Data Processing Agreement (DPA) — Article 28 du RGPD
Le présent Contrat de Sous-traitance (ci-après le « DPA ») est conclu entre :
Le Responsable de Traitement (ci-après « le RT ») :
Le kinésithérapeute titulaire d'un compte sur la plateforme Mon Assistant Kiné, agissant dans le cadre de son activité professionnelle libérale ou en tant que représentant de sa structure d'exercice.
Le Sous-traitant (ci-après « le ST ») :
Mon Assistant Kiné (SAS)
SIRET : 38936059900017
Siège social : 7 Rue des Filatures, 50300 Saint-Senier-sous-Avranches
Représentée par Sylvain BAUX, Directeur Général
DPO désigné auprès de la CNIL : Valentin JEAN — monassistantkine@gmail.com
Le présent DPA a pour objet de définir les conditions dans lesquelles le ST s'engage à effectuer, pour le compte du RT, les opérations de traitement de données à caractère personnel nécessaires au fonctionnement de la plateforme Mon Assistant Kiné.
Le ST agit exclusivement sur instruction documentée du RT et ne traite les données patients que dans le cadre strictement nécessaire à la fourniture du service.
Les parties reconnaissent que :
En sa qualité de Responsable de Traitement des données patients, le kinésithérapeute est tenu de :
Le présent DPA prend effet à la date d'acceptation par le kinésithérapeute lors de son inscription ou de la mise à jour des documents légaux. Il reste en vigueur pendant toute la durée d'utilisation de la plateforme, y compris les périodes d'abonnement gratuit.
Les obligations du ST relatives à la confidentialité et à la restitution ou suppression des données survivent à la fin du contrat, conformément à l'article 10 du présent DPA.
Le ST traite les données patients exclusivement pour les finalités suivantes :
| Catégorie | Données concernées | Sensibilité |
|---|---|---|
| Identification patient | Prénom, nom, date de naissance, téléphone, email | Données personnelles |
| Données de santé | Pathologies, objectifs thérapeutiques, programmes d'exercices, bilans kinésithérapiques (notes, mesures, questionnaires, schémas de localisation de la douleur), notes du dossier patient, comptes rendus de télésoin, médias d'exercices pouvant représenter le patient | Données sensibles (art. 9 RGPD) |
| Données vocales | Voix du kinésithérapeute, du patient et, le cas échéant, d'un accompagnant, lors d'une dictée ou de l'enregistrement d'une séance ; texte transcrit | Données sensibles (art. 9 RGPD) — audio jamais stocké (article 4.4) |
| Données de télésoin | Date et statut de la séance, attestations (prérequis, information du patient, consentement oral recueilli par le kinésithérapeute), adresses IP des participants nécessaires à l'établissement de la connexion | Données personnelles |
| Données de suivi | Validations de séances, niveaux de douleur, niveaux de difficulté | Données sensibles (art. 9 RGPD) |
| Données de communication | Messages échangés via le chatbot patient | Données personnelles |
Les patients du kinésithérapeute utilisant la plateforme Mon Assistant Kiné, ainsi que les personnes présentes lors de l'enregistrement d'une séance (accompagnant, parent d'un patient mineur).
Le module bilan permet au kinésithérapeute de dicter ses notes ou d'enregistrer la séance de bilan, voix du patient comprise. Le traitement est le suivant :
Sauf instruction contraire du RT et sous réserve de l'article 10 :
Le ST s'engage à traiter les données patients uniquement sur instruction documentée du RT, y compris en ce qui concerne les transferts de données vers un pays tiers. Si le ST estime qu'une instruction constitue une violation du RGPD, il en informe immédiatement le RT.
Le ST s'assure que les personnes autorisées à traiter les données patients se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité. L'accès aux données patients est strictement limité au personnel technique nécessaire à la maintenance et au bon fonctionnement de la plateforme.
