Conformément à l'art. 28 du RGPD (Règlement UE 2016/679) Version : 1.0 — 03/06/2026
Avertissement : Ce DPA est un modèle de travail. Il doit être relu et validé par un avocat spécialisé en droit de la santé et en protection des données avant tout envoi à des praticiens ou signature.
Le SOUS-TRAITANT : [À COMPLÉTER : raison sociale DIAGORIA] [À COMPLÉTER : forme juridique], au capital de [À COMPLÉTER] Siège social : [À COMPLÉTER : adresse] SIRET : [À COMPLÉTER] Représenté par : [À COMPLÉTER : Prénom Nom, qualité] Email : contact@diagoria.com Ci-après désigné « DIAGORIA » ou « le Sous-traitant »
ET
Le RESPONSABLE DE TRAITEMENT : M./Mme [À COMPLÉTER : Prénom Nom du praticien] Profession : [À COMPLÉTER] Cabinet : [À COMPLÉTER : dénomination si applicable] Adresse professionnelle : [À COMPLÉTER] Email professionnel : [À COMPLÉTER] Numéro RPPS/ADELI : [À COMPLÉTER si applicable] Ci-après désigné « le Praticien » ou « le Responsable de traitement »
Il est convenu ce qui suit.
Le présent accord régit les conditions dans lesquelles DIAGORIA traite des données à caractère personnel, notamment des données de santé au sens de l'art. 9 RGPD, pour le compte du Praticien dans le cadre de l'utilisation du logiciel DIAGORIA.
Le présent accord est conclu en application de l'art. 28.3 RGPD, qui exige qu'un contrat écrit soit établi entre le responsable de traitement et son sous-traitant.
| Paramètre | Description |
|---|---|
| Nature du traitement | Transcription audio temps réel (speech-to-text), traitement par LLM (intelligence artificielle), structuration automatique du dossier clinique, génération de suggestions cliniques |
| Finalité | Assistance à la documentation et à la gestion du dossier patient lors des consultations du Praticien |
| Catégories de données | Données de santé au sens de l'art. 9 RGPD : contenu des consultations (motif, anamnèse, antécédents, examen, hypothèses diagnostiques, traitements envisagés), identité des patients (nom, prénom, date de naissance si saisie) |
| Catégories de personnes concernées | Patients du Praticien |
| Durée du traitement | Durée de l'abonnement du Praticien au Service |
DIAGORIA traite les données à caractère personnel uniquement sur instruction documentée du Praticien. L'utilisation normale du logiciel DIAGORIA constitue une telle instruction. DIAGORIA n'utilisera pas ces données à d'autres fins.
DIAGORIA s'assure que les personnes autorisées à traiter les données (personnel, sous-traitants ultérieurs) sont soumises à des obligations de confidentialité.
DIAGORIA met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment : - Chiffrement des données en transit (TLS 1.3). - Hachage des mots de passe praticiens (Argon2). - Chiffrement des clés API dans la base de données. - Absence de stockage des dossiers patients sur les serveurs DIAGORIA. - Destruction des transcripts après traitement par le LLM (rétention zéro Mistral — à confirmer contractuellement avec Mistral AI). - Accès au back-office limité et journalisé.
DIAGORIA est autorisé à faire appel aux sous-traitants ultérieurs suivants pour l'exécution du Service :
| Sous-traitant ultérieur | Rôle | Localisation | Données traitées |
|---|---|---|---|
| Mistral AI (mistral.ai) | Traitement LLM des transcriptions — analyse et structuration IA | France — UE | Transcriptions de consultation (données de santé) |
| Brevo (brevo.com) | Envoi d'emails transactionnels | France — UE (OVH) | Email du Praticien uniquement |
| Hostinger International | Hébergement VPS | [À COMPLÉTER] | Données de compte praticien uniquement (pas de données santé) |
DIAGORIA notifiera le Praticien de tout changement concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, en lui laissant un délai raisonnable (30 jours minimum) pour formuler des objections.
DIAGORIA impose à ses sous-traitants ultérieurs les mêmes obligations de protection des données que celles prévues par le présent accord.
DIAGORIA assistera le Praticien dans le respect de ses obligations au titre des art. 32 à 36 RGPD : - En fournissant les informations nécessaires à la réalisation de la DPIA si demandé. - En notifiant sans délai injustifié (et dans tous les cas dans les 24 heures) toute violation de données à caractère personnel portant sur des données de santé.
À la résiliation du contrat, DIAGORIA s'engage à : - Ne conserver aucune copie des données de santé des patients du Praticien (ces données n'étant de toute façon pas stockées par DIAGORIA — voir architecture). - Supprimer le compte du Praticien et ses données de compte sur demande, dans un délai de 30 jours suivant la résiliation.
