Version 1.0 — mai 2026. Accord de sous-traitance au sens de l'article 28 du RGPD.
À lire avant de créer votre compte
En créant un compte Redactys, vous acceptez le présent accord. Il encadre le traitement des données patient transitant par l'outil. La praticienne reste responsable de traitement ; Redactys est sous-traitant.
Ce que ça veut dire concrètement
Le présent accord (ci-après « l'Accord » ou « DPA ») encadre le traitement de données à caractère personnel effectué par Redactys, éditeur du service Redactys (accessible à l'adresse redactys.com), pour le compte de la praticienne psychomotricienne utilisatrice du service.
Il complète les Conditions Générales d'Utilisation (CGU) de Redactys et s'applique automatiquement à toute praticienne disposant d'un compte actif. En cas de contradiction entre les CGU et le présent DPA s'agissant du traitement de données à caractère personnel, les stipulations du DPA prévalent.
La praticienne utilisatrice du service Redactys, exerçant la profession de psychomotricien(ne) à titre libéral (en entreprise individuelle, en société d'exercice libéral ou sous tout autre statut équivalent), identifiée par l'adresse e-mail renseignée lors de son inscription, ci-après désignée « le Responsable de traitement ».
Et Redactys, éditeur du service Redactys, dont les coordonnées figurent dans les mentions légales du site redactys.com, ci-après désigné « le Sous-traitant ».
Objet — Le Sous-traitant met à disposition un outil logiciel d'aide à la rédaction de bilans psychomoteurs reposant sur un modèle d'intelligence artificielle générative. L'outil transforme des notes cliniques saisies par la praticienne en textes rédigés selon les conventions du bilan psychomoteur (anamnèse, corps du bilan, conclusion, relecture critique dite « Maylis »).
Durée — Le traitement débute à la création du compte praticien et se poursuit aussi longtemps que ce compte reste actif. Il prend fin à la suppression du compte, à la résiliation du service par le Sous-traitant moyennant un préavis de 30 jours, ou au constat d'une inactivité prolongée du compte.
Nature — Les opérations sur les données patient sont strictement limitées à :
localStorage local).Aucune écriture des données patient n'est effectuée dans une base de données, un système de fichiers ou un système de logs sous le contrôle du Sous-traitant.
Finalité — Assister la praticienne dans la rédaction de comptes-rendus de bilan psychomoteur, dans le cadre de sa mission de soin envers ses patients mineurs.
Les données suivantes peuvent transiter par le service à l'initiative de la praticienne :
Ces données relèvent de la catégorie des données sensibles au sens de l'article 9 du RGPD (données de santé concernant un mineur) et bénéficient d'un régime de protection renforcé.
La praticienne, en tant que responsable de traitement :
Elle dispose en retour du droit :
Le Sous-traitant s'engage à ne traiter les données qu' sur instruction documentée du Responsable de traitement. L'instruction résulte de l'usage du service tel que défini dans les CGU et le présent DPA, du contenu des notes saisies, et des paramètres choisis dans l'espace de calibrage.
Le Sous-traitant n'effectue notamment pas :
Si une instruction est susceptible de constituer une violation du RGPD, le Sous-traitant en informe immédiatement la praticienne.
Le Sous-traitant garantit que :
Compte tenu de l'architecture technique de Redactys, aucun collaborateur du Sous-traitant n'a accès en lecture aux notes cliniques ni aux textes générés : ces données ne transitent pas par les systèmes de stockage du Sous-traitant.
Mesures techniques —
Mesures organisationnelles — registre des traitements (Art. 30), procédure de notification de violation, revues régulières de la documentation de sécurité, sensibilisation des intervenants.
Risques résiduels portés à la connaissance — les notes patient transitent ponctuellement par les serveurs d'un prestataire de traitement par IA situé aux États-Unis (cf. article 8). Les données stockées dans le localStorage du navigateur ne sont pas chiffrées par le Sous-traitant ; il appartient à la praticienne de sécuriser son poste (session verrouillée, disque chiffré).
Autorisation générale — La praticienne autorise le Sous-traitant à recourir à des sous-traitants ultérieurs. Tout ajout ou remplacement fait l'objet d'une information préalable lui laissant un délai raisonnable pour s'y opposer.
