Accord de sous-traitance des données (RGPD, article 28)

1. Parties et objet

Le présent accord est conclu entre :

• le titulaire de l’espace cabinet (« le praticien »), responsable du traitement des données de ses patients ;
• Jean-Vincent Quilichini, entrepreneur individuel, SIREN 798 480 406, éditeur de L’Ostéopathe (« L’Ostéopathe »), sous-traitant, joignable à contact@losteopathe.com.

Il fait partie des conditions générales d’utilisation, acceptées à la création du compte, et s’applique tant que L’Ostéopathe traite des données pour le compte du cabinet. Il met en œuvre l’article 28 du RGPD (nouvel onglet).

2. Description du traitement

• Objet et finalité : fournir le logiciel de gestion du cabinet : dossiers patients, consultations, agenda et réservation en ligne, messages aux patients, notes d’honoraires et comptabilité, documents, statistiques et export.
• Nature des opérations : enregistrement, conservation, consultation, modification, organisation, envoi des messages que vous demandez, export et suppression.
• Durée : celle de l’utilisation du service par le cabinet, puis jusqu’à la suppression prévue à l’article 10.
• Personnes concernées : les patients du cabinet, leurs proches et représentants (parents, personne à prévenir), les médecins et contacts que vous enregistrez, et les membres de votre équipe.
• Catégories de données : identité et coordonnées des patients ; numéro de sécurité sociale si vous le saisissez ; données de santé (antécédents, motifs, notes de consultation, schéma corporel, courriers, documents) ; rendez-vous ; notes d’honoraires et paiements ; journal des accès.

3. Instructions du praticien

L’Ostéopathe ne traite ces données que sur vos instructions documentées : les CGU, le présent accord et les actions faites dans l’application (saisie, envoi d’un message, export, suppression). L’Ostéopathe ne les utilise pour aucune fin propre : ni publicité, ni revente, ni prospection, ni entraînement de modèles d’IA. Theo, l’assistant de L’Ostéopathe, fonctionne sans IA générative et ne fait appel à aucun service extérieur.

Les données sont hébergées dans l’Union européenne. Un seul flux en sort : les e-mails que L’Ostéopathe envoie pour vous (messages à vos patients, documents que vous adressez par e-mail) passent par Resend, aux États-Unis (article 6). L’Ostéopathe vous informe immédiatement si une instruction lui paraît contraire au RGPD.

4. Confidentialité

Les personnes autorisées à traiter les données, à commencer par l’éditeur, sont tenues à la confidentialité et s’y engagent par écrit. L’éditeur n’accède aux données d’un cabinet que lorsque c’est nécessaire : à votre demande (assistance), pour la sécurité du service, ou pour répondre à une obligation légale.

5. Sécurité (RGPD, art. 32)

Mesures en place dans L’Ostéopathe :

• échanges chiffrés entre le navigateur et L’Ostéopathe (HTTPS, HSTS) ;
• mots de passe enregistrés sous forme d’empreinte ; double authentification par application avec codes de secours, que le titulaire peut exiger pour tout le cabinet ; sessions de 12 heures au plus ; limites de tentatives de connexion ;
• cloisonnement des cabinets : chaque requête est limitée à l’espace du cabinet, et des tests automatiques vérifient qu’un cabinet ne peut pas lire les données d’un autre ;
• accès par rôle (titulaire, praticien, assistant, secrétariat sans accès au contenu clinique) et dossiers à accès restreint ;
• journal de chaque lecture, création, modification, impression ou export d’un dossier patient (qui, quoi, quand, depuis quelle adresse), consultable par le titulaire ;
• secrets de connexion chiffrés en base (secret de double authentification, par exemple) ;
• chiffrement des documents par L’Ostéopathe avant stockage (AES-256-GCM, une clé par fichier, protégée par une clé maîtresse conservée hors du stockage et hors de la base de données), y compris sur l’hébergement actuel ;
• des journaux techniques qui masquent les données de patient avant tout enregistrement ;
• sauvegarde quotidienne de la base de données sur le serveur d’hébergement, chaque copie étant effacée en 14 jours au plus, et outil de contrôle qui restaure une sauvegarde pour la vérifier ;
• mesure d’audience sans aucune donnée de patient : adresses réduites à des modèles de route, titres génériques.

