DPA – Contrat de Sous-traitance RGPD Naturooo / Praticien

1. Parties

• Naturooo (le "Sous-traitant")
• Le praticien utilisateur (le "Responsable de traitement")

Le présent contrat fait partie intégrante des conditions générales d'utilisation et de vente des praticiens. Il est accepté par le praticien lors de son inscription (ou de la nouvelle acceptation demandée après une mise à jour) et s'applique pendant toute la durée de son abonnement.

2. Objet

Ce contrat définit les obligations de Naturooo en tant que sous-traitant pour le traitement des données personnelles confiées par le praticien.

3. Nature des données

Données d'identification, consultations, anamnèses, informations sensibles relatives au bien-être (dont bilans iridologiques), photographies d'iris et résultats d'analyse assistée par IA lorsque le praticien active cette fonctionnalité, documents, informations de facturation, logs, communications.

4. Finalités du traitement

• Hébergement
• Sauvegarde
• Mise à disposition du logiciel
• Support technique
• Conservation légale (facturation)
• Exécution technique du module iridologie et de l'analyse IA (pré-remplissage), dans la limite du quota contractuel
• Module Marketing, lorsque le praticien l'active : recueil et preuve du consentement newsletter de ses clients, synchronisation vers son outil d'emailing et statistiques de campagnes

4.1. Services IA (iridologie, Assistance IA, imports)

Sur instruction documentée du praticien (lancement explicite de la fonctionnalité), Naturooo peut transmettre temporairement à Anthropic (sous-traitant ultérieur) les seules données nécessaires à la demande : photographies d'iris (suggestions de saisie), éléments de dossier pseudonymisés sélectionnés (Assistance IA), extraits des documents ressource IA du praticien, fichiers de questionnaire importés et documents ou pages numérisées importés dans une consultation. Les embeddings de recherche documentaire sont calculés par Voyage AI. Ces prestataires n'utilisent pas ces données pour entraîner leurs modèles. Aucune décision automatisée à effet juridique n'est prise à l'encontre des personnes concernées. Le praticien demeure responsable de la validation des contenus.

4.2. Module Marketing (outil d'emailing du praticien)

Sur instruction du praticien (connexion de son compte et choix des données), Naturooo transmet à l'outil d'emailing choisi par le praticien (par exemple Brevo) les seuls clients ayant consenti à sa newsletter ou certifiés par lui, avec les données qu'il sélectionne parmi une liste fermée : e-mail, prénom, nom, téléphone, signature du document RGPD (oui/non), date du dernier rendez-vous, nombre de rendez-vous et dernière formule réservée. Aucune donnée de santé n'est transmise. Cet outil est contracté directement par le praticien et agit comme son sous-traitant ; il ne constitue pas un sous-traitant ultérieur de Naturooo. Naturooo ne supprime aucune donnée dans cet outil à la fin de la synchronisation.

5. Obligations du Sous-traitant

Naturooo s'engage à :

• Ne traiter les données que sur instruction documentée du praticien.
• Ne pas sous-traiter sans autorisation.
• Garantir la confidentialité (article 28.3.b du RGPD).
• Mettre en œuvre des mesures de sécurité appropriées (article 32).
• Aider le praticien à répondre aux demandes RGPD (accès, rectification, effacement…).
• Notifier le praticien de toute violation de données personnelles dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance, avec les informations disponibles, pour lui permettre de remplir ses propres obligations.
• Supprimer ou renvoyer les données au terme du contrat, selon les instructions du praticien.

6. Sous-sous-traitants

Sous-traitants ultérieurs notamment : hébergement HDS (Scalingo, MongoDB Atlas — y compris photos d'iris, comptes-rendus partagés et documents du dossier client), stockage de la bibliothèque de documents du praticien (Cloudflare R2), services IA (Anthropic, Voyage AI), paiements (Stripe), SMS de rappel (Twilio), messagerie et emails transactionnels (OVHcloud, Brevo), images des praticiens (Cloudinary), suivi des erreurs (Sentry), facturation électronique si activée (SUPER PDP), agenda et visioconférence si connectés (Google), analytics. L'outil d'emailing que le praticien connecte lui-même au module Marketing relève de sa propre relation contractuelle (voir l'article 4.2). La liste détaillée est accessible dans la Politique de Confidentialité.

Naturooo garantit qu'un DPA conforme est signé avec chacun d'eux.

7. Localisation des données

• Les données sensibles métier sont hébergées en France sur des serveurs HDS certifiés, y compris les photographies d'iris, les comptes-rendus PDF partagés et les documents déposés dans le dossier client.
• La bibliothèque de documents du praticien (fiches et ressources générales) et ses documents ressource IA sont hébergés sur Cloudflare R2 (stockage sécurisé non certifié HDS) ; le praticien s'engage à déposer les documents propres à un client dans le dossier de ce client.
• Les Services IA peuvent impliquer un traitement par Anthropic ou Voyage AI (États-Unis ou autre localisation du prestataire), et les SMS de rappel un traitement par Twilio, encadrés par les garanties décrites dans la Politique de Confidentialité (clauses contractuelles types / Data Privacy Framework).

8. Audit

Le praticien peut demander une vérification des garanties fournies par Naturooo (dans des limites raisonnables).

9. Fin de contrat

À la résiliation :

• désactivation immédiate du compte
• conservation des données soumises à obligation légale (factures 10 ans)
• suppression ou anonymisation du reste dans les délais prévus