Protection des données
RGPD et traitement des données
Annexe de traitement des données (DPA) · Version 1.0
La présente annexe encadre le traitement des données à caractère personnel réalisé par AMADIAG MEDICAL pour le compte du professionnel ou de la structure utilisant Marianne Copilote, au sens de l'article 28 du RGPD. Les traitements dont AMADIAG MEDICAL est responsable (prospects, comptes, facturation) sont décrits dans la politique de confidentialité.
1. Objet et champ d'application
La présente annexe établit le cadre du traitement des données personnelles par AMADIAG MEDICAL au titre du service Marianne Copilote. Elle fait partie intégrante du contrat ; en cas de conflit, ses stipulations relatives à la protection des données prévalent.
2. Définitions
Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée », « violation » et « données concernant la santé » ont le sens que leur donne l'article 4 du RGPD. Les caractéristiques du traitement sont détaillées à l'annexe 1.
3. Rôles des parties
- Responsable de traitement : le professionnel de santé ou la structure utilisant le service.
- Sous-traitant : AMADIAG MEDICAL (service Marianne Copilote).
Le responsable de traitement détermine les finalités et les moyens ; le sous-traitant agit uniquement sur instruction documentée.
4. Obligations du sous-traitant (article 28.3 du RGPD)
4.1 — Instruction documentée. AMADIAG MEDICAL ne traite les données que sur instruction écrite du responsable, y compris pour d'éventuels transferts, sauf obligation légale (signalée sauf interdiction légale).
4.2 — Confidentialité. Les personnes autorisées à traiter les données s'engagent à la confidentialité et reçoivent une sensibilisation à la protection des données.
4.3 — Sécurité. AMADIAG MEDICAL met en œuvre les mesures techniques et organisationnelles de l'article 32 du RGPD (annexe 2), adaptées au risque et à la nature des données, y compris les données de santé.
4.4 — Sous-traitance ultérieure. Le responsable autorise, par acceptation de la présente annexe, le recours aux sous-traitants listés à l'annexe 3. Tout ajout ou remplacement fait l'objet d'une information préalable d'au moins 30 jours, pendant lesquels le responsable peut s'opposer. AMADIAG MEDICAL impose à ses sous-traitants des obligations équivalentes et demeure pleinement responsable.
4.5 — Assistance aux droits des personnes. AMADIAG MEDICAL aide le responsable à répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition). Toute demande reçue directement est transmise sans délai au responsable ; AMADIAG MEDICAL n'y répond pas de sa propre initiative.
4.6 — Assistance à la conformité. AMADIAG MEDICAL assiste le responsable pour ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification de violation, analyse d'impact, consultation préalable).
4.7 — Sort des données en fin de traitement. Au choix écrit du responsable, AMADIAG MEDICAL supprime ou restitue les données à la fin du service et détruit les copies existantes (sauf obligation légale de conservation). À défaut d'instruction, les données sont supprimées dans un délai de 30 jours après la fin du contrat ; les sauvegardes sont purgées selon leur cycle normal. Les modalités de réversibilité figurent aux CGV (article 10).
4.8 — Audit et information. AMADIAG MEDICAL fournit au responsable les informations nécessaires pour démontrer le respect de l'article 28 et permet la réalisation d'audits dans des conditions convenues entre les parties.
5. Notification des violations de données
AMADIAG MEDICAL notifie au responsable toute violation susceptible de le concerner dans un délai maximal de 48 heures après en avoir pris connaissance, afin de permettre la notification à la CNIL dans les 72 heures (article 33 du RGPD). La notification précise la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées.
6. Registre et délégué à la protection des données
AMADIAG MEDICAL tient un registre des catégories d'activités de traitement effectuées pour le compte des responsables (article 30.2 du RGPD). Contact protection des données : dpo@mariannecopilote.fr.
7. Transferts hors Union européenne
Le service principal ne donne lieu à aucun transfert de données hors de l'Union européenne : hébergement, reconnaissance vocale et génération du compte rendu sont opérés en France. Tout transfert éventuel n'interviendrait que sur instruction du responsable et dans le respect du chapitre V du RGPD.
