Accord relatif au traitement des données à caractère personnel (DPA), MonMedecin.org

Version 2.2, 1er septembre 2026.

1. OBJET

Le présent Accord relatif au traitement des données à caractère personnel (ci-après le « DPA ») définit les conditions dans lesquelles AVIS2SANTE, société éditrice et exploitante de la plateforme MonMedecin.org, agit en qualité de sous-traitant de données à caractère personnel pour le compte du Professionnel de santé.

Le présent DPA complète les Conditions Générales de Service de MonMedecin.org et, pour les offres payantes, les Conditions Générales de Vente. Il s’applique aux traitements réalisés pour le compte du Professionnel conformément à l’article 28 du RGPD.

Il est conclu entre le Professionnel titulaire du Compte et AVIS2SANTE, dont les coordonnées figurent aux Mentions légales. Le Professionnel l’accepte lors de sa première connexion, puis lors de chaque nouvelle version.

2. QUALIFICATION DES PARTIES

2.1 Le Professionnel de santé, responsable du traitement

Pour les données relatives à ses patients traitées dans le cadre des Services, le Professionnel de santé agit en qualité de responsable du traitement et détermine les finalités et les moyens essentiels du traitement.

2.2 AVIS2SANTE, sous-traitant

AVIS2SANTE agit en qualité de sous-traitant lorsqu’elle traite des données à caractère personnel pour le compte du Professionnel de santé et traite les données conformément au présent DPA et aux instructions documentées du Professionnel, dans la mesure nécessaire à la fourniture des Services.

AVIS2SANTE informe immédiatement le Professionnel si, selon elle, une instruction constitue une violation du RGPD ou d’une autre disposition relative à la protection des données.

3. PÉRIMÈTRE DES SERVICES

MonMedecin.org est une plateforme numérique destinée à faciliter certains échanges et certaines interactions entre professionnels de santé et, selon les fonctionnalités activées, entre professionnels de santé et patients.

MonMedecin.org n’est ni un dossier médical ou dossier patient informatisé, ni un logiciel de gestion de cabinet, ni un système d’archivage à long terme des données du Professionnel.

Les fonctionnalités proposées, y compris l’agenda, la prise de rendez-vous en ligne, la téléconsultation, la téléexpertise et la messagerie, sont limitées aux fonctionnalités décrites dans les CGS et ne se substituent pas aux outils métiers, au logiciel de gestion du cabinet, au dossier médical du Professionnel ou à ses propres solutions d’archivage.

Le Professionnel demeure responsable de la tenue, de la conservation et, le cas échéant, de l’archivage des informations et documents nécessaires à son activité professionnelle et au suivi de ses patients, dans les conditions prévues par la réglementation qui lui est applicable.

La conservation de données sur MonMedecin.org dans le cadre de la fourniture des Services ne saurait être interprétée comme un engagement d’AVIS2SANTE à assurer leur archivage à long terme ou leur conservation au-delà de la durée de fourniture des Services.

4. CATÉGORIES DE PERSONNES CONCERNÉES

Les personnes concernées par les traitements sont notamment :

• les Professionnels de santé ;
• leurs collaborateurs ou personnes habilitées à accéder aux Services ;
• les patients.

5. CATÉGORIES DE DONNÉES

5.1 Données relatives aux collaborateurs du Professionnel

• nom et prénom, coordonnées professionnelles et données de compte des collaborateurs ou personnes que le Professionnel habilite à accéder aux Services.

Les données du compte du Professionnel lui-même (identité, identifiants, facturation, connexion) sont traitées par AVIS2SANTE en qualité de responsable du traitement, dans les conditions décrites par la Politique de confidentialité ; elles ne relèvent pas du présent DPA.

