Conditions générales d'utilisation

Prothelink met en relation des laboratoires de prothèse dentaire et des cabinets dentaires pour la commande, le suivi de fabrication, l'échange de fichiers (empreintes numériques, photographies, documents), la messagerie liée aux commandes, l'édition des bons de livraison et la facturation. Prothelib SASn'intervient pas dans la relation commerciale entre le laboratoire et le cabinet, ne fabrique aucun dispositif et n'est pas partie aux contrats conclus entre eux. La plateforme est un outil de gestion : elle n'a pas de finalité médicale, ne pose aucun diagnostic et ne prend aucune décision clinique.

L'utilisation de la plateforme par les cabinets dentaires et les praticiens est gratuite, dans les mêmes conditions pour tous, quel que soit le laboratoire avec lequel ils travaillent et le volume de leurs commandes. Prothelib SAS ne verse aux cabinets ni aux praticiens aucune rémunération, remise ni autre avantage, notamment au titre du programme de parrainage, qui est réservé aux laboratoires (article 4 des CGV).

Chaque utilisateur dispose d'un compte personnel, nominatif et non cessible, rattaché à une organisation (laboratoire ou cabinet). Un compte ne peut pas être partagé entre plusieurs personnes : chaque personne qui utilise la plateforme dispose de son propre compte. L'administrateur d'une organisation invite ses membres, attribue les rôles et les niveaux de permission, retire sans délai l'accès des personnes qui quittent l'organisation, et répond de l'usage fait de la plateforme par ceux-ci.

L'utilisateur garantit l'exactitude des informations fournies, conserve la confidentialité de ses identifiants et active l'authentification à deux facteurs lorsqu'elle lui est proposée. Toute connexion effectuée avec ses identifiants est réputée effectuée par lui. Il en va de même des clés d'API, dans les conditions de l'article 9.

Les commandes peuvent comporter des données à caractère personnel relatives à des patients (référence patient, empreintes, photographies). Chaque cabinet et chaque laboratoire demeure responsable de traitement pour les données de ses propres patients ; Prothelib SAS agit en qualité de sous-traitant au sens de l'article 28 du RGPD, dans les conditions de l'annexe « Accord de sous-traitance des données » des présentes CGU, qui en fait partie intégrante. Les données extraites de la plateforme par une organisation relèvent de sa seule responsabilité, dans les conditions de l'article 8.

L'utilisateur s'engage à ne saisir que les données strictement nécessaires à la réalisation de la prothèse, à ne jamais mentionner d'information patient dans les demandes de support, et à informer ses patients du recours à un laboratoire et à un hébergeur de données de santé conformément à ses obligations déontologiques.

Les documents générés par la plateforme (bons de livraison, numéros de lot des matériaux, déclarations associées) sont des aides à la conformité. Le laboratoire reste seul responsable, en tant que fabricant, du respect du règlement (UE) 2017/745 (annexe XIII) et de la réglementation française relative à la traçabilité des dispositifs médicaux sur mesure ; le praticien reste responsable de la remise de la fiche de traçabilité au patient.

Lorsque la plateforme applique par défaut une lecture du règlement — par exemple en n'associant pas de déclaration de conformité à une pièce d'essayage destinée à revenir au laboratoire — cette lecture est proposée à titre d'outil et n'engage que Prothelib SAS. Elle ne se substitue jamais à l'appréciation du fabricant : la plateforme laisse au laboratoire la possibilité d'émettre ses documents autrement, et il lui appartient de choisir, sous sa seule responsabilité, l'usage conforme à ses obligations.

Il est interdit d'utiliser la plateforme à des fins illicites, de tenter d'accéder aux données d'une autre organisation, de contourner les mécanismes d'authentification ou de permissions, de téléverser des contenus malveillants, d'extraire massivement des données par d'autres moyens que les exports et interfaces prévus à cet effet ou au-delà de leurs limites, ou de revendre l'accès au service. Prothelib SAS peut suspendre sans préavis tout compte en cas de manquement grave ou de risque pour la sécurité des données. Elle en informe l'organisation dans les meilleurs délais en indiquant le motif, sauf si cette information compromet la sécurité ou une enquête, et rétablit l'accès dès que la cause de la suspension a disparu. La suspension n'entraîne pas la suppression des données.

