données 

L’accès aux Données à Caractère Personnel est strictement limité au personnel  dûment habilité de ROCHE ou du Groupe Roche lorsque cela s’avère nécessaire.  Ces personnes sont celles qui, de par leurs fonctions, sont légitimes à accéder à  ces Données à Caractère Personnel.  

Ces destinataires peuvent le cas échéant être situés en dehors de l’Union  Européenne. Il peut s’agir :  

  • D’une filiale du Groupe Roche ayant signé un contrat de  transfert de Données à Caractère Personnel au sein du Groupe  Roche garantissant à ROCHE, que cette filiale respecte la  Réglementation relative à la protection des données  personnelles et les obligations de ROCHE prises en la matière ; 
  • De la maison mère du Groupe Roche, F. Hoffmann-La Roche,  située en Suisse, pays reconnu par la Commission européenne  comme offrant un niveau de protection adéquat à celui de  l’Union Européenne. Ce transfert est également encadré par un  contrat de transfert de Données à Caractère Personnel. 

1.6 Obligations en matière de tenue du registre 

ROCHE s’engage à tenir un registre de toutes les catégories d’activités de  Traitement effectuées pour le compte du CLIENT, conformément aux dispositions  du RGPD.  

1.7 Obligations s’agissant de la conservation des données 

ROCHE s’engage à ne copier ou ne conserver aucune Donnée à Caractère  Personnel dans le cadre de l’exécution de ses Prestations excepté si cela est  nécessaire à l’exécution desdites Prestations ou requis par une disposition légale  ou réglementaire. 

S’agissant des Solutions Logicielles, dans l’hypothèse où le fonctionnement d’une  Solution Informatique donne lieu à un chiffrement de Données à Caractère  Personnel, le CLIENT reconnaît qu’en raison du chiffrement utilisé et de l’absence  de divulgation des Données à Caractère Personnel à ROCHE en découlant, cette  dernière ne sera pas en mesure de sauvegarder ou de restaurer des ensembles de  données individuelles mais uniquement la base de données dans son intégralité  (par exemple, sous forme d’instantané). Il incombe alors au CLIENT de d’assurer ces  opérations de sauvegardes / restauration de manière individualisée. 

1.8 Obligations en matière de vérification 

A la demande du CLIENT, ROCHE devra établir une attestation et/ou la preuve par  tous moyens du respect des règles prévues par la présente Annexe.  

Le CLIENT se réserve le droit de procéder à toutes vérifications qui lui paraissent  utiles pour constater le respect des obligations précitées, et notamment en  procédant à un audit de sécurité auprès de ROCHE ou directement auprès d’un  éventuel sous-traitant ultérieur. 

ROCHE s’engage à répondre aux demandes d’audit du CLIENT effectuées par lui même ou par un tiers de confiance que le CLIENT aura sélectionné, reconnu en tant  qu’auditeur indépendant, c'est-à-dire indépendant de ROCHE, ayant une  qualification adéquate, et libre de fournir les détails de ses remarques et  conclusions d’audit au CLIENT.  

Les audits doivent permettre une analyse du respect par ROCHE de ses obligations  au titre de la présente Annexe, ainsi qu’au titre de la Réglementation relative à la  protection des données. Ils doivent permettre notamment de s’assurer que les  mesures de sécurité et de confidentialité mises en place ne peuvent être  contournées sans que cela ne soit détecté et notifié. 

1.9 Obligation de Coopération 

ROCHE s’engage à coopérer avec le CLIENT afin de permettre :

1.9.1 La gestion des demandes des Personnes Concernées  

  • ROCHE s’engage à coopérer avec le CLIENT dans la gestion des  demandes des personnes concernées par les Traitements tendant à  l’exercice de leurs droits et notamment de leur droit d’accès, de  rectification, d’effacement des données qui les concernent ou  d’opposition au traitement, droit à la limitation du traitement ou droit  à la portabilité, le cas échéant. A ce titre, ROCHE ne pourra, de son  propre chef, rectifier, effacer ni limiter le traitement des Données à  Caractère Personnel qui sont traitées pour le compte du CLIENT, mais  uniquement sur instructions documentées de ce dernier. Dans la  mesure où une Personne Concernée contacte directement ROCHE au  sujet d’une rectification, d’un effacement ou d’une limitation du  traitement, ROCHE transmettra la demande de la Personne Concernée  au CLIENT sans retard indu. 
  • Dans le cadre de la fourniture d’une Solution Logicielle et de Services  associés et, dans la mesure où cela relève du champ d’application  desdits Services, la politique d’effacement, le « droit à l’oubli », la rectification, la portabilité des Données à Caractère Personnel et  l’accès auxdites Données seront assurés par ROCHE selon les  instructions du CLIENT documentées au préalable.  
  • Dans l’hypothèse où la fourniture d’une Solution Logicielle et/ou de  Services associés implique un chiffrement des Données à Caractère  Personnel, le CLIENT prend note du fait que ROCHE ne sera pas en  mesure de rendre portables, de rectifier, d’effacer ou de limiter le  Traitement de quelconques Données à Caractère Personnel en raison  de leur chiffrement complet et du contrôle exclusif du CLIENT sur les  clés de déchiffrement. Par conséquent, le CLIENT devra dûment et  rapidement soutenir ROCHE dans la mise en œuvre de toute demande  de cette nature, et devra soit indemniser ROCHE au titre de ses efforts,  soit satisfaire directement les demandes d’accès aux droits des  personnes par le biais de l’interface locale non chiffrée auquel il a  accès dans le cadre de l’utilisation de la Solution Informatique et/ou  des Services associés.  

