Accord de traitement des donnees (DPA)

Preambule

Dans le cadre de l'utilisation de la plateforme PsyLib, le praticien (ci-apres "le Responsable de traitement") confie a PsyLib (ci-apres "le Sous-traitant") le traitement de donnees a caractere personnel, incluant des donnees de sante au sens de l'article 9 du RGPD.

Le present accord definit les obligations respectives des parties conformement a l'article 28 du RGPD et a l'article L.1111-8 du Code de la sante publique relatif a l'hebergement de donnees de sante.

1. Objet et duree du traitement

Le Sous-traitant traite des donnees a caractere personnel pour le compte du Responsable de traitement dans le cadre de la fourniture de la plateforme SaaS PsyLib. Le traitement dure pendant toute la duree de l'abonnement du Responsable de traitement, plus une periode de 90 jours apres la resiliation pour permettre l'export des donnees.

2. Nature et finalite du traitement

Le traitement a pour finalite :

• La gestion des dossiers patients du praticien
• Le stockage securise des notes de seance chiffrees
• La planification et le suivi des rendez-vous
• La facturation et la gestion comptable
• La messagerie chiffree entre praticien et patient
• La visio-consultation
• Le portail patient (suivi d'humeur, exercices, journal)
• La generation de resumes par intelligence artificielle (sur demande explicite du praticien uniquement)

3. Types de donnees personnelles traitees

4. Categories de personnes concernees

• Praticiens : psychologues, psychiatres, psychotherapeutes, psychanalystes, psychopraticiens utilisant PsyLib
• Patients : personnes suivies par les praticiens utilisateurs de PsyLib

5. Obligations du Sous-traitant (PsyLib)

Conformement a l'article 28 du RGPD, le Sous-traitant s'engage a :

• Traiter les donnees uniquement sur instruction documentee du Responsable de traitement. Le Sous-traitant ne traite les donnees que pour fournir le service PsyLib tel que decrit dans les CGU et la documentation.
• Garantir la confidentialite. Toute personne autorisee a traiter les donnees est soumise a une obligation de confidentialite.
• Mettre en oeuvre les mesures de securite appropriees (detail a l'article 7 ci-dessous).
• Ne pas faire appel a un autre sous-traitant sans l'autorisation prealable du Responsable de traitement. La liste des sous-traitants ulterieurs autorises est publiee sur psylib.eu/sous-traitants. Toute modification sera notifiee 30 jours avant sa prise d'effet.
• Assister le Responsable de traitement dans le respect de ses obligations (droit d'acces, rectification, effacement, portabilite, notification de violation, analyse d'impact).
• Supprimer ou restituer les donnees a la fin du contrat, au choix du Responsable de traitement. L'export est disponible pendant 90 jours apres la resiliation.
• Mettre a disposition les informations necessaires pour demontrer le respect du present accord et permettre la realisation d'audits.

6. Obligations du Responsable de traitement (praticien)

Le Responsable de traitement s'engage a :

• Informer ses patients de l'utilisation de PsyLib pour la gestion de leur dossier et recueillir leur consentement le cas echeant
• S'assurer de la licite du traitement conformement a sa responsabilite deontologique et legale
• Maintenir la securite de son compte (mot de passe robuste, MFA active, ne pas partager ses identifiants)
• Transmettre au Sous-traitant toute demande d'exercice de droits emanant d'un patient et necessitant l'intervention de PsyLib

7. Mesures techniques et organisationnelles de securite

Le Sous-traitant met en oeuvre les mesures suivantes pour garantir la securite des donnees conformement a l'article 32 du RGPD :

7.1. Hebergement

7.2. Chiffrement

• En transit : TLS 1.3 sur toutes les communications
• Au repos : chiffrement AES-256 de la base de donnees
• Applicatif : chiffrement AES-256-GCM des champs sensibles (notes de seance, resumes IA, messages, journal intime) avec cle rotatable

