Contrat de sous-traitance
selon l’article 28 du RGPD · Version du 10 novembre 2026 · Version 1 · Deutsche Fassung
Traduction de la version allemande. En cas de divergence, la version allemande fait foi.
entre le Client (responsable du traitement) et la DuOh Corporation UG (haftungsbeschränkt), Krefelder Straße 4, 52146 Würselen (Allemagne), Amtsgericht Aachen, HRB 25328 (sous-traitant). Le présent contrat fait partie intégrante des conditions générales et s’applique dès leur acceptation.
1. Objet et durée
Le sous-traitant exploite pour le responsable du traitement le logiciel de cabinet Medivia. Le présent contrat s’applique pendant toute la durée du contrat d’utilisation et au-delà, jusqu’à ce que toutes les données soient supprimées ou restituées.
2. Nature des données et personnes concernées
| Personnes concernées | Données |
|---|---|
| Patients du cabinet | Nom, coordonnées, adresse, date de naissance, rendez-vous, prestations, paiements, données de santé (bilans, carte du pied, risques, questionnaire, photos, documents) |
| Collaborateurs du cabinet | Nom, e-mail, rôle, temps de travail (pointage), données de connexion |
| Prospects (réservation en ligne, liste d’attente) | Nom, e-mail, téléphone, souhaits de rendez-vous |
Les données de santé relèvent des catégories particulières au sens de l’article 9 du RGPD. Le sous-traitant ne les traite que pour faire fonctionner Medivia.
3. Instructions
Le sous-traitant ne traite les données que sur instruction documentée du responsable du traitement. Les instructions découlent du contrat d’utilisation et de l’utilisation de Medivia. S’il estime qu’une instruction est illicite, il en informe immédiatement le responsable du traitement.
4. Confidentialité et sécurité
- Toutes les personnes ayant accès aux données sont tenues à la confidentialité.
- Mesures techniques et organisationnelles (article 32 du RGPD) : stockage dans des centres de données situés dans l’UE (Francfort-sur-le-Main) ; transmission chiffrée (TLS) et stockage chiffré ; séparation stricte des cabinets dans la base de données ; rôles et droits par collaborateur, verrouillage de l’écran par code PIN, journal des modifications importantes ; sauvegarde quotidienne chiffrée conservée 30 jours.
- Le sous-traitant n’accède aux données des patients que si cela est nécessaire pour le support ou la correction d’erreurs et que le responsable du traitement y a consenti.
5. Sous-traitants ultérieurs
Le responsable du traitement accepte les sous-traitants ultérieurs suivants. Le sous-traitant l’informe de tout nouveau sous-traitant ultérieur au moins 30 jours à l’avance ; le responsable du traitement peut s’y opposer.
| Service | Finalité | Lieu |
|---|---|---|
| Supabase Inc. | Base de données, fichiers, connexion | UE (Francfort) |
| Cloudflare Inc. | Diffusion de l’application et du site web | Monde, clauses contractuelles types de l’UE |
| Resend Inc. | Envoi des e-mails aux patients et aux collaborateurs | UE (Irlande), clauses contractuelles types de l’UE |
| HeiGIT gGmbH (openrouteservice) | Calcul des temps de trajet pour les visites à domicile (adresses uniquement) | Allemagne |
| GitHub Inc. | Stockage des sauvegardes, uniquement chiffrées, sans la clé | États-Unis, clauses contractuelles types de l’UE / Data Privacy Framework |
Stripe ne traite que les données de facturation du cabinet lui-même et n’est pas sous-traitant ultérieur pour les données des patients. Le cabinet utilise SumUp sur la base de son propre contrat avec SumUp.
6. Assistance au responsable du traitement
Le sous-traitant aide le responsable du traitement à répondre aux demandes d’accès, de rectification et d’effacement des patients (Medivia propose pour cela un export des données par patient), lors des analyses d’impact relatives à la protection des données et lors de la notification de violations de données. Il signale toute violation de données à caractère personnel sans délai, au plus tard dans les 24 heures après en avoir pris connaissance.
7. Contrôles
Le responsable du traitement peut vérifier le respect du présent contrat, en priorité au moyen d’informations et de documents, et, après annonce avec un préavis raisonnable, également sur place.
8. Suppression et restitution
À la fin du contrat, le sous-traitant remet les données sous forme d’export sur demande, puis les supprime au plus tard 30 jours après la fin du contrat (après un essai non prolongé : 90 jours après la fin de l’essai). Il annonce la suppression par e-mail au moins 7 jours à l’avance. Les sauvegardes sont supprimées à l’expiration de leur durée de conservation (30 jours).