Prothelib SAS met en œuvre les moyens raisonnables pour assurer la disponibilité et la sécurité de la plateforme : hébergement chez Clever Cloud SAS (Hébergeur de Données de Santé certifié (6 activités, référentiel HDS v2 — mai 2024), zone Paris), chiffrement des échanges et des fichiers stockés, journalisation des accès aux données de santé, sauvegardes. Il s'agit d'une obligation de moyens : aucun taux de disponibilité n'est garanti, sauf engagement écrit contraire. Des interruptions pour maintenance ou pour corriger un incident de sécurité peuvent survenir ; les maintenances planifiées sont, dans la mesure du possible, annoncées à l'avance et réalisées aux heures de faible activité. Ces engagements portent sur les données conservées dans la plateforme ; ils ne s'étendent pas aux données qui en ont été extraites (article 8).

La plateforme, son logiciel, ses interfaces, sa documentation et la marque Prothelink appartiennent à Prothelib SAS. Chaque organisation reçoit, pour la durée de son compte (et, pour un laboratoire, de son abonnement), un droit d'utilisation personnel, non exclusif et non cessible de la plateforme, pour ses besoins professionnels internes. Elle ne peut ni copier, ni modifier, ni décompiler la plateforme, sauf dans les cas autorisés par la loi. Les suggestions d'amélioration qu'un utilisateur adresse à Prothelib SAS peuvent être librement utilisées par celle-ci.

Chaque organisation reste propriétaire des données et fichiers qu'elle saisit ou dépose (commandes, empreintes, photographies, documents). Elle autorise Prothelib SAS à les héberger, à les reproduire et à les transmettre aux destinataires qu'elle désigne, dans la seule mesure nécessaire à la fourniture du service ; Prothelib SAS ne les utilise à aucune autre fin. Elle peut à tout moment exporter ses données (export RGPD du compte, export complet de l'organisation pour les laboratoires) ; les données exportées sont des Données extraites au sens de l'article 8. Elle peut également demander la suppression de son compte depuis son profil. Les données soumises à une obligation légale de conservation (commandes, documents de traçabilité, factures) sont conservées pour la durée prévue dans la politique de conservation, puis supprimées. La restitution et la destruction des données à la fin du service suivent l'annexe « Accord de sous-traitance des données » et, pour les laboratoires, l'article 6 des CGV.

8.1 Moyens d'extraction. La plateforme permet à chaque organisation d'extraire ses données hors de Prothelink : téléchargement et impression de fichiers et de documents (empreintes, photographies, bons de commande, bons de livraison, factures), exports (fichiers CSV, export du compte, export complet de l'organisation), messages électroniques et notifications reçus, et toute interface de programmation mise à disposition (ensemble, les « Données extraites »). Chaque extraction est effectuée à l'initiative d'un utilisateur ou de l'organisation et vaut instruction donnée à Prothelib SAS, au sens de l'article 28, paragraphe 3, a) du RGPD, de lui remettre ces données.

8.2 Point de remise. La remise est accomplie lorsque les Données extraites quittent les serveurs de Prothelink à destination du terminal, de la messagerie ou de l'outil désigné par l'utilisateur ou l'organisation. À compter de ce moment, Prothelib SAS n'a plus ni accès ni contrôle sur la copie remise ; elle ne la conserve pas pour le compte de l'organisation et n'agit, à son égard, ni en qualité d'hébergeur ni en qualité de sous-traitant. Les engagements de l'article 6 portent sur les données conservées dans la plateforme ; ils ne s'étendent pas aux Données extraites.

8.3 Responsabilité de l'organisation. L'organisation est seule responsable, en qualité de responsable de traitement, de la conservation, de la sécurité, de la confidentialité, de la durée de conservation, de la suppression et de tout usage ultérieur des Données extraites, ainsi que du choix des matériels, logiciels, services et prestataires — notamment d'hébergement, d'informatique en nuage ou d'intelligence artificielle — auxquels elle les confie. Il lui appartient en particulier de disposer d'une base légale pour ses propres traitements et d'en informer les personnes concernées ; de faire héberger les données de santé à caractère personnel par un hébergeur certifié conformément à l'article L. 1111-8 du code de la santé publique lorsque cette obligation s'applique ; d'encadrer tout transfert hors de l'Union européenne conformément aux articles 44 à 49 du RGPD ; de répondre aux demandes d'exercice de droits portant sur ses copies ; et de procéder aux notifications prévues aux articles 33 et 34 du RGPD pour les violations survenues dans ses systèmes ou ceux de ses prestataires.

