Data Processing Agreement — En vigueur au 17 avril 2026
Le présent contrat est conclu en application de l'article 28 du Règlement (UE) 2016/679 (RGPD) et encadre le traitement des données personnelles confiées par le Thérapeute à KONNEKT dans le cadre de l'utilisation de therâm.
KONNEKT traite les données personnelles uniquement pour les finalités suivantes, sur instruction documentée du Thérapeute :
KONNEKT n'utilise en aucun cas les données des patients à des fins commerciales, publicitaires, de profilage, de revente ou d'entraînement de modèles d'IA.
| Catégorie | Exemples |
|---|---|
| Identification | Nom, prénom, email, téléphone, adresse |
| Rendez-vous | Date, heure, durée, prestation, praticien |
| Facturation | Montants, modes de paiement, factures, bons cadeaux |
| Données de santé (catégorie sensible, art. 9 RGPD) | Motif de consultation, antécédents, traitement, bilans, comptes-rendus de séance, transcriptions audio, notes privées, profil neurocognitif |
| Connexion / techniques | IP de connexion, horodatage, user agent, pays / ville approximatifs |
Les données de santé ne sont traitées qu'avec le consentement explicite du patient obtenu par le Thérapeute, et relèvent de la dérogation de l'article 9.2.h du RGPD (finalité de médecine préventive, diagnostic, soins).
Le traitement est effectué pour la durée du contrat de service entre KONNEKT et le Thérapeute, c'est-à-dire tant que le compte du Thérapeute est actif sur therâm. Les données sont ensuite traitées selon les modalités de l'article 13 (restitution / suppression).
KONNEKT s'engage à :
Le Thérapeute s'engage à :
Le Thérapeute autorise KONNEKT à recourir aux sous-traitants ultérieurs listés ci-dessous, tous contractuellement engagés sur des obligations équivalentes à celles du présent DPA :
| Sous-traitant | Finalité | Localisation |
|---|---|---|
| Google Cloud EMEA Limited (Google LLC) |
Hébergement infrastructure (Cloud Run, Cloud SQL, Cloud Storage), certifié HDS v2.0 | UE — région europe-west1 (Belgique) |
| Sendinblue SAS (Brevo) | Envoi d'emails transactionnels (confirmations RDV, rappels, notifications) | UE — France |
| Stripe Payments Europe, Ltd. | Encaissement des abonnements therâm (si applicable) | UE — Irlande |
| Anthropic PBC (via Cloud Anthropic) |
Génération de bilans structurés par IA (offre Sérénité uniquement ; données envoyées uniquement sur action explicite du Thérapeute ; non-utilisation pour entraînement garantie contractuellement) | USA — DPA + Clauses Contractuelles Types UE signées |
| OpenAI, L.L.C. | Transcription audio Whisper + OCR documents (offre Sérénité uniquement ; mode API zero-data-retention activé — aucune conservation côté OpenAI) | USA — DPA + Clauses Contractuelles Types UE signées |
| OVH SAS | Nom de domaine, DNS | UE — France |
En cas de changement de sous-traitant ultérieur, KONNEKT informe le Thérapeute au moins 30 jours à l'avance par email et via une mise à jour de la présente page. Le Thérapeute dispose d'un droit d'opposition motivé pendant ce délai ; à défaut d'opposition, le nouveau sous-traitant est réputé accepté.
Les données du cabinet et des patients sont hébergées exclusivement dans l'Union Européenne (région Google Cloud europe-west1, Belgique).
Les sous-traitants américains (Anthropic, OpenAI) ne traitent des données que sur action explicite du Thérapeute et dans le cadre :
password_hash() bcrypt côté serveurcompany_id dans toutes les requêtesEn cas de violation de données personnelles, KONNEKT notifie le Thérapeute sans délai injustifié et au plus tard dans les 72 heures après en avoir eu connaissance, par email à l'adresse de contact du cabinet, avec a minima :
Il appartient au Thérapeute, en sa qualité de responsable de traitement, de déterminer s'il y a lieu de notifier la CNIL et d'informer les personnes concernées.
KONNEKT met à disposition du Thérapeute, via l'interface therâm, les outils nécessaires pour répondre aux demandes d'exercice des droits RGPD des patients :
Pour toute demande technique hors interface (ex. demande complexe d'un patient), le Thérapeute peut contacter KONNEKT à contact@theram.fr. Réponse sous 30 jours maximum.
KONNEKT met à disposition du Thérapeute toutes les informations nécessaires pour démontrer la conformité des obligations prévues à l'article 28 RGPD. Le Thérapeute peut, par écrit et avec un préavis raisonnable (30 jours), demander :
Les audits sur site par le Thérapeute ne sont pas proposés par défaut ; une convention d'audit spécifique peut être négociée en cas de besoin avéré.
À la fin du contrat (résiliation, non-renouvellement, clôture de compte), le Thérapeute choisit, dans un délai de 30 jours :
Passé ce délai, et sauf instruction contraire écrite du Thérapeute, KONNEKT procède à la suppression définitive des données dans un délai maximum de 60 jours (y compris sur les sauvegardes), sauf obligation légale de conservation (comptabilité : 10 ans, facturation : 10 ans).
Le présent DPA est accepté par le Thérapeute lors de la création de son compte sur therâm (étape de validation des CGV). Il peut être téléchargé, imprimé ou demandé signé (version co-signée) en écrivant à contact@theram.fr.
En cas de contradiction entre le présent DPA et les CGV de therâm, les dispositions du DPA prévalent pour les aspects relatifs au traitement des données personnelles.
Dernière mise à jour : 17 avril 2026 — Version 1.0