Contrat de sous-traitance (DPA, RGPD Art. 28)

Entre les soussignés

L'orthophoniste utilisateur (ci-après « le Responsable de Traitement » ou « RT »), identifié par :

• Nom : ________________________________
• Prénom : ______________________________
• N° ADELI (ou équivalent) : __________________
• Adresse professionnelle : ___________________
• Email professionnel : _______________________

ET

OrthoVox, édité par INGAME, société par actions simplifiée (SAS) au capital de 2 000 €, SIREN 907 476 261, SIRET 90747626100017, RCS Strasbourg, APE 6201Z, n° TVA FR23907476261, 29 rue des Roses 67760 Gambsheim, France (ci-après « le Sous-Traitant » ou « ST »).

Ci-après ensemble dénommés « les Parties ».

Préambule

Le RT exerce la profession d'orthophoniste réglementée par les articles L4341-1 et suivants du Code de la santé publique. Dans ce cadre, il traite des données de santé au sens de l'Art. 9.1 RGPD, sur la base légale de l'Art. 9.2.h (médecine préventive, diagnostic, soins).

Le RT a souscrit au service OrthoVox auprès du ST pour l'assister dans la rédaction de ses bilans orthophoniques. Le ST agit en qualité de sous-traitant des données patients traitées via OrthoVox au sens de l'Art. 28 RGPD.

Le présent contrat fixe les conditions de cette sous-traitance.

Article 1 — Objet (Art. 28.3 RGPD)

Le ST s'engage à traiter les données personnelles à caractère identifiantes et de santé des patients du RT pour le compte de ce dernier, dans les conditions ci-après définies.

Finalité du traitement principal :

• Assistance à la rédaction de bilans orthophoniques par génération de texte IA à partir des données saisies par le RT
• Stockage chiffré des bilans, anamnèses, scores, conclusions
• Synchronisation locale ↔ serveur en mode offline-first
• Export PDF signé pour transmission au patient / prescripteur

Article 2 — Description du traitement (Art. 28.3 RGPD)

2.1 Nature et finalité

Sous-traitance technique d'assistance à la rédaction documentaire médicale, avec usage d'un Large Language Model (LLM) hébergé en Union européenne, sur données pseudonymisées.

2.2 Catégories de personnes concernées

• Patients du RT (souvent mineurs)
• Parents / représentants légaux des patients mineurs
• Prescripteurs (médecins) cités dans les bilans

2.3 Catégories de données

2.4 Durée du traitement

• Pendant toute la durée du contrat OrthoVox du RT
• 30 jours après résiliation pour permettre la réactivation
• Au-delà : suppression définitive (sauf demande de migration vers un autre outil avec export chiffré)

Article 3 — Obligations du Sous-Traitant (Art. 28.3 a→h RGPD)

Conformément à l'Art. 28.3 du RGPD, le ST s'engage à :

3.1 (a) Traiter sur instruction documentée du RT

Le ST ne traite les données patients que sur instruction documentée du RT, telle qu'exprimée par :

• L'usage normal du service OrthoVox via son interface
• Les demandes spécifiques transmises par email à contact@orthovox.fr

Toute instruction non conforme au RGPD est signalée au RT sans délai.

3.2 (b) Garantir la confidentialité du personnel

Les personnes autorisées à traiter les données patients chez le ST sont :

• Tenues à une obligation contractuelle de confidentialité
• Soumises à une obligation légale de secret professionnel conformément à l'Art. L1110-4 CSP par extension
• Sensibilisées aux enjeux RGPD et formées aux bonnes pratiques

À la date du présent contrat, le ST est constitué uniquement de son fondateur, qui est seul à avoir un accès technique aux infrastructures.

3.3 (c) Sécurité du traitement

Le ST met en œuvre les mesures techniques et organisationnelles appropriées (Art. 32 RGPD) :

• Chiffrement Zero-Knowledge AES-256 côté client pour les identifiants patients (le ST n'a pas la clé)
• Transport TLS 1.3 obligatoire (HTTPS uniquement, HSTS)
• Stockage chiffré côté serveur (Scalingo HDS certifié)
• Pseudonymisation locale Flutter avant envoi IA, avec preview à l'utilisateur
• Audit log côté serveur de tout appel IA (qui, quand, hash payload)
• Multi-account isolation par filtre ownerAccountUuid en base
• Soft delete obligatoire (jamais de hard delete)
• Authentification par mot de passe scrypt + phrase 24 mots BIP39
• MFA TOTP (V1.1)

3.4 (d) Sous-traitance ultérieure

Le ST recourt aux sous-traitants ultérieurs suivants, autorisés par le RT à l'acceptation du présent contrat :

Le ST informera le RT de tout changement de sous-traitant ultérieur avec un préavis de 30 jours, période durant laquelle le RT peut s'opposer en résiliant gratuitement le contrat OrthoVox.

3.5 (e) Aide à l'exercice des droits des personnes

Le ST met à disposition du RT, dans la mesure du possible et compte tenu de la nature du traitement, les outils techniques permettant à ce dernier de répondre aux demandes des patients exerçant leurs droits (Art. 12 à 22 RGPD) :

• Export des données d'un patient en PDF chiffré
• Suppression sélective d'une fiche patient
• Rectification via l'interface d'édition standard

3.6 (f) Aide à la mise en conformité (sécurité, AIPD, consultation préalable)

Le ST assiste le RT pour :

• La mise en œuvre des mesures de sécurité (Art. 32)
• La notification de violation de données (Art. 33-34)
• La réalisation d'AIPD (Art. 35) si pertinente
• La consultation préalable de la CNIL (Art. 36) si nécessaire

À cet effet, le ST :

