Accord de sous-traitance relatif au traitement des données personnelles

Version du 31 octobre 2026

Cet accord (« DPA », au sens de l'article 28 du RGPD) encadre le traitement des données de vos patients par PhysioSphere. Il fait partie intégrante des CGU : l'acceptation des CGU lors de la création du compte vaut acceptation du présent accord.

1. Identification des parties

Le Responsable du traitement : le kinésithérapeute ou professionnel de santé titulaire du compte PhysioSphere, dont les coordonnées professionnelles sont renseignées lors de son inscription.

Le Sous-traitant : Stéphane Chevalier, exerçant en personne physique en qualité d'indépendant à titre complémentaire (numéro d'entreprise 1044.544.401), exploitant l'application PhysioSphere.
Adresse : Luchelet 1A, 5530 Yvoir, Belgique
E-mail : contact@physiosphere.be

Ci-après désignés individuellement une « Partie » et collectivement les « Parties ».

2. Objet et durée

Le présent accord encadre les traitements de données personnelles réalisés par le Sous-traitant pour le compte du Responsable du traitement, dans le cadre de l'utilisation de PhysioSphere.

Il s'applique pendant toute la durée d'utilisation du service. Les obligations qui doivent survivre à la fin du contrat, notamment la restitution, la suppression et la confidentialité, continuent à produire leurs effets après la fermeture du compte.

3. Nature et finalités des traitements

Le Sous-traitant traite les données uniquement pour fournir les fonctionnalités de PhysioSphere au Responsable du traitement :

hébergement des dossiers patients ;
enregistrement des informations administratives ;
gestion des prescriptions, y compris la lecture automatique d'une photo de prescription, réalisée sur l'infrastructure du Sous-traitant ;
gestion des séances et des prestations ;
tenue d'un journal des créations, modifications et suppressions de données du cabinet (traçabilité des opérations sur les dossiers patients) ;
gestion des bilans kinésithérapeutiques ;
génération des attestations et des documents ;
gestion des informations nécessaires à la facturation et aux tiers payants ;
export et restitution des données ;
sauvegarde et restauration ;
maintenance et assistance technique.

4. Catégories de données et de personnes concernées

Les catégories de données traitées sont listées dans l'annexe I. Les données de santé sont des catégories particulières de données au sens de l'article 9 du RGPD.

Les personnes concernées sont :

les patients du kinésithérapeute ;
les médecins prescripteurs, dont les données figurent sur les prescriptions.

5. Obligations du kinésithérapeute (Responsable du traitement)

Le kinésithérapeute reste responsable du traitement des données de ses patients. PhysioSphere n'agit pas à sa place. Il doit notamment :

garantir la licéité du traitement ;
déterminer les bases juridiques applicables, y compris une condition de l'article 9 du RGPD pour les données de santé ;
informer les patients conformément au RGPD ;
veiller à l'exactitude des données ;
définir les durées de conservation et respecter l'obligation de conserver le dossier du patient pendant une durée comprise entre 30 et 50 ans à compter du dernier contact avec le patient, conformément à l'article 35 de la loi du 22 avril 2019 relative à la qualité de la pratique des soins de santé ;
répondre aux demandes d'exercice des droits de ses patients ;
limiter les accès à son compte aux personnes autorisées et s'assurer qu'elles respectent la confidentialité ;
conserver ses identifiants de manière sécurisée.

6. Obligations de PhysioSphere (Sous-traitant)

Le Sous-traitant s'engage à :

traiter les données uniquement sur instructions documentées du Responsable du traitement. Ces instructions comprennent les actions effectuées par celui-ci dans l'application, le présent accord, ses annexes ainsi que les demandes écrites adressées au Sous-traitant dans le cadre de l'assistance technique. Si le Sous-traitant est tenu de procéder à un traitement en vertu du droit de l'Union ou du droit belge, il en informe le Responsable du traitement avant le traitement, sauf interdiction légale ;
ne transférer aucune donnée patient en dehors de l'Espace économique européen, sauf instruction documentée du Responsable du traitement et dans le respect des conditions prévues au chapitre V du RGPD ;
garantir la confidentialité des personnes autorisées à accéder aux données ;
mettre en œuvre les mesures techniques et organisationnelles décrites à l'annexe II ;
ne pas utiliser les données patients à des fins commerciales ou publicitaires ;
ne pas exploiter les données patients pour entraîner des modèles d'intelligence artificielle ;
ne pas communiquer les données à des tiers non autorisés ;
informer le Responsable du traitement si une instruction lui paraît contraire au RGPD ;
tenir le registre des traitements effectués pour le compte du Responsable du traitement (article 30.2 du RGPD) ;
assister le Responsable du traitement, dans les conditions prévues à l'article 9, pour le respect de ses obligations au titre des articles 32 à 36 du RGPD ;
mettre à sa disposition toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD et contribuer aux audits et inspections prévus à l'article 12.