8.4 Personnes dont l'organisation répond. L'organisation répond, comme de son propre fait, des agissements de ses membres, de ses salariés et de ses prestataires, ainsi que des éditeurs et fournisseurs des outils et services auxquels elle confie des Données extraites.

8.5 Absence de contrôle et de surveillance. Prothelib SAS ne connaît ni ne contrôle l'usage fait des Données extraites. Les mesures qu'elle met en œuvre — journalisation, limites d'usage, alertes, expiration ou révocation des accès — ont pour objet la sécurité de la plateforme. Elles ne constituent pas un service de surveillance fourni à l'organisation et ne font naître à la charge de Prothelib SAS aucune obligation de détecter, de prévenir ou de faire cesser un usage des Données extraites.

8.6 Exclusion de responsabilité. Prothelib SAS n'est pas responsable des dommages résultant : (a) de l'usage, de la perte, de l'altération, de la divulgation ou de la conservation des Données extraites après leur remise ; (b) du fonctionnement, de la sécurité, de la conformité ou des résultats des outils et services de l'organisation, y compris du contenu produit par un système d'intelligence artificielle à partir de ces données ; (c) des décisions prises sur le fondement de Données extraites, qui peuvent ne plus être à jour : les informations affichées dans la plateforme font foi. Le présent article ne limite pas la responsabilité de Prothelib SAS quant à la conformité des données à leur description au moment de leur remise, dans les conditions de l'article 10.

8.7 Garantie. L'organisation garantit Prothelib SAS contre toute réclamation, action ou procédure engagée par un tiers — notamment un cabinet, un laboratoire, un praticien, un patient ou une autorité — et fondée sur l'usage des Données extraites qu'elle détient ou sur un manquement au présent article ou à l'article 9. Elle prend en charge les condamnations prononcées, les sommes versées en exécution d'une transaction conclue avec son accord et les frais raisonnables de défense, y compris d'avocat. Cette garantie est limitée à cinq fois les sommes versées par l'organisation au titre des douze derniers mois d'abonnement, sans pouvoir être inférieure à quinze mille euros ; cette limite ne s'applique pas en cas de faute lourde ou dolosive, de manquement à l'obligation de faire héberger les données de santé par un hébergeur certifié ou de les faire traiter hors de l'Espace économique européen, ni de cession ou de mise à disposition des Données extraites à des tiers. Prothelib SAS informe l'organisation de la réclamation dans un délai raisonnable et lui permet de participer à sa défense.

8.8 Coopération. Lorsque Prothelib SAS est saisie, par une autorité ou par une personne concernée, d'une demande portant sur des Données extraites, l'organisation lui communique sans délai les informations utiles et coopère à la réponse. Prothelib SAS transmet à l'organisation, dans les meilleurs délais, toute demande d'exercice de droits qu'elle reçoit au sujet de copies détenues par celle-ci.

8.9 Données transmises à une autre organisation. Les données qu'une organisation adresse à une autre par la plateforme, notamment les commandes et fichiers qu'un cabinet adresse à un laboratoire, deviennent accessibles à l'organisation destinataire, qui peut les extraire dans les conditions du présent article et sous sa seule responsabilité. L'organisation émettrice le reconnaît et en informe, le cas échéant, les personnes concernées. Prothelib SAS ne répond pas de l'usage que l'organisation destinataire fait des données ainsi reçues.

9.1 Objet. Prothelink met à la disposition des laboratoires une interface de programmation (« API ») permettant à leurs propres outils — tableur, logiciel, script, agent d'intelligence artificielle (l'« Outil ») — de consulter, en lecture seule, certaines données de leur organisation : commandes, calendrier de production et tâches (les « Données API »). Les Données API sont des Données extraites au sens de l'article 8, qui leur est applicable. Le présent article complète les autres stipulations des CGU, qui s'appliquent à l'API sauf dérogation expresse. La documentation accessible depuis Réglages → API et intégrations décrit les points d'accès, les champs restitués et les limites d'usage.

