Contrat de sous-traitance — Article 28 RGPD
Accord de Traitement des Données (DPA)
Data Processing Agreement — Réactis / IFclubs SAS
Le Responsable du traitement
___________________________
Établissement : ___________________________
Adresse : ___________________________
Représenté par : ___________________________
En qualité de : ___________________________
Adresse : ___________________________
Représenté par : ___________________________
En qualité de : ___________________________
Le Sous-traitant
IFclubs SAS
SAS au capital de 20 € — RCS La Rochelle 107 519 456
Adresse : 3 Rue du Docteur Athanase Jean, 17600 Le Gua
Email : support@ifclubs.fr
En qualité de : Éditeur du logiciel Réactis
Adresse : 3 Rue du Docteur Athanase Jean, 17600 Le Gua
Email : support@ifclubs.fr
En qualité de : Éditeur du logiciel Réactis
Le présent contrat est conclu conformément à l'article 28 du Règlement Général sur la Protection des Données (RGPD — UE 2016/679). Il encadre le traitement de données à caractère personnel effectué par le Sous-traitant pour le compte du Responsable du traitement dans le cadre de l'utilisation du logiciel Réactis.
Objet et durée
Le Sous-traitant est autorisé à traiter, pour le compte du Responsable du traitement, les données à caractère personnel nécessaires au fonctionnement du logiciel Réactis, système de gestion de crise.
Le présent contrat prend effet à la date de signature et reste en vigueur pendant toute la durée de l'abonnement au logiciel Réactis. Il prend fin automatiquement à la résiliation de l'abonnement.
Nature des données traitées
| Catégorie | Données | Finalité | Durée de conservation |
|---|---|---|---|
| Membres de la cellule de crise | Nom d'affichage, adresse email | Coordination et notification | Durée d'activité du membre |
| Historique des crises | Horodatage, type, journal des décisions et actions | Traçabilité opérationnelle | 5 ans (configurable) |
| Journal des e-mails envoyés | Adresses des destinataires, date, objet | Traçabilité des notifications | Durée de l'abonnement : conservé avec les données de l'espace, sans purge automatique à ce jour, supprimé sous 90 jours après la résiliation ; journaux du serveur de messagerie : 5 semaines environ |
| Session WhatsApp | Identifiant d'appareil lié au numéro de l'opérateur | Envoi d'alertes mobiles | Jusqu'à déconnexion |
| Configuration SMS | Numéros de téléphone mobile des destinataires (format international) | Alertes SMS (établissement ou territoire), via l'abonnement SMS du client | Jusqu'à suppression par l'administrateur |
| Connexions | Email, horodatage de première/dernière connexion | Suivi de présence lors des crises | Durée de la crise + 5 ans |
| Données techniques de fonctionnement | Date de dernière connexion ; envois d'alerte en échec (canal, motif technique, adresses masquées) ; erreurs techniques de l'application (message technique, page — jamais les données saisies) | Bilan de préparation de l'établissement ; garantie de délivrance des alertes ; correction des dysfonctionnements (support proactif) | 30 jours glissants (dernière connexion : tant que le compte existe) |
Données exclues : Aucune donnée nominative de patient, aucune donnée de santé au sens de l'article 9 RGPD ne doit être saisie dans Réactis. La responsabilité du Responsable du traitement est engagée si des données de santé sont insérées dans le journal de crise.
