Article 28.3 du RGPD — entre le cabinet (responsable de traitement) et ReviCare (sous-traitant), pour les offres ReviCare Aura, ReviCare Next, ReviCare Focus et ReviCare Scribe : douze articles communs, une annexe par offre. Chaque affirmation technique d'une annexe a été mesurée dans le code et la configuration à la date que l'annexe indique ; ce qui n'a pas pu être mesuré y est signalé comme tel.
Version 2.0| Responsable de traitement | Le cabinet : [dénomination], [forme], [adresse], [RPPS/FINESS], représenté par [nom, qualité] — complétés à la souscription. |
|---|---|
| Sous-traitant | ReviCare, société par actions simplifiée à associé unique au capital de 1,00 €, siège social Chemin du Vallon Monari, 06200 Nice, France — RCS Nice 934 787 540. Contact du délégué à la protection des données : dpo@revicare.fr. |
Le cabinet détermine les finalités et les moyens du traitement. ReviCare n'agit que sur instruction documentée du cabinet, au sens de l'article 28.3 (a) du RGPD.
Objet. Le présent accord encadre les traitements de données à caractère personnel que ReviCare réalise, pour le compte du cabinet, dans le cadre des offres que celui-ci a souscrites parmi ReviCare Aura, ReviCare Next, ReviCare Focus et ReviCare Scribe. Chaque offre est décrite dans son annexe : objet et finalité, personnes concernées et données, sous-traitants et flux, conservation, garanties et réserves.
Nature des services. Aucune offre n'exerce de fonction de diagnostic, de prescription ni d'orientation thérapeutique : les services proposent, ordonnent ou rédigent, le praticien décide (CGV, article 6).
Durée. Le présent accord suit la durée du contrat de service, et lui survit pour les seules obligations des articles 8 (violations), 10 (sort des données) et 11 (audit).
Le détail figure dans l'annexe de chaque offre ; le tableau suivant en donne la vue d'ensemble.
| Offre | Personnes concernées | Données | Donnée de santé |
|---|---|---|---|
| ReviCare Aura | Patients sollicités ; praticien | Adresse électronique et/ou numéro de mobile, note, commentaire libre | Non par conception ; le commentaire libre peut en contenir |
| ReviCare Next | Patients du cabinet ; praticien et personnel | Identité, NIR, coordonnées, notes, courriers, ordonnances, documents importés et signés | Oui |
| ReviCare Focus | Patients qui demandent une première consultation ; personnel du cabinet | Référence de rendez-vous, coordonnées, tranche d'âge et sexe, texte de la demande | Oui |
| ReviCare Scribe | Patients du praticien ; praticien | Identité, coordonnées, médecin traitant, dictée, notes, lettre | Oui |
Données de santé. Les offres Next, Focus et Scribe traitent des données concernant la santé. Elles relèvent donc de l'article 9.2 (h) du RGPD et de l'obligation d'hébergement certifié HDS de l'article L.1111-8 du code de la santé publique : elles sont hébergées chez un hébergeur certifié (article 7.1), sous réserve des dérogations déclarées (notamment la dictée vocale, annexe « Dictée vocale »). Aura ne traite pas de donnée de santé par conception ; le commentaire libre du patient est la seule zone où il peut en figurer.
ReviCare ne traite les données que sur instruction documentée du cabinet. Constituent une telle instruction : le présent accord, le contrat de service, et les réglages que le cabinet opère depuis son espace.
ReviCare informe immédiatement le cabinet si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition du droit de l'Union ou d'un État membre.
Localisation des traitements. ReviCare ne transfère aucune donnée de patient hors de l'Union européenne, à l'exception de ce que déclarent expressément l'article 7.1 et les annexes : le service de SMS de Twilio, dont le traitement n'est pas limité à l'Union. Les régions d'appel des modèles d'inférence et de transcription sont bornées à l'Union par le programme ; l'annexe de chaque offre dit si cette région est fixée par le programme ou si c'est un réglage de production protégé par une liste fermée de régions.
