Contrat de Sous-Traitance (DPA)

Conforme à l'Art. 9 de la Loi fédérale sur la protection des données (nLPD) — Last updated: March 20, 2026

Parties

Responsable du traitement (« le Mandant ») : Le thérapeute titulaire du compte Therago, agissant en qualité de responsable du traitement des données de ses patients.

Sous-traitant (« le Prestataire ») : Artt Services Sàrl, Chemin Moïse-Duboule 3, 1209 Genève, Suisse, exploitant de la plateforme Therago.

1. Objet et durée

Le Prestataire traite les données personnelles des patients du Mandant dans le cadre de la fourniture du service Therago (gestion de cabinet, facturation, notes de séance, agenda). Le présent contrat prend effet à l'inscription et reste en vigueur pendant toute la durée d'utilisation du Service.

2. Nature et finalité du traitement

• Stockage chiffré de dossiers patients
• Transcription et structuration de notes de séance par IA
• Génération et envoi de factures
• Gestion d'agenda et rappels automatiques
• Sauvegardes chiffrées

3. Catégories de données traitées

• Données de santé (Art. 5 let. c nLPD) : notes de séance, anamnèses, diagnostics, prescriptions, historique de traitement
• Données d'identification : nom, prénom, date de naissance, coordonnées des patients
• Données d'assurance : nom de l'assureur, numéro de police, type de couverture
• Données de facturation : montants, codes tarifaires, dates de séance

4. Obligations du Prestataire

4.1 Instructions

Le Prestataire traite les données uniquement sur instruction documentée du Mandant, sauf obligation légale contraire. L'utilisation du Service par le Mandant constitue ses instructions.

4.2 Confidentialité et secret professionnel

Le Prestataire et l'ensemble de son personnel autorisé à traiter les données sont soumis à une obligation de confidentialité équivalente au secret professionnel au sens de l'Art. 321 du Code pénal suisse. Cette obligation survit à la fin du présent contrat et à la fin de tout rapport de travail.

Tout collaborateur ayant un accès potentiel aux systèmes hébergeant les données patients signe un engagement écrit de confidentialité avant sa prise de fonction.

4.3 Sécurité (Art. 8 nLPD)

Le Prestataire met en œuvre les mesures suivantes :

• Chiffrement AES-256-GCM de chaque champ de données patient individuellement
• Clé de chiffrement unique par thérapeute (architecture zéro-accès)
• TLS 1.3 pour toutes les communications
• Hébergement exclusif en Suisse (Genève), certifié ISO 27001
• Contrôle d'accès basé sur les rôles (RBAC) avec séparation stricte entre thérapeutes
• Journal d'audit de chaque accès aux données patients (qui, quoi, quand, IP)
• Sauvegardes chiffrées quotidiennes avec rétention de 30 jours
• Authentification à deux facteurs disponible
• Transcription vocale sur serveurs suisses — audio supprimé après traitement
• Anonymisation des données avant tout traitement IA externe

4.4 Sous-traitants ultérieurs

Le Prestataire limite le nombre de ses sous-traitants et privilégie des prestataires suisses. Les sous-traitants actuels sont les suivants. Chacun est lié par des obligations de protection des données au moins équivalentes à celles du présent contrat.

La transcription audio des dictées s'exécute sur les serveurs du Prestataire à Genève. Les enregistrements ne sont transmis à aucun tiers, ni conservés après traitement.

Les dossiers patients, les notes de séance et les enregistrements audio sont hébergés, traités et transcrits exclusivement sur des serveurs situés à Genève, intelligence artificielle comprise. C'est le cœur du dossier, et il ne quitte pas la Suisse : aucun prestataire étranger n'y a accès, ni maintenant, ni ponctuellement.

Quatre fonctions font intervenir un prestataire établi hors de Suisse : l'envoi d'e-mails, le rappel par SMS, la synchronisation d'agenda et la transmission électronique aux assureurs. Chacun de ces transferts repose sur des garanties appropriées au sens de l'art. 16 LPD : le prestataire est lié par un contrat de sous-traitance et par les clauses contractuelles types, dans leur version comportant une section consacrée aux transferts depuis la Suisse. Nous conservons une copie exécutée de chaque accord et la tenons à votre disposition.

