Accord de traitement des données

Le présent accord est une annexe aux conditions générales d'abonnement. Il encadre les seuls traitements que Julien Ribreux EI, entrepreneur individuel exerçant sous la marque NutriPros (SIREN 931 878 169, 8 allée des Tilleuls, 62930 Wimereux, contact@nutripros.fr), ci-après « NutriPros », réalise pour le compte du praticien abonné, responsable du traitement, au sens de l'article 28 du RGPD.

Ces traitements sont :

• Paiement en ligne des notes d'honoraires : enregistrement du numéro de note, du montant, du statut et d'un jeton de lien, pour afficher la page de paiement au patient et en relire la confirmation. Aucun nom de patient n'est transmis.
• Questionnaires publiés : hébergement de la définition du questionnaire, du nom et du logo du cabinet et des moyens de retour choisis par le praticien, pour que le patient l'ouvre par un lien. Les réponses du patient ne sont pas reçues par NutriPros.
• Sauvegarde automatique en ligne, si le praticien l'active : conservation de copies de la sauvegarde de son coffre, chiffrées sur son appareil avec son code secret, chez un hébergeur certifié pour les données de santé, et tenue du journal des accès à ces copies.

Les dossiers des patients (identité, séances, comptes rendus, plans, factures, rendez-vous) sont chiffrés sur l'appareil du praticien avec un code secret qu'il est seul à connaître. NutriPros n'a pas accès à leur contenu. En dehors des copies chiffrées de la sauvegarde automatique en ligne, que le praticien choisit d'activer, NutriPros ne les reçoit pas et ne les traite pas.

Le compte, l'abonnement, le profil public et le support sont des traitements dont NutriPros est responsable, décrits dans la politique de confidentialité.

Le paiement par carte lui-même repose sur un contrat direct entre le praticien et Stripe : Stripe n'est pas un sous-traitant de NutriPros pour ce paiement.

L'accord s'applique pendant toute la durée de l'abonnement, puis jusqu'à l'effacement des données décrit à la fin du présent accord.

Personnes concernées : patients du praticien qui reçoivent un lien de paiement ou de questionnaire ; pour la sauvegarde automatique en ligne, patients dont le dossier figure dans le coffre du praticien, et le praticien lui-même.

Données : numéro et montant de la note, statut du paiement, jeton du lien ; contenu du questionnaire défini par le praticien. Aucune donnée de santé n'est reçue par NutriPros dans ces deux traitements.

Sauvegarde automatique en ligne : copies de la sauvegarde du coffre, qui contiennent des données de santé, chiffrées sur l'appareil du praticien avant leur envoi et illisibles sans son code secret ; données techniques (identifiant du compte, dates, tailles et empreintes des fichiers, nom de l'appareil, version du format) ; journal des accès (date, action, résultat, adresse IP tronquée, niveau d'authentification).

La sauvegarde automatique en ligne est facultative : elle ne fonctionne que si le praticien l'active (case proposée à l'inscription, ou dans Mon cabinet), et il peut la désactiver à tout moment. Les sauvegardes déjà envoyées restent alors disponibles jusqu'à ce qu'il les supprime ou jusqu'à la suppression de son compte.

Le fichier envoyé est la sauvegarde du coffre, chiffrée sur l'appareil du praticien avec son code secret, que ni NutriPros ni l'hébergeur ne connaissent ; sans ce code, ils n'ont pas accès à son contenu. Ils conservent chaque fichier, en vérifient l'intégrité et le rendent au praticien tel qu'il a été reçu.

Conservation, pour chaque appareil : les 7 sauvegardes les plus récentes, la plus récente de chacune des 8 dernières semaines où une sauvegarde a été faite et, tant que la plus récente fait moins de la moitié de sa taille, la plus grande sauvegarde ; une sauvegarde restaurée depuis la corbeille est gardée 30 jours. Une sauvegarde ne sort de cette rétention que remplacée par de plus récentes du même appareil, jamais par le seul passage du temps : sans nouvel envoi, les sauvegardes en ligne sont gardées sans limite de durée tant que le compte existe, sauf suppression par le praticien. Une sauvegarde qui sort de cette rétention passe 7 jours dans une corbeille ; une sauvegarde supprimée par le praticien y passe 30 jours. Pendant ce temps, elle reste téléchargeable et restaurable ; elle est ensuite effacée définitivement.

Seul le praticien titulaire du compte peut, depuis le logiciel, envoyer, consulter, télécharger ou supprimer ses sauvegardes en ligne, après une double authentification (mot de passe et code d'une application d'authentification).

Le praticien choisit un code secret robuste et, si son code a pu être connu d'un tiers, change son code et supprime les anciennes sauvegardes en ligne, qui restent chiffrées avec l'ancien code.

NutriPros tient un journal des accès aux sauvegardes (envois, consultations, téléchargements, suppressions, restaurations), conservé 365 jours après chaque accès, avec l'adresse IP tronquée et le niveau d'authentification de chaque accès. Le praticien le consulte en entier dans Mon cabinet, rubrique Sauvegarde automatique, et peut le télécharger (fichier CSV), notamment pour en communiquer le contenu à un patient qui le demande.

Le praticien informe ses patients que leurs données de santé sont conservées, chiffrées, chez un hébergeur certifié pour les données de santé (article L. 1111-8 du code de la santé publique) : avant d'activer la sauvegarde, ceux dont il a déjà saisi le dossier ; une fois la sauvegarde activée, chaque nouveau patient avant de saisir son dossier. NutriPros met à sa disposition une notice type, dans Mon cabinet, rubrique Sauvegarde automatique.