ReviCare garantit que les personnes autorisées à traiter les données s'engagent à la confidentialité, par contrat ou par une obligation légale de confidentialité, et sont formées à la protection des données de santé.
L'accès aux données de production est nominatif, journalisé et limité aux personnes dont la fonction l'exige.
| Mesure | Mise en œuvre |
|---|---|
| Chiffrement au repos | AES-256 sur l'ensemble des volumes et bases hébergeant des données de patients |
| Chiffrement en transit | TLS 1.2 minimum sur toute liaison, interne comme externe |
| Localisation | Hébergement (calcul, bases, stockage) en région eu-west-3 (Paris) exclusivement. Les exceptions — la transcription de la dictée vocale hors périmètre HDS (annexe « Dictée vocale ») et le service de SMS de Twilio (article 7.1) — sont déclarées |
| Journal d'accès | Applications ReviCare Next, Focus et Scribe : tout accès à une donnée de patient franchit une porte d'audit posée au point de convergence du code, et non chez l'appelant — un futur appelant est donc journalisé sans que personne ait à y penser. ReviCare Aura est une application distincte : voir son annexe |
| Journaux d'exploitation | Leur contenu est décrit dans l'annexe de chaque offre |
| Surveillance | Chaque surface exposée fait l'objet d'une sonde synthétique sans donnée de santé, avec assertion de contenu et criticité |
| Réversibilité | Voir article 10 |
Le cabinet donne à ReviCare une autorisation générale de recourir aux sous-traitants ultérieurs listés ci-dessous. ReviCare informe le cabinet de tout ajout ou remplacement au moins 30 jours avant qu'il ne prenne effet ; le cabinet peut s'y opposer par écrit dans ce délai, l'opposition valant faculté de résiliation sans indemnité.
| Sous-traitant | Rôle | Offres | Localisation | Données de santé ? |
|---|---|---|---|---|
| Amazon Web Services EMEA SARL | Hébergement (calcul, base de données, stockage, secrets) ; inférence des modèles d'IA générative (service Bedrock) : rédaction et extraction pour Next et Scribe, enrichissement documentaire pour Focus ; en repli de la transcription de la dictée, service Transcribe (annexe) | Aura, Next, Focus, Scribe | eu-west-3, Paris ; profil d'inférence UE exclusivement | Oui — hébergeur certifié HDS v2, Bureau Veritas n° FR100528, cycle 2025→2028, région eu-west-3 dans le périmètre |
| Microsoft Ireland Operations Limited | Transcription de la dictée vocale (service Azure AI Speech) | Next, Scribe | Sweden Central, Union européenne | Oui — la dictée peut contenir des données de santé. Hors périmètre de la certification HDS ; voir l'annexe « Dictée vocale » |
| Sinch (Mailgun) — région UE | Acheminement du courrier électronique sortant : sollicitations et relances d'avis (Aura) ; documents, invitations de signature et liens du portail patient (Next) ; alertes adressées au cabinet (Focus) | Aura, Next, Focus | Point d'entrée UE | Le corps du message peut contenir l'adresse du patient (Aura), un document nominatif (Next) ou des éléments de la demande du patient (Focus) |
| Twilio | Acheminement des SMS : code à usage unique de la signature électronique et du portail patient (Next), sollicitation d'avis (Aura) | Next, Aura | Entreprise américaine ; le service est appelé par son point d'entrée mondial : le traitement peut s'effectuer hors de l'Union européenne | Le SMS porte un numéro de téléphone, un code ou un lien et le nom du praticien, sans contenu clinique. Selon la documentation publique de Twilio, le transfert hors de l'Union est encadré par ses règles d'entreprise contraignantes et, à défaut, par les clauses contractuelles types de son addendum de protection des données |
| Stripe | Encaissement de l'abonnement du cabinet | Aura, Next, Focus, Scribe | — | Non. Ne reçoit que des données du cabinet (facturation). Aucune donnée de patient |
| Brevo | Synchronisation de la fiche professionnelle du praticien (relation client) | Aura | — | Non. Ne reçoit que des données du praticien. Aucune donnée de patient |
| FreeTSA (service public d'horodatage, norme RFC 3161) | Horodatage du scellé des documents signés | Next | — | Non. Ne reçoit qu'une empreinte cryptographique. Aucune donnée de patient |
Doctolib et Follow. Focus lit l'agenda du cabinet, les connecteurs de Next lisent et écrivent dans l'agenda et le dossier du cabinet, et l'extension de navigateur d'Aura lit les coordonnées du patient dans la page du praticien — toujours avec la session ou les identifiants du cabinet lui-même (pour Aura, dans le navigateur du praticien, sans enregistrer aucun identifiant). ReviCare y agit pour le compte du cabinet, sur une relation contractuelle préexistante entre le cabinet et son éditeur, à laquelle ReviCare n'est pas partie. L'éditeur demeure donc sous-traitant du cabinet, non de ReviCare. Les identifiants que le praticien confie à ReviCare (session, code PIN, mot de passe), avec son consentement tracé, sont conservés chiffrés (clé gérée AWS KMS, AES-256-GCM).
