Accord de traitement des données (DPA)
Version du 8 octobre 2026. Annexe des conditions générales de vente.
Parties
Le praticien qui utilise Capucine, responsable de traitement. Un exemplaire nominatif et signé lui est remis sur demande.
L'éditeur, sous-traitant : Grégoire de Framond, entrepreneur individuel, SIRET 898 985 601 00027, 13 rue Condorcet, 94230 Cachan, France, éditeur du logiciel Capucine. Contact : afficher l'adresse.
1. Objet
Le présent accord fixe les conditions dans lesquelles l'éditeur traite, pour le compte du praticien, les données personnelles que celui-ci soumet à Capucine pour transcrire des enregistrements, rédiger des documents et analyser ses courriels, conformément à l'article 28 du Règlement général sur la protection des données (RGPD, règlement UE 2016/679) et à la loi Informatique et Libertés.
Il fait partie des conditions générales de vente de Capucine et s'applique dès la première utilisation des fonctions de transcription ou de rédaction. Un exemplaire signé est remis au praticien qui le demande.
2. Description du traitement
| Finalité | Transcrire en texte un enregistrement audio (séance, dictée, mémo vocal) et rédiger, reformuler ou mettre en forme un texte à la demande du praticien (compte rendu, courrier, bilan, note). Lorsque le praticien a connecté sa boîte mail à l'agent email : analyser les courriels reçus pour les classer par catégories et rédiger des brouillons de réponse. |
|---|---|
| Nature des opérations | Transmission chiffrée du texte ou de l'audio soumis, relais par le serveur de l'éditeur, transcription de l'audio par un modèle de reconnaissance vocale ou génération de la réponse par un modèle de langage, renvoi du résultat au logiciel. Traitement en mémoire, sans enregistrement du contenu. |
| Données traitées | Le contenu que le praticien choisit de soumettre : enregistrements audio, notes, transcriptions, consignes, documents à reformuler, et, si l'agent email est connecté, le texte des courriels reçus (expéditeur, objet, corps du message, sans les pièces jointes). Il peut contenir la voix des personnes enregistrées, des données d'identification et des données de santé (article 9 du RGPD). |
| Personnes concernées | Patients du praticien, leurs proches, les professionnels cités (médecins, correspondants), les expéditeurs des courriels et les personnes qui y sont citées, le praticien lui-même. |
| Lieu | France (Paris). Aucun transfert hors de l'Union européenne. |
| Durée | Pendant l'utilisation du logiciel par le praticien. Chaque traitement dure le temps de produire la transcription ou la réponse. |
Ne relèvent pas de cet accord :
- les fichiers stockés sur l'ordinateur du praticien (documents, enregistrements audio, transcriptions, historique) : l'éditeur n'y a pas accès, le praticien en garde la seule maîtrise ;
- les données du compte et de la facturation (adresse email, paiements, identifiant technique de l'ordinateur, compteurs de volume et de durée sans contenu) : l'éditeur les traite comme responsable de traitement, pour sa relation avec le praticien, selon sa politique de confidentialité.
3. Obligations de l'éditeur
L'éditeur s'engage à :
- Ne traiter les données que sur instruction documentée du praticien. L'instruction est la demande de transcription ou de rédaction faite dans le logiciel, la connexion de sa boîte mail à l'agent email, et le présent accord. Si une instruction lui paraît contraire au RGPD, il en informe le praticien.
- Ne conserver aucun contenu. Le texte ou l'audio soumis et le résultat ne sont ni enregistrés, ni journalisés, ni sauvegardés par le serveur de l'éditeur, y compris en cas d'erreur. Seuls des compteurs sont gardés : volume de texte traité (en jetons), durée d'audio transcrite, date, durée de traitement, statut. Ils ne permettent pas de retrouver le contenu.
- Ne pas utiliser les données à d'autres fins, notamment pas pour entraîner ou améliorer un modèle, pas pour des statistiques sur le contenu, pas pour de la publicité.
- Garantir la confidentialité. L'éditeur travaille seul ; aucune autre personne n'a accès au serveur. S'il venait à faire intervenir une autre personne, elle serait tenue par écrit à la confidentialité.
- Mettre en œuvre les mesures de sécurité de l'annexe 1.
- Respecter les conditions de recours aux sous-traitants ultérieurs de l'article 5.
- Aider le praticien à répondre aux demandes des personnes concernées (accès, rectification, effacement, opposition). Comme l'éditeur ne détient pas le contenu, ces demandes se traitent sur l'ordinateur du praticien ; toute demande reçue directement par l'éditeur est transmise au praticien sous 5 jours ouvrés.
- Aider le praticien pour la sécurité du traitement, les analyses d'impact et la consultation de la CNIL, en lui fournissant les informations dont il dispose.
- Notifier toute violation de données au praticien dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec ce qu'il sait de sa nature, des données et personnes concernées, des conséquences probables et des mesures prises.
- Tenir à disposition toutes les informations nécessaires pour démontrer le respect de cet accord (article 7).
