Contrat de sous-traitance (DPA)
Dernière mise à jour : 2 juillet 2026 — Version 1.0 · Article 28 RGPD
Le présent accord encadre le traitement des données à caractère personnel des patients par Nyvo pour le compte du Praticien. Il fait partie intégrante des CGV/CGU et s'applique dès la souscription.
1. Rôles
Responsable de traitement : le Praticien utilisateur. Sous-traitant : Grégory Landurier (EI), « Nyvo ». Nyvo traite les données de santé uniquement pour fournir le service et sur instruction documentée du Responsable (les CGV et l'usage du service valant instructions).
2. Objet, durée, finalité
Nature : enregistrement audio, transcription, génération et stockage de comptes-rendus, hébergement des dossiers. Finalité : fournir un outil de rédaction de CR et de gestion de patientèle. Durée : celle de l'abonnement, puis application de l'article 8.
3. Données & personnes concernées
Personnes : patients du Praticien. Données : identité, données de santé (motif, antécédents, observations, comptes-rendus), enregistrement audio temporaire. Données sensibles au sens de l'art. 9 RGPD, traitées au titre de la prise en charge (art. 9.2.h).
4. Obligations du sous-traitant (art. 28.3)
- Traiter les données uniquement sur instruction documentée du Responsable ;
- Garantir la confidentialité des personnes autorisées ;
- Mettre en œuvre les mesures de sécurité (art. 32, voir §6) ;
- Respecter les conditions de recours aux sous-traitants ultérieurs (§5) ;
- Assister le Responsable pour les demandes d'exercice des droits ;
- Aider le Responsable pour la sécurité, les notifications de violation et les AIPD ;
- Supprimer ou restituer les données en fin de prestation (§8) ;
- Mettre à disposition les informations nécessaires et permettre des audits raisonnables.
5. Sous-traitants ultérieurs
Le Responsable autorise les sous-traitants ultérieurs suivants, tous situés dans l'UE :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Scalingo SAS | Hébergement (HDS) | France |
| Mistral AI | Transcription & génération du CR | France / UE |
| Brevo | E-mails transactionnels | UE |
| Stripe Payments Europe | Paiements (données du praticien, hors santé) | UE |
Tout ajout ou remplacement est notifié au préalable au Responsable, qui peut s'y opposer pour motif légitime.
6. Sécurité
Hébergement HDS en France sans transfert hors UE ; chiffrement des données sensibles ; audio chiffré purgé sous 24 h (crypto-shredding) ; contrôle et journalisation des accès ; cloisonnement par praticien/cabinet.
7. Localisation & transferts
Données hébergées et traitées en France / UE. Aucun transfert hors UE.
8. Fin de contrat
Au choix du Responsable et sous 30 jours : restitution (export) ou suppression, sauf obligation légale de conservation. L'audio suit la purge automatique (≤ 24 h).
9. Violations de données
Nyvo notifie au Responsable, dans les meilleurs délais, toute violation dont il a connaissance, avec les informations utiles (art. 33-34 RGPD).