Accord de traitement des données (DPA)

Le Sous-traitant traite les données à caractère personnel pour le compte et sur instructions documentées du Responsable de traitement, aux seules fins de fournir l’application Nuvocare. Le Responsable de traitement détermine les finalités et les moyens du traitement ; il garantit disposer d’une base légale pour le traitement des données qu’il confie. Le contrat d’abonnement, le présent accord et le paramétrage de l’application par le Responsable de traitement constituent ensemble ces instructions documentées ; il en va de même du mandat de reprise des données donné dans l’application (article 8 des CGV), au sens de l’article 28, paragraphe 3, point a) du RGPD.

• Catégories de données : données d’identification des patients, données de santé (catégorie particulière au sens de l’article 9 RGPD), documents médicaux, consentements, données de rendez-vous et de facturation.
• Personnes concernées : patients du Responsable de traitement, et personnels habilités.
• Nature des opérations : collecte, enregistrement, conservation, consultation, mise à disposition, hébergement, suppression ; lorsque le Responsable de traitement en donne mandat, extraction et migration initiale des données depuis son logiciel antérieur (reprise des données, article 8 des CGV), en lecture seule chez l’éditeur d’origine et sans transit par un tiers.

Le présent accord s’applique pendant toute la durée de l’abonnement. À son terme, le Sous-traitant procède à la restitution puis à la suppression des données selon les instructions du Responsable de traitement : restitution dans les 30 jours suivant la fin de l’abonnement, suppression au plus tard 90 jours après cette fin, sauvegardes incluses (voir article 10).

• Traiter les données uniquement sur instructions documentées du Responsable de traitement.
• Garantir la confidentialité (personnel autorisé, engagé à la confidentialité).
• Mettre en œuvre des mesures techniques et organisationnelles appropriées (article 32 RGPD).
• Assister le Responsable de traitement pour les demandes d’exercice des droits des personnes.
• Assister le Responsable de traitement pour la sécurité, les notifications de violation et les analyses d’impact (AIPD).
• Notifier toute violation de données sans délai injustifié après en avoir pris connaissance.
• Mettre à disposition les informations nécessaires pour démontrer le respect de l’article 28 et permettre des audits.

Les données de santé doivent être hébergées chez un hébergeur certifié « Hébergeur de Données de Santé » (HDS), conformément à l’article L. 1111-8 du Code de la santé publique.

Les données de santé traitées dans Nuvocare sont hébergées par Clever Cloud SAS, société française, sur son infrastructure certifiée HDS située en France (zone parhds) : application, base de données, authentification et stockage des documents. La bascule vers cet hébergeur a été réalisée le 30 juillet 2026. Aucune donnée de santé n’est hébergée hors de ce périmètre.

Clever Cloud SAS, société par actions simplifiée dont le siège social est situé 4 rue Voltaire, 44000 Nantes, France, immatriculée au RCS de Nantes sous le numéro 524 172 699, est titulaire du certificat HDS n° FR094504 délivré par Bureau Veritas Certification France (organisme accrédité COFRAC), valable jusqu’au 19 décembre 2027, couvrant les six activités du référentiel de certification « Hébergeur de données de santé » : mise à disposition et maintien en condition opérationnelle des sites physiques, de l’infrastructure matérielle, de l’infrastructure virtuelle et de la plateforme d’hébergement d’applications, administration et exploitation du système d’information, et sauvegarde des données de santé.

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants, soumis aux mêmes obligations de protection des données :

• Clever Cloud SAS (France) : hébergeur certifié HDS pour l’application, la base de données, l’authentification et le stockage des documents de santé.
• Un prestataire de transcription automatique établi dans l’Union européenne : transcription des dictées médicales.
• Des prestataires de modèles de langage : aide à la rédaction des comptes rendus, sous engagement de non-réutilisation pour l’entraînement.
• Stripe : paiement de l’abonnement (ne traite pas de données de santé).
• Pennylane (France) : émission des factures d’abonnement (ne traite pas de données de santé).
• Resend : emails transactionnels (ne traite pas de données de santé).
• Vercel : sites vitrines pro.nuvocare.fr et www.nuvocare.fr uniquement (ne traite pas de données de santé).

Le Sous-traitant communique sur demande l’identité des prestataires de transcription et de rédaction assistée, informe le Responsable de traitement de tout changement de sous-traitant ultérieur et lui permet de s’y opposer. Les accords de traitement des données conclus avec chaque sous-traitant ultérieur, dont les engagements de non-utilisation des contenus pour l’entraînement des modèles d’IA et, pour la transcription, la non-rétention des contenus (« zero data retention »), sont documentés par le Sous-traitant et tenus à la disposition du Responsable de traitement sur demande. Les garanties de transfert hors UE sont décrites à l’article 7.

Tout transfert hors UE est encadré par des garanties appropriées (clauses contractuelles types). Les données de santé restent hébergées en France chez l’hébergeur certifié HDS et ne quittent pas ce périmètre.

Le Sous-traitant maintient une séparation stricte entre le rail d’authentification des professionnels (à terme Pro Santé Connect) et celui des patients (à terme France Connect + INS) ; aucun pont n’est établi entre les deux.

Mesures en place : hébergement certifié HDS en France, chiffrement en transit (TLS) et au repos, contrôle d’accès par rôle appliqué jusqu’au niveau de la base de données (politiques d’accès ligne par ligne), journalisation des accès en mode append-only, séparation des rails d’identité professionnel / patient, authentification des patients par liens à usage unique, sauvegardes chiffrées avec restauration à un instant donné (PITR). En cas de violation de données à caractère personnel, le Sous-traitant notifie le Responsable de traitement sans délai injustifié et au plus tard 48 heures après en avoir pris connaissance, par email à l’adresse du titulaire du compte, en précisant la nature de la violation, les catégories de données et de personnes concernées, les conséquences probables et les mesures prises ou proposées pour y remédier.

Au choix du Responsable de traitement, le Sous-traitant restitue les données dans un format structuré et exploitable puis les supprime, sauf obligation légale de conservation. La restitution peut être demandée dans les 30 jours suivant la fin de l’abonnement ; la suppression intervient au plus tard 90 jours après cette fin, sauvegardes incluses (délais identiques à l’article 7 des CGV). Il est rappelé que l’obligation de conservation du dossier médical incombe au Responsable de traitement.

Pour toute question relative au présent accord, comme pour les questions relatives à la protection des données, les adresses de contact du Sous-traitant figurent dans les mentions légales (aucun délégué à la protection des données n’est désigné à ce jour).