Contrat de sous-traitance
Traitement de données à caractère personnel — article 28 du RGPD et articles R.1111-9 à R.1111-11 du Code de la santé publique. Version du 3 octobre 2026 — relecture par un avocat prévue avant l'ouverture commerciale.
1. Qui est qui
Vous — infirmière ou infirmier libéral utilisant Tourn'IDEL — êtes responsable de traitement : ce sont vos patients, vous décidez de ce qui est fait de leurs données.
Tourn'IDEL — Julien VASLET, entrepreneur individuel (EI), SIRET 10437846800011, 33 rue de Dreux, 28410 Bû — est sous-traitant : il traite ces données pour votre compte et sur vos instructions.
Ce contrat complète les Conditions Générales et le politique de confidentialité. En cas de contradiction sur le traitement des données de patients, c'est le présent contrat qui prévaut.
2. Ce qui est traité, pourquoi, et pendant combien de temps
| Objet | Héberger et traiter votre patientèle pour calculer et organiser vos tournées de soins. |
|---|---|
| Finalité | L'organisation de vos tournées. Rien d'autre. |
| Nature des opérations | Collecte par votre saisie ou votre import, stockage, conversion des adresses en coordonnées, calcul d'itinéraires et de durées, ordonnancement, sauvegarde, restitution à l'écran et à l'export, effacement. |
| Données | Nom, prénom, adresse, téléphone, nature et horaires des soins, contraintes de passage, notes que vous saisissez. Ce sont des données concernant la santé au sens de l'article 9 du RGPD. |
| Personnes concernées | Vos patients. Et, le cas échéant, les membres de votre cabinet et vos remplaçantes et remplaçants. |
| Durée | La durée de votre accès au service, puis le sort prévu à l'article 9. |
Base légale : vous traitez ces données dans le cadre de la tenue du dossier de soins, sur le fondement de l'article 6.1.c du RGPD (obligation légale) ; l'interdiction de traiter des données de santé est levée par l'article 9 §2 h) (prise en charge sanitaire), sous les garanties de l'article 9 §3 — traitement par une personne soumise au secret.
3. Tourn'IDEL n'agit que sur vos instructions
Tourn'IDEL ne traite les données de vos patients que sur vos instructions documentées, dont la liste figure en annexe 1. Toute instruction particulière de votre part doit être écrite.
⛔ Tourn'IDEL ne traite ces données pour aucune finalité qui lui serait propre : ni amélioration de l'algorithme, ni statistiques, ni entraînement d'un modèle, ni base de démonstration, ni prospection. Toute exploitation à des fins propres ferait de l'éditeur un responsable de traitement, ce qu'il n'est pas et ne veut pas être.
Devoir d'alerte : si une de vos instructions paraît contraire au RGPD ou à une autre disposition applicable, Tourn'IDEL vous en informe immédiatement.
⛔ Aucune cession des données, à titre gratuit ou onéreux, n'est possible — l'article L.1111-8 VII du Code de la santé publique l'interdit, même avec l'accord du patient.
4. Confidentialité et secret
Toute personne autorisée à accéder aux données est nommément identifiée, soumise à un engagement écrit de confidentialité, formée aux obligations qui s'y attachent, et astreinte au secret professionnel sous les peines de l'article 226-13 du Code pénal.
À ce jour, une seule personne dispose d'un accès d'administration : Julien VASLET, exploitant-responsable. Toute évolution de cette liste vous est communiquée.
5. Sécurité
Les mesures techniques et organisationnelles figurent en annexe 3. Elles comprennent notamment le chiffrement des données au repos et en transit, le cloisonnement par compte, l'authentification des accès, la journalisation, des sauvegardes chiffrées quotidiennes et une procédure de restauration.
Vous restez responsable de ce qui dépend de vous : la confidentialité de vos identifiants, la sécurité de votre poste, et le fait de ne pas partager votre compte.
6. Hébergement des données de santé
Les données sont hébergées en France, chez Clever Cloud SAS (3 rue de l'Allier, 44000 Nantes), hébergeur certifié HDS par l'Agence du Numérique en Santé au titre du référentiel v2.0, pour les activités 1 à 6, lesquelles couvrent la mise à disposition d'infrastructure, l'infogérance et l'administration et l'exploitation du système d'information contenant les données de santé.
Numéro et dates de délivrance et de renouvellement du certificat : [à compléter depuis l'attestation Clever Cloud] — mention exigée par l'article R.1111-11, 1° du Code de la santé publique.
Le stockage s'effectue exclusivement sur le territoire de l'Union européenne, conformément à l'article R.1111-9-1 du Code de la santé publique.
Les stipulations du contrat conclu entre Tourn'IDEL et Clever Cloud au titre de l'article R.1111-11, I sont reprises en annexe 4, comme l'exige l'article R.1111-11, II. [annexe à compléter depuis l'Annexe CGU HDS signée le 8 septembre 2026]
Conformément à l'article L.1111-8 I du Code de la santé publique, vos patients doivent être informés que leurs données font l'objet d'un hébergement et peuvent s'y opposer pour un motif légitime. Un texte d'information prêt à l'emploi est mis à votre disposition sur demande.
7. Les autres prestataires qui interviennent
Vous donnez une autorisation générale à Tourn'IDEL pour recourir aux sous-traitants ultérieurs listés en annexe 2. Toute addition ou remplacement vous est notifié au moins 30 jours à l'avance ; vous disposez alors de 15 jours pour vous y opposer, auquel cas vous pouvez résilier sans frais.
Tourn'IDEL impose à chacun les mêmes obligations que celles du présent contrat et demeure pleinement responsable de leur exécution devant vous.
