Data Processing Agreement (DPA)
Conclu en application de l'Article 28 du Règlement (UE) 2016/679 (RGPD)
et de la Loi n° 78-17 du 6 janvier 1978 modifiée (Loi Informatique et Libertés)
Version 1.0 · Mars 2026 · Document confidentiel
Le Responsable est un chirurgien orthopédique exerçant en pratique libérale, titulaire d'un compte sur la plateforme AURU. Dans le cadre de son exercice professionnel, il traite des données à caractère personnel concernant ses patients, notamment des données de santé au sens de l'article 9 du RGPD.
AURU SAS édite et exploite une plateforme SaaS d'assistance à la documentation médicale, comprenant : capture et transcription vocale des consultations, structuration automatisée des données cliniques, génération de comptes rendus, lettres au médecin traitant et documents administratifs, par des systèmes d'intelligence artificielle.
Dans le cadre de la fourniture de ses services, AURU est amenée à traiter des données à caractère personnel de patients pour le compte du Responsable, et agit donc en qualité de sous-traitant au sens de l'article 28 du RGPD.
Le présent Contrat de Sous-traitance des Données (ci-après « DPA ») a pour objet de définir les conditions dans lesquelles AURU traite les données personnelles pour le compte du Responsable, conformément aux obligations légales applicables.
| Terme | Définition |
|---|---|
| Données Personnelles | Toute information se rapportant à une personne physique identifiée ou identifiable |
| Données de Santé | Données à caractère personnel relatives à la santé physique ou mentale d'une personne |
| Traitement | Toute opération ou ensemble d'opérations effectuées sur des données personnelles |
| Responsable de traitement | Le chirurgien utilisateur qui détermine les finalités et les moyens du traitement |
| Sous-traitant | AURU SAS, qui traite des données personnelles pour le compte du Responsable |
| Personne concernée | Le patient du chirurgien dont les données sont traitées par AURU |
| Violation de données | Une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données |
| HDS | Hébergeur de Données de Santé — certification obligatoire au sens de l'Art. L.1111-8 CSP |
| Système d'IA | Système basé sur des machines développé par AURU intégrant des modèles de langage |
| Sous-traitant ultérieur | Tout tiers auquel AURU confie tout ou partie des opérations de traitement |
| Instructions documentées | Toute instruction donnée par le Responsable à AURU, transmise par écrit |
Le présent DPA définit les droits et obligations d'AURU en tant que sous-traitant lorsqu'elle traite des données personnelles pour le compte du Responsable dans le cadre de la fourniture des services de la plateforme AURU.
AURU traite les données personnelles des patients du Responsable aux fins exclusives suivantes :
| Finalité | Description |
|---|---|
| Transcription vocale | Conversion en texte des enregistrements audio des consultations |
| Structuration clinique | Identification et extraction automatisée des éléments cliniques pertinents |
| Génération documentaire | Production automatisée des comptes rendus, lettres au MT, ordonnances |
| Personnalisation du service | Adaptation des modèles de génération documentaire aux pratiques du chirurgien |
| Stockage sécurisé | Conservation des données traitées dans le respect des exigences HDS |
| Amélioration du service | Utilisation des données anonymisées ou pseudonymisées, avec consentement |
AURU ne traite les données des patients qu'aux fins listées ci-dessus, sur instruction documentée du Responsable.
Les personnes concernées par les traitements effectués par AURU pour le compte du Responsable sont exclusivement les patients du chirurgien ayant fait l'objet d'une consultation enregistrée sur la plateforme AURU.
| Type de données | Durée de conservation |
|---|---|
| Données actives (compte ouvert) | Durée du contrat de service entre AURU et le Responsable |
| Données archivées (compte résilié) | 10 ans à compter de la date du dernier acte médical enregistré |
| Enregistrements audio bruts | 30 jours à compter de la génération du document final |
| Transcriptions et documents générés | Durée du contrat + 10 ans d'archivage légal |
| Logs techniques et de sécurité | 12 mois — conformément aux recommandations CNIL |
Au terme de la durée de conservation applicable, AURU procède à la suppression définitive et sécurisée des données ou à leur restitution au Responsable selon les modalités de l'Article 15 du présent DPA.
AURU s'engage à traiter les données personnelles uniquement sur la base des instructions documentées du Responsable, telles que définies dans le présent DPA et les CGU. AURU informe immédiatement le Responsable si, de son point de vue, une instruction constitue une violation du RGPD ou de toute autre disposition applicable en matière de protection des données (Art. 28.3(h) RGPD).
AURU s'engage à :
AURU garantit que l'ensemble des données de santé traitées dans le cadre du présent DPA sont hébergées exclusivement auprès d'un hébergeur certifié Hébergeur de Données de Santé (HDS) au sens de l'article L.1111-8 du Code de la Santé Publique.
AURU s'engage à :
AURU est autorisée à faire appel à des sous-traitants ultérieurs pour la fourniture des services, sous réserve du respect des conditions suivantes (Art. 28.2 RGPD) :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Hébergeur HDS (à préciser) | Hébergement infrastructure & applicatif — HDS | France / UE |
| OpenAI / Anthropic (modèle IA) | Traitement NLP — transcription et génération | UE (CCT) |
| Outil d'emailing sécurisé (à préciser) | Envoi sécurisé de documents médicaux | UE |
AURU s'engage à aider le Responsable à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (Art. 28.3(e) RGPD) :
| Droit | Obligation d'AURU |
|---|---|
| Accès (Art. 15) | Fournir au Responsable les données du patient concerné dans un format structuré sous 48h |
| Rectification (Art. 16) | Corriger les données identifiées comme inexactes sur instruction documentée du Responsable |
| Effacement (Art. 17) | Supprimer définitivement les données selon la procédure de l'Art. 15 du présent DPA |
| Limitation (Art. 18) | Suspendre tout traitement actif des données du patient concerné sur instruction |
| Portabilité (Art. 20) | Fournir les données dans un format structuré, couramment utilisé et lisible par machine (JSON/CSV) |
| Opposition (Art. 21) | Cesser immédiatement le traitement sur instruction documentée du Responsable |
AURU ne répond pas directement aux demandes des patients — tout contact est redirigé vers le Responsable dans les 48 heures. AURU conserve un registre de toutes les demandes reçues.
