Accord de Traitement des Données (DPA)

Le présent Accord de Traitement des Données (ci-après « DPA ») est conclu entre Julien PEREIRA, auto-entrepreneur exerçant sous l'enseigne Nutritwin (SIRET à compléter), 7 rue Franklin, 52000 Chaumont (ci-après le « Sous-traitant »), et tout Praticien utilisant la plateforme NutriTwin (ci-après le « Responsable de traitement »).

En acceptant les Conditions Générales d'Utilisation de NutriTwin, le Praticien accepte également les termes du présent DPA, lequel entre en vigueur à la date d'activation du compte.

Ce DPA s'inscrit dans le cadre réglementaire du Règlement (UE) 2016/679 (RGPD) et de la loi Informatique et Libertés modifiée.

Responsable de traitement : le Praticien utilisant NutriTwin, qui détermine les finalités et les moyens du traitement des données de ses patients.

Sous-traitant : Nutritwin, qui traite les données personnelles pour le compte et sur instruction du Responsable de traitement.

Données patients : toute donnée à caractère personnel relative aux patients du Praticien traitée via la plateforme NutriTwin.

Violation de données : toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès à des données personnelles.

Le Sous-traitant traite les données patients pour la finalité exclusive suivante : fournir au Responsable de traitement un service d'assistant conversationnel basé sur l'intelligence artificielle dans le cadre du suivi nutritionnel et du bien-être de ses patients.

Le traitement s'effectue pour la durée de l'abonnement du Praticien, augmentée d'une période de conservation résiduelle définie à l'article 6 de la Politique de Confidentialité.

Le traitement réalisé par le Sous-traitant comprend :

• Stockage des données d'onboarding et du profil nutritionnel des patients.
• Traitement des messages échangés entre le patient et l'assistant IA.
• Analyse du contenu des échanges pour la génération de réponses par l'IA.
• Évaluation automatisée du statut émotionnel à partir du contenu des échanges.
• Stockage des événements Mon Soutien et des journaux d'exercices de régulation.
• Génération de bilans et rapports à destination du Praticien.
• Envoi d'emails transactionnels aux patients (invitations, notifications).

Les catégories de données traitées incluent :

• Données d'identité : nom, prénom, email.
• Données de santé (article 9 RGPD) : pathologies, allergies, traitements, données corporelles (poids, taille), habitudes alimentaires, statut émotionnel.
• Données comportementales : historique des conversations, fréquence d'utilisation, réponses aux exercices de régulation émotionnelle.
• Données techniques : identifiants de session, logs de connexion.

Les personnes concernées par le traitement sont exclusivement les patients du Praticien ayant accepté les conditions d'utilisation de NutriTwin et dont l'inscription a été initiée par le Praticien via la fonctionnalité d'invitation de la plateforme.

Le Sous-traitant s'engage à :

• Ne traiter les données que sur instruction documentée du Responsable de traitement, telle qu'exprimée dans les CGU et le présent DPA.
• Garantir la confidentialité des données : les personnes autorisées à traiter les données s'engagent à la confidentialité.
• Mettre en œuvre les mesures de sécurité appropriées décrites à l'article 8 de la Politique de Confidentialité (chiffrement, contrôle d'accès, RLS, journalisation).
• Ne pas recruter de nouveau sous-traitant ultérieur sans en informer le Responsable de traitement avec un préavis de 30 jours — la liste actuelle des sous-traitants figure à l'article 5 de la Politique de Confidentialité.
• Aider le Responsable de traitement à répondre aux demandes d'exercice de droits des personnes concernées.
• Notifier toute violation de données au Responsable de traitement dans un délai de 48 heures après en avoir pris connaissance.
• Supprimer ou restituer toutes les données personnelles à l'issue du contrat, selon le choix du Responsable de traitement, et détruire les copies existantes sauf obligation légale de conservation.
• Mettre à la disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect du présent DPA.

Le Responsable de traitement (Praticien) s'engage à :

• N'inviter sur la plateforme que des patients ayant donné leur consentement éclairé à l'utilisation d'un outil d'IA dans leur suivi.
• Informer ses patients de l'existence du présent DPA et de la Politique de Confidentialité de NutriTwin.
• Respecter les réglementations applicables à sa profession dans le cadre de l'utilisation du service.
• Notifier NutriTwin de toute demande d'exercice de droits reçue d'un patient qui nécessiterait une action technique de la part du Sous-traitant.
• Ne pas demander au Sous-traitant de traiter les données à des fins incompatibles avec les présentes.

Le Responsable de traitement autorise le Sous-traitant à faire appel aux sous-traitants ultérieurs listés dans la Politique de Confidentialité (Google Cloud, Supabase, Upstash, Vercel, Resend, Stripe). Toute modification de cette liste sera communiquée au Responsable de traitement par email avec un préavis de 30 jours, lui laissant la possibilité de s'y opposer. En l'absence d'opposition dans ce délai, la modification est réputée acceptée.

Le Sous-traitant impose aux sous-traitants ultérieurs des obligations équivalentes à celles du présent DPA en matière de protection des données.

Certains sous-traitants ultérieurs sont établis hors de l'Union Européenne (Vercel, Resend, Upstash, Stripe). Ces transferts sont encadrés par des clauses contractuelles types (CCT) adoptées par la Commission européenne, conformément à l'article 46 du RGPD. La liste des garanties par prestataire est disponible dans la Politique de Confidentialité.

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement en transit (HTTPS/TLS 1.3).
• Chiffrement au repos (AES-256 via Supabase).
• Contrôle d'accès granulaire par ligne de base de données (Row Level Security).
• Séparation des droits : accès client limité aux données propres à chaque utilisateur.
• Authentification sécurisée via Supabase Auth.
• Journalisation des accès.
• Sauvegardes quotidiennes automatisées.
• Anonymisation des documents avant indexation par l'IA.

En cas de violation de données personnelles, le Sous-traitant notifiera le Responsable de traitement dans un délai de 48 heures par email à l'adresse utilisée lors de l'inscription. La notification précisera la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les données affectées, les conséquences probables, et les mesures prises ou envisagées.

Le Responsable de traitement reste seul responsable de la notification à la CNIL dans le délai légal de 72 heures prévu à l'article 33 du RGPD.

Le présent DPA prend fin automatiquement à la résiliation du contrat d'abonnement. À cette date, le Sous-traitant procédera à la suppression des données patients selon les durées de conservation définies dans la Politique de Confidentialité, ou plus tôt sur demande écrite du Responsable de traitement à contact@nutritwin.fr.

Le présent DPA est soumis au droit français. Tout litige sera soumis aux tribunaux compétents de Chaumont.

Pour toute question relative au présent DPA : contact@nutritwin.fr