⚠️ Pour calculer vos trajets, seules les adresses de passage sont transmises à Google Maps — jamais de nom, de prénom, ni de note de soin. Une adresse reste toutefois une donnée personnelle : Google figure donc bien comme sous-traitant ultérieur, et non comme destinataire de données anonymes.
8. Si une violation de données survient
Tourn'IDEL vous notifie toute violation de données à caractère personnel sans délai et au plus tard 24 heures après en avoir pris connaissance, par email à l'adresse de votre compte, doublé d'un appel si vous avez laissé un numéro.
🔑 Pourquoi 24 heures et non 72 : les 72 heures sont votre délai pour notifier la CNIL. Si nous prenions 72 heures, vous seriez déjà hors délai.
La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises, et un point de contact. Tourn'IDEL vous assiste dans vos obligations des articles 32 à 36 du RGPD, y compris pour une analyse d'impact et une consultation préalable de la CNIL.
9. Quand le contrat prend fin
C'est vous qui choisissez : à la fin de la prestation, Tourn'IDEL vous restitue l'intégralité des données dans un format structuré exploitable, ou les détruit, selon votre instruction.
Dans les deux cas, toutes les copies existantes sont détruites, sauvegardes comprises, et Tourn'IDEL vous le justifie par écrit.
À défaut d'instruction de votre part, les données restent exportables 30 jours après la fin de l'accès, puis sont effacées. L'export est gratuit et n'est jamais conditionné au paiement de quelque somme que ce soit.
Si vous supprimez vous-même votre compte depuis votre espace, l'effacement est immédiat et définitif, et vaut instruction de destruction.
10. Les droits de vos patients
C'est vous qui informez vos patients et qui répondez à leurs demandes. Tourn'IDEL vous assiste : accès, rectification, effacement, portabilité, limitation et opposition s'exercent depuis votre espace, et pour toute demande qui lui serait adressée directement, Tourn'IDEL la transmet sans délai à contact@tournee-idel.fr sans y répondre lui-même.
11. Contrôle et audit
Tourn'IDEL met à votre disposition toute information nécessaire pour démontrer le respect de ses obligations, et permet et contribue à la réalisation d'audits, y compris d'inspections, par vous ou par un tiers que vous mandatez.
Modalités : préavis raisonnable de 30 jours, pendant les heures ouvrées, dans la limite d'une fois par an sauf incident, sous engagement de confidentialité. Ces modalités encadrent le droit d'audit, elles ne le suppriment pas.
Tourn'IDEL tient le registre des catégories d'activités de traitement prévu à l'article 30.2 du RGPD. Aucun délégué à la protection des données n'est désigné à ce jour ; le point de contact est contact@tournee-idel.fr.
12. Ce qui vous incombe
En qualité de responsable de traitement, il vous revient de : fournir les données nécessaires ; documenter par écrit toute instruction particulière ; informer vos patients et recueillir le cas échéant leur non-opposition ; veiller au respect des obligations de Tourn'IDEL avant et pendant le traitement ; et superviser le traitement, y compris en réalisant les audits de l'article 11.
Annexe 1 — Vos instructions
Vous donnez à Tourn'IDEL les instructions suivantes, et uniquement celles-ci :
- Conserver les fiches patients que vous saisissez ou importez, et les restituer à l'écran et à l'export.
- Convertir les adresses de passage en coordonnées géographiques, en les transmettant à Google Maps Platform sans aucune donnée identifiante.
- Calculer les distances et durées entre points de passage, et en déduire un ordre de tournée.
- Conserver les tournées enregistrées et les paramètres de calcul.
- Partager, lorsque vous l'activez, une journée entre les membres de votre cabinet et les remplaçantes rattachées.
- Sauvegarder quotidiennement, de manière chiffrée.
- Effacer sur votre demande, ou à la suppression de votre compte.
Annexe 2 — Sous-traitants ultérieurs autorisés
| Qui | Pour quoi | Où |
|---|---|---|
| Clever Cloud SAS | Hébergement et exploitation, certifié HDS activités 1 à 6 | France |
| Google Ireland Ltd Google Maps Platform | Conversion des adresses en coordonnées, distances et durées de trajet. Adresses seules — aucun nom, aucune note de soin. | Union européenne ; transferts éventuels vers les États-Unis encadrés par la décision d'adéquation du 10 juillet 2023 |
Brevo (emails) et Stripe (paiement) ne figurent pas dans cette liste : ils traitent vos données de cliente, pas celles de vos patients. Ils relèvent de la politique de confidentialité.
Annexe 3 — Mesures de sécurité
- Chiffrement des données au repos, et en transit par TLS.
- Cloisonnement : chaque cabinet ne voit que sa propre patientèle.
- Authentification par mot de passe de douze caractères minimum, stocké sous forme de condensat ; sessions expirantes et révocables ; double authentification sur les accès d'administration.
- Journalisation des actions, conservée douze mois.
- Sauvegardes chiffrées quotidiennes, avec procédure de restauration.
- Minimisation : seules les adresses sortent vers Google ; aucune autre donnée ne quitte l'hébergement.
- Accès d'administration limité à une personne nommée, soumise au secret.
Annexe 4 — Stipulations reprises du contrat d'hébergement
[À compléter depuis l'« Annexe CGU HDS — Convention de services » Clever Cloud signée le 8 septembre 2026.] L'article R.1111-11, II du Code de la santé publique impose que le présent contrat reprenne les stipulations du contrat liant Tourn'IDEL à son hébergeur certifié : périmètre et dates du certificat, lieux d'hébergement, mesures garantissant les droits des personnes, référent, indicateurs de qualité, conditions de recours à des prestataires techniques, contrôle des accès et transferts, modifications techniques, continuité, interdiction d'usage à d'autres fins, réversibilité, restitution, destruction, et législations extra-européennes applicables le cas échéant.