Données personnelles et réversibilité

01 Objet et rôle des parties

Dans le cadre de l’utilisation du Service, le Client traite des données à caractère personnel relatives à des personnes physiques : ses propres Utilisateurs, et les personnes intervenant sur ses équipements.

Pour ces données :

• le Client agit en qualité de responsable de traitement ;
• Pecify agit en qualité de sous-traitant, au sens de l’article 28 du RGPD.

La présente annexe définit les obligations respectives des parties. Elle ne s’applique pas aux traitements que Pecify réalise pour son propre compte, en qualité de responsable de traitement, dans les conditions de l’article 12.1 des conditions générales : gestion de la relation contractuelle, facturation, support, sécurité et mesure de l’utilisation du Service.

02 Description du traitement

Objet : mise à disposition d’une plateforme logicielle hébergée permettant au Client de gérer l’inventaire, la maintenance et la traçabilité de ses équipements dentaires, et hébergement des données correspondantes.

Nature des opérations : collecte, enregistrement, organisation, structuration, conservation, consultation, modification, extraction, effacement.

Finalités : exécution du Service souscrit, à l’exclusion de toute autre finalité.

Durée : durée de l’Essai puis du Contrat, augmentée des délais de restitution et de suppression prévus à la partie II de la présente annexe et à l’article 7.2 des conditions générales.

Catégories de personnes concernées : les Utilisateurs du Client (personnels du Centre) et les intervenants extérieurs mentionnés dans les opérations de maintenance et de contrôle (techniciens des prestataires, vérificateurs d’organismes agréés).

Catégories de données :

Aucune donnée sensible au sens de l’article 9 du RGPD n’est traitée. En particulier, le Service ne traite aucune donnée de santé : ni donnée de patient, ni donnée relative à la santé du personnel du Client. L’article 12.3 des conditions générales interdit expressément leur saisie et leur dépôt, y compris les relevés de dosimétrie individuelle, les avis d’aptitude et les suivis médicaux professionnels.

03 Obligations de Pecify

Pecify s’engage à :

1. Ne traiter les données que sur instruction documentée du Client, y compris en cas de transfert vers un pays tiers, sauf obligation légale, auquel cas Pecify en informe le Client avant traitement, sauf interdiction légale.
2. Informer immédiatement le Client si une instruction constitue selon elle une violation du RGPD ou d’une autre disposition relative à la protection des données.
3. Garantir la confidentialité des données et veiller à ce que toute personne autorisée à y accéder soit soumise à une obligation de confidentialité appropriée, contractuelle ou légale, et soit sensibilisée à la protection des données.
4. Mettre en œuvre et maintenir les mesures techniques et organisationnelles appropriées au sens de l’article 32 du RGPD, décrites à l’article 14 des conditions générales.
5. Ne recourir à un sous-traitant ultérieur que dans les conditions de l’article 4.
6. Aider le Client à répondre aux demandes d’exercice des droits des personnes concernées. Lorsque Pecify reçoit directement une telle demande, elle la transmet au Client sans délai et sans y répondre elle-même.
7. Aider le Client à respecter ses obligations en matière de sécurité, de notification de violation et, le cas échéant, d’analyse d’impact, compte tenu de la nature du traitement et des informations dont elle dispose.
8. Notifier au Client toute violation de données à caractère personnel dans les meilleurs délais et au plus tard soixante-douze (72) heures après en avoir pris connaissance, dans les conditions de l’article 6.
9. Mettre à disposition du Client toute information nécessaire pour démontrer le respect de ses obligations et permettre la réalisation d’audits dans les conditions de l’article 7.
10. Au terme du Contrat, restituer puis supprimer les données dans les conditions de la partie II de la présente annexe.
11. Tenir le registre des catégories de traitements effectués pour le compte du Client, conformément à l’article 30.2 du RGPD.
12. Ne conserver aucune copie des données au-delà des délais convenus, sous réserve des obligations légales de conservation.

04 Sous-traitance ultérieure

Le Client autorise Pecify à recourir à des sous-traitants ultérieurs pour l’exécution du Service. La liste de ces sous-traitants, leur rôle, la localisation des données et les garanties applicables figurent à l’article 5 ci-après.

Pecify informe le Client de tout projet d’ajout ou de remplacement d’un sous-traitant ultérieur au moins quinze (15) jours avant sa mise en œuvre. Le Client dispose de ce délai pour formuler des objections motivées et documentées.

En cas d’objection maintenue après échange de bonne foi, le Client peut résilier le Contrat sans frais ni pénalité, dans un délai de trente (30) jours à compter de la notification, la résiliation prenant effet à la date de mise en œuvre du changement. Ni l’indemnité de dédit ni la restitution des avantages prévues à l’article 16.2 des conditions générales ne sont dues dans ce cas.

Pecify impose contractuellement à chaque sous-traitant ultérieur des obligations de protection des données au moins équivalentes à celles de la présente annexe. Elle demeure pleinement responsable devant le Client de leur exécution.