1.9.2. La réalisation des analyses d’impact  

ROCHE s’engage à coopérer avec le CLIENT dans la réalisation de toute analyse  d’impact que le CLIENT déciderait d’effectuer, afin d’évaluer les risques qu’un  Traitement fait peser sur les droits et libertés des personnes et d’identifier les  mesures à mettre en œuvre pour faire face à ces risques, et la consultation de la  CNIL ; 

1.9.3. La réalisation de contrôles des autorités compétentes    

En cas de contrôle d’une autorité compétente, les Parties s’engagent à coopérer  entre elles et avec l’autorité de contrôle. 

Dans le cas où le contrôle mené chez ROCHE concernerait les Traitements mis en  œuvre au nom et pour le compte du CLIENT, ROCHE s’engage à en informer  immédiatement le CLIENT.  

En cas de contrôle d’une autorité compétente chez le CLIENT portant notamment sur les Prestations délivrées par ROCHE, cette dernière s’engage à coopérer avec  le CLIENT et à lui fournir toute information dont cette dernière pourrait avoir besoin  ou qui s’avèrerait nécessaire. 

Plus généralement, ROCHE s’engage à coopérer avec le CLIENT afin assurer le  respect des obligations pesant sur le CLIENT au regard de la Réglementation sur la  protection des données, telles que notamment ses obligations de notification à la  CNIL et de communication d’une violation de Données à Caractère Personnel aux  Personnes Concernées. 

 

2. Obligations du Client  

2.1 Obligations générales  

Le CLIENT garantit à ROCHE le respect des obligations légales et réglementaires  lui incombant en qualité de Responsable de Traitement au regard notamment de la  Réglementation relative à la protection des Données à Caractère Personnel ainsi  que le respect de ses obligations au titre de la présente Annexe. 

A toutes fins utiles, il est rappelé que, pour tout traitement effectué pour le compte  du Responsable de Traitement, le Responsable de Traitement s’engage à  documenter ses instructions relatives aux Données à Caractère Personnel et à  confirmer ses instructions verbales (au minimum sous forme écrite). 

ROCHE devra immédiatement informer le CLIENT si elle considère qu’une  instruction enfreint les règles relatives à la protection des Données à Caractère  Personnel. ROCHE sera alors en droit de suspendre l’exécution des instructions  concernées jusqu’à ce que le CLIENT les confirme ou les modifie. 

Le Responsable de Traitement garantit à ROCHE qu’il a le droit de communiquer les  Données à Caractère Personnel à ROCHE et aux autres sous-traitants ultérieurs,  notamment en ayant procédé à l’information préalable et/ou au recueil du  consentement des Personnes Concernées et de toute autre permission pouvant  s’avérer nécessaire ou être exigée par la Réglementation relative à la protection  des données personnelles eu égard aux Données à Caractère Personnel traitées  par ROCHE et ses sous-traitants ultérieurs dans le cadre des Prestations.. 

Par ailleurs le Responsable de Traitement s’engage à ne transmettre des Données  à Caractère Personnel à ROCHE que si cela est strictement nécessaire à l’exécution  des Prestations de ROCHE.  

Également, dans les cas où il y a un transfert de Données à Caractère Personnel  vers un pays tiers ne possédant pas un niveau de protection adéquat, le  Responsable de Traitements’engage à ce que les personnes concernées aient été  informées de ce transfert. 

Enfin, le CLIENT s’engage à informer ROCHE dans les plus brefs délais en cas de  survenance d’un incident de sécurité sur son réseau pouvant impacter les  Solutions Logicielles, Systèmes et/ou Solutions au plus des patients de ROCHE. 

