Accord de traitement des donnees (DPA)

Preambule

Dans le cadre de l'utilisation de la plateforme PsyLib, le praticien (ci-apres "le Responsable de traitement") confie a PsyLib (ci-apres "le Sous-traitant") le traitement de donnees a caractere personnel, incluant des donnees de sante au sens de l'article 9 du RGPD.

Le present accord definit les obligations respectives des parties conformement a l'article 28 du RGPD et a l'article L.1111-8 du Code de la sante publique relatif a l'hebergement de donnees de sante.

1. Objet et duree du traitement

Le Sous-traitant traite des donnees a caractere personnel pour le compte du Responsable de traitement dans le cadre de la fourniture de la plateforme SaaS PsyLib.

A compter du 1er decembre 2026. Le traitement dure tant que le compte du Responsable de traitement existe, quel que soit son plan (plan Free compris). Il prend fin a la suppression du compte.

Jusqu'au 30 novembre 2026 : le traitement dure pendant l'abonnement, plus 90 jours apres la resiliation pour permettre l'export des donnees.

2. Nature et finalite du traitement

Le traitement a pour finalite :

• La gestion des dossiers patients du praticien
• Le stockage securise des notes de seance chiffrees
• La planification et le suivi des rendez-vous
• La facturation et la gestion comptable
• La messagerie chiffree entre praticien et patient
• La visio-consultation
• Le portail patient (suivi d'humeur, exercices, journal)
• La generation de resumes par intelligence artificielle (sur demande explicite du praticien uniquement)

3. Types de donnees personnelles traitees

4. Categories de personnes concernees

• Praticiens : psychologues, psychiatres, psychotherapeutes, psychanalystes, psychopraticiens utilisant PsyLib
• Patients : personnes suivies par les praticiens utilisateurs de PsyLib

5. Obligations du Sous-traitant (PsyLib)

Conformement a l'article 28 du RGPD, le Sous-traitant s'engage a :

• Traiter les donnees uniquement sur instruction documentee du Responsable de traitement. Le Sous-traitant ne traite les donnees que pour fournir le service PsyLib tel que decrit dans les CGU et la documentation.
• Garantir la confidentialite. Toute personne autorisee a traiter les donnees est soumise a une obligation de confidentialite.
• Mettre en oeuvre les mesures de securite appropriees (detail a l'article 7 ci-dessous).
• Ne pas faire appel a un autre sous-traitant sans l'autorisation prealable du Responsable de traitement. La liste des sous-traitants ulterieurs autorises est publiee sur psylib.eu/sous-traitants. Toute modification sera notifiee 30 jours avant sa prise d'effet.
• Assister le Responsable de traitement dans le respect de ses obligations (droit d'acces, rectification, effacement, portabilite, notification de violation, analyse d'impact).
• Supprimer ou restituer les donnees a la fin du contrat, au choix du Responsable de traitement. A compter du 1er decembre 2026 : l'export est disponible a tout moment tant que le compte existe, et la suppression du compte efface les donnees immediatement. Jusqu'au 30 novembre 2026 : l'export est disponible pendant 90 jours apres la resiliation, et la suppression intervient dans les 30 jours suivants (detail a l'article 12).
• Mettre a disposition les informations necessaires pour demontrer le respect du present accord et permettre la realisation d'audits.

6. Obligations du Responsable de traitement (praticien)

Le Responsable de traitement s'engage a :

• Informer ses patients de l'utilisation de PsyLib pour la gestion de leur dossier et recueillir leur consentement le cas echeant
• S'assurer de la licite du traitement conformement a sa responsabilite deontologique et legale
• Maintenir la securite de son compte (mot de passe robuste, MFA active, ne pas partager ses identifiants)
• Transmettre au Sous-traitant toute demande d'exercice de droits emanant d'un patient et necessitant l'intervention de PsyLib

7. Mesures techniques et organisationnelles de securite

Le Sous-traitant met en oeuvre les mesures suivantes pour garantir la securite des donnees conformement a l'article 32 du RGPD :

7.1. Hebergement

7.2. Chiffrement

• En transit : TLS 1.3 sur toutes les communications
• Au repos : chiffrement AES-256 de la base de donnees
• Applicatif : chiffrement AES-256-GCM des champs sensibles (notes de seance, resumes IA, messages, journal intime) avec cle rotatable

7.3. Authentification et controle d'acces

• Authentification : Keycloak (OpenID Connect) heberge sur l'infrastructure HDS AZNETWORK
• MFA : authentification multi-facteurs TOTP obligatoire pour les praticiens
• Tokens : access token JWT 15 minutes, refresh token 8 heures
• RBAC : controle d'acces base sur les roles (praticien, patient, admin)
• Isolation : chaque praticien ne peut acceder qu'a ses propres patients (filtre multi-tenant)