9.2 Accès réservé à l'administrateur du laboratoire. Seul un administrateur d'un laboratoire peut créer une clé d'accès à l'API (« Clé »), après s'être authentifié à nouveau. Il agit au nom et pour le compte du laboratoire, qui est engagé par la création de la Clé et par son usage. Chaque Clé est rattachée au laboratoire et à son créateur ; elle est limitée aux périmètres choisis lors de sa création et, à tout moment, aux droits dont son créateur dispose lui-même sur la plateforme. Elle expire au terme de la durée choisie, qui ne peut excéder quatre-vingt-dix jours. Elle cesse de fonctionner lorsque son créateur quitte le laboratoire ou perd le rôle d'administrateur, et tant que l'abonnement du laboratoire n'est pas actif. Le nombre de Clés actives par laboratoire est limité.

9.3 Confidentialité des Clés. La Clé est une donnée d'authentification confidentielle, affichée une seule fois. Le laboratoire la conserve dans un emplacement sécurisé (gestionnaire de secrets ou équivalent), ne la communique qu'à l'Outil auquel elle est destinée et ne la divulgue à aucun tiers. Il s'interdit notamment de l'inscrire dans un code source partagé, un message, un document ou une requête adressée à un service d'intelligence artificielle. Il utilise une Clé distincte par Outil et révoque sans attendre toute Clé devenue inutile. Tout appel effectué avec une Clé est réputé effectué par le laboratoire tant qu'elle n'a pas été révoquée.

9.4 Lecture seule et pseudonymisation. L'API ne permet ni de créer, ni de modifier, ni de supprimer une donnée. Elle est conçue pour ne jamais restituer la référence patient, les messages et commentaires, les valeurs des champs personnalisés, les notes, les dents, les teintes, les fichiers ni leurs noms, ni les montants. Elle restitue notamment le numéro court de la commande, le nom du client, les noms du praticien et de la personne à qui la commande est attribuée, les dates, le statut, l'urgence, la prestation et le nombre d'éléments. Les titres de tâches font l'objet d'un filtrage automatique qui ne peut garantir l'absence de toute information saisie librement ; le laboratoire s'abstient donc d'inscrire une information relative à un patient dans un titre de tâche. Les Données API ne sont pas des données anonymes : elles désignent des professionnels, et le laboratoire peut les rapprocher, au sein de la plateforme, des commandes auxquelles elles se rapportent. Ce sont des données pseudonymisées au sens de l'article 4, 5) du RGPD, à traiter comme des données à caractère personnel.

9.5 Choix de l'Outil. En créant une Clé, le laboratoire désigne l'Outil auquel les Données API seront remises et en assume seul le choix. Prothelib SAS ne fournit, ne choisit, ne recommande ni ne certifie aucun Outil ; la documentation et les guides d'intégration qu'elle met à disposition sont fournis à titre informatif. Prothelib SAS n'agit pas en qualité de sous-traitant pour les traitements réalisés par l'Outil et par les services qu'il mobilise, dont elle ne détermine ni les finalités ni les moyens. Le laboratoire s'assure que chacun de ces services présente des garanties suffisantes au regard du RGPD, notamment un contrat conforme à son article 28, un encadrement des transferts hors de l'Union européenne et l'absence de réutilisation des données pour l'entraînement de modèles.

9.6 Données de santé : aucun traitement hors d'un hébergement certifié. Le laboratoire s'interdit : (a) de rapprocher les Données API, au sein d'un Outil ou d'un service tiers, d'une information permettant d'identifier un patient (nom, référence patient, date de naissance, photographie, empreinte, radiographie ou tout autre fichier) ; (b) de transmettre à un service, ou de faire conserver par lui, des données de santé à caractère personnel issues de la plateforme, lorsque ce service n'est pas assuré par un hébergeur certifié conformément à l'article L. 1111-8 du code de la santé publique ou traite ces données en dehors de l'Espace économique européen. Cette interdiction vise en particulier les services d'intelligence artificielle accessibles en ligne auxquels un Outil transmettrait ses entrées ou ses résultats.