Cette qualification est signalée ici plutôt qu'omise : une liste où ces éditeurs n'apparaissent nulle part se lit comme un oubli. Elle dépend des conditions du contrat entre le cabinet et son éditeur, que ReviCare ne détient pas.
Google. Le patient qui attribue la note maximale est invité, par un lien, à publier son avis sur la page publique du cabinet chez Google, dans le cadre de sa relation propre avec Google. ReviCare lit en retour les avis publiés (interface Places) sans envoyer aucune donnée de patient.
ReviCare notifie au cabinet toute violation de données à caractère personnel dans les 24 heures suivant sa prise de connaissance, par courrier électronique à l'adresse déclarée par le cabinet et par tout autre moyen convenu.
Pourquoi 24 heures. L'article 33 laisse au cabinet 72 heures pour notifier la CNIL. Un délai de 24 heures pour le sous-traitant laisse donc au cabinet 48 heures — la majorité de son propre délai — pour qualifier l'incident et le déclarer. Un délai aligné sur 72 heures aurait consommé la totalité du sien.
La notification comporte, dans la mesure du disponible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et le point de contact. Une information incomplète est transmise sans attendre d'être complète, puis complétée.
ReviCare assiste le cabinet dans ses obligations des articles 32 à 36, y compris pour une analyse d'impact et une consultation préalable.
ReviCare assiste le cabinet, par des mesures techniques et organisationnelles appropriées, pour répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition).
ReviCare ne répond jamais directement à une personne concernée : toute demande reçue est transmise au cabinet sous 72 heures, le cabinet étant seul responsable de la réponse.
Le journal d'accès mentionné à l'article 6 permet de reconstituer, pour une personne donnée, les accès dont ses données ont fait l'objet.
Au terme de la prestation, au choix du cabinet exprimé par écrit :
Le choix est exercé dans les 30 jours suivant le terme. À défaut de choix exprimé, la restitution est présumée demandée.
Archivage intermédiaire — 30 ans minimum. Par exception, ReviCare conserve en archivage intermédiaire, à accès restreint et pour les seules finalités probatoires et médico-légales, les données strictement nécessaires pendant trente (30) ans au minimum à compter du terme, puis procède à leur destruction définitive. Cet archivage est cloisonné de la base active : il n'est plus accessible au service, et tout accès y est journalisé.
Annexes. Les durées de conservation propres à chaque offre, et leurs éventuelles différences avec le présent article, sont indiquées dans son annexe ; l'annexe prévaut.
ReviCare met à la disposition du cabinet toute information nécessaire pour démontrer le respect des obligations du présent article.
L'audit s'exerce sur pièces. Le cabinet peut demander, une fois par an et moyennant un préavis écrit de 30 jours, la communication de : le certificat HDS en cours de validité de l'hébergeur, la politique de sécurité, la liste à jour des sous-traitants ultérieurs, les rapports d'audit ou de test d'intrusion disponibles, et les registres de traitement pertinents.
