Contrat de sous-traitance (DPA)

1. Parties et qualification

Le présent contrat de sous-traitance (ci-après le « DPA ») est conclu entre :

• le responsable de traitement (ci-après le « RT ») : le professionnel de santé / cabinet utilisateur d'ADvision, qui décide des finalités et des moyens du traitement des données de ses patients ;
• le sous-traitant (ci-après le « ST ») : Albéric DELABIE – Entreprise Individuelle, SIRET 899 373 930 000 51, enseigne ADvision, 9 rue Sully Arnald, 07130 Saint-Péray, contact : contact@ad-vision.fr.

Référent contractuel / sécurité du ST : contact@ad-vision.fr (demandes DPA, réversibilité, incidents, audits documentaires).

Le présent DPA n'est pas une certification HDS de l'éditeur. La certification HDS invoquée pour l'infrastructure est celle du prestataire d'hébergement (Scaleway), dans le périmètre de son offre et de son contrat HDS.

Le DPA constitue une annexe des Conditions générales de vente (CGV) et complète les Conditions générales d'utilisation (CGU) ainsi que la Politique de confidentialité. L'acceptation des CGV emporte acceptation du présent DPA dans sa version en vigueur.

2. Objet, nature, finalités et durée (art. 28.3.a)

2.1. Objet

Le ST met à disposition du RT un logiciel SaaS de gestion de cabinet d'orthoptie (ADvision) et traite, pour le compte du RT, les données à caractère personnel nécessaires à l'hébergement, à l'exploitation, à la maintenance et au support de ce service.

2.2. Nature du traitement

Collecte, enregistrement, organisation, conservation, consultation, utilisation, extraction, communication par transmission (notamment télétransmission FSE/DRE et e-mails transactionnels), limitation, effacement et destruction, dans la mesure requise par le service ou les instructions du RT.

2.3. Finalités

• gestion du dossier patient et des consultations / bilans orthoptiques ;
• facturation, comptabilité de cabinet et télétransmission SESAM-Vitale (FSE/DRE) selon le forfait ;
• génération et partage sécurisé de documents médicaux ;
• demande de dépôt de documents par le patient via lien temporaire ;
• assistance à la rédaction (IA générative), uniquement si activée par le RT ;
• support technique, sécurité, sauvegarde et continuité du service.

2.4. Durée

Le traitement dure pendant toute la durée de l'abonnement actif, puis jusqu'à restitution ou suppression conformément à l'article 10 du présent DPA, sous réserve des obligations légales de conservation applicables au RT.

3. Types de données et catégories de personnes (art. 28.3.a)

3.1. Catégories de personnes concernées

• patients du RT (et, le cas échéant, représentants légaux) ;
• utilisateurs professionnels du cabinet (praticiens, assistants autorisés) ;
• médecins et professionnels mentionnés dans le dossier (ex. médecin traitant) ;
• contacts liés à la facturation / couverture (AMO, AMC) lorsque saisis par le RT.

3.2. Types de données

• identité et coordonnées patients ;
• NIR et données de couverture sociale (AMO, AMC, ALD) ;
• données de santé (bilans, examens, conclusions, documents médicaux) ;
• données de facturation et de télétransmission ;
• identifiants et données professionnelles des utilisateurs ;
• logs techniques d'accès et de sécurité (hors contenu clinique inutile).

4. Instructions documentées (art. 28.3.a)

Le ST ne traite les données que sur instruction documentée du RT, sauf obligation légale contraire. Constituent des instructions documentées :

• les présentes dispositions, les CGU / CGV et la documentation produit ;
• les actions réalisées par le RT dans l'interface (saisie, export, suppression, paramétrage de rétention, activation de fonctionnalités) ;
• les demandes écrites du RT adressées à contact@ad-vision.fr (ou via le support), consignées par le ST.

Le ST informe sans délai le RT si, selon lui, une instruction constitue une violation du RGPD ou d'autres dispositions de protection des données de l'Union ou d'un État membre. Le ST n'utilise pas les données patients pour son propre compte (prospection, entraînement de modèles IA hors contrat, revente).

5. Confidentialité du personnel (art. 28.3.b)

Le ST s'assure que les personnes autorisées à traiter les données personnelles sont tenues à une obligation de confidentialité (contractuelle ou légale), formées aux exigences de sécurité et d'accès au strict nécessaire. L'accès support au compte du RT n'intervient qu'après accord du praticien (lien d'autorisation, accord oral tracé, ou urgence technique justifiée et journalisée), par défaut en lecture seule, limité dans le temps, et journalisé.