9.7 Usage interne exclusivement. L'API est destinée à la seule organisation interne du laboratoire : planification de la production, suivi des délais, tableaux de bord. Le laboratoire s'interdit de céder, revendre, louer ou mettre à disposition, à titre gratuit ou onéreux, les Clés, l'accès à l'API ou les Données API, et de les exposer à des tiers, notamment au moyen d'un service, d'un portail ou d'une publication accessibles à d'autres laboratoires, à des cabinets ou au public. Il s'interdit également de les utiliser pour constituer une base de données commercialisée, démarcher la clientèle d'un tiers ou entraîner un modèle d'intelligence artificielle mis à la disposition de tiers. Le prestataire qui exploite un Outil pour le compte exclusif du laboratoire n'est pas un tiers au sens du présent alinéa, sous réserve du respect des articles 8, 9.3, 9.5 et 9.6, dont le laboratoire répond.

9.8 Limites d'usage. L'API est soumise à des limites, notamment de débit par Clé et par laboratoire et de période couverte par requête. Ces limites sont indiquées dans la documentation et peuvent évoluer. Le laboratoire fait de l'API un usage raisonnable et proportionné à ses besoins, ne contourne pas ces limites (multiplication des Clés, requêtes parallèles ou tout autre procédé) et privilégie l'interrogation ponctuelle de l'API à la copie intégrale et répétée des données. Les requêtes excédant ces limites sont refusées.

9.9 Suspension et révocation. Prothelib SAS peut, sans préavis ni indemnité, suspendre ou révoquer une Clé, ou l'accès d'un laboratoire à l'API : (i) en cas de manquement au présent article ou à l'article 8 ; (ii) en cas de risque pour la sécurité ou la confidentialité des données, notamment de suspicion de compromission d'une Clé ; (iii) en cas d'usage anormal ou excessif ; (iv) sur demande d'une autorité compétente. Elle en informe le laboratoire dans les meilleurs délais et par tout moyen, en indiquant le motif, sauf si cette information est de nature à compromettre la sécurité ou une enquête. La suspension de l'API est sans effet sur l'accès à la plateforme, sauf manquement grave relevant de l'article 5. Les Clés cessent de fonctionner à la date d'effet de la résiliation de l'abonnement du laboratoire.

9.10 Compromission d'une Clé. Le laboratoire qui constate ou soupçonne la perte, le vol, la divulgation ou l'utilisation non autorisée d'une Clé la révoque immédiatement depuis la plateforme et en informe Prothelib SAS sans délai, et au plus tard dans les vingt-quatre heures, à l'adresse dpo@prothelink.com. Il en va de même de tout incident de sécurité affectant un Outil ou un service auquel des Données API ont été confiées. Prothelib SAS l'assiste dans la mesure du possible, notamment en lui communiquant le journal des appels effectués avec la Clé concernée. Les notifications prévues aux articles 33 et 34 du RGPD restent à la charge du laboratoire dans les conditions de l'article 8.3.

9.11 Journalisation et preuve. Chaque appel à l'API est enregistré, à l'exclusion du contenu des réponses : Clé utilisée, date et heure, adresse IP, point d'accès, période demandée et nombre de résultats. La création et la révocation des Clés le sont également. Ces journaux sont conservés pour la durée prévue par la politique de conservation et sont communiqués au laboratoire sur demande pour ce qui concerne ses propres Clés. Conformément à l'article 1368 du code civil, les parties conviennent que ces journaux font foi, sauf preuve contraire, des appels effectués, de leur date, de la Clé utilisée et des catégories de données remises, telles que décrites à l'article 9.4.

9.12 Disponibilité. L'API est fournie « en l'état », sans engagement de niveau de service, de disponibilité, de délai de réponse ou de continuité, y compris lorsqu'un tel engagement est par ailleurs consenti pour la plateforme. Le laboratoire ne fait pas dépendre de l'API une opération critique sans solution de repli ; les informations affichées dans la plateforme font foi.