Audit sur site. Il n'est ouvert que dans un cas : un manquement documenté, constaté par l'audit sur pièces et non corrigé dans les 60 jours suivant sa notification écrite. Il s'exerce alors aux frais du cabinet, dans le respect de la sécurité des autres cabinets clients et du secret des affaires.
Pourquoi sur pièces. Un droit d'audit sur site inconditionnel, chez un sous-traitant qui sert plusieurs cabinets sur une infrastructure mutualisée, est ingérable en pratique et n'améliore rien : la conformité qu'il vérifierait est celle d'un hébergeur certifié par un tiers indépendant, et ce certificat est précisément ce que l'audit sur pièces produit.
Le présent accord est soumis au droit français. Tout litige relève des tribunaux compétents du ressort du siège de ReviCare, à défaut d'accord amiable.
L'article 82 du RGPD s'applique de plein droit ; aucune clause du présent accord ne limite la responsabilité de l'une des parties envers une personne concernée.
Les annexes. Chaque offre a son annexe, de même rang et de même plan ; elles se lisent avec les articles 1 à 12, qu'elles complètent, et prévalent en cas de différence pour l'offre qu'elles décrivent. L'annexe « Dictée vocale » complète celles de Next et de Scribe.
Mesuré le 05/10/2026 dans le code et la configuration de production.
Recueillir l'avis des patients du cabinet après une consultation : sollicitation par courrier électronique ou par SMS, relance par courrier électronique de ceux qui n'ont pas répondu, recueil d'une note et d'un commentaire libre. Le patient qui attribue la note maximale est invité à publier son avis chez Google ; une note de 3 ou moins déclenche un courrier d'alerte au praticien, qui lui transmet l'adresse ou le numéro du patient et son commentaire.
Hébergement chez Amazon Web Services en eu-west-3 (base de données chiffrée). Courriers : Sinch (Mailgun), région Union européenne. SMS : Twilio, dont le traitement peut s'effectuer hors de l'Union (article 7.1). Stripe et Brevo ne reçoivent que des données du praticien. Google ne reçoit aucune donnée de patient : le patient suit un lien vers la page publique du cabinet (article 7.2).
Les sollicitations, notes et commentaires sont conservés tant que le compte du praticien est actif ; les sauvegardes de la base sont conservées 7 jours. À la suppression du compte, ReviCare supprime les sollicitations et les avis du cabinet. Réserve : à la date de mesure, les traces de service (liens raccourcis portant un numéro de mobile, événements d'acheminement, liste de désinscription) ne sont pas supprimées à ce moment ; elles ne portent que l'adresse ou le numéro du patient, et ReviCare les efface sur demande écrite du cabinet (article 10).
Mesuré le 05/10/2026 dans le code et la configuration de production, hors dictée vocale (annexe « Dictée vocale »).
Assister le praticien dans la tenue du dossier : notes de consultation, courriers, ordonnances, comptes rendus et briefing préopératoire ; signature électronique des documents ; portail du patient ; connecteurs avec l'agenda et le logiciel du cabinet (Doctolib, Follow). Les textes produits sont des propositions que le praticien relit et valide : aucune décision n'est prise par le service (CGV, article 6).
Mesuré le 28/08/2026 dans le code et la configuration de production ; la liste de l'article 7.1 a été revue le 05/10/2026.
ReviCare Focus est un filtre pré-consultation : il trie les demandes de première consultation reçues par le cabinet et signale les plus prioritaires au secrétariat. Il réduit le délai de prise en charge des demandes prioritaires et supprime du travail de tri manuel ; il ne se substitue jamais au jugement du praticien : il ordonne une file d'attente, il ne décide pas d'un soin. Opérations : collecte, structuration, conservation, hiérarchisation, restitution au secrétariat par courrier électronique, effacement.
