Contrat de sous-traitance

1. Parties

Responsable du traitement : le professionnel ou le centre titulaire du compte Nerela, qui décide quelles données de ses patients sont traitées et à quelles fins (le « Responsable »).

Sous-traitant : LAGASTROEMIA VENTURES OÜ, société constituée en Estonie, dont le siège social est situé Sakala tn 7-2, Kesklinna linnaosa, 10141 Tallinn, Estonie, numéro de TVA intracommunautaire EE102418024, qui fournit le service Nerela (« Nerela »). Contact pour la protection des données : admin@nerela.eu.

2. Objet et durée

Nerela traite, pour le compte du Responsable, les données à caractère personnel que celui-ci saisit ou collecte au moyen de l'Application — principalement des données de ses patients, y compris des données de santé — dans le seul but de lui fournir le service décrit dans les Conditions générales d'utilisation. Les types de données, les catégories de personnes concernées et les opérations sont décrits à l'annexe I.

Le présent contrat s'applique tant que le Responsable dispose d'un compte Nerela et, ensuite, tant que Nerela conserve des données traitées pour son compte (clause 12).

Les données du compte du professionnel lui-même (nom, e-mail, données de facturation de l'abonnement Nerela) ne sont pas couvertes : pour ces données, Nerela est responsable du traitement, comme l'explique la Politique de confidentialité.

3. Nature et finalité du traitement

Nerela héberge, organise, conserve, affiche, transmet et efface les données afin que le Responsable puisse utiliser les fonctionnalités de l'Application : agenda et rendez-vous, dossiers patients, notes de séance (y compris les images jointes), facturation, réservation en ligne et rappels et, si le Responsable les active, les modules optionnels (rappels par WhatsApp, Secrétaire virtuelle et paiement par carte).

Nerela ne traite pas ces données pour ses propres finalités : elle ne les vend pas, ne les communique pas à des tiers, ne les utilise ni à des fins publicitaires ni pour du profilage, et ne les utilise pas pour entraîner des modèles d'intelligence artificielle.

4. Instructions du Responsable

Nerela ne traite les données que sur instruction documentée du Responsable, y compris en ce qui concerne les transferts hors de l'Espace économique européen (article 28, paragraphe 3, point a), du RGPD). Constituent des instructions documentées le présent contrat, les Conditions générales d'utilisation, les actions et réglages que le Responsable effectue dans l'Application (par exemple créer, modifier, exporter ou supprimer des données, ou activer un module) et les demandes qu'il adresse par écrit à admin@nerela.eu.

Si Nerela estime qu'une instruction constitue une violation du RGPD ou d'une autre règle relative à la protection des données, elle en informe immédiatement le Responsable et peut en suspendre l'exécution jusqu'à ce que celui-ci la confirme ou la modifie.

Si le droit de l'Union ou d'un État membre impose à Nerela de traiter les données autrement, Nerela en informe le Responsable avant le traitement, sauf si ce droit l'interdit pour des motifs importants d'intérêt public.

Le personnel de Nerela n'accède au contenu du compte du Responsable que lorsque celui-ci le demande (par exemple pour une assistance), lorsque c'est nécessaire pour résoudre un incident de sécurité ou de fonctionnement, ou lorsque la loi l'exige.

5. Confidentialité et secret professionnel

Nerela veille à ce que les personnes autorisées à traiter les données se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, y compris après avoir cessé de travailler avec Nerela, et à ce qu'elles n'accèdent aux données que dans la mesure nécessaire pour fournir le service ou en assurer le support.

Nerela sait que le Responsable est tenu au secret professionnel et traite toute information clinique avec la même discrétion : elle ne la divulgue à personne, sauf sur instruction du Responsable ou en vertu d'une obligation légale.

6. Sécurité du traitement

Nerela applique les mesures techniques et organisationnelles de l'annexe II, adaptées au risque que présente le traitement de données de santé (article 32 du RGPD). Elle peut les remplacer par des mesures équivalentes ou meilleures à mesure que le service évolue, mais jamais d'une manière qui réduise le niveau global de protection.

7. Sous-traitants ultérieurs

Le Responsable donne à Nerela une autorisation générale de recourir aux sous-traitants ultérieurs énumérés à l'annexe III (article 28, paragraphe 2, du RGPD).

