Accord de traitement des données (DPA)

Préambule

Le présent accord (ci-après « l'Accord » ou « DPA ») encadre le traitement de données à caractère personnel effectué par Redactys, éditeur du service Redactys (accessible à l'adresse redactys.com), pour le compte du praticien psychomotricien utilisateur du service.

Il complète les conditions générales d'utilisation et de vente de Redactys et s'applique automatiquement à tout praticien disposant d'un compte actif. En cas de contradiction entre ces conditions et le présent DPA s'agissant du traitement de données à caractère personnel, les stipulations du DPA prévalent.

Entre les soussignés

Le praticien utilisateur du service Redactys, exerçant la profession de psychomotricien à titre libéral (en entreprise individuelle, en société d'exercice libéral ou sous tout autre statut équivalent), identifié par l'adresse e-mail renseignée lors de son inscription, ci-après désigné « le Responsable de traitement ».

Et Redactys, éditeur du service Redactys, dont les coordonnées figurent dans les mentions légales du site redactys.com, ci-après désigné « le Sous-traitant ».

1. Objet, durée, nature et finalité du traitement (Art. 28.3)

Objet : Le Sous-traitant met à disposition un outil logiciel d'aide à la rédaction de bilans psychomoteurs reposant sur un modèle d'intelligence artificielle générative. L'outil transforme des notes cliniques saisies par le praticien en textes rédigés selon les conventions du bilan psychomoteur (anamnèse, corps du bilan, conclusion, relecture critique dite « Supervision »).

Durée : Le traitement débute à la création du compte praticien et se poursuit aussi longtemps que ce compte reste actif. Il prend fin à la suppression du compte, à la résiliation du service par le Sous-traitant moyennant un préavis de 30 jours, ou au constat d'une inactivité prolongée du compte.

Nature : Les opérations sur les données patient sont strictement limitées à :

• transmission en mémoire vive (RAM) des notes saisies vers l'API du sous-traitant ultérieur de traitement par IA ;
• retour du texte généré vers le navigateur du praticien ;
• conservation des textes dans le navigateur du praticien (localStorage local) ;
• conservation du bilan, chiffré dans le navigateur du praticien avant tout envoi, sur une base de sauvegarde hébergée en France chez un hébergeur certifié Hébergeur de Données de Santé.

Les notes saisies et les textes générés ne sont écrits en clair dans aucune base de données, aucun système de fichiers et aucun système de logs sous le contrôle du Sous-traitant. Le bilan lui-même est conservé, mais il est chiffré sur le poste du praticien avec une clé dérivée de son mot de passe. Le Sous-traitant ne détient pas cette clé et ne peut donc pas lire ce qui est conservé.

Finalité : Assister le praticien dans la rédaction de comptes-rendus de bilan psychomoteur, dans le cadre de sa mission de soin envers ses patients mineurs.

2. Type de données à caractère personnel traitées

Les données suivantes peuvent transiter par le service à l'initiative du praticien :

• Données d'identification du patient mineur : prénom, âge, date de naissance, sexe.
• Données de santé au sens de l'article 4.15 du RGPD : antécédents médicaux, observations cliniques, diagnostics évoqués, résultats de tests psychomoteurs, retentissements fonctionnels, hypothèses cliniques, orientations thérapeutiques.
• Données concernant la famille : composition familiale, profession des parents, contexte de vie, antécédents familiaux pertinents.
• Données contextuelles scolaires et médicales : nom de l'école, médecin référent, prises en charge en cours.

Ces données relèvent de la catégorie des données sensibles au sens de l'article 9 du RGPD (données de santé concernant un mineur) et bénéficient d'un régime de protection renforcé.

3. Catégories de personnes concernées

• Patients mineurs suivis par le praticien en consultation de psychomotricité.
• Membres de la famille des patients (parents, fratrie), lorsque leurs données sont mentionnées dans les notes.
• Tiers professionnels (médecin traitant, enseignant, autre professionnel de santé), lorsque leur nom apparaît dans les notes.

4. Obligations et droits du Responsable de traitement

Le praticien, en tant que responsable de traitement :

• détermine seul les données qu'il introduit dans le service et les finalités précises de leur traitement clinique ;
• garantit disposer d'une base légale pour traiter les données de santé concernées (Art. 6 et 9 du RGPD) ;
• informe les patients et leurs représentants légaux du recours à un outil d'aide à la rédaction reposant sur une IA générative (Art. 13 et 14 RGPD) ;
• conserve la maîtrise du dossier patient sur ses propres supports (logiciel métier, dossier papier) ;
• est seule responsable du contenu final des bilans, l'outil ne produisant que des suggestions de rédaction.