4. Obligations du praticien
Le praticien :
- reste responsable de traitement : il décide des données qu'il soumet et de l'usage des documents produits, qu'il relit avant tout usage ;
- informe ses patients de ce traitement dans les conditions prévues par le RGPD et par ses règles professionnelles, en particulier avant d'enregistrer une séance ;
- ne soumet que les données nécessaires à la rédaction demandée ;
- protège son ordinateur (session à mot de passe, chiffrement du disque recommandé : BitLocker sous Windows), puisque les documents y sont stockés ;
- inscrit ce traitement dans son registre des activités de traitement.
5. Sous-traitants ultérieurs
Le praticien autorise l'éditeur à recourir au sous-traitant ultérieur suivant :
| Sous-traitant | Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris |
|---|---|
| Service | Instances (serveur relais de l'éditeur) et Generative APIs (modèle de reconnaissance vocale et modèle de langage) |
| Lieu | Paris, France |
| Rôle | Héberge le serveur relais ; exécute les modèles qui transcrivent l'audio et produisent la réponse. |
Scaleway est lié à l'éditeur par son propre accord de traitement des données, qui impose des obligations au moins équivalentes à celles du présent accord. Pour ses services de transcription et de modèle de langage (Generative APIs), Scaleway applique par défaut une politique de non-conservation du contenu : les requêtes ne sont ni lues, ni réutilisées, ni utilisées pour entraîner un modèle, et ne sont pas accessibles aux concepteurs du modèle. Seule exception prévue par Scaleway : si une requête provoque une erreur anormale du service ou relève d'un usage malveillant, son contenu peut être conservé temporairement, au plus deux semaines, pour en identifier la cause, puis effacé. Un cache technique éphémère accélère les calculs sans stocker le contenu lui-même.
Tout ajout ou remplacement de sous-traitant ultérieur est annoncé au praticien par email au moins 30 jours à l'avance. Le praticien peut s'y opposer : s'il n'est pas trouvé de solution, il peut cesser d'utiliser le service, et la période en cours lui est remboursée au prorata.
6. Fin du traitement
Le serveur de l'éditeur ne conservant aucun contenu, il n'y a rien à restituer ni à effacer chez l'éditeur à la fin du contrat. Les documents produits restent sur l'ordinateur du praticien, lisibles et exportables. Les données du compte suivent la politique de confidentialité de l'éditeur.
7. Documentation et audit
L'éditeur fournit sur demande la description à jour des mesures de l'annexe 1 et le présent accord à jour. Le praticien peut, à ses frais, faire réaliser un audit par un auditeur tenu au secret, une fois par an au plus, en prévenant l'éditeur 30 jours à l'avance. L'audit porte sur le serveur relais et sa configuration ; il ne peut pas porter sur les infrastructures de Scaleway, pour lesquelles l'éditeur transmet la documentation publiée par Scaleway.
8. Transferts hors de l'Union européenne
Aucun. Le serveur relais et les modèles sont à Paris. Aucune donnée soumise pour la transcription ou la rédaction ne quitte l'Union européenne.
9. Durée, modification, droit applicable
Cet accord s'applique aussi longtemps que le praticien utilise les fonctions de transcription ou de rédaction. Toute modification est annoncée au moins 30 jours à l'avance, dans les mêmes conditions que les CGV. Il est soumis au droit français ; les tribunaux compétents sont ceux indiqués dans les CGV.
Annexe 1 : mesures de sécurité
Chemin du texte et de l'audio. Logiciel du praticien, puis serveur relais de l'éditeur (Scaleway, Paris), puis service de transcription ou de modèle de langage (Scaleway, Paris), puis retour par le même chemin. Chaque liaison est chiffrée (HTTPS, TLS).
Serveur relais.
- Relaie le texte et l'audio en mémoire, sans les écrire sur disque.
- Journaux applicatifs limités à un identifiant d'ordinateur, un code de statut, une durée de traitement, des nombres de jetons et une durée d'audio. Jamais de contenu, d'adresse email ni d'adresse IP, y compris en cas d'erreur.
- Accès au service par un jeton propre à chaque ordinateur, conservé haché sur le serveur. Connexion au compte sans mot de passe, par lien à usage unique valable 15 minutes, lui aussi conservé haché.
- La clé d'accès aux modèles reste sur le serveur, jamais dans le logiciel.
- Administration du serveur par clé SSH uniquement, par l'éditeur seul. Aucune interface d'administration exposée sur internet.
- Coupe-circuit permettant d'arrêter immédiatement tout traitement en cas d'incident.
- Sauvegarde continue de la base du serveur (comptes et compteurs, jamais de contenu) dans un espace de stockage Scaleway à Paris, historique de 30 jours.
Logiciel du praticien. Aucune télémétrie : le service sait seulement quel outil a fait chaque appel (discussion, transcription, export, agent email), jamais ce qu'il contenait. Les documents, enregistrements et transcriptions sont stockés sur l'ordinateur ; l'audio n'en sort que le temps de sa transcription, sans être conservé. La vérification des mises à jour ne transmet aucun identifiant ni contenu.
Organisation. Mises à jour de sécurité du système du serveur installées automatiquement ; seuls le service web chiffré et l'accès d'administration par clé sont ouverts sur internet ; mesure du volume de texte et de la durée d'audio uniquement, jamais du contenu ; procédure de notification des violations décrite à l'article 3.