7.4. Audit et tracabilite

• Journalisation de tous les acces aux donnees de sante (table audit_logs)
• Evenements Keycloak : connexions, deconnexions, echecs de connexion, challenges MFA
• Conservation des logs d'audit : 12 mois pour les acces aux donnees de sante, 10 ans pour les traces portant sur des pieces comptables

7.5. Sauvegardes

• Sauvegardes automatiques quotidiennes de la base de donnees
• Sauvegardes chiffrees stockees sur l'infrastructure HDS AZNETWORK (France), avec PRA sur un second datacenter francais certifie
• Tests de restauration reguliers
• Conservation : 30 jours sur l'infrastructure de l'hebergeur certifie HDS, 90 jours sur un stockage objet chiffre distinct

8. Sous-traitants ulterieurs

Le Responsable de traitement autorise le Sous-traitant a faire appel aux sous-traitants ulterieurs listes sur la page psylib.eu/sous-traitants.

Toute modification de la liste des sous-traitants ulterieurs sera notifiee par email au Responsable de traitement 30 jours avant sa prise d'effet. Le Responsable de traitement dispose de ce delai pour emettre des objections. En l'absence d'objection, le nouveau sous-traitant est repute accepte.

Le Sous-traitant impose a ses sous-traitants ulterieurs les memes obligations de protection des donnees que celles prevues au present accord.

9. Transferts de donnees hors Union europeenne

Certains sous-traitants ulterieurs non-HDS traitent des donnees non-cliniques :

• Vercel (USA, fonctions executees a Paris) : hebergement du frontend (interface web). Aucune donnee de sante ne transite par Vercel : les appels vers les dossiers sont directs, du navigateur vers le serveur HDS. Seuls transitent les identifiants de connexion des espaces patient et tuteur (verifies par le serveur HDS, jamais stockes) et les cookies de session chiffres.
• Stripe (Irlande/USA) : traitement des paiements. Seules les donnees de facturation sont transmises (nom, email, montant). Stripe est certifie PCI-DSS et beneficie de clauses contractuelles types (SCC) pour les transferts EU-USA.

10. Notification de violation de donnees

En cas de violation de donnees a caractere personnel, le Sous-traitant s'engage a :

• Notifier le Responsable de traitement dans un delai de 72 heures apres en avoir pris connaissance
• Fournir toutes les informations necessaires pour permettre au Responsable de traitement de notifier la CNIL et les personnes concernees
• Documenter la violation (nature, categories de donnees, nombre de personnes, consequences, mesures correctives)
• Prendre les mesures immediates pour limiter les consequences de la violation

11. Droit d'audit

Le Responsable de traitement dispose du droit de verifier le respect du present accord. Il peut :

• Demander par ecrit des informations sur les mesures de securite mises en oeuvre
• Demander la realisation d'un audit par un tiers independant, a ses frais, avec un preavis de 30 jours
• Consulter les logs d'audit relatifs a ses propres donnees

Le Sous-traitant s'engage a cooperer de bonne foi et a fournir les informations necessaires dans un delai raisonnable.

12. Sort des donnees en fin de contrat

A compter du 1er decembre 2026. La resiliation d'un abonnement payant ne met pas fin au contrat : le compte repasse au plan Free et le present accord continue de s'appliquer. Le contrat prend fin a la suppression du compte, decidee par le Responsable de traitement (Parametres > Confidentialite & RGPD, ou demande ecrite depuis l'adresse du compte) ou, dans les cas prevus a l'article 8.2 des CGU, par le Sous-traitant.

Le Sous-traitant :

• Met a disposition, tant que le compte existe, des fonctionnalites d'export en formats ouverts (CSV, PDF, JSON)
• Supprime de maniere immediate et definitive l'ensemble des donnees de production lorsque le Responsable de traitement supprime son compte
• Lorsque le compte est ferme a l'initiative du Sous-traitant : remet les donnees au Responsable de traitement sur demande pendant 90 jours, puis les supprime dans un delai maximum de 30 jours
• Les sauvegardes chiffrees contenant ces donnees expirent automatiquement a l'issue de leur cycle de rotation, soit 90 jours au maximum apres la suppression. Elles ne sont pas reecrites, et une donnee effacee n'est pas remise en production
• Ne conserve ensuite que les logs d'audit (12 mois, ou 10 ans pour les traces de pieces comptables) et ses propres pieces comptables (factures de l'abonnement : 10 ans)
• Les factures emises par le Responsable de traitement a ses patients sont ses pieces comptables : elles lui sont restituees par export et supprimees avec le compte. Leur conservation legale (10 ans) releve de lui
• Confirme par ecrit la suppression des donnees au Responsable de traitement sur demande

Jusqu'au 30 novembre 2026, la redaction precedente reste applicable : acces aux donnees maintenu 90 jours apres la resiliation, puis suppression dans un delai maximum de 30 jours.

13. Contact DPO