9.13 Évolution, versions et retrait. L'API est versionnée. Prothelib SAS peut à tout moment y ajouter des points d'accès ou des champs n'appartenant pas aux catégories exclues à l'article 9.4, corriger un défaut ou ajuster les limites d'usage. Toute modification incompatible avec l'usage existant (suppression d'un point d'accès ou d'un champ, changement de format) fait l'objet d'une nouvelle version. La version précédente reste disponible au moins quatre-vingt-dix jours après l'annonce de son retrait, faite par notification dans l'application ou par email aux administrateurs du laboratoire. Prothelib SAS peut mettre fin au service d'API moyennant le même préavis. Ces délais ne s'appliquent pas lorsqu'une exigence de sécurité, de protection des données ou une obligation légale impose une modification ou un retrait immédiat.

9.14 Responsabilité. Prothelib SAS répond de la conformité des Données API à la description de l'article 9.4 au moment de leur remise, dans les conditions et limites de l'article 10. Les articles 8.5 à 8.7 s'appliquent. Un appel effectué avec une Clé non révoquée est réputé effectué par le laboratoire, et Prothelib SAS n'est pas responsable de ses conséquences, sauf si la compromission de la Clé résulte d'un manquement de Prothelib SAS à ses propres obligations de sécurité.

9.15 Acceptation. La création d'une Clé est subordonnée à l'acceptation expresse du présent article par l'administrateur qui la crée, au nom du laboratoire. Prothelib SAS conserve la preuve de cette acceptation : auteur, date, version des CGU et Clé concernée. Après une modification du présent article, la création d'une nouvelle Clé requiert l'acceptation de la version en vigueur.

10.1 Responsabilité professionnelle des utilisateurs. La prescription, la conception, la fabrication, le contrôle, la conformité, la remise et la pose des dispositifs restent de la seule responsabilité du praticien et du laboratoire, chacun pour ce qui le concerne ; le laboratoire assume seul les obligations du fabricant de dispositifs médicaux sur mesure (article 4). Prothelib SAS n'est pas responsable des prothèses fabriquées, des délais annoncés par les laboratoires, des prix pratiqués, des factures qu'ils émettent, ni du contenu des échanges et des fichiers déposés par les utilisateurs. Elle n'est pas responsable des Données extraites dans les conditions de l'article 8.

10.2 Dommages réparables. Prothelib SAS répond des dommages directs causés par un manquement à ses obligations. Sont exclus les dommages indirects, notamment la perte de chiffre d'affaires, de bénéfice, de clientèle ou d'image. La perte ou l'altération de données n'est réparable que si elle résulte d'un manquement de Prothelib SAS à ses obligations de sécurité ou de sauvegarde ; la réparation couvre alors le coût raisonnable de leur reconstitution.

10.3 Plafond. La responsabilité de Prothelib SAS, toutes causes confondues, est plafonnée aux sommes versées par l'organisation au titre des douze mois d'abonnement précédant le fait générateur, sans pouvoir être inférieure à mille euros, y compris pour une organisation qui utilise la plateforme gratuitement.

10.4 Exceptions. Les exclusions et le plafond des articles 10.2 et 10.3 ne s'appliquent pas en cas de faute lourde ou dolosive, de dommage corporel, ni lorsqu'une disposition impérative y fait obstacle. Ils ne limitent pas les droits que les personnes concernées tiennent de l'article 82 du RGPD ; entre Prothelib SAS et l'organisation, la charge finale de la réparation est répartie selon la part de responsabilité de chacune (article 82, paragraphe 5, du RGPD), dans les limites du présent article.

10.5 Délai d'action. Toute action en responsabilité contre Prothelib SAS au titre des présentes CGU doit être engagée dans un délai d'un an à compter du jour où l'organisation a connu ou aurait dû connaître les faits lui permettant de l'exercer (article 2254 du code civil).

Prothelib SAS peut modifier les présentes CGU. Toute modification substantielle est annoncée par notification dans l'application ou par email au moins trente jours avant son entrée en vigueur, sauf lorsqu'une obligation légale, une décision d'une autorité ou un impératif de sécurité impose un délai plus court. La nouvelle version est présentée à chaque utilisateur, qui doit l'accepter expressément pour continuer à utiliser la plateforme ; Prothelib SAS conserve la date et la version acceptées. L'utilisateur ou l'organisation qui refuse la nouvelle version cesse d'utiliser la plateforme, peut exporter ses données dans les conditions de l'article 7 et, pour un laboratoire, résilier son abonnement sans frais (article 6 des CGV). Les modifications de pure forme, ou uniquement favorables aux utilisateurs, peuvent prendre effet immédiatement.