Avant d'ajouter ou de remplacer un sous-traitant ultérieur, Nerela en informe le Responsable par e-mail et met à jour l'annexe III au moins 30 jours à l'avance. Si l'un de ses prestataires la prévient d'un changement dans sa propre chaîne avec un préavis plus court, Nerela en informe le Responsable dès qu'elle en a connaissance.

Le Responsable peut s'opposer au changement par écrit, pour des motifs raisonnables liés à la protection des données, jusqu'à la date de sa prise d'effet. À défaut de solution acceptable (par exemple, ne plus utiliser le module concerné), le Responsable peut résilier son compte avant cette date, sans aucune pénalité.

Nerela impose à chaque sous-traitant ultérieur, par contrat écrit, des obligations de protection des données équivalentes à celles du présent contrat (article 28, paragraphe 4) et demeure pleinement responsable envers le Responsable de leur exécution.

Ne sont pas des sous-traitants ultérieurs de Nerela les services que le Responsable choisit et souscrit lui-même, et auxquels il demande à l'Application d'envoyer des données — par exemple l'outil de téléconsultation dont il indique le lien, le logiciel de facturation certifié ou le compte Stripe qu'il connecte, l'ADSE (Portugal), le calendrier dans lequel il s'abonne à l'agenda ou le comptable à qui il envoie des rapports. Pour ceux-ci, Nerela se borne à transmettre les données que le Responsable indique, au moment où il l'indique.

8. Transferts internationaux

La base de données, l'authentification et les fichiers de l'Application sont hébergés dans l'Union européenne (Paris, France). Certains sous-traitants ultérieurs traitent des données hors de l'Espace économique européen (EEE), principalement aux États-Unis : l'annexe III indique, pour chacun, où il traite les données et avec quelle garantie.

Nerela ne transfère des données à caractère personnel hors de l'EEE, ou n'autorise un sous-traitant ultérieur à le faire, qu'avec l'une des garanties du chapitre V du RGPD : une décision d'adéquation de la Commission européenne (y compris le cadre de protection des données UE-États-Unis, pour les entreprises certifiées), les clauses contractuelles types approuvées par la décision d'exécution (UE) 2021/914 de la Commission ou une autre garantie appropriée au sens de l'article 46.

Les transferts liés à WhatsApp (rappels par WhatsApp et Secrétaire virtuelle) n'ont lieu que si le Responsable utilise ces fonctions.

9. Droits des personnes concernées

Les demandes des personnes concernées (accès, rectification, effacement, limitation, opposition et portabilité) sont traitées par le Responsable. L'Application lui permet de consulter, de corriger et de supprimer directement les données de ses patients : la suppression d'un patient supprime aussi ses rendez-vous, ses notes de séance et ses images cliniques ; les factures déjà émises sont conservées en raison des obligations fiscales, et elles sont, comme les conversations WhatsApp, dissociées du dossier. Pour la portabilité, il peut obtenir les données dans les conditions prévues à la clause 12.

Si une personne concernée s'adresse directement à Nerela, Nerela transmet la demande au Responsable dans les meilleurs délais et au plus tard dans les 5 jours ouvrables, et n'y répond pas de sa propre initiative, sauf pour confirmer la transmission.

Compte tenu de la nature du traitement, Nerela aide le Responsable, par des mesures techniques et organisationnelles appropriées et dans toute la mesure du possible, à répondre à ces demandes (article 28, paragraphe 3, point e)).

10. Violations de données à caractère personnel

Nerela notifie au Responsable, dans les meilleurs délais après en avoir pris connaissance, toute violation de données à caractère personnel touchant des données traitées pour son compte, par e-mail à l'adresse du compte. [EN ATTENTE : délai maximal à fixer avec l'avocat ; proposition : 48 heures.]

La notification comprend, dans la mesure où Nerela en dispose, les informations de l'article 33, paragraphe 3, du RGPD — la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables, les mesures prises ou envisagées et un point de contact — et elle est complétée de manière échelonnée à mesure que l'enquête progresse.