6. Sécurité du traitement (art. 28.3.c et art. 32)

Compte tenu de l'état des connaissances, des coûts et de la nature des données (dont données de santé), le ST met en œuvre notamment :

• chiffrement au repos des données sensibles (AES-256-GCM, rétrocompatibilité AES-256-CBC pour données historiques) ;
• chiffrement des communications (TLS 1.2+) ;
• hébergement chez Scaleway (certification HDS de l'hébergeur pour le périmètre de son offre / contrat ; ADvision n'est pas hébergeur certifié HDS), localisation en France ;
• cloisonnement logique des cabinets (group_id), contrôle d'accès et authentification (dont 2FA TOTP pour les comptes praticiens) ;
• journaux d'accès, sauvegardes, gestion des incidents ;
• minimisation et masquage d'identité lorsque pertinentes (ex. prompts IA ; non anonymisation).

Le détail opérationnel peut évoluer pour maintenir un niveau de sécurité équivalent ou supérieur ; toute baisse matérielle de garanties sera notifiée au RT.

7. Sous-traitants ultérieurs (art. 28.3.d)

Le RT autorise de manière générale le recours aux sous-traitants ultérieurs listés ci-dessous, sous réserve du respect de l'art. 28 RGPD (obligations équivalentes).

L'Assurance Maladie (réception des FSE/DRE) agit en tant qu'autorité / destinataire réglementaire, et non comme sous-traitant du ST. Matomo, auto-hébergé en France, concerne la mesure d'audience du site vitrine (avec consentement) et non le dossier patient de l'application métier.

7.1. Information et opposition

Avant tout ajout ou remplacement d'un sous-traitant ultérieur traitant des données patients pour le compte du RT, le ST informe le RT par e-mail (compte administrateur) ou notification in-app, avec un préavis d'au moins 30 jours.

Pendant ce délai, le RT peut s'opposer pour motif légitime lié à la protection des données, par écrit à contact@ad-vision.fr. En cas d'opposition non conciliable, le RT peut résilier l'abonnement selon les modalités des CGV, sans frais de résiliation liés à ce seul motif (hors engagement annuel déjà couru). Les changements urgents de sécurité (remplacement forcé pour incident) sont notifiés dans les meilleurs délais, avec justification.

8. Assistance aux droits des personnes (art. 28.3.e)

Le RT reste le point de contact des patients pour l'exercice de leurs droits (accès, rectification, effacement, limitation, opposition, portabilité, réclamation CNIL). Le ST assiste le RT, dans la mesure du possible et par des mesures techniques et organisationnelles appropriées, notamment via :

• export patient (JSON, PDF, ZIP) depuis l'application ;
• fonctions d'édition et de suppression / anonymisation prévues par le produit ;
• appui support sous 10 jours ouvrés pour les demandes que le RT ne peut satisfaire seul avec les outils fournis.

Les demandes reçues par erreur par le ST sont réorientées vers le RT sans délai indu.

9. Assistance art. 32 à 36 et violations (art. 28.3.f)

Le ST assiste le RT pour le respect des obligations des articles 32 à 36 du RGPD (sécurité, notification de violation, communication aux personnes, AIPD, consultation préalable), dans la limite de ses informations et du périmètre du service.

9.1. Notification de violation au RT

En cas de violation de données à caractère personnel dont le ST a connaissance, le ST notifie le RT dans les meilleurs délais et au plus tard sous 48 heures après en avoir pris connaissance, avec les éléments disponibles (nature, catégories et volume approximatif, conséquences probables, mesures prises ou proposées). Le ST s'efforce de transmettre une première alerte sous 24 heures lorsque la criticité le justifie.

La notification à la CNIL (art. 33) et aux personnes (art. 34) relève du RT ; le ST fournit les éléments techniques nécessaires pour permettre au RT de respecter ses délais.

10. Sort des données en fin de contrat (art. 28.3.g)

À la résiliation ou à l'expiration de l'abonnement, le RT peut demander :

• la restitution (export) des données du cabinet dans un format structuré usuel (export applicatif / archives) ; et/ou
• la suppression des données du cabinet hébergées par le ST, sous réserve des obligations légales de conservation incombant au RT ou au ST.

Délais :

• export sur demande : mis à disposition sous 30 jours après demande écrite du RT (compte administrateur) et vérification d'identité ;
• suppression des données du tenant après résiliation effective : réalisée sous 90 jours suivant la demande de suppression ou, à défaut de demande, à l'issue d'une période de grâce de 90 jours permettant la récupération, sauf conservation légale ou litige en cours.