NutriPros traite ces données uniquement sur instruction documentée du praticien, c'est-à-dire par l'usage qu'il fait du logiciel ; garantit la confidentialité des personnes habilitées ; aide le praticien à répondre aux demandes d'exercice des droits ; met à sa disposition les informations nécessaires pour démontrer le respect du présent accord.

Modalités d'audit : le praticien adresse d'abord ses questions par écrit à contact@nutripros.fr ; NutriPros y répond et lui communique la documentation utile (mesures de sécurité, description des traitements réalisés pour son compte, sous-traitants ultérieurs). Si ces éléments ne suffisent pas, ou en présence d'indices de manquement, le praticien peut faire réaliser un audit, y compris une inspection, par lui-même ou par un auditeur indépendant tenu au secret qu'il mandate. L'audit est annoncé par écrit au moins 30 jours à l'avance, sauf violation de données, et se tient au plus une fois par an hors indice de manquement, pendant les heures ouvrées, sans accès aux données des autres clients ni aux éléments couverts par le secret des affaires. Ses frais restent à la charge du praticien.

Lovable (Lovable Labs Incorporated, 1 Lincoln St, Boston, MA 02111, États-Unis) : hébergement du logiciel et de la base de données. Base de données, comptes et fichiers : Union européenne (région eu-central-1, Francfort, Allemagne).

Garanties : l'accord de traitement des données publié par Lovable prévoit les clauses contractuelles types de la Commission européenne pour les transferts hors de l'Espace économique européen.

Scalingo SAS : hébergement de la sauvegarde automatique en ligne (fichiers chiffrés, données techniques et journal des accès). Scalingo SAS est un hébergeur certifié pour les données de santé (certificat HDS n° HDSV2-V0-10-2024, référence LNE 38436-2, activités 1 à 6, valable jusqu'au 11 septembre 2028) ; il infogère le service et s'appuie sur l'infrastructure de 3DS Outscale.

3DS Outscale : infrastructure de Scalingo SAS, région osc-fr1, en France, certifiée pour l'hébergement de données de santé (certificat HDS n° B-HDSV2-V1-02-2026, référence 36741-6, activités 1 à 4, valable jusqu'au 27 août 2029, titulaire OUTSCALE). Les fichiers de la sauvegarde en ligne sont hébergés en France ; ils ne passent ni par Lovable ni par les autres prestataires de NutriPros.

NutriPros a conclu avec Scalingo SAS un contrat d'hébergement de données de santé (annexe HDS de Scalingo, version 2.5.0), qui impose à l'hébergeur des obligations de protection des données au moins équivalentes à celles du présent accord. Contact désigné auprès de l'hébergeur : Julien Ribreux, fondateur de NutriPros, qui peut désigner un professionnel de santé.

NutriPros informe le praticien par e-mail au moins 30 jours avant l'ajout ou le remplacement d'un sous-traitant ultérieur ; le praticien peut s'y opposer en résiliant son abonnement avant cette date.

Connexions chiffrées (HTTPS) ; accès aux données limité au praticien propriétaire par des règles d'accès en base ; liens de paiement et de questionnaire non devinables ; actions de l'équipe NutriPros réservées à des comptes protégés par une double authentification et journalisées.

Sauvegarde automatique en ligne : chiffrement sur l'appareil du praticien avant tout envoi, avec une clé que NutriPros ne détient pas ; hébergement en France chez un hébergeur certifié pour les données de santé ; double authentification exigée pour toute opération sur les sauvegardes ; vérification de l'intégrité de chaque fichier ; journal des accès consultable et exportable par le praticien ; aucune donnée de santé dans les journaux techniques du service.

NutriPros notifie au praticien toute violation de données concernant ces traitements dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification à la CNIL.

Pour la sauvegarde automatique en ligne, l'hébergeur prévient NutriPros des incidents de sécurité qui la concernent ; NutriPros en informe le praticien dans le même délai, avec les informations dont il dispose. Le praticien, responsable du traitement, apprécie s'il doit notifier la violation à la CNIL et en informer ses patients.

À la suppression du compte, effective 30 jours après la demande, les données de ces traitements sont effacées. Le praticien peut, avant cette date, exporter ses documents. Les dossiers présents sur son appareil ne sont pas effacés par NutriPros.

Sauvegarde automatique en ligne : après la fin de l'essai sans abonnement ou la fin de l'abonnement, et jusqu'à la suppression effective du compte, le praticien peut encore télécharger ses sauvegardes en ligne, mais plus en envoyer de nouvelles. Quand la suppression du compte prend effet, toutes ses sauvegardes en ligne, corbeille comprise, sont effacées. Le journal des accès est conservé 365 jours après chaque accès ; l'identifiant du compte et la date de suppression sont gardés 400 jours, pour refuser tout envoi tardif. Les sauvegardes quotidiennes de la base de données faites par l'hébergeur peuvent conserver ces fichiers chiffrés pendant leur propre durée de conservation.

Si NutriPros cesse de proposer la sauvegarde en ligne ou change d'hébergeur, il en informe le praticien par e-mail et lui laisse au moins 30 jours, sauf impossibilité, pour télécharger ses sauvegardes ; le contrat d'hébergement prévoit une période de réversibilité d'un mois à sa fin.