Amazon Web Services : hébergement en eu-west-3 et inférence du modèle d'enrichissement documentaire (Bedrock). Sinch (Mailgun), région Union européenne : alerte au secrétariat, dont le corps peut contenir des éléments de la demande du patient. Stripe : facturation du cabinet seulement. Doctolib : l'agenda est lu avec les identifiants du cabinet lui-même (article 7.2). Ni Twilio, ni Microsoft n'interviennent pour Focus.
Article 10, y compris l'archivage intermédiaire cloisonné de trente ans minimum des données strictement nécessaires aux finalités probatoires et médico-légales.
Mesuré le 05/10/2026 dans le code et la configuration de production, hors dictée vocale (annexe « Dictée vocale »).
Rédiger, à partir de la consultation du praticien, la lettre au médecin traitant : le praticien transmet le contexte du patient, dicte ou saisit ses notes, relit et valide la lettre. Le texte produit est une proposition : aucune décision n'est prise par le service (CGV, article 6). Le patient, la consultation et la lettre sont enregistrés dans le dossier de ReviCare.
Notes et lettres suivent le sort du dossier (article 10) : aucune purge automatique n'a été identifiée à la date de mesure, elles sont conservées jusqu'à la demande d'effacement du cabinet. Le son de la dictée n'est pas conservé (annexe « Dictée vocale »). Les tableaux de mesure d'usage ne portent aucune donnée de patient.
Portée. Cette annexe décrit la dictée vocale de ReviCare Next et de ReviCare Scribe, et elle seule : elle complète leurs annexes respectives et déroge à l'article 6 (localisation) pour la transcription, comme indiqué ci-dessous.
Transformer en texte la dictée du praticien, pendant ou après la consultation, pour rédiger les notes de consultation et la lettre au médecin traitant. Le texte est une proposition que le praticien relit et valide : aucune décision n'est prise par le service (CGV, article 6).
Personnes concernées : le praticien (sa voix) et les patients dont il parle dans sa dictée. Données : l'enregistrement sonore de la dictée et le texte qui en résulte. Ils peuvent contenir des données de santé (art. 9 du RGPD) : ce que le praticien choisit de dicter.
| Étape | Ce qui se passe | Où |
|---|---|---|
| Capture | Le navigateur du praticien transmet le son à ReviCare ; ReviCare le convertit en audio mono 16 kHz. | eu-west-3, Paris (AWS, hébergeur HDS) |
| Transcription | Toutes les cinq secondes environ, ReviCare envoie à Microsoft une tranche d'environ 7 secondes (5 secondes nouvelles, 2 secondes de recouvrement, 15 secondes au plus) par une requête HTTPS au service Azure AI Speech (modèle MAI-Transcribe-2). La requête ne contient que le son et la langue : aucun nom, aucun identifiant de patient, de praticien ou de cabinet. | Sweden Central, Union européenne, non certifié HDS |
| Retour | Microsoft renvoie le texte. Les journaux techniques de ReviCare ne contiennent ni le son ni le texte : uniquement des durées, des tailles et des codes d'erreur. | eu-west-3, Paris |
| Conservation du texte | Le texte est enregistré dans les notes de la consultation, qui suivent le sort du dossier du patient (article 10). | eu-west-3, Paris (AWS, hébergeur HDS) |
| Conservation du son | ReviCare ne conserve pas le son de la dictée : il transite en mémoire le temps de la transcription. Seule exception : un mode de débogage, réservé à l'équipe ReviCare (cohorte alpha), qui conserve le son brut dans la base de données hébergée chez AWS, sans purge automatique. | eu-west-3, Paris (AWS, hébergeur HDS) |
| Repli | Si le service de Microsoft ne répond pas, ReviCare envoie la tranche au service AWS Transcribe ; le son est déposé dans un espace temporaire dont les objets sont supprimés au plus tard un jour après. | eu-west-3, Paris (AWS) |
Microsoft est ajouté à la liste de l'article 7.1 le 05/10/2026. Pour un cabinet lié par une version antérieure du présent accord, cet ajout prend effet 30 jours après la notification qui lui en est faite ; le cabinet peut s'y opposer par écrit dans ce délai (article 7).