05 Liste des sous-traitants ultérieurs

Sont listés ici les seuls prestataires qui traitent des données à caractère personnel pour le compte du Client, c’est-à-dire les données décrites à l’article 2 ci-dessus.

À ce jour, Infomaniak Network SA est le seul sous-traitant ultérieur de Pecify au sens de l’article 28 du RGPD.

Version de la liste en vigueur au 28 octobre 2026. Elle est tenue à jour et communiquée au Client à chaque évolution, dans les conditions de l’article 4.

06 Violation de données

En cas de violation de données à caractère personnel, Pecify notifie au Client, dans le délai prévu à l’article 3.8, par courriel à l’adresse de l’interlocuteur référent figurant au Devis ou, à défaut, à celle de l’administrateur du Compte, avec confirmation téléphonique :

• la nature de la violation et, dans la mesure du possible, les catégories et le nombre approximatif de personnes et d’enregistrements concernés ;
• les conséquences probables ;
• les mesures prises ou proposées pour y remédier et en atténuer les effets ;
• le point de contact chez Pecify auprès duquel obtenir des informations complémentaires.

Lorsque toutes les informations ne peuvent être fournies simultanément, elles le sont de manière échelonnée sans retard indu.

Pecify documente toute violation, ses effets et les mesures correctives, et met cette documentation à disposition du Client.

Il appartient au Client, en sa qualité de responsable de traitement, de procéder le cas échéant à la notification à l’autorité de contrôle et à l’information des personnes concernées. Pecify ne procède à aucune notification ni communication publique relative à une violation affectant les données du Client sans concertation préalable, sauf obligation légale lui incombant en propre.

07 Audit

Le Client peut vérifier le respect par Pecify de ses obligations :

• par la communication, sur demande, de la documentation de conformité disponible : descriptif des mesures techniques et organisationnelles, attestations et certificats des sous-traitants ultérieurs ;
• par un audit sur pièces ou sur site, réalisé par le Client ou par un tiers indépendant soumis à confidentialité et non concurrent de Pecify.

L’audit est soumis à un préavis écrit de trente (30) jours, limité à une fois par an sauf incident de sécurité avéré ou demande d’une autorité de contrôle, et conduit pendant les heures ouvrées sans perturber l’exploitation.

Les coûts de l’audit sont supportés par le Client, sauf s’il révèle un manquement substantiel de Pecify, auquel cas ils sont à sa charge.

Les constats sont confidentiels. Pecify propose un plan d’action correctif dans un délai de trente (30) jours à compter de la remise du rapport.

08 Localisation et transferts hors Union européenne

Les données sont traitées et stockées en Suisse, chez Infomaniak Network SA. La Suisse bénéficie d’une décision d’adéquation de la Commission européenne : le transfert est autorisé au titre de l’article 45 du RGPD, sans clause contractuelle type ni analyse d’impact des transferts.

Aucun transfert vers un autre pays tiers n’est effectué sans information préalable du Client et sans encadrement par un mécanisme prévu au chapitre V du RGPD.

Le régime propre aux données de santé ne s’applique pas au présent traitement. Le Service ne traitant aucune donnée de santé, l’hébergement n’est pas soumis à l’obligation de certification de l’article L.1111-8 du code de la santé publique, ni aux règles de localisation applicables à ces données.

L’accord de sous-traitance d’Infomaniak, applicable par adhésion à ses conditions générales d’utilisation, est archivé par Pecify, dans sa version téléchargée le 20 août 2026 (fichier PDF produit le 12 août 2025).

Aucun autre transfert hors de l’Union européenne ou de la Suisse n’est effectué, et aucun accès distant aux données depuis un pays tiers n’est ouvert.

09 Obligations du Client

Le Client s’engage à :

• documenter par écrit ses instructions à Pecify ;
• s’assurer qu’il est en droit d’enregistrer dans le Service les données personnelles qu’il y saisit, et informer les personnes concernées, ses Utilisateurs comme les intervenants extérieurs, conformément aux articles 6, 13 et 14 du RGPD ;
• ne saisir que des données adéquates, pertinentes et limitées à ce qui est nécessaire ;
• ne saisir ni déposer aucune donnée de santé, dans les conditions de l’article 12.3 des conditions générales, et répondre du respect de cet engagement par l’ensemble de ses Utilisateurs ;
• veiller à l’exactitude des données et à la gestion rigoureuse des habilitations de ses Utilisateurs ;
• notifier lui-même, le cas échéant, les violations à l’autorité de contrôle et aux personnes concernées.

10 Registre et documentation

Chaque partie tient le registre qui lui incombe : le registre des activités de traitement pour le Client (article 30.1 du RGPD), le registre des catégories de traitements pour Pecify (article 30.2).

Les catégories de traitements effectués par Pecify pour le compte du Client sont les suivantes :

Pecify communique au Client, sur demande, les éléments nécessaires à la tenue de son propre registre.

11 Délégué à la protection des données et contact

Pecify n’a pas désigné de délégué à la protection des données. L’article 37 du RGPD impose cette désignation lorsque l’activité de base consiste en un traitement à grande échelle de données sensibles ; le Service ne traitant aucune donnée sensible, ce cas n’est pas constitué. Cette analyse est propre au périmètre du présent traitement et serait à réexaminer si Pecify venait à éditer un logiciel traitant des données de santé.