12.1 Survie. Les articles 8, 9.3, 9.5 à 9.7, 9.10, 9.11, 9.14 et 10, ainsi que les articles A.4, A.9 et A.10 de l'annexe, survivent à la révocation ou à l'expiration des clés d'API, à la suppression d'un compte et à la fin de l'abonnement, aussi longtemps que l'organisation, ses outils ou ses prestataires conservent des Données extraites, et en tout état de cause pour la durée de la prescription applicable.

12.2 Divisibilité. Si une stipulation des CGU est déclarée nulle ou réputée non écrite, en tout ou partie, les autres stipulations, et le reste de la stipulation concernée, conservent leur plein effet.

12.3 Non-renonciation. Le fait pour Prothelib SAS de ne pas se prévaloir d'un manquement ne vaut pas renonciation à s'en prévaloir ultérieurement.

12.4 Force majeure. Aucune partie n'est responsable d'un manquement causé par un cas de force majeure au sens de l'article 1218 du code civil, par exemple une panne générale des réseaux de télécommunication ou d'électricité, une défaillance de l'hébergeur qui n'est pas imputable à Prothelib SAS, une cyberattaque d'une ampleur exceptionnelle malgré les mesures de sécurité en place, ou une décision d'une autorité. La partie empêchée en informe l'autre dans les meilleurs délais. Si l'empêchement dure plus de trente jours, chaque partie peut mettre fin au contrat sans indemnité ; les obligations de restitution des données demeurent.

12.5 Documents contractuels. Le contrat entre Prothelib SAS et une organisation est formé des présentes CGU, de leur annexe et, pour les laboratoires abonnés, des CGV. En cas de contradiction, les conditions particulières écrites et signées prévalent, puis les CGV, puis les CGU ; pour la protection des données, l'annexe prévaut.

12.6 Cession. Prothelib SAS peut céder le contrat à une société qui reprend tout ou partie de son activité ; l'organisation y consent par avance (article 1216 du code civil). La cession lui est notifiée et elle peut alors résilier sans frais dans les trente jours. Le repreneur reste tenu de l'annexe « Accord de sous-traitance des données » et de faire héberger les données de santé par un hébergeur certifié.

Les présentes CGU sont soumises au droit français. Avant toute action en justice, la partie qui s'estime lésée adresse à l'autre une réclamation écrite et motivée (pour Prothelib SAS : contact@prothelink.com) ; les parties disposent alors de trente jours pour rechercher une solution amiable, le cas échéant avec l'aide d'un médiateur choisi d'un commun accord. Cette démarche ne fait obstacle ni aux mesures urgentes ou conservatoires, ni au recouvrement d'une facture impayée.

À défaut d'accord, lorsque toutes les parties au litige ont contracté en qualité de commerçant, le litige relève du tribunal compétent du ressort du siège social de Prothelib SAS. Dans les autres cas, notamment lorsqu'un praticien, une société d'exercice libéral ou un artisan est partie au litige, la juridiction compétente est déterminée par les règles de droit commun.

A.1 Rôles. Pour les données qu'elle saisit, dépose ou reçoit dans la plateforme (données des patients, de ses membres et de ses clients), chaque organisation est responsable de traitement et Prothelib SAS est son sous-traitant. Prothelib SAS est en revanche responsable de traitement pour la gestion des comptes, la facturation de ses abonnements, la sécurité de la plateforme et la mesure de fréquentation, décrites dans la politique de confidentialité.

A.2 Description du traitement. Objet et finalité : fournir la plateforme décrite à l'article 1 (hébergement, échange et mise à disposition des commandes, fichiers, messages et documents ; génération des bons de livraison et des factures ; notifications). Personnes concernées : patients, praticiens, membres des organisations et contacts de leurs clients. Catégories de données : identité et coordonnées professionnelles, référence patient, données de commande, empreintes numériques, photographies, radiographies et autres fichiers, dont des données de santé. Durée : celle du contrat, puis les durées de conservation de la politique de conservation.