Le ST met en œuvre les mesures techniques et organisationnelles suivantes :
Chiffrement :
Contrôle d'accès :
Journalisation :
Sauvegardes :
Intelligence artificielle et pseudonymisation :
| Usage | Fournisseurs | Données transmises |
|---|---|---|
| Module bilan | Mistral AI ; OpenRouter (modèle DeepSeek, fournisseurs européens) | Pseudonymisation automatique : noms et prénoms (patient, kinésithérapeute, tiers cités), date de naissance, téléphone, email, numéro de sécurité sociale et adresse sont remplacés par des jetons avant l'envoi, puis rétablis dans le document |
| Transcription vocale | Aucun prestataire tiers (modèle exécuté sur les serveurs HDS du ST) | Audio traité en mémoire, jamais stocké (article 4.4) |
| Chat patient | OpenAI | Âge, sexe, objectifs, programme d'exercices et messages du patient ; ni nom, ni coordonnées |
| Copilote IA et module administratif | Mistral AI, OpenAI, Cohere, Supabase | Texte saisi par le kinésithérapeute, sans pseudonymisation automatique : le kinésithérapeute s'engage à n'y saisir aucun élément directement identifiant (article 2.2) |
Le ST assiste le RT, dans la mesure du possible, par des mesures techniques et organisationnelles appropriées, pour :
Le RT peut exercer les droits RGPD de ses patients directement depuis la plateforme (export de données, suppression de compte patient) ou en contactant le DPO du ST.
En cas de violation de données à caractère personnel concernant les données patients, le ST s'engage à :
Le RT autorise le ST à recourir aux sous-traitants ultérieurs suivants, nécessaires au fonctionnement de la plateforme :
| Sous-traitant | Rôle | Localisation | Garanties |
|---|---|---|---|
| Clever Cloud | Hébergement infrastructure, base de données PostgreSQL, stockage des fichiers (Cellar), serveur de transcription vocale | France (Union Européenne) | Certifié HDS (Hébergeur de Données de Santé), ISO 27001 |
| OpenAI | Chat patient ; copilote IA (article 5.3) | États-Unis | DPA signé, EU-US Data Privacy Framework, données non utilisées pour l'entraînement des modèles |
| Mistral AI | Module bilan, sur données pseudonymisées ; copilote IA et module administratif (article 5.3) | France (Union Européenne) | DPA signé, données non utilisées pour l'entraînement des modèles |
| OpenRouter | Module bilan — données pseudonymisées uniquement | États-Unis (acheminement) ; traitement exclusivement par des fournisseurs d'inférence situés dans l'Union Européenne | DPA OpenRouter, fournisseurs européens à zéro rétention exclusivement, données non utilisées pour l'entraînement des modèles |
| Cohere | Copilote IA : texte saisi par le kinésithérapeute | Canada / États-Unis | Conditions d'utilisation de l'API Cohere ; utilisation des données pour l'entraînement des modèles désactivée |
| Supabase | Copilote IA : texte saisi par le kinésithérapeute, traité sans être conservé | Union Européenne (France, Paris) | DPA Supabase (intégré à ses conditions d'utilisation) ; aucune donnée conservée |
| Meta (WhatsApp Business) | Envoi au patient, lorsque le kinésithérapeute choisit ce canal, des liens d'accès au programme et au télésoin et des messages du kinésithérapeute : numéro de téléphone, lien, contenu du message | Union Européenne / États-Unis | Conditions de traitement des données de WhatsApp Business, EU-US Data Privacy Framework |
| Google (serveur STUN) | Établissement de la connexion de télésoin : adresses IP des participants, sans accès au son ni à l'image | États-Unis | EU-US Data Privacy Framework |
| Google Cloud Storage | Ancien stockage des fichiers, remplacé par Clever Cloud (Cellar) le 4 octobre 2026 ; les copies antérieures y restent jusqu'à leur suppression | France (Paris, europe-west9) | Google Cloud DPA |
| Stripe | Traitement des paiements par carte bancaire | Irlande (Union Européenne) | PCI DSS Level 1, certifié SOC 2 |
| Firebase Authentication (Google) | Authentification des kinésithérapeutes | Union Européenne | ISO 27001, SOC 2, Google DPA |
| Vercel | Hébergement du frontend statique (interface web) | États-Unis | Aucun accès aux données patients — hébergement de fichiers statiques uniquement |
| Brevo (Sib SA, France) | Envoi des emails : liens de télésoin et documents envoyés au patient par le kinésithérapeute (email du patient, lien, pièce jointe) ; invitations à signer et déclaration au Conseil départemental de l'Ordre (email et nom des signataires, PDF du contrat en pièce jointe) | France (Union Européenne) | Sib SA, société française ; soumise par contrat aux mêmes obligations de confidentialité et de sécurité |
Le ST s'engage à :
En cas d'ajout ou de remplacement d'un sous-traitant ultérieur :
Les données patients sont stockées en France, sur l'infrastructure Clever Cloud, certifiée Hébergeur de Données de Santé (HDS) : base de données, fichiers (Cellar) et serveur de transcription vocale. Les copies de fichiers antérieures au 4 octobre 2026 restent chez Google Cloud Storage (Paris) jusqu'à leur suppression.
