Accord de traitement des données
Data Processing Agreement (DPA)
Dernière mise à jour : 20/02/2026
Le présent Accord de traitement des données (ci-après « DPA ») est conclu entre :
- Le Responsable de traitement : le professionnel de santé inscrit sur la plateforme Medolia (ci-après « le Responsable »)
- Le Sous-traitant : DipokoStudio, entrepreneur individuel, éditeur de la plateforme Medolia (ci-après « le Sous-traitant » ou « Medolia »)
Le présent DPA fait partie intégrante des Conditions Générales d'Utilisation (CGU) de Medolia et est conclu conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD).
1. Objet
Le présent DPA a pour objet de définir les conditions dans lesquelles le Sous-traitant s'engage à traiter les données à caractère personnel pour le compte du Responsable, dans le cadre de l'utilisation de la plateforme Medolia.
2. Description du traitement
| Finalité du traitement | Hébergement et mise à disposition d'un outil SaaS de gestion de bilans, suivi de patients et coordination entre professionnels de santé |
| Nature du traitement | Collecte, enregistrement, stockage, consultation, extraction, modification, suppression des données saisies par le Responsable |
| Durée du traitement | Durée de la relation contractuelle entre le Responsable et Medolia |
| Personnes concernées | Patients du Responsable |
| Types de données | Nom, prénom, date de naissance, coordonnées, données de santé (bilans, formulaires médicaux, documents) |
| Données sensibles | Données de santé à caractère personnel au sens de l'article 9 du RGPD et de l'article L.1111-8 du Code de la santé publique |
3. Obligations du Sous-traitant
Conformément à l'article 28.3 du RGPD, le Sous-traitant s'engage à :
3.1 Instructions documentées
Traiter les données uniquement sur instruction documentée du Responsable, y compris en ce qui concerne les transferts vers un pays tiers. Les instructions sont constituées par les CGU, le présent DPA et toute instruction écrite complémentaire du Responsable.
Si le Sous-traitant estime qu'une instruction constitue une violation du RGPD ou du droit français en matière de protection des données, il en informe immédiatement le Responsable.
3.2 Confidentialité
Le Sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
3.3 Sécurité du traitement
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées conformément à l'article 32 du RGPD, notamment :
- Chiffrement des données en transit (TLS/HTTPS)
- Protection des données au repos conformément aux exigences du référentiel HDS
- Hashage des mots de passe (Argon2)
- Contrôle d'accès strictement limité au personnel autorisé, selon le principe du moindre privilège
- Journalisation des accès et des actions
- Sauvegardes régulières et chiffrées
- Mises à jour régulières des composants applicatifs et dépendances
- Hébergement certifié HDS et ISO 27001 (AZNetwork SAS), exclusivement en France
3.4 Sous-traitance ultérieure
À la date du présent DPA, le Responsable autorise le recours au sous-traitant ultérieur suivant :
| Sous-traitant | Rôle | Localisation | Certifications |
|---|---|---|---|
| AZNetwork SAS | Hébergement des données et de l'infrastructure | France (Alençon) | ISO 27001:2022, HDS 6 activités |
En cas de changement de sous-traitant ultérieur, le Sous-traitant en informe le Responsable par e-mail au moins 30 jours avant la mise en œuvre, afin de lui permettre d'émettre des objections. Si le Responsable s'y oppose, il peut résilier son Compte dans les conditions prévues aux CGU.
Le Sous-traitant s'assure que le sous-traitant ultérieur présente des garanties suffisantes et est lié par un contrat imposant les mêmes obligations. Le Sous-traitant demeure pleinement responsable de l'exécution des obligations du sous-traitant ultérieur.
3.5 Assistance au Responsable
Le Sous-traitant aide le Responsable, dans toute la mesure du possible :
- À donner suite aux demandes d'exercice des droits des personnes concernées (articles 15 à 22 du RGPD)
- À respecter ses obligations en matière de sécurité, de notification de violation, d'analyse d'impact et de consultation préalable (articles 32 à 36 du RGPD)
Le Sous-traitant notifie le Responsable dans un délai n'excédant pas 48 heures après avoir pris connaissance d'une violation de données. Cette notification comprend la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises pour y remédier.
