Contrat de sous-traitance (RGPD, article 28)

Version du 15/10/2026. Les mentions entre crochets restent à compléter.

Parties

Le cabinet qui s'inscrit sur LeLogo, responsable du traitement des données de ses patients (RGPD, art. 4, 7)), ci-après « le cabinet ».

[à compléter : dénomination de la société éditrice, une OÜ estonienne en création, et son numéro d'enregistrement], [à compléter : adresse du siège], éditeur de LeLogo (marque FastSolve), sous-traitant (RGPD, art. 4, 8)), ci-après « l'éditeur ». Contact : [à compléter : adresse e-mail pour la protection des données]. [à compléter : délégué à la protection des données, s'il en est désigné un].

Ce contrat est accepté en ligne à l'inscription ; LeLogo garde la version acceptée et sa date.

1. Objet et durée

L'éditeur héberge et fait fonctionner LeLogo pour le cabinet : dossier des patients, horaire, accords, facturation, tiers payant, comptabilité, envois, sauvegardes. Le contrat dure tant que le cabinet utilise LeLogo, puis jusqu'à la restitution et l'effacement des données (article 11).

2. Nature et finalité du traitement

Conserver, consulter, modifier, copier et envoyer les données du cabinet, dans le seul but de lui fournir le service. L'éditeur ne s'en sert à aucune autre fin.

3. Types de données et personnes concernées

Personnes : les patients, leurs représentants légaux et personnes de contact, les prescripteurs, et les personnes qui travaillent au cabinet.

Données : identité, coordonnées, NISS, mutualité et statut BIM, prescription, accords, bilans, notes de séance, présences, documents, factures et paiements ; des données concernant la santé (RGPD, art. 9).

4. Instructions documentées

L'éditeur ne traite les données que sur instruction documentée du cabinet : l'usage que le cabinet fait de LeLogo et le présent contrat. Il prévient aussitôt le cabinet si une instruction lui paraît contraire au RGPD.

5. Confidentialité

Les personnes que l'éditeur autorise à traiter les données sont tenues à la confidentialité.

6. Sécurité (RGPD, art. 32)

L'éditeur applique les mesures de l'annexe 2. Deux points sont dits ici en toutes lettres.

La clé maîtresse : la clé du dossier du cabinet est fermée, sur le serveur, par une clé maîtresse que l'éditeur détient ; l'éditeur peut donc techniquement lire le dossier. Il n'ouvre le dossier d'un cabinet qu'à sa demande écrite, pour le support, ou si la loi l'y oblige [à compléter : trace de cet accès dans le journal du cabinet].

Ce qui reste lisible (pseudonymisation) : les dates et heures des séances et leur statut (présent, absent, annulé) ; les codes de nomenclature, les tarifs et les montants (factures, attestations, paiements, comptabilité), leurs numéros et leurs dates ; pour chaque accord : le trouble, la nature, les dates, le nombre de séances et la décision de la mutualité ; pour chaque bilan : sa nature, sa date et le trouble ; sur la fiche : le statut BIM, le tiers payant, la langue, le jour et l'heure habituels de séance ; dans la liste d'attente : le trouble et les disponibilités ; le matériel employé en séance, le nom des mutualités dans les états récapitulatifs, l'identité du cabinet et de ses logopèdes ; le journal : qui a fait quoi, et qui a ouvert quel numéro de fiche. Ces données sont rattachées au numéro interne d'une fiche, sans le nom ni le NISS du patient : c'est une pseudonymisation, pas un anonymat. Recoupées avec d'autres informations (un horaire, une date de rendez-vous), elles peuvent permettre de reconnaître un patient. Elles restent protégées comme tout le dossier : la base n'est lisible que par le service, et les copies sont chiffrées en entier.

7. Sous-traitants ultérieurs

Le cabinet donne une autorisation écrite générale pour les sous-traitants ultérieurs de l'annexe 1. L'éditeur prévient le cabinet de tout ajout ou remplacement avant qu'il ne prenne effet, et le cabinet peut s'y opposer [à compléter : délai]. L'éditeur impose à chaque sous-traitant ultérieur les mêmes obligations que le présent contrat.

8. Droits des personnes concernées

L'éditeur aide le cabinet à répondre aux demandes des patients. LeLogo fournit pour cela : le dossier d'un patient (.zip) sur sa fiche, tout le dossier du cabinet, et pour chaque fiche, qui a ouvert le dossier.

9. Violations et assistance

L'éditeur notifie au cabinet toute violation de données à caractère personnel dans les meilleurs délais [à compléter : délai, par exemple 48 heures], avec ce dont le cabinet a besoin pour sa propre notification (RGPD, art. 33 et 34). Il l'aide pour une analyse d'impact (art. 35 et 36).

10. Localisation des données

Le dossier et ses copies restent dans l'Union européenne. Pour l'envoi des e-mails et des SMS et pour le paiement : [à compléter : lieux de traitement et garanties en cas de transfert hors de l'Union].

11. Fin du contrat

Le cabinet peut à tout moment exporter tout son dossier (Réglages, « Exporter tout le dossier »). Après l'arrêt de l'abonnement, le dossier reste lisible trois mois pour l'emporter. À la fermeture du compte, l'éditeur efface le dossier du cabinet sur le serveur. Les copies de sauvegarde ne sont plus complétées et s'effacent à la fin de leur durée de conservation, au plus tard douze mois après la fermeture, sauf si la loi oblige l'éditeur à les garder.

12. Audits

L'éditeur met à la disposition du cabinet toutes les informations nécessaires pour démontrer le respect du présent contrat, et permet des audits [à compléter : modalités].