Nerela prend immédiatement les mesures raisonnables pour contenir la violation et en atténuer les effets, et aide le Responsable à remplir ses propres obligations : notifier la violation à l'autorité de contrôle compétente (en Belgique, l'Autorité de protection des données ; en France, la CNIL) dans le délai de 72 heures de l'article 33 et, lorsque le risque est élevé, la communiquer aux personnes concernées (article 34). Nerela ne notifie ni les autorités ni les personnes concernées au nom du Responsable sans instruction de celui-ci, sauf obligation légale.

11. Assistance au Responsable

Compte tenu de la nature du traitement et des informations à sa disposition, Nerela aide le Responsable à respecter les obligations des articles 32 à 36 du RGPD : sécurité du traitement, violations de données à caractère personnel, analyse d'impact relative à la protection des données et consultation préalable de l'autorité de contrôle. À cette fin, elle met à sa disposition le présent contrat et ses annexes, répond aux questions raisonnables sur le fonctionnement de l'Application et l'informe des changements importants du service.

12. Fin du service : restitution et suppression

Sur demande écrite du Responsable adressée à admin@nerela.eu, Nerela lui remet, dans un délai de 30 jours, une copie des données à caractère personnel qu'elle traite pour son compte, y compris les fichiers joints, dans un format structuré, couramment utilisé et lisible par machine. Lorsque l'Application permet d'exporter les données (dans Paramètres, à la rubrique consacrée à la confidentialité et aux données), le Responsable peut aussi les télécharger directement ; cet export est un moyen de les obtenir et ne remplace pas cette obligation.

Avant de résilier, le Responsable se procure une copie de ce qu'il est tenu de conserver — par exemple, les dossiers cliniques et les factures que la loi ou les règles de sa profession l'obligent à garder.

Après la fin du service, Nerela supprime les données à caractère personnel traitées pour le compte du Responsable, y compris les copies existantes, sauf si le droit de l'Union ou d'un État membre en exige la conservation. Si, d'ici là, le Responsable demande une copie, Nerela la lui remet avant la suppression. Les données qui subsistent encore dans des sauvegardes ne sont utilisées à aucune fin jusqu'à leur effacement. [EN ATTENTE : délai à fixer ; proposition : 30 jours, plus le cycle de conservation des sauvegardes.]

13. Démonstration de la conformité et audits

Nerela met à la disposition du Responsable les informations nécessaires pour démontrer le respect du présent contrat et de l'article 28 du RGPD — le présent contrat, la liste des sous-traitants ultérieurs et la description des mesures de l'annexe II — et répond par écrit à ses questions raisonnables.

Nerela permet la réalisation d'audits, y compris d'inspections, par le Responsable ou par un auditeur qu'il a mandaté et qui est tenu à la confidentialité, et contribue à ces audits. Sauf en cas de violation de données à caractère personnel ou de demande d'une autorité de contrôle, les audits sont demandés par écrit au moins 30 jours à l'avance, ont lieu au maximum une fois par an aux frais du Responsable, et ne peuvent ni donner accès aux données d'autres clients ni compromettre la sécurité du service.

14. Obligations du Responsable

Le Responsable garantit qu'il dispose d'une base juridique valable pour traiter les données de ses patients, y compris l'une des conditions de l'article 9, paragraphe 2, du RGPD pour les données de santé, et qu'il les informe conformément aux articles 13 et 14, notamment sur les catégories de destinataires.

Il donne des instructions licites, décide de la durée de conservation de chaque donnée conformément à la loi et aux règles de sa profession, et ne saisit pas dans l'Application de données concernant des personnes avec lesquelles il n'entretient pas de relation professionnelle légitime.

Il protège l'accès de son côté : il garde ses identifiants en sécurité, gère qui, dans son équipe, a accès et à quel niveau, et protège les appareils ainsi que les comptes e-mail ou WhatsApp sur lesquels il reçoit des informations de l'Application. Il décide d'activer ou non les modules optionnels, en sachant qu'ils impliquent les transferts décrits à l'annexe III.