• Notifie au RT toute violation de données affectant ses patients dans les 48 heures après en avoir pris connaissance
• Communique au RT les éléments nécessaires à sa propre notification CNIL (Art. 33 — 72h après prise de connaissance)

3.7 (g) Sort des données en fin de contrat

À l'issue du contrat OrthoVox :

• Le ST fournit au RT un export PDF chiffré complet de tous les bilans patients (gratuitement, sous 7 jours après demande)
• Le ST supprime définitivement toutes les données patients du RT dans les 30 jours suivant la résiliation, sauf demande contraire pour migration
• Les copies de sauvegarde sont également effacées dans les 90 jours (rotation backup Scalingo)

3.8 (h) Mise à disposition des informations & audits

Le ST met à disposition du RT toutes les informations nécessaires pour démontrer le respect du présent contrat et permet des audits sous condition :

• Préavis raisonnable (30 jours)
• À la charge financière du RT (sauf si non-conformité avérée)
• Confidentialité préservée (NDA recommandé)
• Pas plus d'1 audit par 12 mois sauf incident

Le ST peut s'acquitter de cette obligation par la fourniture des certifications HDS Scalingo, du rapport de conformité RGPD interne et de l'AIPD documentée.

Article 4 — Obligations du Responsable de Traitement

Le RT s'engage à :

4.1 Légalité du traitement

• Disposer de la base légale appropriée pour traiter les données patients (Art. 9.2.h RGPD — exercice ADELI)
• Informer ses patients (et représentants légaux pour les mineurs) du recours à OrthoVox comme outil d'assistance documentaire conforme HDS
• Tenir un registre des traitements (Art. 30 RGPD) mentionnant OrthoVox comme sous-traitant

4.2 Sécurité d'accès

• Conserver la confidentialité de son mot de passe et de sa passphrase
• Conserver sa phrase de 24 mots de récupération en lieu sûr
• Verrouiller son poste de travail
• Activer le verrouillage automatique d'OrthoVox après inactivité
• Ne pas partager son compte avec un tiers (y compris collègues ou secrétaire)

4.3 Validation des bilans

• Toujours relire, corriger et valider manuellement les bilans générés avant transmission au patient ou au prescripteur
• Ne pas considérer les suggestions IA comme un diagnostic médical
• Conserver son jugement clinique en toute circonstance

4.4 Notification au ST

• Signaler tout incident de sécurité (compromission compte, tentative d'intrusion) à security@orthovox.fr dans les 48 heures
• Notifier toute évolution réglementaire ou ordinale ayant impact sur l'usage d'OrthoVox

Article 5 — Lieu de traitement et transferts

Aucun transfert hors Union européenne n'est effectué pour les données patients.

Lieux d'hébergement :

• Application + base PostgreSQL : Scalingo HDS → datacenter Outscale, Paris, France
• LLM : Mistral La Plateforme, infrastructure située en UE (Paris)
• Emails transactionnels : Brevo SAS, France

Le ST s'engage à refuser tout sous-traitant ultérieur basé hors UE, y compris sous mesures « SCC » ou « adequacy decision ».

Article 6 — Notification de violation de données

En cas de violation de données affectant les patients du RT :

Le rapport circonstancié comprend :

• Date, heure et nature de la violation
• Catégories de données affectées
• Nombre approximatif de personnes affectées
• Conséquences probables
• Mesures prises ou envisagées pour atténuer le risque

Article 7 — Durée et résiliation

7.1 Durée

Le présent DPA prend effet à l'acceptation par le RT à l'inscription sur OrthoVox et reste valide pendant toute la durée du contrat OrthoVox du RT.

7.2 Résiliation

• Résiliation de plein droit en cas de résiliation du contrat OrthoVox (cf. CGU Article 10)
• Résiliation pour manquement grave par l'une des Parties avec préavis de 30 jours, sauf urgence sécurité (résiliation immédiate possible)

7.3 Effet de la résiliation

Voir Art. 3.7 (sort des données).

Article 8 — Modifications

Le présent contrat peut être modifié unilatéralement par le ST en cas :

• D'évolution réglementaire (RGPD, droit français de la santé, etc.)
• D'ajout ou modification de sous-traitants ultérieurs (avec préavis 30j)
• D'amélioration matérielle de la sécurité (avec notification simple)

Toute modification matérielle déclenchera une demande de re-acceptation explicite au prochain login du RT. À défaut d'acceptation, le RT peut résilier gratuitement le contrat OrthoVox.

Article 9 — Droit applicable et juridiction

Le présent DPA est régi par le droit français et le RGPD. En cas de litige et après tentative de résolution amiable, les tribunaux du ressort du siège du ST sont compétents.

L'autorité de contrôle compétente est la CNIL (France).

Article 10 — Dispositions diverses

10.1 Annexes

Sont annexés au présent contrat (consultables en ligne ou sur demande) :

• La Politique de confidentialité OrthoVox
• Les CGU OrthoVox
• L'AIPD interne OrthoVox (sur demande motivée)
• Les attestations HDS Scalingo (sur demande)
• Le DPA Mistral (sur demande)

10.2 Indépendance des clauses

Si une clause est jugée nulle, les autres restent applicables.

10.3 Intégralité

Le présent contrat constitue l'intégralité de l'accord entre les Parties sur le sujet de la sous-traitance des données patients.

Acceptation

En cochant la case « En tant qu'orthophoniste responsable de traitement, j'accepte le contrat de sous-traitance (DPA) » à la création du compte, le Responsable de Traitement reconnaît avoir pris connaissance du présent contrat et en accepter les termes sans réserve.

Une copie du DPA accepté (avec timestamp et version) est conservée par le ST conformément à l'Art. 28.9 RGPD.

Version : 2026.06.03 Dernière mise à jour : 2026-06-03