Accord de sous-traitance (DPA)

Dernière mise à jour : 29/10/2026

Version 2026-08 - en vigueur.

Le présent Accord de sous-traitance (« DPA », Data Processing Agreement) est conclu au sens de l'article 28 du Règlement (UE) 2016/679 (RGPD). Il fait partie intégrante des conditions générales et encadre le traitement, par Olnis, des données à caractère personnel des patients pour le compte du praticien.

1. Parties

Le Responsable de traitement : le praticien (ostéopathe ou autre professionnel de santé) titulaire du compte, qui détermine les finalités et les moyens du traitement des données de ses patients.

Le Sous-traitant : SARL Alb's, éditeur du logiciel Olnis, SIRET 94138473700024, siège social 198 Avenue de France, 75013 Paris, ci-après « Olnis », qui traite ces données pour le compte et sur instruction du Responsable de traitement.

Contact / Délégué à la protection des données : [email protected].

2. Définitions

Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée », « violation de données » et « autorité de contrôle » ont le sens qui leur est donné par l'article 4 du RGPD. « Données de santé » désigne les données relevant de l'article 9 du RGPD et du secret médical (article 226-13 du Code pénal).

3. Objet, nature et finalités du traitement

Olnis fournit un logiciel de gestion de cabinet permettant au Responsable de traitement de gérer ses patients et son activité. À ce titre, Olnis traite les données pour les seules finalités suivantes :

• hébergement et stockage sécurisé du dossier patient et du dossier de santé ;
• gestion de l'agenda, des rendez-vous et des rappels ;
• facturation, comptabilité et éditions associées ;
• mise à disposition des fonctionnalités de sécurité, de sauvegarde et de journalisation ;
• production de statistiques d'usage agrégées et non nominatives.

La nature des opérations comprend la collecte, l'enregistrement, l'organisation, la conservation, la consultation, la modification, l'extraction, la sauvegarde et l'effacement des données, à l'exclusion de toute réutilisation à des fins propres à Olnis.

4. Durée

Le présent DPA s'applique pendant toute la durée de fourniture du service (essai et abonnement), à compter de son acceptation et jusqu'à la clôture du compte, sans préjudice des obligations qui survivent à son terme (confidentialité, restitution/suppression, preuve).

5. Catégories de données et de personnes concernées

Personnes concernées : les patients du praticien, ainsi que, le cas échéant, ses contacts professionnels.

Catégories de données :

• données d'identité et de contact (nom, prénom, date de naissance, sexe, téléphone, e-mail, adresse) ;
• données de santé (article 9 RGPD) : motif, anamnèse, antécédents, allergies, traitements, examen, diagnostic, techniques, conseils et documents médicaux, le tout chiffré ;
• données de rendez-vous et de facturation.

6. Obligations et droits du Responsable de traitement

Le Responsable de traitement détermine les finalités et moyens, s'assure de disposer d'une base légale (notamment l'article 9.2.h RGPD, relatif aux soins), informe ses patients (articles 13-14 RGPD) et garantit la licéité de ses instructions. Il dispose d'un droit de contrôle et d'audit défini à l'article 13.

7. Obligations d'Olnis (article 28.3 RGPD)

Olnis s'engage à :

1. Instructions documentées : ne traiter les données que sur instruction documentée du Responsable de traitement, y compris pour les transferts, sauf obligation légale contraire, auquel cas Olnis en informe le Responsable avant traitement (sauf interdiction légale) ;
2. Confidentialité : veiller à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité ou soient soumises à une obligation légale de confidentialité ;
3. Sécurité : mettre en œuvre les mesures techniques et organisationnelles appropriées (article 32), détaillées à l'article 8 ci-dessous ;
4. Sous-traitance ultérieure : respecter les conditions de l'article 9 pour recourir à un autre sous-traitant ;
5. Assistance « droits des personnes » : aider le Responsable, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits (articles 12 à 23) ;
6. Assistance « sécurité et conformité » : aider le Responsable à respecter ses obligations des articles 32 à 36 (sécurité, notification de violation, analyse d'impact, consultation préalable) ;
7. Sort des données : au choix du Responsable, supprimer ou restituer les données au terme du service, et détruire les copies existantes, sauf obligation légale de conservation (article 11) ;
8. Documentation et audit : mettre à disposition du Responsable toutes les informations nécessaires pour démontrer le respect de l'article 28, et permettre les audits (article 12).

Olnis informe immédiatement le Responsable si une instruction constitue, selon lui, une violation du RGPD ou d'une autre disposition applicable à la protection des données.