2.2 Obligations s’agissant des mesures spécifiques de sécurité dans le cadre  d’intervention à distance 

Le CLIENT doit indiquer à ROCHE les modalités pratiques pour la bonne réalisation  des interventions à distance telles que : 

  • Procédés d’authentification sur la base d’une habilitation par profils  avec des droits limités ;  
  • Respect de la liste actualisée et le numéro de téléphone des personnes  agissant pour le compte du CLIENT pouvant solliciter une intervention  à distance et vérification de la validité des demandes d’intervention ; 
  • Pour la Télémaintenance, établissement d’un rapport par ROCHE. 

2.3 Obligations de sécurité en vue d’une intervention sur un Système sur le site  de ROCHE 

Dans le cadre d’une intervention sur un Système ayant été rapatrié sur le site de  ROCHE, le CLIENT doit indiquer à ROCHE les mesures de sécurité préalables  nécessaires.  

2.4 Obligations dans le cadre de la fin de vie du Système 

En vue d’une reprise, de mise au rebut ou de destruction du Système, le CLIENT doit  supprimer toutes les Données à Caractère Personnel présentes dans les Systèmes  avant toute désinstallation effectuée par ROCHE et procéder aux sauvegardes  nécessaires pour respecter ses obligations légales de conservation. C’est  seulement dans les cas où le CLIENT n’est pas en mesure de supprimer les Données  à Caractère Personnel pour des raisons techniques qu’il doit en faire la demande à  ROCHE. C’est donc dans cette unique situation que ROCHE pourrait être amenée à  traiter les Données à Caractère Personnel pour le compte du CLIENT dans le cadre  de la fin de vie d’un Système et cette prestation fera l’objet d’un contrat spécifique.

En cas de destruction d’appareils ou d’équipements contenant des Données à  Caractère Personnel, le CLIENT s’engage à respecter les règles de l’art et la  Politique Générale de Sécurité des Systèmes d’information de Santé, en particulier,  le guide pratique spécifique à la destruction de données lors du transfert de  matériels informatiques des systèmes d’information de santé. 

A ce titre, le CLIENT s’engage à respecter les règles procédure de destruction  suivantes:  

  • Distinguer les interventions en fonction du type de matériel considéré,  à savoir : 
    • Pour les disques durs et supports flash :  
      • Réaliser un formatage complet sur la totalité de la ou les partitions du support considéré. L’utilisation d’une fonction d’effacement  fournie par le constructeur, lorsqu’elle est disponible, est recommandée ; ou 
      • Procéder à la démagnétisation des disques  durs magnétiques, ou à leur destruction physique (broyage, incinération, etc.) ou à la destruction physique des supports flash par broyage ou incinération. 
      • Pour les bandes magnétiques, procéder à l’effacement par démagnétisation ou à la destruction par déchiquetage ou incinération ;  
    • Pour les autres matériels, procéder à la destruction de l’appareil  conformément aux règles de l’art et aux règles de la Politique Générale  de Sécurité des Systèmes d’Information de Santé.
  • Formaliser des procédures de destruction de données lors du transfert de  matériel comprenant notamment :  
    • Dans le cas de stockage de matériel en attente de traitement, la  procédure de protection du lieu de stockage ;  
    • La procédure de gestion du cycle de vie des supports de Données à  Caractère Personnel pour y intégrer leur destruction et la possibilité  de désosser un matériel ;  
    • La gestion des supports de données qui peuvent être contenus dans  les matériels. 
  • Avant tout effacement ou destruction, contrôler que les supports ne  contiennent aucune donnée utile ou non sauvegardée et, à défaut, procéder  à la sauvegarde ;  
  • Vérifier que le support ne contient plus de Données à Caractère Personnel. 

2.5 Obligations dans le cadre d’une désinstallation d’une Solution Logicielle 

Le CLIENT doit supprimer toutes les Données à Caractère Personnel présentes dans  la ou les Solutions Logicielles avant toute désinstallation effectuée par ROCHE en  vue d’une reprise ou d’une destruction de la ou des Solutions Logicielles et  procéder aux sauvegardes nécessaires pour respecter ses obligations légales de  conservation. C’est seulement dans les cas où le CLIENT ne peut supprimer les  Données à Caractère Personnel pour des raisons techniques qu’il peut en faire la  demande à ROCHE. C’est dans ce dernier cas que ROCHE peut être amenée à traiter  les Données à Caractère Personnel pour le compte du CLIENT dans le cadre de la fin de vie de la Solution Logicielle. Dans ce cas, un contrat spécifique de prestation  de service sera conclu entre les Parties. 

 

  1. Roche Diagnostics France n’effectue pas de téléassistance. A toutes fins utiles il est précisé que Roche Diagnostics France ne traite aucune Données à caractère personnel dans le cadre de la télésurveillance.