5.2 Données relatives aux patients

• nom et prénom ; coordonnées ; adresse ; adresse électronique ; numéro de téléphone ;
• informations concernant les organismes (code caisse, code centre, code régime) ;
• NIR et informations relatives à la mutuelle, lorsque le Professionnel les renseigne pour identifier ses patients et établir sa facturation ;
• informations relatives aux rendez-vous ;
• informations nécessaires à la réalisation d’une téléconsultation ;
• informations échangées dans le cadre d’une téléexpertise ou d’une messagerie ;
• données de santé lorsque celles-ci sont nécessaires au Service utilisé ;
• informations concernant les proches que le patient a lui-même créés.

6. FINALITÉS DES TRAITEMENTS

Les traitements réalisés pour le compte du Professionnel ont notamment pour finalités :

• gestion des agendas, disponibilités et rendez-vous ;
• prise de rendez-vous en ligne ;
• réalisation des téléconsultations ;
• réalisation des téléexpertises ;
• envoi de messages ;
• transmission et traitement des documents et pièces jointes nécessaires aux Services ;
• authentification, gestion des habilitations et sécurisation des accès ;
• sauvegarde, continuité et reprise nécessaires au fonctionnement des Services ;
• assistance technique et traitement des incidents ;
• toute autre opération strictement nécessaire à la fourniture des Services utilisés par le Professionnel.

7. OBLIGATIONS DU PROFESSIONNEL EN TANT QUE RESPONSABLE DE TRAITEMENT

Dans le cadre de l’utilisation des Services, le Professionnel est responsable de traitement des données de ses patients et notamment de :

• utiliser les Services conformément à la réglementation applicable ;
• déterminer les finalités et bases juridiques des traitements dont il est responsable ;
• informer les personnes concernées lorsque cette obligation lui incombe ;
• veiller à la pertinence et à la minimisation des données traitées ;
• définir et gérer les habilitations nécessaires ;
• assurer la confidentialité de ses moyens d’authentification ;
• respecter les obligations qui lui incombent en matière de conservation et d’archivage ;
• intégrer, lorsque nécessaire, dans son propre dossier médical ou son propre système d’information les informations utiles à la prise en charge du patient.

8. TRAITEMENT DES DONNÉES DE SANTÉ

Certaines fonctionnalités peuvent conduire au traitement de données de santé, notamment la téléconsultation, la téléexpertise et la messagerie professionnelle. AVIS2SANTE traite ces données uniquement dans le cadre des Services concernés et conformément à son rôle de sous-traitant du Professionnel.

Le Professionnel demeure responsable de la licéité du traitement, des finalités poursuivies et des obligations d’information des personnes concernées qui lui incombent.

9. CONFIDENTIALITÉ ET SÉCURITÉ

AVIS2SANTE veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité.

AVIS2SANTE met en œuvre des mesures techniques et organisationnelles appropriées afin d’assurer un niveau de sécurité adapté aux risques, notamment la gestion des habilitations, le contrôle des accès, l’authentification, la journalisation, la surveillance, les sauvegardes, la continuité et la reprise d’activité, ainsi que des mesures de protection contre les accès non autorisés.

Les données de santé sont hébergées en France auprès de Ciril GROUP Cloud (Synaaps), 49 avenue Albert Einstein, 69100 Villeurbanne, hébergeur certifié HDS pour les activités d’hébergement concernées par les Services.

10. VIOLATION DE DONNÉES

AVIS2SANTE met en œuvre des procédures destinées à détecter, traiter et documenter les violations de données à caractère personnel.

Lorsqu’une violation affectant les données traitées pour le compte du Professionnel est identifiée, AVIS2SANTE l’en informe dans les meilleurs délais et au plus tard sous quarante-huit (48) heures après en avoir pris connaissance, avec les informations disponibles permettant au Professionnel de respecter ses propres obligations.

Point de contact pour toute question relative au présent DPA ou pour signaler une violation : dpo@avis2sante.fr.

Le Professionnel demeure responsable de déterminer s’il doit notifier la violation à l’autorité de contrôle et, le cas échéant, aux personnes concernées.

11. DROITS DES PERSONNES CONCERNÉES, ASSISTANCE ET AUDIT

Le Professionnel demeure responsable de répondre aux demandes d’exercice des droits des personnes concernées lorsque celles-ci portent sur les traitements dont il est responsable.