Il dispose en retour du droit :

• d'obtenir toute information utile pour démontrer la conformité du traitement ;
• de réaliser ou faire réaliser un audit du Sous-traitant (art. 13) ;
• d'être informé sans délai de toute violation de données.

5. Engagement de traitement sur instruction documentée

Le Sous-traitant s'engage à ne traiter les données que sur instruction documentée du Responsable de traitement. L'instruction résulte de l'usage du service tel que défini dans les conditions générales et le présent DPA, du contenu des notes saisies, et des paramètres choisis dans l'espace de calibrage.

Le Sous-traitant n'effectue notamment pas :

• d'entraînement d'un modèle d'IA sur les données patient ;
• d'utilisation des données à des fins statistiques au-delà de compteurs d'usage strictement anonymisés ;
• de transmission à un tiers autre que le sous-traitant ultérieur mentionné à l'article 8.

Si une instruction est susceptible de constituer une violation du RGPD, le Sous-traitant en informe immédiatement le praticien.

6. Confidentialité

Le Sous-traitant garantit que :

• les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité légale ou contractuelle ;
• l'accès aux données est limité au strict nécessaire (principe du moindre privilège) ;
• les intervenants reçoivent une formation appropriée.

Compte tenu de l'architecture technique de Redactys, aucun collaborateur du Sous-traitant n'a accès en lecture aux notes cliniques ni aux textes générés : les notes et les textes générés ne sont écrits en clair sur aucun de ses systèmes, et les bilans qu'il conserve sont chiffrés sur le poste du praticien, sans que le Sous-traitant en détienne la clé.

7. Sécurité du traitement (Art. 32)

Mesures techniques :

• chiffrement en transit (TLS 1.2 ou supérieur) sur toutes les communications ;
• minimisation par conception : aucune persistance des notes cliniques ni des textes générés côté Sous-traitant ;
• absence de logs de contenu : seuls des compteurs d'usage anonymisés (date, identifiant praticien, module) sont conservés ;
• authentification protégée par mot de passe haché (bcrypt ou équivalent) ;
• limitation de débit : 20 requêtes/heure et par compte praticien ;
• hébergement managé dans l'Union européenne (application et base de données du compte praticien).

Mesures organisationnelles : registre des traitements (Art. 30), procédure de notification de violation, revues régulières de la documentation de sécurité, sensibilisation des intervenants.

Risques résiduels portés à la connaissance : la génération d'un texte est traitée en Union européenne (région Paris) et ne transite plus par un prestataire situé aux États-Unis. Un transfert hors Union subsiste néanmoins pour le corpus de style : un résumé pseudonymisé de chaque paire de bilans transite par les serveurs d'un prestataire d'embeddings situé aux États-Unis (cf. article 8). Si le praticien utilise la dictée vocale, sa voix est transmise sans pseudonymisation à un prestataire de transcription situé dans l'Union européenne, qui la conserve 30 jours au plus (cf. article 8). Les données stockées dans le localStorage du navigateur ne sont pas chiffrées par le Sous-traitant ; il appartient au praticien de sécuriser son poste (session verrouillée, disque chiffré).

8. Sous-traitance ultérieure (Art. 28.2 et 28.4)

Autorisation générale : Le praticien autorise le Sous-traitant à recourir à des sous-traitants ultérieurs. Tout ajout ou remplacement fait l'objet d'une information préalable lui laissant un délai raisonnable pour s'y opposer.

Catégories à la date du présent accord : La liste nominative des sous-traitants ultérieurs constitue l'annexe 1 du présent accord. Elle est tenue à jour et consultable à tout moment depuis l'espace du praticien, à la page « Sous-traitants ». Elle n'est pas publiée sur le site : le praticien, responsable de traitement, y a accès en permanence, ce qui satisfait l'article 28.2 sans exposer publiquement la chaîne de fournisseurs. Une copie est communiquée sur simple demande.

Chaque sous-traitant ultérieur est lié par des obligations de protection des données équivalentes à celles du présent DPA. Le Sous-traitant demeure pleinement responsable envers le praticien de l'exécution de leurs obligations.

Certains tiers ne sont pas des sous-traitants : la connexion avec un compte Google, si le praticien la choisit à la place du mot de passe, et l'annuaire officiel des professionnels de santé, interrogé pour vérifier un numéro RPPS. Ni l'un ni l'autre ne traite de données pour le compte du Sous-traitant : chacun agit pour ses propres finalités. Aucun des deux ne reçoit la moindre donnée patient. L'annuaire ne reçoit que le numéro RPPS saisi, rien d'autre.