8. Données de santé
Les parties reconnaissent que le traitement porte sur des données concernant la santé (article 9 du RGPD) : l'enregistrement vocal de la dictée, sa transcription et le compte rendu radiologique. Le responsable confirme disposer d'une base légale au titre de l'article 9.2 (notamment art. 9.2.h — soins assurés par un professionnel soumis au secret). AMADIAG MEDICAL met en œuvre les mesures renforcées de l'annexe 2 pour les données de santé.
Hébergement en France : les données de santé sont hébergées en France chez Scaleway (région fr-par).
9. Responsabilité
Chaque partie assume la responsabilité des dommages causés par un traitement non conforme au RGPD, dans les conditions de l'article 82. La répartition financière entre les parties est coordonnée avec les clauses de responsabilité des CGV.
10. Durée
La présente annexe prend effet à la signature du contrat et demeure en vigueur pendant toute la durée du traitement. Les obligations relatives au sort des données et à la confidentialité survivent à son terme.
11. Droit applicable
La présente annexe est régie par le droit français et le RGPD.
Annexe 1 — Description du traitement
| Élément | Détail |
|---|---|
| Responsable de traitement | Le professionnel de santé ou la structure utilisatrice |
| Sous-traitant | AMADIAG MEDICAL (Marianne Copilote) |
| Nature du traitement | Captation vocale, transcription automatique, structuration et mise en forme, restitution du compte rendu, stockage |
| Finalité | Aide à la rédaction de comptes rendus radiologiques par dictée vocale assistée par IA |
| Personnes concernées | Patients (indirectement, via le contenu dicté), praticiens utilisateurs |
| Catégories de données | Enregistrement vocal, transcription, compte rendu radiologique — données de santé (sensibilité élevée) |
| Durée | Durée du contrat ; suppression sous 30 jours après le terme (l'enregistrement vocal est supprimé après transcription, sauf instruction contraire) |
| Base au titre de l'article 9 | Précisée par le responsable : art. 9.2.h et/ou autre |
Annexe 2 — Mesures techniques et organisationnelles (article 32 du RGPD)
Chiffrement et flux
- Chiffrement des flux en transit (TLS)
- Chiffrement des données au repos
Hébergement et localisation
- Hébergement en France (Scaleway, région fr-par)
- Cloisonnement logique entre abonnés
Contrôle des accès
- Authentification des utilisateurs ; gestion des rôles et autorisations
- Principe du moindre privilège pour les accès d'administration
Journalisation et supervision
- Journalisation des accès et événements de sécurité (sans contenu médical)
Sauvegarde et continuité
- Politique de sauvegarde et procédure de restauration
Gestion des vulnérabilités et incidents
- Mises à jour de sécurité ; procédure de gestion des violations (notification au responsable sous 48 heures)
Mesures organisationnelles
- Engagements de confidentialité du personnel ; sensibilisation à la protection des données
- Encadrement contractuel des sous-traitants (annexe 3)
Annexe 3 — Sous-traitants autorisés
| Sous-traitant | Rôle | Localisation | Transfert hors UE |
|---|---|---|---|
| Scaleway SAS | Hébergement de l'application et des données de santé | France (fr-par) | Non |
| Mistral AI | Reconnaissance vocale (transcription) et modèle de langage (mise en forme) | France / Union européenne | Non |
Toute modification de cette liste suit la procédure de l'article 4.4.
Exercer vos droits
Si vous êtes une personne concernée par un traitement réalisé au moyen de Marianne Copilote, vous exercez vos droits (accès, rectification, effacement, limitation, portabilité, opposition) auprès de votre professionnel de santé ou de votre structure, responsable de traitement. Pour les traitements dont AMADIAG MEDICAL est responsable, adressez votre demande à dpo@mariannecopilote.fr. Vous pouvez à tout moment saisir la CNIL (www.cnil.fr).