AVIS2SANTE apporte l’assistance raisonnable prévue par l’article 28 du RGPD, compte tenu de la nature des traitements et des fonctionnalités disponibles.

Lorsqu’une demande est directement adressée à AVIS2SANTE alors qu’elle concerne un traitement réalisé pour le compte du Professionnel, AVIS2SANTE peut l’orienter vers celui-ci, sauf obligation légale contraire.

AVIS2SANTE aide le Professionnel, à sa demande et compte tenu des informations dont elle dispose, à réaliser une analyse d’impact relative à la protection des données lorsque celle-ci est requise, en lui fournissant les informations techniques utiles, notamment sa politique de sécurité et le certificat HDS de son hébergeur.

Le Professionnel peut vérifier le respect du présent DPA. À sa demande écrite, AVIS2SANTE met à sa disposition les documents et informations nécessaires à cette vérification (politique de sécurité, certificat HDS de l’hébergeur, liste des sous-traitants ultérieurs).

Le Professionnel peut en outre faire réaliser un audit, y compris une inspection, limité aux traitements réalisés pour son compte, au plus une fois par an, à ses frais, avec un préavis écrit d’au moins trente (30) jours et sans accès aux données relevant d’autres responsables de traitement.

12. SOUS-TRAITANTS ULTÉRIEURS

Le Professionnel autorise AVIS2SANTE à recourir à des sous-traitants ultérieurs nécessaires à la fourniture des Services.

AVIS2SANTE veille à ce que chacun de ses sous-traitants ultérieurs présente des garanties suffisantes et lui impose, par contrat, des obligations en matière de protection des données au moins équivalentes à celles prévues par le présent DPA.

La liste à jour des sous-traitants ultérieurs intervenant sur les données des patients figure dans la Politique de confidentialité de MonMedecin.org.

AVIS2SANTE informe le Professionnel de tout ajout ou remplacement d’un sous-traitant ultérieur avant sa mise en œuvre, par courriel ou par affichage dans la Plateforme. Le Professionnel qui s’y oppose peut mettre fin à son utilisation des Services concernés dans les conditions prévues par les CGS et, le cas échéant, les Conditions Générales de Vente.

13. TRANSFERTS INTERNATIONAUX

Certains prestataires utilisés par AVIS2SANTE peuvent être établis en dehors de l’Espace économique européen ou permettre un accès à des données depuis un pays tiers.

Lorsque des données sont transférées vers un pays tiers, AVIS2SANTE veille à mettre en œuvre un mécanisme de transfert conforme à la réglementation applicable, tel qu’une décision d’adéquation, des clauses contractuelles types ou tout autre mécanisme juridiquement applicable.

Les garanties applicables peuvent dépendre du prestataire, du traitement concerné et de la localisation effective des données.

Les données de santé sont hébergées en France et ne sont pas transférées en dehors de l’Espace économique européen.

Le paiement des téléconsultations repose sur un contrat conclu directement entre le Professionnel et Stripe : les données de paiement correspondantes sont traitées par Stripe dans ce cadre et non en qualité de sous-traitant ultérieur d’AVIS2SANTE.

14. CONSERVATION ET SUPPRESSION DES DONNÉES

14.1 Principes

AVIS2SANTE traite les données à caractère personnel pour le compte du Professionnel de santé dans le cadre et pour la durée nécessaire à la fourniture des Services.

Le périmètre des Services et les responsabilités d’archivage du Professionnel sont rappelés à l’article 3.

Les données sont supprimées conformément aux modalités prévues au présent DPA. Les présentes modalités ne font pas obstacle à la conservation de données lorsqu’une obligation légale ou réglementaire impose leur conservation.

14.2 Services payants

Pour les Services accessibles dans le cadre d’une offre payante, les données traitées pour le compte du Professionnel sont conservées et accessibles pendant toute la durée du contrat, sous réserve des opérations de gestion ou de sécurité nécessaires au fonctionnement des Services.