8. Mesures de sécurité (article 32)

• Chiffrement des données de santé au repos (AES-256-GCM), avec une clé dérivée par utilisateur : le personnel d'Olnis ne peut pas lire les données de santé en clair ;
• Hébergement certifié HDS (Hébergeur de Données de Santé) au sein de l'Union européenne (voir article 15) ;
• Authentification forte : mots de passe hachés, double authentification (2FA) imposée pour les comptes accédant aux données de santé ;
• Journalisation des accès aux dossiers patients (traçabilité CNIL) ;
• Cloisonnement des accès (rôles), transport chiffré (HTTPS/TLS), en-têtes de sécurité ;
• Sauvegardes chiffrées régulières et procédure de restauration ;
• mesures propres à garantir la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes, et à rétablir l'accès en cas d'incident.

9. Sous-traitants ultérieurs (article 28.2 et 28.4)

Le Responsable de traitement autorise Olnis à recourir aux sous-traitants ultérieurs suivants :

• Scalingo (France, UE) : héberge l'application et la base de données, en infrastructure certifiée HDS ;
• Stripe Payments Europe Ltd (Irlande, UE) : gère le paiement des abonnements, sans aucun accès aux données de santé ;
• o2switch (France, UE) : acheminement des e-mails transactionnels.

Olnis impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles du présent DPA. Tout ajout ou remplacement de sous-traitant est notifié au Responsable au moins 30 jours à l'avance ; le Responsable peut s'y opposer pour un motif légitime, l'opposition pouvant, à défaut de solution, entraîner la résiliation du service. La liste à jour figure au registre des traitements (registre).

10. Violation de données (article 33.2)

Olnis notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et au plus tard sous 48 heures, en fournissant les informations utiles (nature, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises). Le Responsable reste seul chargé, le cas échéant, de la notification à la CNIL (article 33) et de l'information des personnes concernées (article 34).

11. Transferts hors Union européenne

Les données sont hébergées et traitées au sein de l'Union européenne. Olnis ne procède à aucun transfert hors UE sans instruction ou autorisation préalable du Responsable et sans encadrement approprié (décision d'adéquation ou clauses contractuelles types de la Commission européenne).

12. Restitution et suppression des données

À la fin du service, au choix du Responsable de traitement : les données lui sont restituées dans un format exploitable (export), puis supprimées. À défaut d'instruction, elles sont conservées 30 jours (période de récupération) puis supprimées définitivement, sous réserve des obligations légales de conservation (par ex. pièces de facturation). Une suppression immédiate est possible sur demande.

13. Audit et démonstration de conformité (article 28.3.h)

Olnis met à disposition, sur demande, les informations nécessaires pour démontrer le respect de ses obligations et se soumet à des audits, y compris des inspections, réalisés par le Responsable de traitement ou un tiers mandaté, dans le respect de la confidentialité et de la sécurité des autres clients, moyennant un préavis raisonnable. Olnis peut communiquer les attestations et certifications pertinentes (dont la certification HDS de l'hébergeur).

14. Responsabilité (article 82)

Chaque partie répond des dommages causés par le traitement lorsqu'elle a manqué aux obligations du RGPD qui lui incombent ou a agi en dehors des instructions licites du Responsable. La responsabilité s'apprécie dans les conditions de l'article 82 du RGPD et selon les limitations prévues aux conditions générales.

15. Hébergement des données de santé (HDS)

Conformément à l'article L.1111-8 du Code de la santé publique, les données de santé sont hébergées auprès d'un hébergeur certifié HDS. L'attestation ou la convention correspondante peut être communiquée au Responsable de traitement sur demande.

16. Durée, révision et droit applicable

Le présent DPA peut être révisé pour tenir compte d'évolutions légales, réglementaires ou techniques. Toute révision substantielle est portée à la connaissance du Responsable et donne lieu à une nouvelle acceptation. Le DPA est régi par le droit français ; les tribunaux compétents sont ceux prévus aux conditions générales.

17. Acceptation et signature électronique

Le présent DPA est accepté par le Responsable de traitement dès la création de son compte (y compris pendant l'essai), au moyen d'une case à cocher dédiée. Cette acceptation vaut signature électronique : une trace horodatée (date, version acceptée, adresse IP) est conservée à titre de preuve, conformément à l'article 28.9 du RGPD et aux articles 1366 et 1367 du Code civil. En cas de révision substantielle, une nouvelle acceptation est requise. Une copie de l'acceptation peut être obtenue sur demande.