7. Sécurité des données

Le Sous-traitant met en œuvre les mesures décrites à l'annexe II. Il les fait évoluer en fonction de l'état de l'art et des risques, sans les affaiblir.

8. Sous-traitants ultérieurs

Le Responsable du traitement donne une autorisation écrite générale au Sous-traitant de recourir aux sous-traitants ultérieurs listés à l'annexe III.

Le Sous-traitant informe le Responsable du traitement de tout ajout ou remplacement de sous-traitant ultérieur, par notification dans l'application ou par e-mail, avec un préavis indicatif de 15 jours, sauf urgence, lui permettant de formuler une objection motivée. Si l'objection est fondée et ne peut être résolue, le Responsable du traitement peut mettre fin à son utilisation du service et exporter ses données.

Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent accord et reste responsable à l'égard du Responsable du traitement de leur exécution.

9. Assistance au kinésithérapeute

Le Sous-traitant aide le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des patients concernant :

l'accès à leurs données ;
la rectification ;
l'effacement, sous réserve des obligations légales de conservation ;
la limitation du traitement ;
la portabilité.

Il apporte au Responsable du traitement l'assistance nécessaire, compte tenu de la nature du traitement et des informations à sa disposition, pour respecter ses obligations au titre des articles 32 à 36 du RGPD, notamment :

la sécurité du traitement ;
la notification des violations de données à l'Autorité de protection des données ;
l'information des personnes concernées lorsqu'une violation présente un risque élevé ;
la réalisation d'analyses d'impact relatives à la protection des données ;
la consultation préalable de l'Autorité de protection des données lorsque celle-ci est nécessaire.

Les fonctionnalités d'export et de modification de l'application permettent au Responsable du traitement de traiter lui-même l'essentiel des demandes relatives aux droits des patients. Toute assistance supplémentaire est fournie par le Sous-traitant dans une mesure adaptée à la nature du service.

10. Violations de données

Le Sous-traitant informe le Responsable du traitement sans retard injustifié et, dans la mesure du possible, dans les 24 heures suivant la prise de connaissance d'une violation de données personnelles touchant les données traitées dans le cadre du présent accord.

Comment : par e-mail à l'adresse du compte.
Quelles informations : la nature de la violation, les catégories de données et le nombre approximatif de personnes concernées, les conséquences probables, et les mesures prises ou envisagées.
Suivi : le Sous-traitant documente chaque incident et met en œuvre les mesures correctives.

Le Responsable du traitement reste responsable de la notification éventuelle à l'Autorité de protection des données, qui doit intervenir dans les 72 heures après qu'il a pris connaissance de la violation, et de l'information des patients lorsque la loi l'exige.

11. Restitution et suppression des données

Export : le Responsable du traitement peut à tout moment exporter l'ensemble de ses données et de celles de ses patients depuis les Paramètres du compte.
Suppression : à la fin du contrat, le Responsable du traitement choisit entre la restitution et la suppression, conformément à l'article 28.3.g du RGPD. La suppression du compte suit la procédure décrite dans les CGU : délai de grâce de 30 jours (ou suppression immédiate sur demande), invitation à exporter ses données au préalable, puis suppression définitive et irréversible des systèmes de production.
Sauvegardes : les copies présentes dans les sauvegardes sont écrasées selon leur cycle normal de rotation (copie nocturne remplacée chaque nuit ; sauvegardes hebdomadaires de l'hébergeur remplacées au fil des semaines, soit au plus environ deux semaines), sans être accessibles ni restaurées pour d'autres finalités.
Obligations légales : la loi du 22 avril 2019 impose la conservation du dossier du patient au kinésithérapeute, pas à PhysioSphere. Le Responsable du traitement est invité à exporter ses données avant la suppression du compte, afin de pouvoir poursuivre ses obligations légales de conservation. Une fois l'export téléchargé, il lui appartient d'en assurer la conservation et la sécurité. Le Sous-traitant ne conserve aucune copie « par précaution ».

12. Audit et vérification

Le Sous-traitant met à disposition du Responsable du traitement les informations nécessaires pour démontrer le respect du présent accord et permet la réalisation d'audits raisonnables.

Les audits sont annoncés par écrit avec un préavis raisonnable, se déroulent pendant les heures ouvrables, dans le respect de la confidentialité des autres utilisateurs et de la sécurité du service.

Les frais des audits sont supportés par le Responsable du traitement lorsqu'ils dépassent une vérification raisonnable par an, pour autant que ces frais soient raisonnables et justifiés. Cette limitation ne s'applique pas lorsqu'un audit supplémentaire est raisonnablement nécessaire à la suite d'une violation de données, d'un manquement suspecté ou d'une demande de l'Autorité de protection des données.