7.3. Authentification et controle d'acces

• Authentification : Keycloak (OpenID Connect) heberge sur OVH HDS
• MFA : authentification multi-facteurs TOTP obligatoire pour les praticiens
• Tokens : access token JWT 15 minutes, refresh token 8 heures
• RBAC : controle d'acces base sur les roles (praticien, patient, admin)
• Isolation : chaque praticien ne peut acceder qu'a ses propres patients (filtre multi-tenant)

7.4. Audit et tracabilite

• Journalisation de tous les acces aux donnees de sante (table audit_logs)
• Evenements Keycloak : connexions, deconnexions, echecs de connexion, challenges MFA
• Conservation des logs d'audit pendant toute la duree du contrat

7.5. Sauvegardes

• Sauvegardes automatiques quotidiennes de la base de donnees
• Sauvegardes stockees sur OVH HDS (France)
• Tests de restauration reguliers
• Retention de 7 jours

8. Sous-traitants ulterieurs

Le Responsable de traitement autorise le Sous-traitant a faire appel aux sous-traitants ulterieurs listes sur la page psylib.eu/sous-traitants.

Toute modification de la liste des sous-traitants ulterieurs sera notifiee par email au Responsable de traitement 30 jours avant sa prise d'effet. Le Responsable de traitement dispose de ce delai pour emettre des objections. En l'absence d'objection, le nouveau sous-traitant est repute accepte.

Le Sous-traitant impose a ses sous-traitants ulterieurs les memes obligations de protection des donnees que celles prevues au present accord.

9. Transferts de donnees hors Union europeenne

Certains sous-traitants ulterieurs non-HDS traitent des donnees non-cliniques :

• Vercel (USA) : hebergement du frontend (interface web). Aucune donnee de sante ne transite par Vercel (les appels API sont directs vers le serveur HDS).
• Stripe (Irlande/USA) : traitement des paiements. Seules les donnees de facturation sont transmises (nom, email, montant). Stripe est certifie PCI-DSS et beneficie de clauses contractuelles types (SCC) pour les transferts EU-USA.
• OpenRouter (USA) : traitement IA sur demande explicite du praticien uniquement. Seules des donnees anonymisees ou pseudonymisees sont transmises, apres consentement explicite du praticien. Le praticien peut desactiver cette fonctionnalite.

10. Notification de violation de donnees

En cas de violation de donnees a caractere personnel, le Sous-traitant s'engage a :

• Notifier le Responsable de traitement dans un delai de 72 heures apres en avoir pris connaissance
• Fournir toutes les informations necessaires pour permettre au Responsable de traitement de notifier la CNIL et les personnes concernees
• Documenter la violation (nature, categories de donnees, nombre de personnes, consequences, mesures correctives)
• Prendre les mesures immediates pour limiter les consequences de la violation

11. Droit d'audit

Le Responsable de traitement dispose du droit de verifier le respect du present accord. Il peut :

• Demander par ecrit des informations sur les mesures de securite mises en oeuvre
• Demander la realisation d'un audit par un tiers independant, a ses frais, avec un preavis de 30 jours
• Consulter les logs d'audit relatifs a ses propres donnees

Le Sous-traitant s'engage a cooperer de bonne foi et a fournir les informations necessaires dans un delai raisonnable.

12. Sort des donnees en fin de contrat

A la fin du contrat (resiliation ou expiration), le Sous-traitant :

• Maintient l'acces aux donnees pendant 90 jours pour permettre l'export
• Met a disposition des fonctionnalites d'export en formats ouverts (CSV, PDF)
• Supprime de maniere securisee l'ensemble des donnees a l'issue de la periode de 90 jours
• Conserve uniquement les donnees dont la conservation est imposee par la loi (factures : 10 ans, logs d'audit : duree legale)
• Confirme par ecrit la suppression des donnees au Responsable de traitement sur demande

13. Contact DPO