3.6 Droit d'audit
Le Sous-traitant met à la disposition du Responsable toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent DPA et permet la réalisation d'audits, sous réserve de :
- Un préavis écrit de 15 jours ouvrés
- Le respect de la confidentialité et des obligations de sécurité
- La non-perturbation des opérations du Sous-traitant
Les frais d'audit sont à la charge du Responsable, sauf si l'audit révèle un manquement du Sous-traitant à ses obligations.
4. Obligations du Responsable
Le Responsable s'engage à :
- Déterminer les finalités et les moyens du traitement des données de ses patients
- S'assurer de la licéité du traitement et de disposer d'une base légale appropriée
- Informer ses patients du traitement de leurs données conformément aux articles 13 et 14 du RGPD
- Donner au Sous-traitant des instructions conformes au RGPD
- Veiller au respect de ses obligations en tant que professionnel de santé soumis au secret professionnel
- Mettre en œuvre des mesures appropriées pour assurer la sécurité des accès à la Plateforme (protection des identifiants, sécurisation des postes de travail)
5. Transferts de données hors UE
Les données à caractère personnel sont hébergées exclusivement sur le territoire français.
Aucun transfert de données en dehors de l'Union européenne n'est effectué dans le cadre du présent DPA.
Si un tel transfert devait s'avérer nécessaire, le Sous-traitant en informerait préalablement le Responsable et ne procéderait au transfert qu'après mise en place des garanties appropriées prévues au chapitre V du RGPD.
6. Sort des données en fin de contrat
À l'expiration ou à la résiliation du contrat, le Sous-traitant s'engage, au choix du Responsable :
- Restitution : exporter et transmettre au Responsable l'intégralité des données dans un format structuré et lisible (JSON ou CSV), dans un délai de 30 jours suivant la demande
- Suppression : supprimer l'intégralité des données et toutes les copies existantes dans un délai de 60 jours après la clôture du Compte, sauf obligation légale de conservation
En l'absence d'instruction du Responsable dans un délai de 30 jours suivant la résiliation, le Sous-traitant procède à la suppression des données. Une attestation écrite de suppression est fournie sur demande.
7. Registre des activités de traitement
Conformément à l'article 30.2 du RGPD, le Sous-traitant tient un registre de toutes les catégories d'activités de traitement effectuées pour le compte du Responsable, comprenant les coordonnées des parties, les catégories de traitements, les éventuels transferts vers des pays tiers et une description générale des mesures de sécurité. Ce registre est mis à disposition de la CNIL sur demande.
8. Durée
Le présent DPA entre en vigueur à la date d'inscription du Responsable sur la Plateforme et reste en vigueur pendant toute la durée de la relation contractuelle. Les obligations relatives à la confidentialité, à la sécurité et au sort des données survivent à la résiliation du DPA.
9. Hiérarchie des documents
En cas de contradiction entre le présent DPA et les CGU, les dispositions du présent DPA prévalent pour tout ce qui concerne le traitement des données à caractère personnel.
10. Modification du DPA
Le Sous-traitant se réserve le droit de modifier le présent DPA pour se conformer à l'évolution de la réglementation ou à des changements techniques. En cas de modification substantielle, le Responsable en sera informé par e-mail au moins 30 jours avant l'entrée en vigueur. Si le Responsable s'y oppose, il peut résilier son Compte dans les conditions prévues aux CGU.
11. Responsabilité
La responsabilité du Sous-traitant au titre du présent DPA est régie par les limitations de responsabilité prévues aux CGU.
12. Droit applicable
Le présent DPA est soumis au droit français. En cas de litige, les dispositions de l'article 12 des CGU s'appliquent.
13. Contact
- E-mail :contact@medolia.fr
- Adresse : 60 rue François 1er, 75008 Paris