Le détail figure sur la page Sécurité. Ces mesures évoluent avec le service ; elles ne sont jamais réduites sans vous en informer.

6. Sous-traitants ultérieurs

Vous autorisez de manière générale L’Ostéopathe à recourir aux sous-traitants ultérieurs listés sur la page Sous-traitants :

• Hetzner Online GmbH (Allemagne) : hébergement de l’application, de la base de données, des documents et des sauvegardes, sur un serveur situé dans l’Union européenne ;
• Resend (Plus Five Five, Inc., États-Unis) : envoi des e-mails aux patients (confirmation d’une réservation en ligne, modification ou annulation faite par le patient depuis le lien reçu par e-mail, rappels, créneaux proposés à la liste d’attente) et des documents que vous adressez par e-mail (notes d’honoraires, information écrite préalable, courriers). Il reçoit l’adresse e-mail du destinataire, le prénom du patient et le contenu du message : nom du cabinet et du praticien, date, heure et adresse du rendez-vous, lien pour gérer le rendez-vous, invitation de calendrier (fichier .ics) et documents joints, qui peuvent contenir des données de santé. Le transfert repose sur les clauses contractuelles types de la Commission européenne, et Resend adhère au Data Privacy Framework UE–États-Unis.

Aucun SMS n’est envoyé : aucun prestataire d’envoi de SMS ne reçoit de données. L’Ostéopathe impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes à celles de cet accord, et reste responsable envers vous de leur respect (art. 28, paragraphe 4).

L’Ostéopathe vous informe de tout ajout ou remplacement d’un sous-traitant ultérieur par e-mail, au moins 30 jours avant, et met la page à jour. Vous pouvez vous y opposer pendant ce délai en écrivant à contact@losteopathe.com ; si aucune solution n’est trouvée, vous pouvez résilier, après avoir exporté vos données.

7. Droits des patients

L’application vous permet de répondre aux demandes de vos patients : consulter et rectifier un dossier, l’exporter (dossier d’un patient en PDF, archive complète du cabinet). Pour l’effacement d’un dossier patient, écrivez à contact@losteopathe.com : L’Ostéopathe l’exécute pour votre compte. Si un patient s’adresse directement à L’Ostéopathe, sa demande vous est transmise sans y répondre à votre place.

8. Violations de données

L’Ostéopathe vous notifie toute violation de données personnelles qui concerne votre cabinet dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, par e-mail au titulaire. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables et les mesures prises ou proposées. Elle vous permet de notifier la CNIL dans les 72 heures (RGPD, art. 33) et, s’il le faut, d’informer vos patients (art. 34).

9. Aide à la conformité

L’Ostéopathe vous transmet les informations dont il dispose pour votre registre des traitements, une analyse d’impact (AIPD) ou une consultation préalable de la CNIL (RGPD, art. 35 et 36) : description des traitements, mesures de sécurité, sous-traitants ultérieurs.

10. Fin du contrat : restitution et suppression

L’export complet (dossiers, consultations, rendez-vous, notes d’honoraires et documents, en CSV et en JSON, dans une archive ZIP) est disponible à tout moment, sur tous les plans. Voir export et réversibilité.

Une résiliation d’abonnement ne supprime rien : le cabinet repasse au plan Gratuit. Quand vous demandez la fermeture du compte (Suppression des données), L’Ostéopathe supprime les données du cabinet, documents compris, puis les copies de sauvegarde sont effacées au fil de leur rotation, en 14 jours au plus. Exportez vos données avant : la conservation des dossiers que la loi vous impose reste à votre charge.

11. Information et audits

L’Ostéopathe met à votre disposition les informations nécessaires pour démontrer le respect de cet accord : cette page, la page Sécurité, la liste des sous-traitants et ses réponses à vos questions écrites. Vous pouvez faire réaliser un audit, par vous-même ou par un auditeur tenu à la confidentialité, après un préavis de 30 jours, à vos frais et une fois par an au plus, sauf après une violation de données.

12. Vos obligations

Vous informez vos patients du traitement de leurs données, déterminez les durées de conservation de vos dossiers, tenez votre registre des traitements et n’enregistrez aucune donnée réelle de patient tant que l’hébergement de L’Ostéopathe n’est pas certifié HDS.

13. Modification

Une modification de cet accord est annoncée par e-mail aux titulaires de compte avant son entrée en vigueur. La date de la dernière version figure en haut de cette page.