Le détail, et surtout ce que chacun ne reçoit pas :

• Stripe (abonnement) ne reçoit aucune donnée de patient. Google (agenda, uniquement si vous activez la synchronisation) reçoit le créneau et le titre du rendez-vous, dans les limites décrites ci-dessus.
• Resend achemine les e-mails. Il ne reçoit des données de patient que si une facture ou un rappel part par e-mail : dans ce cas, le nom et l'adresse du destinataire, ainsi que le document joint. Ses clauses contractuelles types couvrent explicitement la Suisse et la LPD fédérale ; nous l'avons vérifié sur le texte contractuel, et rien n'est à signer de votre côté.
• Twilio reçoit le numéro du patient pour le rappel de rendez-vous par SMS, et rien d'autre : le message ne contient ni le nom du patient, ni le motif de la consultation.
• Anthropic ne reçoit que ce que vous tapez dans l'assistant de discussion, et l'image d'un justificatif de dépense si vous utilisez le scan. Vos notes de séance et vos dossiers patients n'y passent jamais : ils sont traités à Genève, par le service d'intelligence artificielle d'Infomaniak.
• Telegram et la messagerie Google servent uniquement à la supervision technique et au support : votre nom, votre adresse e-mail, et le texte que vous nous adressez. Aucune donnée de patient n'y transite.

L'envoi d'une facture ou d'un rappel de paiement par e-mail est déclenché par le Mandant. Deux envois font exception et partent automatiquement, parce que c'est leur raison d'être : le rappel de rendez-vous la veille, par e-mail et par SMS, et la notification adressée à un patient inscrit sur liste d'attente lorsqu'un créneau se libère. Le Mandant peut par ailleurs télécharger ses documents depuis Therago et les remettre à ses patients par le canal de son choix. Il demeure responsable du traitement au sens de la loi et décide des canaux qu'il utilise.

Tout nouveau sous-traitant est notifié au Mandant au moins 30 jours avant sa mise en service. Le Mandant peut s'y opposer. La liste ci-dessus est également reprise dans la Politique de confidentialité.

4.5 Assistance

Le Prestataire assiste le Mandant pour :

• Répondre aux demandes d'accès, de rectification ou d'effacement des patients
• Les obligations de notification en cas de violation de données
• Les analyses d'impact relatives à la protection des données si requises

4.6 Notification de violation

En cas de violation de la sécurité des données, le Prestataire notifie le Mandant dans un délai de 24 heures suivant la découverte de l'incident, en communiquant : la nature de la violation, les données concernées, les conséquences probables et les mesures prises.

4.7 Audit

Le Mandant dispose d'un droit d'audit sur les mesures de sécurité du Prestataire, exerçable une fois par an avec un préavis de 30 jours. L'audit peut être confié à un tiers indépendant soumis à une obligation de confidentialité.

5. Fin du contrat et sort des données

Le Mandant est soumis à des obligations légales de conservation des dossiers patients (Art. 57 de la Loi sur la santé du canton de Genève : minimum 10 ans ; Art. 128a CO : prescription de 20 ans). Le Prestataire en tient compte dans la procédure suivante :

5.1 Période de grâce (90 jours)

Après la résiliation de l'abonnement, le Mandant conserve un accès complet au Service pendant 90 jours. Le Prestataire envoie des rappels par email aux jours 1, 30, 60 et 80 pour inviter le Mandant à exporter ses données. L'export est disponible aux formats CSV, JSON et PDF.

5.2 Mode archive

Après la période de grâce, si le Mandant n'a pas souscrit un nouvel abonnement ni demandé la suppression, le compte passe en mode archive : accès en lecture seule aux dossiers patients existants, sans possibilité de créer de nouveaux contenus. L'export reste disponible. Ce mode est gratuit.

Ce mode archive permet au Mandant de respecter ses obligations légales de conservation sans maintenir un abonnement payant.

5.3 Suppression définitive

La suppression des données n'intervient que sur demande écrite du Mandant à contact@therago.ch. Le Prestataire ne procède jamais à une suppression unilatérale des dossiers patients. Avant toute suppression :

• Le Prestataire propose un dernier export complet des données
• Le Mandant confirme avoir exporté ses données ou y renoncer explicitement
• Le Prestataire supprime toutes les données dans un délai de 30 jours et en confirme la suppression par écrit
• Le Mandant est informé qu'il reste responsable de la conservation de ses dossiers patients conformément au droit cantonal applicable

6. Responsabilité

Le Prestataire est responsable des dommages causés par un traitement non conforme aux instructions du Mandant ou au présent contrat. La responsabilité est limitée conformément aux Conditions générales.

7. Droit applicable

Le présent contrat est soumis au droit suisse. Le for juridique est Genève, Suisse.

Ce contrat de sous-traitance est automatiquement conclu lors de l'inscription au Service et fait partie intégrante des Conditions générales d'utilisation. En créant un compte Therago, le Mandant accepte les termes du présent contrat.