15. Responsabilité

Chaque partie répond envers les personnes concernées conformément à l'article 82 du RGPD. Si Nerela traite les données à ses propres fins ou contrairement aux instructions licites du Responsable, elle est considérée comme responsable du traitement pour ce traitement (article 28, paragraphe 10). [EN ATTENTE : articulation avec la limitation de responsabilité de la section 10 des Conditions générales d'utilisation, à revoir avec l'avocat.]

16. Modifications, primauté et droit applicable

Nerela peut mettre à jour le présent contrat pour tenir compte des évolutions du service, des sous-traitants ultérieurs (clause 7) ou de la loi. Les modifications importantes sont communiquées au Responsable par e-mail ou dans l'Application, avec un préavis raisonnable.

En cas de contradiction entre le présent contrat et les Conditions générales d'utilisation en matière de protection des données à caractère personnel, le présent contrat prévaut.

Le présent contrat est régi par le RGPD et par le droit de l'État membre applicable. [EN ATTENTE : choix du droit applicable et de la juridiction compétente, à trancher avec l'avocat ; les Conditions générales d'utilisation n'en prévoient pas aujourd'hui.]

17. Contact

Pour toute question sur le présent contrat, pour demander une copie des données ou pour signaler un incident de sécurité, le Responsable peut écrire à admin@nerela.eu. [EN ATTENTE : décider si Nerela désigne un délégué à la protection des données (article 37 du RGPD) et une adresse dédiée aux incidents.]

Annexe I — Description du traitement

• Personnes concernées : les patients du Responsable, y compris les mineurs qu'il suit ; les personnes qui prennent rendez-vous via la page publique de réservation du Responsable ; les personnes dont le Responsable enregistre les données dans le dossier ou dans la facturation (par exemple, le destinataire de la facture) ; les personnes qui écrivent au numéro WhatsApp géré par la Secrétaire virtuelle, si ce module est actif ; les professionnels et autres membres de l'équipe du Responsable ; et le comptable à qui le Responsable envoie des rapports.
• Données d'identification et de contact : nom, initiales, e-mail, téléphone, adresse et données fiscales (numéro d'identification fiscale, nom et adresse de facturation).
• Données administratives : rendez-vous (date, heure, durée, prestation, modalité en présentiel ou en ligne, salle, professionnel et statut), présences et absences, paiements et factures, mutuelle ou assurance pour le remboursement, professionnel attitré et provenance du patient.
• Données de santé (catégorie particulière, article 9 du RGPD) : notes de séance et images jointes, antécédents cliniques, signaux d'alerte et prochaines étapes consignés dans le dossier, et toute autre information clinique saisie par le Responsable. Le simple fait d'être le patient d'un psychologue peut révéler une information de santé.
• Communications : rappels, invitations et factures envoyés par e-mail aux patients et, si le Responsable utilise WhatsApp, les messages WhatsApp (rappels et conversations avec la Secrétaire virtuelle).
• Données techniques : journaux d'accès et d'erreurs du serveur.
• Opérations : collecte (par le Responsable ou via la page de réservation), enregistrement, organisation, conservation, consultation, affichage, production de documents (factures et rapports), envoi d'e-mails et de messages, export et effacement.
• Finalité : fournir au Responsable le service de gestion de cabinet décrit dans les Conditions générales d'utilisation.
• Durée et conservation : tant que le compte existe puis, ensuite, conformément à la clause 12. Pendant la durée du compte, c'est le Responsable qui décide de la durée de conservation de chaque donnée, et il peut la supprimer dans l'Application.
• Localisation : base de données, authentification et fichiers dans l'Union européenne (Paris, France) ; les fonctions serveur de l'Application s'exécutent également à Paris. Les ressources statiques et l'acheminement des requêtes passent par le réseau mondial de Vercel, et les traitements hors EEE figurent à l'annexe III.
• Fréquence : continue, tant que le Responsable utilise l'Application.

Annexe II — Mesures techniques et organisationnelles

Mesures qui existent aujourd'hui dans l'Application. Nerela les réexamine chaque fois que le service évolue.