La génération par intelligence artificielle réalisée via Mistral AI est hébergée dans l'Union Européenne et ne constitue pas un transfert hors UE.
Des transferts de données sont effectués vers les États-Unis pour les usages d'intelligence artificielle confiés à OpenAI (chat patient, copilote IA). Ces transferts sont encadrés par :
Cohere (Canada, serveurs susceptibles d'être situés aux États-Unis) reçoit, pour le copilote IA, le texte saisi par le kinésithérapeute ; l'utilisation de ces données pour l'entraînement des modèles est désactivée. L'envoi de messages par WhatsApp (Meta) et l'établissement de la connexion de télésoin (serveur STUN de Google) peuvent impliquer un transfert vers les États-Unis, encadré par le EU-US Data Privacy Framework.
Une partie des traitements du module bilan peut être réalisée via OpenRouter (États-Unis), qui achemine les données pseudonymisées exclusivement vers des fournisseurs d'inférence situés dans l'Union Européenne. Ces traitements sont encadrés par :
Le ST met à la disposition du RT toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent DPA et pour permettre la réalisation d'audits.
L'audit peut prendre la forme de :
Le ST informera immédiatement le RT s'il estime qu'une instruction d'audit viole le RGPD ou d'autres dispositions applicables.
Le ST est responsable des dommages causés par un traitement qu'il a effectué en violation du présent DPA ou du RGPD, ou lorsqu'il a agi en dehors des instructions licites du RT.
La responsabilité financière du ST au titre du présent DPA est limitée conformément aux dispositions des Conditions Générales de Vente. Cette limitation ne s'applique pas en cas de faute intentionnelle ou de négligence grave du ST.
À la fin du contrat (résiliation, suppression de compte), le RT peut demander la restitution de l'ensemble des données patients dans un format structuré, couramment utilisé et lisible par machine (export JSON), via la fonctionnalité d'export RGPD intégrée à la plateforme ou sur demande au DPO.
À défaut de demande de restitution, le ST procède à la suppression certifiée de toutes les données patients dans un délai de 30 jours suivant la fin du contrat, sauf obligation légale de conservation.
Le ST fournit au RT, sur demande, une attestation de suppression des données.
Le présent DPA est soumis au droit français et au Règlement (UE) 2016/679 (RGPD).
En cas de litige relatif à l'interprétation ou à l'exécution du présent DPA, les tribunaux de Coutances (50200) seront seuls compétents.
Toute modification du présent DPA fera l'objet d'une nouvelle version, notifiée au RT via la plateforme. L'acceptation de la nouvelle version sera requise pour la poursuite de l'utilisation du service.
Si une clause du présent DPA était déclarée nulle ou inapplicable, les autres clauses resteraient pleinement en vigueur.
Le présent DPA complète les documents suivants, qui forment ensemble le cadre contractuel :
Pour toute question relative au présent Contrat de Sous-traitance :
Valentin JEAN — Délégué à la Protection des Données
📧 monassistantkine@gmail.com
📍 7 Rue des Filatures, 50300 Saint-Senier-sous-Avranches
Ce Contrat de Sous-traitance est effectif depuis le 15 juillet 2026
Mon Assistant Kiné (SAS) - SIRET : 38936059900017