13. Dispositions finales

Droit applicable : le présent accord est régi par le droit belge. Les tribunaux de l'arrondissement judiciaire de Namur sont compétents, sous réserve des règles impératives de compétence.
Prévalence : en matière de données personnelles, les dispositions du présent accord prévalent sur celles des CGU en cas de contradiction.
Modification : le Sous-traitant peut modifier le présent accord, y compris ses annexes, notamment pour refléter l'évolution du service. Le Responsable du traitement est informé par notification dans l'application ou par e-mail. Les nouvelles versions s'appliquent à compter de leur date d'entrée en vigueur, indiquée dans la notification, y compris aux comptes existants. Les modifications qui affectent substantiellement ses droits ou obligations lui permettent de mettre fin à son utilisation du service avant leur entrée en vigueur.
Acceptation et entrée en vigueur : l'accord s'applique dès la création du compte, avant tout traitement de données patients, dans la version en vigueur à cette date.

Annexe I — Traitements et catégories de données

Catégorie	Exemples
Identification	Nom, prénom, date de naissance, numéro de registre national
Coordonnées	Adresse, téléphone, e-mail
Données de santé	Pathologies, informations médicales, prescriptions, traitements, bilans kinésithérapeutiques
Données de soins	Séances, prestations, dates, actes réalisés, codes de nomenclature
Données administratives	Mutualité, numéro d'affiliation, attestations, facturation, tiers payants
Documents	Documents générés (attestations, annexes) et photos de prescriptions ou de fiches ajoutées par le praticien
Journal des opérations	Auteur, date, nature (création, modification, suppression, envoi) et contenu des changements portant sur les dossiers patients, dont les libellés et les valeurs sont chiffrés ; conservés tant que le compte existe et supprimés avec lui (sous réserve du cycle des sauvegardes, article 11)
Médecins	Nom et coordonnées des médecins prescripteurs

Annexe II — Mesures techniques et organisationnelles

Domaine	Mesures
Authentification	Mots de passe conservés uniquement sous forme hachée ; vérification de l'adresse e-mail ; réinitialisation de mot de passe par lien à usage limité ; verrouillage temporaire du compte après plusieurs échecs de connexion ; cookies de session sécurisés
Communications	Connexion chiffrée (HTTPS/TLS)
Chiffrement	Chiffrement au niveau des champs, dans la base de données, pour l'identité et les coordonnées des patients (nom, prénom, numéro de registre national, adresse, téléphone, e-mail), les données de leurs attestations, l'IBAN du praticien et le journal des opérations ; documents générés (attestations, factures, annexes) et archives d'export chiffrés sur le disque du serveur. Les autres données de soins (dates et honoraires des séances, pathologies, valeurs des bilans) ne sont pas chiffrées champ par champ et la base de données n'est pas chiffrée dans son ensemble : elles sont protégées par les contrôles d'accès décrits ci-dessus.
Cloisonnement	Compte applicatif de base de données limité aux opérations nécessaires ; service d'analyse de photos interne, non accessible depuis Internet
Accès techniques	Accès administrateur à l'application et au serveur limité à l'Éditeur ; le personnel technique de l'hébergeur peut accéder à l'infrastructure sur laquelle le serveur est exécuté, dans le cadre de son service
Journalisation	Journal des créations, modifications et suppressions de données du cabinet, dont le contenu est chiffré ; les connexions et tentatives échouées au compte relèvent de la politique de confidentialité
Sauvegardes	Sauvegarde de la base de données chaque nuit, avec alerte à l'Éditeur en cas d'échec ; copie unique, remplacée à chaque sauvegarde ; sauvegardes automatiques hebdomadaires du serveur par l'hébergeur (deux copies conservées)
Export	Archive d'export à durée de vie courte ; lien de téléchargement par e-mail utilisable uniquement depuis une session connectée
Maintenance	Mises à jour de l'application et des composants ; rotation périodique des secrets (clé de chiffrement, mots de passe de base de données)
Intelligence artificielle	Analyse automatique des photos réalisée sur l'infrastructure de PhysioSphere, sans envoi à un service externe ; aucune donnée patient utilisée pour entraîner des modèles

Annexe III — Sous-traitants ultérieurs

Prestataire	Service fourni	Localisation du traitement	Transfert hors EEE
Hostinger	Hébergement du serveur (application, base de données, fichiers, sauvegardes) et envoi des e-mails de service	Serveur (VPS) hébergeant l'application : centre de données Hostinger à Paris, France. Sauvegardes automatiques hebdomadaires de l'hébergeur : Pays-Bas.	Aucun transfert hors de l'Espace économique européen à notre connaissance

Hostinger est le seul prestataire qui intervient sur les données patients. Elles ne sont envoyées à aucun autre service.