Aller au contenu
Ostheo

Informations légales

Accord de sous-traitance des données (RGPD, article 28)

Pour les données de vos patients, vous êtes responsable du traitement et Ostheo agit comme sous-traitant. Le contrat qui encadre ce rôle est en cours de rédaction ; voici ce qu’il contiendra, point par point, au regard de l’article 28 du RGPD.

Ce que contiendra l’accord (RGPD, art. 28, paragraphe 3)

Chaque ligne reprend une exigence du règlement. Le texte d’Ostheo sera publié en regard.

  1. Description du traitement

    Objet et durée, nature et finalité, type de données personnelles, catégories de personnes concernées, droits et obligations du responsable du traitement.

    [À compléter par l’éditeur : traitements couverts, catégories de données (dont données de santé), catégories de personnes, durée]

    À publier par l’éditeur

  2. a) Instructions documentées

    Le sous-traitant ne traite les données que sur instruction documentée du responsable du traitement, y compris pour les transferts hors de l’Union européenne.

    [À compléter par l’éditeur : texte]

    À publier par l’éditeur

  3. b) Confidentialité

    Les personnes autorisées à traiter les données s’engagent à la confidentialité ou y sont tenues par la loi.

    [À compléter par l’éditeur : texte]

    À publier par l’éditeur

  4. c) Sécurité

    Les mesures de sécurité exigées par l’article 32. Celles déjà en place sont décrites sur la page Sécurité.

    [À compléter par l’éditeur : annexe des mesures techniques et organisationnelles]

    À publier par l’éditeur

  5. d) Sous-traitants ultérieurs

    Pas d’autre sous-traitant sans autorisation écrite préalable, spécifique ou générale ; information sur tout changement, avec possibilité d’objection (paragraphes 2 et 4).

    [À compléter par l’éditeur : modalités d’autorisation, d’information et d’objection]

    À publier par l’éditeur

  6. e) Droits des personnes

    Aide au responsable du traitement pour répondre aux demandes des personnes concernées (accès, rectification, effacement…).

    [À compléter par l’éditeur : texte]

    À publier par l’éditeur

  7. f) Sécurité, violations, analyse d’impact

    Aide au respect des articles 32 à 36 : sécurité, notification des violations de données, analyse d’impact, consultation préalable.

    [À compléter par l’éditeur : délais et procédure de notification]

    À publier par l’éditeur

  8. g) Fin de la prestation

    Au choix du responsable du traitement, suppression ou restitution de toutes les données, et destruction des copies, sauf obligation légale de conservation.

    [À compléter par l’éditeur : délai, formats de restitution ; voir aussi l’export et la réversibilité]

    À publier par l’éditeur

  9. h) Information et audits

    Mise à disposition des informations nécessaires pour démontrer le respect de ces obligations et permettre des audits ; alerte immédiate si une instruction paraît contraire au règlement.

    [À compléter par l’éditeur : texte]

    À publier par l’éditeur

  10. Hébergement des données de santé

    Ostheo est conçu pour fonctionner exclusivement chez un hébergeur certifié HDS, avec un stockage dans l’Union européenne (CSP, art. L1111-8 (nouvel onglet)).

    À publier avant l’ouverture : nom de l’hébergeur et référence de son certificat.

    À publier par l’éditeur

Pourquoi un accord de sous-traitance ?

Quand vous utilisez un logiciel en ligne pour tenir vos dossiers, son éditeur traite des données pour votre compte : il est votre sous-traitant au sens du RGPD. Le règlement vous impose de ne recourir qu’à des sous-traitants qui présentent des garanties suffisantes (art. 28, paragraphe 1) et d’encadrer leur rôle par un contrat écrit, y compris sous forme électronique (art. 28, paragraphes 3 et 9). La CNIL détaille ces obligations dans son guide du sous-traitant (nouvel onglet).

Qui est responsable de quoi ?

Vous décidez pourquoi et comment les données de vos patients sont traitées : suivi des patients, facturation. Vous êtes donc responsable du traitement. Ostheo traite ces données pour fournir le service, selon vos instructions, avec les obligations listées ci-dessus.

[À compléter par l’éditeur : répartition détaillée des rôles et des responsabilités.]

Quand l’accord sera-t-il disponible ?

[À compléter par l’éditeur : date de publication, modalités d’acceptation, numéro et date de version du document.]

Les mesures de sécurité déjà en place et celles qui restent à publier sont décrites sur la page Sécurité.

Sources

Textes et pages officielles consultés pour rédiger cette page.

  1. [1]Règlement (UE) 2016/679 (RGPD), article 28 (texte publié par la CNIL)CNIL · cnil.fr · consulté le 19 octobre 2026
  2. [2]Règlement (UE) 2016/679 (RGPD), Journal officiel de l’Union européenneEUR-Lex · eur-lex.europa.eu · consulté le 19 octobre 2026
  3. [3]RGPD : guide du sous-traitant (édition septembre 2017)CNIL · cnil.fr · consulté le 19 octobre 2026
  4. [4]Code de la santé publique, article L1111-8 (hébergement de données de santé)Légifrance · legifrance.gouv.fr · consulté le 19 octobre 2026

À lire aussi

Ostheo, logiciel pour ostéopathes

Le cabinet, enfin aligné.

Dossier patient, consultation, schéma corporel, agenda et notes d’honoraires conformes, avec Theo pour les brouillons.

Essayer OstheoExport et réversibilité