Contrat de sous-traitance (DPA)

Le Client, identifié par le nom commercial et le SIRET renseignés dans son compte Confirmatio au moment de l’acceptation du présent contrat (ci-après « le Responsable de traitement » ou « le Client »).

Kurtiss, Société par Actions Simplifiée Unipersonnelle au capital de 500 €, immatriculée au RCS de Paris sous le n° 980631329, SIRET 98063132900029, dont le siège est situé 99 rue Jouffroy d'Abbans, 75017 Paris, France (ci-après « le Sous-traitant »).

Le Responsable de traitement et le Sous-traitant sont désignés ensemble les « Parties ».

Le présent contrat encadre les conditions dans lesquelles le Sous-traitant traite des données à caractère personnel pour le compte du Responsable de traitement, dans le cadre de la prestation Confirmatio : confirmation automatique de rendez-vous par agent vocal IA et repli SMS.

Le Sous-traitant agit exclusivement sur instruction documentée du Responsable de traitement, formalisée par l’acceptation horodatée du présent DPA et de l’attestation responsable de traitement dans l’application.

Catégories de données traitées : identité et coordonnées du client (civilité, prénom, nom, téléphone, e-mail le cas échéant), données de rendez-vous (date, heure, statut ; motif éventuel pour le tableau de bord uniquement), journaux techniques de confirmation (appels, SMS, réponses).

Finalités : confirmation ou annulation de rendez-vous déjà pris, réduction des absences non excusées, traçabilité des échanges avec le client.

Base légale : déterminée par le Responsable de traitement (en pratique, exécution du rendez-vous et/ou intérêt légitime à limiter les absences ; article 9 RGPD lorsque le rendez-vous révèle une donnée de santé). Le consentement n’est pas la base requise pour un message de service lié à un rendez-vous déjà fixé. L’opposition et le STOP sont respectés.

Durée de conservation des données clients : suppression automatique des PII 90 jours après la date du rendez-vous, sauf obligation légale contraire ou demande d'effacement anticipée conforme au plancher légal (0 jours minimum).

• Personnes concernées : clients du Responsable de traitement.
• Aucun enregistrement audio des conversations (interdit en production). Seuls le résultat structuré de l’appel (statut, motif de fin, durée) et les journaux d’événements sont conservés.
• Chiffrement AES-256-GCM des PII au repos.
• Le signal d’opposition aux notifications (export agenda, STOP SMS) bloque tout appel et SMS.
• Pas de notes cliniques, honoraires, NIR, date de naissance, adresse client, audiogramme ni pièces d’identité. Ces colonnes sont ignorées à l’import.
• Le motif éventuellement importé n’est conservé que pour le tableau de bord du Client. Il n’est pas dicté à l’oral, ni envoyé par SMS, ni transmis au modèle de langue.

Le Sous-traitant s'engage à :

• Traiter les données uniquement pour les finalités définies et selon les instructions du Responsable de traitement.
• Garantir la confidentialité des personnes autorisées à traiter les données.
• Mettre en œuvre des mesures techniques et organisationnelles appropriées (chiffrement, cloisonnement multi-tenant, journalisation sans PII en clair).
• Notifier le Responsable de traitement, dans les meilleurs délais, de toute violation de données.
• Assister le Responsable de traitement pour répondre aux demandes d'exercice des droits (accès, effacement, etc.).
• Supprimer ou restituer les données à l'issue de la prestation, sous réserve des obligations légales de conservation.
• Mettre à disposition les informations nécessaires pour démontrer le respect du RGPD et permettre des audits.

Le Client garantit la licéité des fichiers transmis (collecte du numéro pour le rendez-vous, information des personnes, respect des oppositions). Il indemnise le Sous-traitant des conséquences d’une instruction illicite, sans préjudice des obligations propres du Sous-traitant (sécurité, sous-traitants, notification de violation).

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants, hébergés dans l'Union européenne ou disposant de garanties appropriées (clauses contractuelles types le cas échéant) :

• MongoDB Atlas (région UE) — hébergement de la base de données.
• Vercel — hébergement applicatif.
• LiveKit — salles vocales et trunk SIP.
• Twilio — SMS transactionnels et téléphonie SIP.
• ElevenLabs — synthèse vocale (TTS).
• Deepgram ou Gladia — reconnaissance vocale (STT), selon configuration.
• Fournisseur LLM configuré (OpenAI, Anthropic ou Mistral) — compréhension de l’échange vocal, sans conservation de l’audio.
• Brevo — e-mails transactionnels (compte, équipe, digest).
• Upstash — cache, idempotence et files de jobs (région EU).
• Stripe — facturation B2B (données de facturation du Client, pas de clients finaux).
• Sentry — journalisation des erreurs techniques, sans PII en clair.

Les données clients sont hébergées en priorité dans l'Union européenne. Certains sous-traitants vocaux (TTS, STT, LLM, téléphonie) peuvent traiter des flux hors UE ; ces transferts reposent sur des clauses contractuelles types ou un mécanisme reconnu par la Commission européenne.

Mesures notamment : chiffrement au repos, blind index pour la recherche téléphonique sans déchiffrement, authentification, isolation par organisation, signatures HMAC sur les webhooks, rate-limiting, aucun enregistrement audio en production.

En cas de violation, notification au Responsable de traitement sans retard indu et, si possible, dans les 48 heures, à l'adresse contact@kurtiss.fr.

Le présent DPA prend effet à la date d’acceptation horodatée dans l’application Confirmatio et demeure en vigueur pendant toute la durée de la prestation.

À la résiliation, le Sous-traitant supprime les données personnelles dans les délais contractuels, sauf obligation légale de conservation.

Délégué à la protection des données du Sous-traitant : contact@kurtiss.fr

Contact général : contact@kurtiss.fr