En cas de violation de données personnelles au sens de l'Art. 4.12 RGPD, AURU s'engage à :
AURU s'engage à ne transférer les données personnelles vers des pays situés hors de l'Union Européenne ou de l'Espace Économique Européen que dans les conditions suivantes (Art. 44 à 49 RGPD) :
En cas de recours à un modèle d'IA dont les serveurs sont situés hors UE (ex. OpenAI, Anthropic), AURU s'assure préalablement que le prestataire a signé les CCT applicables et que les données de santé ne sont pas conservées par ces prestataires au-delà du traitement de la requête.
AURU tient un registre des transferts hors UE, consultable par le Responsable sur simple demande adressée à privacy@auru.ai.
Conformément au Règlement (UE) 2024/1689 (EU AI Act), et notamment son article 14 relatif à la supervision humaine des systèmes d'IA à haut risque, AURU s'engage à :
À l'expiration ou à la résiliation du contrat de service pour quelque cause que ce soit, AURU s'engage à :
AURU s'engage à mettre à disposition du Responsable tous les éléments nécessaires pour démontrer le respect des obligations du présent DPA, et à permettre la réalisation d'audits (Art. 28.3(h) RGPD) :
AURU s'engage à assister le Responsable, dans la mesure du possible, dans la réalisation d'une Analyse d'Impact relative à la Protection des Données (AIPD / DPIA) au sens de l'Art. 35 RGPD, notamment en fournissant :
Le Responsable déclare et garantit qu'il dispose d'une base légale valide pour le traitement des données de santé de ses patients, notamment :
Le Responsable s'engage à ne donner à AURU que des instructions licites au regard du RGPD et des réglementations applicables. Toute instruction spécifique allant au-delà des traitements prévus dans le présent DPA doit être transmise par écrit à privacy@auru.ai.
Le Responsable est responsable de l'exactitude, de la mise à jour et de la pertinence des données personnelles qu'il enregistre ou fait enregistrer sur la plateforme AURU. Il s'engage à informer AURU de toute correction à apporter dans les meilleurs délais.
Le Responsable est responsable de la sécurité de ses identifiants de connexion à la plateforme AURU. Il s'engage à ne pas partager ses accès avec des tiers non autorisés et à notifier immédiatement AURU (privacy@auru.ai) de tout accès non autorisé constaté ou suspecté.
Le présent DPA entre en vigueur à la date d'acceptation des CGU par le Responsable et reste en vigueur pour toute la durée du contrat de service conclu entre les parties. Il prend fin automatiquement à l'expiration ou à la résiliation du contrat de service, sous réserve des obligations de conservation légale visées à l'Art. 5.
AURU se réserve le droit de modifier le présent DPA pour tenir compte de l'évolution du cadre réglementaire applicable. Toute modification substantielle sera notifiée au Responsable par email avec un préavis de trente (30) jours. En l'absence d'opposition motivée dans ce délai, la modification est réputée acceptée. En cas d'opposition, les parties rechercheront de bonne foi une solution amiable.
En cas de contradiction entre les termes du présent DPA et les CGU, les dispositions du présent DPA prévalent s'agissant des obligations relatives à la protection des données à caractère personnel.
Le présent DPA est régi par le droit français. En cas de litige relatif à son interprétation ou à son exécution, les parties s'engagent à rechercher une solution amiable. À défaut d'accord dans un délai de trente (30) jours, le litige sera soumis aux tribunaux compétents du ressort de Cannes (Alpes-Maritimes).
| Élément | Description |
|---|---|
| Nom et coordonnées du sous-traitant | AURU SAS — RCS Cannes 101 753 069 — privacy@auru.ai |
| Nom et coordonnées du DPO | privacy@auru.ai |
| Catégories de traitements | Transcription vocale, structuration clinique, génération documentaire, stockage sécurisé |
| Catégories de données traitées | Données d'identification, données de santé (Art. 9 RGPD), enregistrements audio |
| Destinataires des données | Le Responsable de traitement exclusivement — aucun tiers non autorisé |
| Transferts vers pays tiers | Possibles vers USA (via prestataires IA) — encadrés par CCT |
| Délai de conservation | Durée du contrat + 10 ans (L.1110-4 CSP). Audio brut : 30 jours |
| Mesures de sécurité générales | Chiffrement TLS 1.3 + AES-256, MFA, logs d'audit, HDS, isolation par tenant |
| Obligation | Responsable | Statut |
|---|---|---|
| Base légale du traitement (Art. 9.2(h)) | Chirurgien | À confirmer |
| Information des patients (Art. 13/14) | Chirurgien | À confirmer |
| DPA signé (Art. 28) | AURU + Chirurgien | Ce document |
| Hébergement HDS (L.1111-8 CSP) | AURU | En cours |
| Registre des traitements (Art. 30) | AURU | Annexe A |
| DPIA (Art. 35) | AURU + Chirurgien | En cours |
| Procédure violation de données (Art. 33) | AURU | Art. 12 |
| Encadrement transferts hors UE (Art. 44-49) | AURU | Art. 13 |
| Supervision humaine IA (EU AI Act Art. 14) | AURU + Chirurgien | Art. 14 |