DIAGORIA mettra à disposition du Praticien toutes les informations nécessaires pour démontrer le respect des obligations du présent accord. Le Praticien peut, à ses frais, mandater un auditeur indépendant pour vérifier la conformité, après notification à DIAGORIA avec un préavis de 30 jours.
Le Praticien s'engage à : - Respecter les obligations qui lui incombent en tant que responsable de traitement au titre du RGPD. - Informer ses patients de l'utilisation du logiciel DIAGORIA et de la transcription IA (obligation d'information art. 13 RGPD) — des templates d'information patient sont fournis par DIAGORIA. - Recueillir le consentement des patients lorsque la base légale l'exige (notamment pour les praticiens non membres d'une profession de santé réglementée, pour lesquels la base légale art. 9.2.h ne s'applique pas). - Assurer la sécurité physique du poste sur lequel le logiciel est installé et les dossiers patients stockés. - Ne pas utiliser le Service pour traiter des données de patients à des fins autres que le suivi clinique. - Répondre aux demandes d'exercice de droits des patients (accès, effacement, portabilité) dans les délais légaux.
Conformément à l'architecture technique décrite à l'art. 2 du présent accord, les données de santé des patients sont traitées par Mistral AI, société française dont les serveurs sont localisés en Union européenne. Aucun transfert de données de santé hors UE n'est prévu ou autorisé.
Pour les données de compte du Praticien (email, statut licence), certains prestataires peuvent impliquer des transferts vers des pays tiers (Stripe, États-Unis), encadrés par des Clauses Contractuelles Types (CCT) de la Commission européenne.
En cas de violation de données à caractère personnel affectant des données de santé, DIAGORIA notifiera le Praticien dans un délai de 24 heures après en avoir pris connaissance, par email à l'adresse enregistrée sur le compte.
Le Praticien, en tant que responsable de traitement, est ensuite tenu de notifier la CNIL dans les 72 heures conformément à l'art. 33 RGPD, et d'informer les patients concernés si le risque pour leurs droits et libertés est élevé (art. 34 RGPD).
Le présent accord prend effet à la date de création du compte du Praticien et reste en vigueur pendant toute la durée de son abonnement.
Il est résilié automatiquement à la résiliation du contrat d'abonnement, sans préjudice des obligations de confidentialité qui subsistent après résiliation.
Le présent accord est régi par le droit français. Les litiges relatifs à son interprétation ou à son exécution seront soumis aux tribunaux compétents du ressort du siège de DIAGORIA.
Praticien (Responsable de traitement)
|
| [DPA art. 28 RGPD — présent accord]
|
DIAGORIA (Sous-traitant — application de bureau + serveur de licences)
|
+— Mistral AI (France, UE) — Sous-traitant ultérieur n°1
| Traitement : transcription → LLM → structuration
| Engagement : opt-out entraînement activé, rétention zéro (à confirmer DPA)
|
+— Brevo (France, OVH) — Sous-traitant ultérieur n°2
Traitement : emails transactionnels praticien uniquement
Engagement : DPA Brevo RGPD art. 28 disponible
| Mesure | Description | Statut |
|---|---|---|
| Chiffrement en transit | TLS 1.2/1.3 sur toutes les communications | Implémenté |
| Hachage mots de passe | Argon2 (irréversible) | Implémenté |
| Chiffrement clés API pool | AES-256 Fernet sur POOL_ENC_KEY | Implémenté |
| Absence de stockage dossiers patients | Dossiers uniquement sur PC praticien | Implémenté (architecture) |
| Non-conservation audio | Audio traité en mémoire, non écrit sur disque | Implémenté (ring buffer) |
| Opt-out entraînement Mistral | Activé le 03/06/2026 (Admin → Confidentialité API) | Implémenté |
| Chiffrement at-rest dossiers patients | AES-256-GCM avec clé dérivée (Argon2) | EN COURS — à implémenter avant données réelles |
| STT local (Whisper) | Remplacement de Web Speech API (Google) | EN COURS — à implémenter avant données réelles |
| DPA Mistral formalisé | Confirmation contractuelle rétention zéro | À FAIRE |
| Audit log accès back-office | Journal des actions admin | Partiellement (notes_admin dans DB) |
| DPIA | Analyse d'impact avant bêta multi-praticiens | À FAIRE |
Pour le Responsable de traitement (Praticien) :
Nom : _____ Prénom : _____ Profession : ____ Date : _____ Signature : _________
Pour DIAGORIA (Sous-traitant) :
Nom : _____ Qualité : _____ Date : ____ Signature : _________
Note d'implémentation : En pratique, la signature de ce DPA peut se faire électroniquement au moment de l'inscription (clic d'acceptation horodaté + archivage du texte de l'accord en vigueur à la date d'inscription). La CNIL admet cette forme de signature pour les contrats de sous-traitance dématérialisés. Le praticien doit avoir accès au texte complet de l'accord au moment de son acceptation.