Catégories à la date du présent accord — La liste nominative des sous-traitants ultérieurs est communiquée à la praticienne sur simple demande.
| Catégorie de sous-traitant | Rôle | Localisation | Base de transfert hors UE |
|---|---|---|---|
| Hébergement et base de données | Hébergement de l'application et base de données du compte praticien | Union européenne | Sans objet (traitement intra-UE). Aucune donnée patient n'y est stockée de façon persistante. |
| Traitement par intelligence artificielle | Traitement automatisé des contenus par IA (génération de texte et traitements associés), sur données pseudonymisées | Union européenne et États-Unis | CCT de la Commission européenne, complétées du Data Privacy Framework et d'un engagement de zéro-rétention lorsque disponible. Seules des données pseudonymisées sont transmises. |
| Acheminement d'e-mails de sécurité | Envoi des e-mails d'alerte de sécurité (tentatives de connexion suspectes) | États-Unis | CCT de la Commission européenne + Data Privacy Framework. Données limitées à l'e-mail du compte et l'adresse IP — aucune donnée patient. |
Chaque sous-traitant ultérieur est lié par des obligations de protection des données équivalentes à celles du présent DPA. Le Sous-traitant demeure pleinement responsable envers la praticienne de l'exécution de leurs obligations.
Compte tenu de la nature du traitement et dans la mesure du possible, le Sous-traitant aide la praticienne à donner suite aux demandes des personnes concernées (droits d'information, d'accès, de rectification, d'effacement, de limitation, à la portabilité et d'opposition — Art. 12 à 22 RGPD).
Le Sous-traitant ne conservant aucune donnée patient dans ses systèmes de stockage, les demandes des personnes concernées doivent être adressées directement à la praticienne, qui détient le dossier patient.
Les données concernant majoritairement des patients mineurs, le Sous-traitant veille à ce que toute communication relative à l'exercice des droits soit rédigée dans des termes clairs et adaptés, le cas échéant à destination du représentant légal de l'enfant.
Le Sous-traitant notifie à la praticienne toute violation de données à caractère personnel dans un délai de 72 heures à compter de sa découverte, par e-mail à l'adresse de contact du compte praticien.
La notification comporte :
Le Sous-traitant fournit, sur demande, les informations nécessaires à la réalisation par la praticienne d'une analyse d'impact relative à la protection des données (Art. 35 RGPD), lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées. Le Sous-traitant a procédé pour son propre compte à une étude des risques liés au service ; ses conclusions sont communiquées sur demande motivée.
Le Sous-traitant met à disposition toute information nécessaire pour démontrer le respect des obligations du présent accord et de l'article 28 du RGPD.
La praticienne peut, à ses frais et moyennant un préavis raisonnable d'au moins 30 jours, faire réaliser un audit des mesures techniques et organisationnelles. À défaut d'audit in situ, le Sous-traitant peut fournir des rapports d'audit indépendants ou des certifications considérés comme équivalents.
E-mail : [email protected]
La désignation d'un délégué à la protection des données (DPO) au sens de l'article 37 RGPD n'est juridiquement obligatoire pour le Sous-traitant qu'au-delà de certains seuils. Le point de contact ci-dessus tient lieu de référent RGPD à défaut de DPO formellement désigné.
Le présent accord entre en vigueur à la création du compte praticien et demeure applicable tant que ce compte est actif.
Toute modification substantielle est portée à la connaissance de la praticienne par e-mail au moins 30 jours avant son entrée en vigueur. La poursuite de l'usage du service au-delà de ce délai vaut acceptation. En cas de désaccord, la praticienne peut résilier son compte sans préavis ni frais.
Le présent accord est régi par le droit français. Tout litige relatif à son interprétation ou à son exécution relève de la compétence exclusive des juridictions françaises, sous réserve des dispositions impératives applicables.
La praticienne reconnaît avoir pris connaissance du présent DPA et l'accepter sans réserve par le fait de cocher la case d'acceptation prévue lors de la création de son compte. La date d'acceptation est consignée dans le compte praticien (champ dpa_accepted_at) à titre de preuve.
Vous souhaitez télécharger ce document ? [email protected]