Les sauvegardes techniques sont purgées selon le cycle de rétention des backups (au plus tard dans les cycles suivants, sans réactivation du service). Une attestation de suppression peut être fournie sur demande écrite (délai indicatif : 15 jours ouvrés après purge effective). Les formats, coûts et indicateurs (RPO/RTO) sont détaillés à l'article 16.

11. Audits et informations (art. 28.3.h)

Le ST met à la disposition du RT les informations nécessaires pour démontrer le respect de l'art. 28, notamment le présent DPA, la politique de confidentialité, et sur demande raisonnable des éléments de description des mesures de sécurité (sans compromettre la sécurité du service ni les secrets des autres clients).

Le RT peut demander un audit (questionnaire, entretien, ou audit sur place / à distance) au plus une fois par an, avec un préavis de 30 jours, aux heures ouvrées, à ses frais, et sous engagement de confidentialité. Les audits d'un hébergeur HDS ou d'un sous-traitant ultérieur peuvent être remplacés, le cas échéant, par la transmission de rapports ou certificats existants (ex. éléments HDS / rapports d'audit du prestataire), lorsque cela suffit à démontrer les garanties.

En cas d'incident de sécurité substantiel ou d'injonction d'une autorité, un audit complémentaire peut être convenu sans attendre le délai annuel.

12. Transferts hors UE et lois extra-européennes

Le ST n'opère pas de transfert hors UE des dossiers patients pour l'hébergement principal (France).

Certains sous-traitants ultérieurs peuvent impliquer un transfert ou un accès depuis hors UE (support, réplication de comptes, lois d'accès étrangères), notamment :

• Mailgun / Sinch (e-mails transactionnels minimisés) : endpoint UE, société américaine / groupe Sinch ; DPA EU, SCC et/ou Data Privacy Framework selon le cas ;
• Stripe (paiement de l'abonnement SaaS, hors dossier clinique) : DPA et SCC le cas échéant.

Le ST ne revendique pas d'immunité face aux lois extra-européennes applicables à ces sous-traitants ; il documente le recours et les garanties contractuelles connues. Tout nouveau transfert hors UE portant sur des données patients fera l'objet de l'information prévue à l'article 7.1.

13. Modification du DPA

Le ST peut mettre à jour le DPA pour refléter l'évolution du service, des sous-traitants ou du droit applicable. Les modifications substantielles sont notifiées au RT avec un préavis d'au moins 30 jours (e-mail ou in-app). La poursuite de l'utilisation du service après l'entrée en vigueur vaut acceptation, sans préjudice du droit de résiliation du RT selon les CGV en cas de désaccord sur une modification substantielle défavorable à la protection des données.

14. Droit applicable

Le présent DPA est régi par le droit français. Les litiges relatifs à son interprétation ou à son exécution sont soumis aux tribunaux compétents du ressort du siège du ST, sous réserve de dispositions d'ordre public contraires.

15. Contact

Pour toute question relative au présent DPA : contact@ad-vision.fr (référent contractuel / sécurité).

16. Hébergement, indicateurs et réversibilité

Sans préjudice de l'article 10, le ST précise ci-dessous les modalités de continuité et de réversibilité du service SaaS (éléments attendus notamment au regard de l'art. R. 1111-11 du CSP et de l'exigence de réversibilité des référentiels HDS applicables à l'hébergeur).

16.1. Indicateurs de service (objectifs)

Ces valeurs sont des objectifs de moyens. Elles ne constituent pas une assurance tous risques ni une certification HDS de l'éditeur.

16.2. Formats de restitution

• Export cabinet (self-service) : archive ZIP de fichiers CSV (patients, médecins, consultations, actes, factures, FSE, inventaire de fichiers ; option contenu des fichiers) via Mon cabinet → Export ;
• Export patient : JSON, PDF et/ou ZIP depuis la fiche patient ;
• Restitution assistée : archive documentée dans les mêmes formats structurés, avec manifeste ; un dump SQL brut n'est pas le format nominal.

16.3. Délais et coûts

16.4. Certificat HDS hébergeur

Sur demande raisonnable du RT, le ST communique les éléments de certification ou de contrat HDS Scaleway disponibles (référence produit, périmètre d'activités couvertes selon l'offre). Aucun certificat HDS au nom d'ADvision n'est annexé au présent DPA.