Toute question relative à la présente annexe peut être adressée à donnees@pecify.fr.

12 Principe

Le Client demeure à tout moment seul propriétaire de ses données, y compris de l’inventaire, du Registre et des documents qu’il a déposés.

Pecify s’engage à lui en garantir la disponibilité, la restitution puis la suppression, dans les conditions ci-après.

Ces engagements s’appliquent quelle que soit la cause de la fin du Contrat, y compris en cas de résiliation prononcée aux torts du Client pour défaut de paiement.

13 Export en libre-service, en cours de contrat

Le Client peut, à tout moment pendant la durée du Contrat et sans frais, exporter ses données depuis l’interface du Service.

Ces formats sont structurés, couramment utilisés et lisibles par machine, conformément à l’article 28 du règlement (UE) 2023/2854.

Dictionnaire des données. Pecify met à disposition, avec l’export, la documentation décrivant la structure des fichiers produits, la signification de chaque colonne et les correspondances d’identifiants, afin que les données soient exploitables par un tiers sans ressaisie.

14 Préavis et période de transition

Préavis. Le préavis exigé du Client pour mettre fin au Contrat n’excède en aucun cas deux (2) mois, conformément à l’article 25 du règlement (UE) 2023/2854. Les préavis stipulés à l’article 16 des conditions générales, soit trente (30) jours sans engagement et deux (2) mois pour la dénonciation avant reconduction, respectent ce plafond.

Période de transition. À compter de la date d’effet de la fin du Contrat, le Client bénéficie d’une période de transition de trente (30) jours, pendant laquelle :

• l’accès au Service est maintenu en lecture, permettant l’export des données ;
• Pecify apporte au Client une assistance raisonnable pour la récupération et le transfert de ses données ;
• aucune suppression n’intervient.

Cette période est prolongée à la demande écrite du Client lorsque la complexité technique du transfert le justifie, dans la limite d’une durée totale de six (6) mois. Pecify ne peut ni refuser une prolongation justifiée, ni l’imposer.

15 Assistance au transfert

Pendant la période de transition, Pecify :

• met à disposition la documentation technique nécessaire à la compréhension de la structure des données exportées ;
• répond aux questions techniques du Client ou du prestataire qu’il aura désigné ;
• réalise, sur demande écrite, un export complet et unique, remis par un moyen de transfert sécurisé convenu entre les parties.

16 Périmètre : ce que la réversibilité ne comprend pas

La réversibilité porte sur la restitution des données telles qu’elles sont structurées dans le Service, dans les formats de l’article 13.

Ne relèvent pas de la réversibilité et font l’objet d’un devis distinct, accepté par le Client avant exécution :

• la conversion des données vers un modèle défini par le Client ou par un tiers ;
• la ressaisie, la reprise ou l’intégration des données dans un autre système ;
• les développements d’interface avec la solution de destination.

17 Frais

L’export prévu à l’article 13, la période de transition prévue à l’article 14 et l’assistance prévue à l’article 15 sont fournis sans frais.

18 Suppression

À l’expiration de la période de transition, et sauf demande écrite contraire du Client, Pecify procède à la suppression définitive des Données Client :

• des environnements de production, dans un délai de trente (30) jours ;
• des sauvegardes, selon leur cycle de rotation, au plus tard dans un délai de quatre-vingt-dix (90) jours.

Sur demande du Client, Pecify délivre une attestation de suppression précisant les périmètres et les dates.

19 Conservation légale

Par exception à l’article 18, Pecify conserve les données strictement nécessaires au respect de ses obligations légales, notamment comptables et fiscales, ainsi qu’à la constitution de preuves. Ces données sont conservées de manière isolée, avec des accès restreints, pour la seule durée de l’obligation concernée et pour ces seules finalités.

20 Sort de l’inventaire réalisé en prestation

L’inventaire constitué au titre de la prestation d’inventaire initial, ou pendant l’Essai, appartient au Client. Il lui est remis sous forme exploitable, sans frais, y compris s’il ne poursuit pas avec un abonnement, conformément aux articles 6 et 7.2 des conditions générales.

21 Information précontractuelle

Avant la conclusion du Contrat, Pecify communique au Client :

• l’identité et la localisation des infrastructures d’hébergement ;
• la juridiction applicable à ces infrastructures ;
• les formats d’export disponibles ;
• la description de la procédure de sortie et de ses délais.

Ces éléments figurent dans la présente annexe, à l’article 13 des conditions générales et à l’article 5 de la présente annexe. Ils sont accessibles avant toute inscription et toute Commande en ligne.

22 Absence de verrouillage

Pecify s’interdit toute pratique ayant pour objet ou pour effet d’empêcher ou de dissuader le Client de changer de fournisseur, notamment par des formats délibérément propriétaires, une rétention de données, une dégradation volontaire des exports ou des frais dissuasifs.