Obligations du Sous-traitant
Le Sous-traitant s'engage à :
- Traiter les données uniquement sur instruction documentée du Responsable du traitement et dans les seules finalités définies ci-dessus
- Garantir la confidentialité des données traitées — les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité
- Mettre en œuvre des mesures de sécurité appropriées : chiffrement des communications (HTTPS/TLS), hashage des mots de passe (bcrypt), comptes individuels, double authentification disponible à tous les niveaux (facultative, ou obligatoire pour tout un espace d'établissement) et obligatoire pour les accès de l'éditeur, isolation de chaque client sous un compte système distinct, protection stricte du navigateur (CSP), sauvegardes chiffrées quotidiennes (AES-256, une clé par client), surveillance permanente avec alerte du support de l'éditeur, emails groupés en copie cachée, hébergement sur VPS mutualisé en France (IONOS SE — ISO 27001), accès d'administration par comptes nominatifs SSH (connexion root interdite). Le détail est tenu à jour dans la PSSI de l'éditeur
- Ne pas recruter de sous-traitants ultérieurs sans en informer préalablement le Responsable du traitement (voir l'article 4 — Sous-traitants ultérieurs)
- Assister le Responsable du traitement dans l'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité)
- Notifier toute violation de données dans les meilleurs délais au Responsable du traitement, qui se chargera de la notification à la CNIL dans le délai de 72h
- Supprimer ou restituer toutes les données à la fin du contrat selon les instructions du Responsable du traitement
- Mettre à disposition toutes les informations nécessaires pour démontrer le respect des présentes obligations et permettre la réalisation d'audits
Sous-traitants ultérieurs
Le Sous-traitant fait appel aux sous-traitants ultérieurs suivants pour l'exécution du service :
| Sous-traitant | Traitement effectué | Pays | Garanties |
|---|---|---|---|
| IONOS SE (production — actuel) | Hébergement du serveur (VPS mutualisé) | France (UE) | ISO 27001, données en France — migration chez AZ Network (HDS) prévue au S1 2027 |
| Anthropic PBC (Claude) | Fournisseur configuré, au 04/10/2026, par 59 espaces sur 63 (établissements, territoires, national) | États-Unis | Clauses contractuelles types (CCT) prévues par ses conditions ; données non utilisées pour l'entraînement ; textes filtrés avant envoi |
| Mistral AI | Fournisseur proposé par défaut à l'inscription en ligne ; au choix du client | France (UE) | Selon ses conditions : hébergement dans l'UE par défaut, CCT si transfert hors UE pour certains services ; DPA de Mistral AI |
| Groq Inc. | Au choix du client (2 espaces de test et 1 établissement au 04/10/2026) | États-Unis | CCT prévues par ses conditions ; données non utilisées pour l'entraînement |
| Azure OpenAI (Microsoft) | Possible avec la clé et le contrat Microsoft du client ; non utilisé au 04/10/2026 | Selon le déploiement du client | Contrat Microsoft du client |
| OVHcloud | Relais d'envoi des e-mails de la plateforme (smtp.mail.ovh.net) ; DNS et messagerie d'ifclubs.fr | France (UE) | Intra-UE |
| Google (Firebase Cloud Messaging) | Acheminement des notifications sur les téléphones (titre et une phrase) | États-Unis | CCT de Google |
| Meta (WhatsApp) | Alertes WhatsApp — option que le client connecte lui-même ; bibliothèque non officielle (whatsapp-web.js), « best-effort » ; 1 espace au 04/10/2026 | États-Unis | Conditions de WhatsApp ; migration vers l'API officielle prévue si un client l'exige |
| Telegram, Microsoft Teams | Canaux d'alerte que le client connecte lui-même s'il le souhaite (bot Telegram, webhook ou Graph Teams) ; aucun au 04/10/2026 | Selon le service | Contrat et paramétrage du client |
| Scaleway SAS | SMS d'alerte, avec le compte et la clé SMS du client (option) | France (UE) | Intra-UE |
| Serveur SMTP du client | Envoi des e-mails par le serveur de l'établissement, s'il le configure | Selon le client | Sous la responsabilité de l'établissement |
Fonctionnalités IA — principe de minimisation : Le client choisit lui-même, à tout moment et sans demande à l'éditeur, le fournisseur IA actif (Anthropic, Mistral, Groq ou Azure OpenAI) depuis son panneau admin. La désactivation intégrale des fonctionnalités IA, elle, reste une action sur demande du client auprès de l'éditeur, auquel cas aucune donnée n'est transmise à ces sous-traitants. Lorsqu'elles sont actives, seules les données strictement nécessaires à la génération de la réponse sont transmises — aucune donnée médicale nominative (numéro de dossier, nom de patient) ne doit figurer dans le journal de crise. Les fournisseurs s'engagent contractuellement à ne pas utiliser les données pour entraîner leurs modèles.
Droits d'audit
Le Responsable du traitement dispose d'un droit d'audit sur les traitements effectués par le Sous-traitant. Toute demande d'audit doit être formulée par email à support@ifclubs.fr avec un préavis de 15 jours ouvrés. Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect de ses obligations.
Sort des données en fin de contrat
À la résiliation de l'abonnement :
- Les données sont conservées 90 jours calendaires après la date d'effet de la résiliation
- Le Responsable du traitement peut demander un export complet de ses données (format JSON) pendant ce délai via email à support@ifclubs.fr
- La suppression définitive est effectuée manuellement par le Sous-traitant à l'issue de ce délai ou sur demande explicite du Responsable du traitement
- Le Sous-traitant confirme par email la suppression effective des données dans un délai de 15 jours ouvrés suivant la demande
Loi applicable
Le présent contrat est soumis au droit français. En cas de litige, les parties s'engagent à rechercher une solution amiable avant toute action judiciaire. À défaut, les tribunaux français seront seuls compétents.
Le Responsable du traitement
___________________________
Nom et qualité du signataire
Signature :
Date : _____ / _____ / _______
Cachet de l'établissement :
Le Sous-traitant
IFclubs SAS
Éditeur — IFclubs SAS / Réactis
Signature :
Date : _____ / _____ / _______