A.3 Instructions. Prothelib SAS ne traite les données que sur instruction documentée de l'organisation : les présentes CGU, les réglages de la plateforme et les actions que ses utilisateurs y effectuent. Elle informe l'organisation si une instruction lui paraît contraire à la réglementation sur la protection des données. Elle n'utilise les données à aucune autre fin, notamment commerciale, statistique ou d'entraînement de modèles.

A.4 Confidentialité et accès du personnel. Les personnes autorisées par Prothelib SAS à traiter les données sont tenues à la confidentialité. Le personnel de Prothelib SAS n'accède aux données d'une organisation que lorsque c'est nécessaire pour répondre à sa demande de support, traiter un incident de sécurité ou satisfaire une obligation légale ; ces accès sont journalisés.

A.5 Sécurité (article 32 du RGPD). Prothelib SAS met en œuvre notamment : l'hébergement de toutes les données chez un hébergeur certifié pour les données de santé, en France ; le chiffrement des échanges et le chiffrement des fichiers stockés avec des clés propres à chaque fichier ; le cloisonnement des données entre organisations ; l'authentification à deux facteurs ; la journalisation des accès aux données de santé ; des sauvegardes ; la limitation des accès du personnel au strict nécessaire.

A.6 Sous-traitants ultérieurs. L'organisation autorise Prothelib SAS à recourir à des sous-traitants ultérieurs, dont la liste figure dans la politique de confidentialité. Prothelib SAS informe les organisations de tout ajout ou remplacement au moins trente jours à l'avance ; une organisation qui s'y oppose pour un motif légitime peut résilier sans frais avant la date d'effet. Prothelib SAS impose à chaque sous-traitant ultérieur des obligations de protection équivalentes et reste responsable envers l'organisation de leur exécution.

A.7 Hébergement des données de santé et localisation. Les données de santé sont hébergées chez Clever Cloud SAS (Hébergeur de Données de Santé certifié (6 activités, référentiel HDS v2 — mai 2024), zone Paris), dans le cadre d'un contrat d'hébergement conclu conformément à l'article L. 1111-8 du code de la santé publique ; le périmètre et la durée de validité du certificat sont communiqués sur demande. Elles sont stockées exclusivement en France et ne font l'objet d'aucun transfert hors de l'Espace économique européen du fait de Prothelib SAS. Interlocuteur pour tout incident : dpo@prothelink.com.

A.8 Assistance. Prothelib SAS aide l'organisation à répondre aux demandes d'exercice de droits des personnes concernées (outils d'export, de rectification et de suppression ; transmission sans délai des demandes qu'elle reçoit directement), à réaliser ses analyses d'impact et, le cas échéant, à consulter l'autorité de contrôle.

A.9 Violations de données. Prothelib SAS notifie à l'organisation toute violation de données à caractère personnel la concernant dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance, avec les informations prévues à l'article 33, paragraphe 3, du RGPD dont elle dispose, complétées au fur et à mesure. Il appartient à l'organisation, responsable de traitement, de notifier la violation à la CNIL et, le cas échéant, d'en informer les personnes concernées ; Prothelib SAS lui fournit les éléments nécessaires.

A.10 Fin du service : restitution et destruction. Pendant toute la durée du contrat, l'organisation peut exporter ses données depuis la plateforme. À la fin du service, Prothelib SASrestitue à l'organisation qui le demande l'ensemble de ses données, fichiers compris, dans un format lisible et couramment utilisé, au plus tard trente jours après la demande. Les données dont la réglementation impose la conservation (notamment les documents de traçabilité des dispositifs sur mesure et les factures) sont conservées pour le compte de l'organisation pendant la durée prévue par la politique de conservation, puis détruites ; les autres données sont détruites selon cette même politique. Prothelib SAS ne conserve aucune copie au-delà de ces durées, sauf dans les sauvegardes, qui sont écrasées à l'expiration de leur cycle.

A.11 Documentation et audit. Prothelib SAS met à la disposition de l'organisation les informations nécessaires pour démontrer le respect du présent accord (registre des activités de traitement tenu en qualité de sous-traitant, mesures de sécurité, certification de l'hébergeur). Elle permet un audit, au plus une fois par an sauf violation avérée, avec un préavis de trente jours, par un auditeur indépendant tenu au secret, aux frais de l'organisation et sans accès aux données des autres organisations.

A.12 Contact. Délégué à la protection des données : dpo@prothelink.com.