Deux réseaux de distribution de fichiers sont également sollicités par le navigateur du praticien, sans qu'aucune donnée ne leur soit transmise : ils servent un fichier public, comme un site sert une image. Le modèle qui repère les informations identifiantes avant tout envoi est servi depuis nos propres serveurs : en fonctionnement normal, aucun de ces deux réseaux n'est contacté. Ils ne le sont qu'en secours, si le fichier local est introuvable, pour qu'une installation incomplète ne prive jamais le praticien de cette protection. Ces deux réseaux sont nommés dans l'annexe 1.

9. Droits des personnes concernées

Compte tenu de la nature du traitement et dans la mesure du possible, le Sous-traitant aide le praticien à donner suite aux demandes des personnes concernées (droits d'information, d'accès, de rectification, d'effacement, de limitation, à la portabilité et d'opposition, art. 12 à 22 RGPD).

Le Sous-traitant ne peut lire aucune donnée patient : ce qu'il conserve est chiffré, et il n'a pas la clé. Les demandes des personnes concernées sont donc adressées directement au praticien, seul à détenir le dossier patient.

Les données concernant majoritairement des patients mineurs, le Sous-traitant veille à ce que toute communication relative à l'exercice des droits soit rédigée dans des termes clairs et adaptés, le cas échéant à destination du représentant légal de l'enfant.

10. Violation de données (Art. 33.2)

Le Sous-traitant notifie au praticien toute violation de données à caractère personnel dans un délai de 72 heures à compter de sa découverte, par e-mail à l'adresse de contact du compte praticien.

La notification comporte :

• la nature de la violation ;
• les catégories et le nombre approximatif de personnes concernées ;
• les conséquences probables ;
• les mesures prises ou proposées pour y remédier ;
• les coordonnées du point de contact pour toute information complémentaire.

11. Analyse d'impact (AIPD)

Le Sous-traitant fournit, sur demande, les informations nécessaires à la réalisation par le praticien d'une analyse d'impact relative à la protection des données (Art. 35 RGPD), lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées. Le Sous-traitant a procédé pour son propre compte à une étude des risques liés au service ; ses conclusions sont communiquées sur demande motivée.

12. Sort des données en fin de traitement

• Compte praticien : supprimé sous 30 jours à compter de votre demande, sauf obligation légale de conservation. Sans demande, le compte est conservé pour vous permettre d'y revenir.
• Compteurs d'usage anonymisés : conservés sous forme agrégée à des fins statistiques internes, sans réidentification possible.
• Bilans sauvegardés : conservés chiffrés tant que le praticien ne les supprime pas, et effacés avec son compte, qu'il s'agisse d'une fermeture ou d'une suppression. Le Sous-traitant ne détient pas la clé et ne peut pas lire ce qui est conservé.
• Données du navigateur : les notes et les textes en cours restent sur le poste du praticien. Leur suppression s'effectue par la fonction « Réinitialiser » de l'interface.

13. Audit et démonstration de la conformité

Le Sous-traitant met à disposition toute information nécessaire pour démontrer le respect des obligations du présent accord et de l'article 28 du RGPD.

Le praticien peut, à ses frais et moyennant un préavis raisonnable d'au moins 30 jours, faire réaliser un audit des mesures techniques et organisationnelles. À défaut d'audit in situ, le Sous-traitant peut fournir des rapports d'audit indépendants ou des certifications considérés comme équivalents.

14. Point de contact RGPD

E-mail : [email protected]

La désignation d'un délégué à la protection des données (DPO) au sens de l'article 37 RGPD n'est juridiquement obligatoire pour le Sous-traitant qu'au-delà de certains seuils. Le point de contact ci-dessus tient lieu de référent RGPD à défaut de DPO formellement désigné.

15. Durée, modification et résiliation

Le présent accord entre en vigueur à la création du compte praticien et demeure applicable tant que ce compte est actif.

Toute modification substantielle est portée à la connaissance du praticien par e-mail au moins 30 jours avant son entrée en vigueur. La poursuite de l'usage du service au-delà de ce délai vaut acceptation. En cas de désaccord, le praticien peut résilier son compte sans préavis ni frais.

16. Droit applicable et juridiction compétente

Le présent accord est régi par le droit français. Tout litige relatif à son interprétation ou à son exécution relève de la compétence exclusive des juridictions françaises, sous réserve des dispositions impératives applicables.

17. Acceptation

Le praticien reconnaît avoir pris connaissance du présent DPA et l'accepter sans réserve par le fait de cocher la case d'acceptation prévue lors de la création de son compte. La date d'acceptation est consignée dans le compte praticien (champ dpa_accepted_at) à titre de preuve.