Contrat de sous-traitance de données personnelles

Article 28 du RGPD — version du 21 septembre 2026

Entre le radiologue titulaire d'un compte Gasparine qui accepte le présent contrat, identifié par son compte, ci-après « le responsable de traitement »,

et Victor Zrounba, médecin radiologue, agissant à titre personnel, 31 rue Henri de Sahuque, 31400 Toulouse, éditeur du logiciel Gasparine, ci-après « le sous-traitant ».

Article 1 — Objet

Le présent contrat définit les conditions dans lesquelles le sous-traitant traite, pour le compte du responsable de traitement, les données personnelles nécessaires au fonctionnement de Gasparine, pendant la période de test gratuite du 21 septembre au 21 octobre 2026.

Article 2 — Description du traitement

• Nature et finalité : transcription de la dictée du radiologue, rédaction du texte de ses comptes rendus d'imagerie, relecture, rappels et propositions de classification, pour relecture et validation par lui.
• Données : données de santé pseudonymisées contenues dans la dictée et le compte rendu ; identifiant du compte du radiologue.
• Personnes concernées : patients du responsable de traitement ; le radiologue utilisateur.
• Durée de conservation : aucune pour la dictée, l'audio et le compte rendu ; durée du compte pour le paramétrage et les outils du radiologue.

Article 3 — Obligations du sous-traitant

• Traiter les données uniquement pour la finalité décrite et sur instruction documentée du responsable de traitement.
• Garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter s'y engagent.
• Ne conserver ni la dictée, ni l'audio, ni le compte rendu, et n'en écrire aucun contenu dans ses journaux techniques.
• Héberger le service chez un hébergeur certifié HDS en France.
• Aider le responsable de traitement à réaliser son analyse d'impact et à répondre aux demandes d'exercice des droits.
• Mettre à disposition toute information nécessaire pour démontrer le respect de ses obligations.

Article 4 — Sous-traitants ultérieurs

Le responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants, liés au sous-traitant par des contrats imposant des obligations équivalentes :

• Scalingo SAS — hébergement certifié HDS en France ;
• Mistral AI — traitements d'intelligence artificielle sur serveur européen, sans conservation (Zero Data Retention) ni entraînement de modèles ; recherche sur internet du chat, à la seule demande du radiologue, sans dictée ni compte rendu ;
• OVH SAS — stockage en France des documents de « Mon Drive », qui ne contiennent aucune donnée de patient.

Tout changement de sous-traitant ultérieur est notifié au responsable de traitement, qui dispose de 10 jours pour s'y opposer.

Article 5 — Sécurité

Le sous-traitant met en œuvre les mesures suivantes : chiffrement des échanges, comptes individuels, mots de passe chiffrés, déconnexion automatique après inactivité, hébergement HDS, absence de conservation des données cliniques.

Article 6 — Violation de données

Le sous-traitant notifie au responsable de traitement toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir eu connaissance, avec les informations utiles à une éventuelle notification à la CNIL.

Article 7 — Obligations du responsable de traitement

• Ne jamais dicter ni saisir d'identifiant direct du patient (nom, prénom, date de naissance, numéro de dossier, etc.).
• Relire, corriger si nécessaire et valider chaque compte rendu avant tout usage ; il en reste l'auteur et le seul responsable.
• Informer ses patients du recours à cet outil.
• Ne saisir ni déposer aucune donnée de patient dans le chat, le pense-bête ou « Mon Drive ».

Article 8 — Sort des données en fin de contrat

La dictée et le compte rendu n'étant jamais conservés, aucune donnée de patient n'est à restituer ni à détruire. À la fin du contrat, le compte du radiologue, son paramétrage et ses documents sont supprimés sur simple demande, ou au plus tard 3 mois après la fin de la période de test.

Article 9 — Durée

Le présent contrat s'applique pendant toute la durée d'utilisation de Gasparine par le responsable de traitement.

Article 10 — Acceptation

Le présent contrat est commun à tous les utilisateurs de Gasparine. Il est accepté électroniquement, en même temps que les conditions générales d'utilisation, par une case cochée à la première connexion. L'identifiant du compte, la date, l'heure et la version acceptée sont enregistrés par Gasparine et valent signature. Une nouvelle version est soumise à une nouvelle acceptation.