À la fin du contrat, le compte concerné et les données qui lui sont rattachées sont supprimés à J. J désigne la date de fin du contrat, telle qu’elle résulte des Conditions Générales de Vente (arrivée du terme ou prise d’effet de la résiliation), sous réserve des données dont la conservation demeure imposée par une obligation légale ou réglementaire.

En acceptant le présent DPA, le Professionnel fait le choix, au sens de l’article 28.3 g) du RGPD, de la suppression des données à J, sans restitution par AVIS2SANTE. Il lui appartient d’exporter depuis son Compte, avant J, les éléments qu’il doit conserver au titre de ses propres obligations, notamment d’archivage médical.

Aucune période supplémentaire d’accès aux données n’est prévue après la fin du contrat.

14.3 Services gratuits

La formule gratuite permet notamment l’utilisation des fonctionnalités de téléexpertise et de messagerie professionnelle.

Les données restent accessibles tant que le compte est actif et que le Service correspondant est proposé par AVIS2SANTE.

En cas d’absence de connexion pendant une période de deux (2) ans, le compte est considéré comme inactif.

AVIS2SANTE adresse alors au Professionnel des courriels l’informant de la suppression prochaine de son compte :

• un premier courriel à J-30 ;
• un deuxième courriel à J-7 ;
• un dernier courriel à J.

À défaut de nouvelle connexion avant l’échéance, le compte et les données concernées sont supprimés à J.

14.4 Suppression à la demande du Professionnel

Lorsque le Professionnel demande la suppression de son compte, celui-ci est supprimé dans un délai maximal de trente (30) jours à compter de la demande.

La suppression concerne les données rattachées au compte du Professionnel, sous réserve des données dont la conservation demeure imposée par une obligation légale ou réglementaire.

14.5 Structures partagées

Au sens du présent DPA, une Structure désigne le cabinet ou l’établissement partagé entre plusieurs comptes sur la Plateforme ; en est propriétaire chaque Professionnel qui dispose des droits d’administration de cette Structure.

Lorsqu’un compte, payant ou gratuit, est rattaché à une Structure partagée entre deux ou plusieurs propriétaires, la suppression du compte d’un Professionnel n’entraîne pas la suppression de la Structure ni des données des autres propriétaires.

Seules les données propres au Professionnel dont le compte est supprimé sont supprimées.

Peuvent notamment être concernées les données, paramètres et éléments qui lui sont exclusivement rattachés, tels que son agenda, ses créneaux, ses fichiers ou tout autre élément propre à son compte.

Les autres propriétaires conservent leur compte, la Structure ainsi que les données qui leur sont rattachées.

14.6 Rendez-vous et échanges entre deux comptes

Un rendez-vous, une téléexpertise ou un échange de messagerie relie deux comptes : chacun conserve son propre historique. La suppression du compte de l’un n’efface pas l’historique conservé par l’autre ; les éléments partagés sont supprimés lors de la suppression du dernier compte concerné.

15. FIN DU TRAITEMENT

À la fin des Services, AVIS2SANTE applique les règles de suppression prévues à l’article 14 du présent DPA.

Le choix de la suppression sans restitution, prévu à l’article 14.2, vaut pour toute fin de traitement : fin de contrat, suppression d’un compte gratuit inactif ou suppression à la demande. Dans tous les cas, il appartient au Professionnel d’exporter avant la suppression les éléments qu’il doit conserver.

La suppression des données intervient conformément aux modalités applicables au Service concerné, sous réserve des données dont la conservation demeure imposée par une obligation légale ou réglementaire.

Les copies de sauvegarde contenant des données supprimées sont écrasées par la rotation normale des sauvegardes, dans un délai maximal de quatorze (14) jours après la suppression, conformément à la rotation des sauvegardes de l’hébergeur.

Une fois la suppression réalisée, AVIS2SANTE adresse au Professionnel, par courriel, une attestation de suppression.

16. DURÉE

Le présent DPA s’applique pendant toute la durée d’utilisation des Services par le Professionnel et jusqu’à la suppression des données traitées pour son compte.