• Chiffrement en transit : toute communication avec l'Application passe par HTTPS (TLS), avec HSTS activé pour que le navigateur refuse les connexions non chiffrées.
• Cloisonnement entre comptes au sein même de la base de données : les tables contenant des données des clients sont protégées par des règles de Row Level Security (RLS) de PostgreSQL, qui ne permettent de lire et d'écrire que les lignes des comptes auxquels l'utilisateur appartient. La séparation ne dépend pas seulement du code de l'Application.
• Niveaux d'accès au sein du compte (titulaire, gérant et collaborateur) : les dossiers, les rendez-vous et les notes de séance obéissent à une règle unique appliquée dans la base de données — le titulaire et le gérant voient tout ; un collaborateur voit les patients qui lui sont attribués et, si le compte le permet, ceux qui sont partagés avec l'équipe. La facturation, les dépenses et les conversations WhatsApp sont réservées au titulaire et au gérant, et les identifiants des services externes, au titulaire.
• Images cliniques dans un espace de stockage privé, organisé par compte et protégé par RLS ; elles ne s'affichent que par des liens signés qui expirent au bout de 12 heures.
• Les identifiants des services externes que le Responsable connecte (logiciel de facturation certifié, ADSE) sont stockés chiffrés dans la base de données (pgcrypto), la clé de chiffrement étant conservée hors de la base de données.
• Limites de fréquence sur les points d'entrée publics et sur les envois (réservation en ligne, liens partagés avec le comptable, démonstration publique et envois WhatsApp et e-mail), avec des compteurs tenus dans la base de données.
• Les webhooks des prestataires de paiement et de WhatsApp ne sont acceptés qu'avec une signature valide, et les tâches planifiées exigent un secret.
• En-têtes de sécurité : l'Application ne peut pas être intégrée dans d'autres sites, et le navigateur reçoit HSTS, nosniff, une politique de référent et une politique d'autorisations qui bloque la caméra, le micro et la localisation.
• Minimisation de ce qui sort de l'Application : le calendrier synchronisé n'affiche qu'un intitulé générique, jamais le nom du patient ; le lien de téléconsultation est un code aléatoire, révocable et limité au créneau du rendez-vous, qui ne révèle ni le nom du patient ni les notes.
• La clé de service de la base de données, qui contourne la RLS, n'existe que sur le serveur et n'atteint jamais le navigateur. Les clés et les secrets sont conservés dans les variables d'environnement de l'hébergeur, jamais dans le code.
• Surveillance des erreurs (si elle est activée) avec filtrage avant envoi : ni corps des requêtes, ni paramètres, ni cookies, ni identité de l'utilisateur, ni enregistrement de session, et une tentative automatique de retirer les adresses e-mail, numéros de téléphone et numéros fiscaux du texte des erreurs.
• L'Application ne contient ni publicité ni outils d'analyse tiers.
• Secrétaire virtuelle (si elle est activée) : le texte de la personne qui écrit est séparé des instructions du système, et les actions sur l'agenda ne peuvent porter que sur les rendez-vous de l'expéditeur lui-même, identifié par son numéro international complet.
• Suppression effective : supprimer un patient supprime ses rendez-vous, ses notes de séance et ses images cliniques, y compris les fichiers stockés.
• Accès du personnel de Nerela : dans l'Application, seuls les administrateurs de la plateforme ont des fonctions internes. Entrer dans le compte d'un client pour l'assister n'est possible qu'avec cette autorisation, et chaque accès est consigné dans un registre qui ne peut être ni modifié ni supprimé depuis l'Application.
• Confidentialité des personnes qui traitent les données (clause 5) et accès au contenu des comptes uniquement dans les cas prévus à la clause 4.
• Procédure interne écrite de réponse aux incidents, y compris aux violations de données à caractère personnel.
• Sauvegardes : celles que le fournisseur de la base de données réalise dans le cadre de la formule souscrite par Nerela. [EN ATTENTE : confirmer la formule Supabase, la fréquence et la durée de conservation des sauvegardes.]

Annexe III-A — Sous-traitants ultérieurs qui traitent des données de patients

Liste au 9 octobre 2026. Les localisations et les garanties sont celles indiquées dans la documentation publique de chaque prestataire.

Annexe III-B — Prestataires qui ne traitent pas de données de patients

Ils figurent ici pour que le Responsable sache qui d'autre intervient dans le service. Ils traitent des données du professionnel lui-même, pour lesquelles Nerela est responsable du traitement.