Annexe 1. Sous-traitants ultérieurs

Hostinger : Hébergement : loue les serveurs du site, où vivent la base de chaque cabinet et le registre des comptes. Union européenne, [à compléter : ville et pays du centre de données]. Tout le dossier du cabinet, champs sensibles chiffrés. Hostinger ne reçoit aucune clé ; comme tout hébergeur, il contrôle le matériel sur lequel le serveur tourne.
[à compléter : fournisseur du stockage des copies de sauvegarde] : Stockage des copies de sauvegarde, hors du serveur. Union européenne, [à compléter : pays]. Les copies de chaque cabinet, chiffrées en entier par une clé que ce fournisseur n'a pas : il ne lit ni le dossier, ni le nom du cabinet.
Stripe : Paiement de l'abonnement du cabinet. [à compléter : entité contractante et lieux de traitement, selon le contrat Stripe]. Le cabinet qui paie, son adresse e-mail et son moyen de paiement. Aucune donnée de patient.
[à compléter : fournisseur d'envoi des e-mails] : Envoi des e-mails : comptes (inscription, mot de passe, invitation) et, quand le cabinet les envoie, rappels de rendez-vous et factures. [à compléter]. L'adresse du destinataire et le message.
[à compléter : fournisseur d'envoi des SMS] : Envoi des SMS de rappel, quand le cabinet les envoie. [à compléter]. Le numéro de téléphone, la date et l'heure du rendez-vous.

Annexe 2. Mesures de sécurité

Où sont les données : Sur des serveurs loués à Hostinger, dans un centre de données situé dans l'Union européenne ([à compléter : ville et pays du centre de données]). Chaque cabinet a sa propre base ; un registre central garde les comptes et les cabinets. La connexion au site passe par HTTPS.
Chiffrement : Les champs sensibles sont chiffrés champ par champ (AES-256-GCM), chacun lié à sa ligne : une valeur déplacée ne s'ouvre plus. Sont chiffrés ainsi le nom, le prénom, la date de naissance, le NISS, l'adresse, le téléphone, l'e-mail et la mutualité du patient, ses contacts, le prescripteur, les remarques, l'anamnèse, les notes de séance, le contenu des bilans, les documents et leurs noms, le contenu des fichiers du matériel, les motifs de refus, les libellés et fournisseurs de la comptabilité, les destinataires des envois. Les mots de passe ne sont pas gardés, seulement une empreinte (scrypt).
La clé maîtresse, dite franchement : La clé qui ouvre le dossier d'un cabinet est rangée sur le serveur, fermée par une clé maîtresse que l'éditeur garde à part, hors des bases et des copies. C'est ce qui permet de remplacer par e-mail un mot de passe oublié. Cela veut dire aussi que l'éditeur, qui fait tourner le service, peut techniquement lire le dossier. Une base ou une copie volée, seule, ne révèle rien : il lui manque la clé maîtresse.
Ce qui n'est pas chiffré champ par champ : Pour calculer et trier, une partie reste lisible dans la base : les dates et heures des séances et leur statut (présent, absent, annulé) ; les codes de nomenclature, les tarifs et les montants (factures, attestations, paiements, comptabilité), leurs numéros et leurs dates ; pour chaque accord : le trouble, la nature, les dates, le nombre de séances et la décision de la mutualité ; pour chaque bilan : sa nature, sa date et le trouble ; sur la fiche : le statut BIM, le tiers payant, la langue, le jour et l'heure habituels de séance ; dans la liste d'attente : le trouble et les disponibilités ; le matériel employé en séance, le nom des mutualités dans les états récapitulatifs, l'identité du cabinet et de ses logopèdes ; le journal : qui a fait quoi, et qui a ouvert quel numéro de fiche. Ces données sont rattachées au numéro interne d'une fiche, sans le nom ni le NISS du patient : c'est une pseudonymisation, pas un anonymat. Recoupées avec d'autres informations (un horaire, une date de rendez-vous), elles peuvent permettre de reconnaître un patient. Elles restent protégées comme tout le dossier : la base n'est lisible que par le service, et les copies sont chiffrées en entier.
Sauvegardes : Le serveur copie le dossier de chaque cabinet chaque heure, chiffre la copie en entier avec une clé de sauvegarde distincte de la clé maîtresse, jamais écrite dans une base ni dans une copie, et l'envoie hors du serveur, dans un stockage situé dans l'Union européenne ([à compléter : fournisseur]). Chaque copie est relue aussitôt ; un essai de restauration complet a lieu chaque semaine. Sont gardées : toutes les copies des 48 dernières heures, la dernière de chaque jour pendant 30 jours et la dernière de chaque mois pendant 12 mois.
Connexion : Double authentification par une application du téléphone, pour chaque compte, et exigible par le cabinet. Après 5 refus pour un compte, 15 minutes d'attente, doublées à chaque fois (24 heures au plus). Déconnexion après inactivité : 8 heures, réglable de 30 minutes à 12 heures. « Se souvenir de cet appareil » 30 jours au plus. Une page « Appareils connectés » pour les déconnecter à distance, et un e-mail à chaque connexion depuis un nouvel appareil.
Droits et journal : Des droits par compte ; un compte lié à un logopède ne voit que ses patients. Un journal des actions, et pour chaque fiche, qui a ouvert le dossier et quand.
Aucun traceur : Le site ne charge aucun fichier extérieur : ni mesure d'audience, ni publicité, ni traceur. Seulement les cookies nécessaires pour rester connecté, retenir la langue et reconnaître un appareil déjà vu.