Data Processing Agreement (DPA) — Article 28 du RGPD
Le présent Contrat de Sous-traitance (ci-après le « DPA ») est conclu entre :
Le Responsable de Traitement (ci-après « le RT ») :
Le kinésithérapeute titulaire d'un compte sur la plateforme Mon Assistant Kiné, agissant dans le cadre de son activité professionnelle libérale ou en tant que représentant de sa structure d'exercice.
Le Sous-traitant (ci-après « le ST ») :
Mon Assistant Kiné (SAS)
SIRET : 38936059900017
Siège social : 7 Rue des Filatures, 50300 Saint-Senier-sous-Avranches
Représentée par Sylvain BAUX, Directeur Général
DPO désigné auprès de la CNIL : Valentin JEAN — monassistantkine@gmail.com
Le présent DPA a pour objet de définir les conditions dans lesquelles le ST s'engage à effectuer, pour le compte du RT, les opérations de traitement de données à caractère personnel nécessaires au fonctionnement de la plateforme Mon Assistant Kiné.
Le ST agit exclusivement sur instruction documentée du RT et ne traite les données patients que dans le cadre strictement nécessaire à la fourniture du service.
Les parties reconnaissent que :
En sa qualité de Responsable de Traitement des données patients, le kinésithérapeute est tenu de :
Le présent DPA prend effet à la date d'acceptation par le kinésithérapeute lors de son inscription ou de la mise à jour des documents légaux. Il reste en vigueur pendant toute la durée d'utilisation de la plateforme, y compris les périodes d'abonnement gratuit.
Les obligations du ST relatives à la confidentialité et à la restitution ou suppression des données survivent à la fin du contrat, conformément à l'article 10 du présent DPA.
Le ST traite les données patients exclusivement pour les finalités suivantes :
| Catégorie | Données concernées | Sensibilité |
|---|---|---|
| Identification patient | Prénom, nom, date de naissance, téléphone, email | Données personnelles |
| Données de santé | Pathologies, objectifs thérapeutiques, programmes d'exercices, bilans kinésithérapiques | Données sensibles (art. 9 RGPD) |
| Données de suivi | Validations de séances, niveaux de douleur, niveaux de difficulté | Données sensibles (art. 9 RGPD) |
| Données de communication | Messages échangés via le chatbot patient | Données personnelles |
Les patients du kinésithérapeute utilisant la plateforme Mon Assistant Kiné.
Le ST s'engage à traiter les données patients uniquement sur instruction documentée du RT, y compris en ce qui concerne les transferts de données vers un pays tiers. Si le ST estime qu'une instruction constitue une violation du RGPD, il en informe immédiatement le RT.
Le ST s'assure que les personnes autorisées à traiter les données patients se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité. L'accès aux données patients est strictement limité au personnel technique nécessaire à la maintenance et au bon fonctionnement de la plateforme.
Le ST met en œuvre les mesures techniques et organisationnelles suivantes :
Chiffrement :
Contrôle d'accès :
Journalisation :
Sauvegardes :
Pseudonymisation pour l'IA :
Le ST assiste le RT, dans la mesure du possible, par des mesures techniques et organisationnelles appropriées, pour :
Le RT peut exercer les droits RGPD de ses patients directement depuis la plateforme (export de données, suppression de compte patient) ou en contactant le DPO du ST.
En cas de violation de données à caractère personnel concernant les données patients, le ST s'engage à :
Le RT autorise le ST à recourir aux sous-traitants ultérieurs suivants, nécessaires au fonctionnement de la plateforme :
| Sous-traitant | Rôle | Localisation | Garanties |
|---|---|---|---|
| Clever Cloud | Hébergement infrastructure, base de données PostgreSQL, stockage fichiers | France (Union Européenne) | Certifié HDS (Hébergeur de Données de Santé), ISO 27001 |
| OpenAI | Génération IA (programmes, chatbot, bilans) — données pseudonymisées uniquement | États-Unis | DPA signé, EU-US Data Privacy Framework, données non utilisées pour l'entraînement des modèles |
| Stripe | Traitement des paiements par carte bancaire | Irlande (Union Européenne) | PCI DSS Level 1, certifié SOC 2 |
| Firebase Authentication (Google) | Authentification des kinésithérapeutes | Union Européenne | ISO 27001, SOC 2, Google DPA |
| Vercel | Hébergement du frontend statique (interface web) | États-Unis | Aucun accès aux données patients — hébergement de fichiers statiques uniquement |
Le ST s'engage à :
En cas d'ajout ou de remplacement d'un sous-traitant ultérieur :
Les données patients sont stockées en France, sur l'infrastructure Clever Cloud, certifiée Hébergeur de Données de Santé (HDS).
Des transferts de données pseudonymisées sont effectués vers les États-Unis uniquement pour la génération par intelligence artificielle (OpenAI). Ces transferts sont encadrés par :
Le ST met à la disposition du RT toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent DPA et pour permettre la réalisation d'audits.
L'audit peut prendre la forme de :
Le ST informera immédiatement le RT s'il estime qu'une instruction d'audit viole le RGPD ou d'autres dispositions applicables.
Le ST est responsable des dommages causés par un traitement qu'il a effectué en violation du présent DPA ou du RGPD, ou lorsqu'il a agi en dehors des instructions licites du RT.
La responsabilité financière du ST au titre du présent DPA est limitée conformément aux dispositions des Conditions Générales de Vente. Cette limitation ne s'applique pas en cas de faute intentionnelle ou de négligence grave du ST.
À la fin du contrat (résiliation, suppression de compte), le RT peut demander la restitution de l'ensemble des données patients dans un format structuré, couramment utilisé et lisible par machine (export JSON), via la fonctionnalité d'export RGPD intégrée à la plateforme ou sur demande au DPO.
À défaut de demande de restitution, le ST procède à la suppression certifiée de toutes les données patients dans un délai de 30 jours suivant la fin du contrat, sauf obligation légale de conservation.
Le ST fournit au RT, sur demande, une attestation de suppression des données.
Le présent DPA est soumis au droit français et au Règlement (UE) 2016/679 (RGPD).
En cas de litige relatif à l'interprétation ou à l'exécution du présent DPA, les tribunaux de Coutances (50200) seront seuls compétents.
Toute modification du présent DPA fera l'objet d'une nouvelle version, notifiée au RT via la plateforme. L'acceptation de la nouvelle version sera requise pour la poursuite de l'utilisation du service.
Si une clause du présent DPA était déclarée nulle ou inapplicable, les autres clauses resteraient pleinement en vigueur.
Le présent DPA complète les documents suivants, qui forment ensemble le cadre contractuel :
Pour toute question relative au présent Contrat de Sous-traitance :
Valentin JEAN — Délégué à la Protection des Données
📧 monassistantkine@gmail.com
📍 7 Rue des Filatures, 50300 Saint-Senier-sous-Avranches
Ce Contrat de Sous-traitance est effectif depuis le 29 avril 2026
Mon Assistant Kiné (SAS) - SIRET : 38936059900017