Le présent Accord de traitement des données (Data Processing Agreement, ci-après « DPA ») complète les CGU et la Politique de confidentialité. Il définit les conditions dans lesquelles Soin et Vertus (« le Sous-traitant ») traite des données personnelles pour le compte d'un praticien partenaire (« le Responsable de traitement »), conformément à l'article 28 du RGPD.
1. Parties
- Responsable de traitement : le praticien partenaire utilisant la plateforme dans le cadre de son activité professionnelle.
- Sous-traitant : Soin et Vertus (SASU) — 3 rue des Vignes, 94000 Créteil, France — SIREN 879 870 822, éditeur de Institut Vitalis.
2. Objet et durée
Le Sous-traitant traite, pour le compte du Responsable, les données nécessaires à l'exécution du Service (anamnèses, messages, bilans, documents). Le traitement court pendant toute la durée de la relation contractuelle et se termine selon les modalités de l'article 8.
3. Nature et finalité du traitement
- Hébergement et restitution des dossiers patients.
- Assistance par IA (synthèses, suggestions, scoring fonctionnel).
- Génération de rapports PDF et partage sécurisé.
- Journalisation et audit de sécurité (RLS, accès aux liens partageables).
4. Catégories de données et de personnes
- Personnes : patients du praticien, le praticien lui-même.
- Données : identité, données de santé (catégorie particulière — art. 9 RGPD), historique de consultations, documents importés.
5. Obligations du sous-traitant
- Traiter les données uniquement sur instruction documentée du Responsable (CGU + paramètres compte).
- Garantir la confidentialité (engagement de tout le personnel ayant accès).
- Mesures de sécurité : chiffrement TLS, chiffrement au repos, RLS, MFA optionnelle, journalisation des accès, vault offline chiffré (PBKDF2-SHA256 250k + AES-GCM 256).
- Notifier le Responsable sans délai en cas de violation de données (art. 33 RGPD).
- Assister le Responsable pour répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité).
6. Sous-traitants ultérieurs
Le Responsable autorise les sous-traitants suivants :
- Lovable Cloud — hébergement de l'application, base de données et authentification (localisation et certifications en cours de vérification).
- Google Cloud / OpenAI — inférence IA via passerelle Lovable AI (conditions de conservation en cours de vérification).
- Resalib — prise de rendez-vous (uniquement données nominatives saisies par le patient sur Resalib).
- Stripe Payments Europe, Ltd. (Irlande, UE) — traitement des paiements en ligne, certifié PCI-DSS niveau 1. Aucune donnée carte n'est traitée ni stockée par Vitalis.
Toute modification de cette liste sera notifiée 30 jours avant prise d'effet.
7. Transferts hors UE
Aucun transfert structurel hors UE. Les requêtes IA peuvent transiter par des modèles hébergés hors UE via la passerelle Lovable AI ; les données sont alors couvertes par des clauses contractuelles types (CCT) conformes à la décision 2021/914.
8. Fin du contrat
À la résiliation, le Sous-traitant restitue les données sous forme d'export (JSON + PDF) puis les supprime sous 30 jours, sauf obligation légale de conservation (logs techniques : 12 mois ; comptabilité : 10 ans).
9. Audits
Le Responsable peut demander une attestation de conformité annuelle et, en cas d'incident avéré, mandater un audit à ses frais avec préavis de 30 jours.
10. Contact
Toute question relative au présent DPA : contact@institutvitalis.fr.