ACCORD RELATIF AU TRAITEMENT DES DONNÉES

Dernière mise à jour : 29 octobre 2026

Ceci est une traduction fournie à titre de commodité. La version anglaise est la version qui fait foi et prévaut en cas de divergence.

1. À PROPOS DU PRÉSENT ACCORD

1.1 Les parties. Le présent Accord relatif au traitement des données (le « DPA ») est conclu entre Brahim Ouasti EI, exerçant sous le nom commercial Inumbra Labs, entrepreneur individuel immatriculé en France au Registre national des entreprises sous le numéro SIREN 538 543 034, numéro de TVA intracommunautaire FR24538543034, qui exploite Vetty (« Vetty », « nous », « notre » ou « nos »), et le cabinet vétérinaire qui a accepté les Conditions applicables aux cabinets (le « Cabinet » (« Practice »), « vous », « votre » ou « vos »).

1.2 Application. Le présent DPA fait partie des Conditions applicables aux cabinets, disponibles à l'adresse https://vetty.app/practice-terms, qui l'intègrent par référence. Il s'applique à Vetty Pro tel que défini dans les Conditions applicables aux cabinets : le Portail accessible à l'adresse pro.vetty.app, ses Sièges, le référencement sur la Place de marché, ainsi que les Consultations, dossiers et comptes rendus traités par leur intermédiaire. Il ne couvre pas Vetty Scribe, qui dispose de son propre accord relatif au traitement des données, disponible à l'adresse https://vettyscribe.com/dpa.

1.3 Objet. Le présent DPA fixe les conditions dans lesquelles Vetty traite des données à caractère personnel pour le compte du Cabinet, comme l'exigent l'article 28 du règlement général sur la protection des données (UE) 2016/679 (le « RGPD » (« GDPR »)) et les règles équivalentes des autres Lois sur la protection des données.

1.4 Ordre de priorité. En cas de divergence entre le présent DPA et les Conditions applicables aux cabinets concernant le traitement des données à caractère personnel, le présent DPA prévaut. Lorsque les Clauses contractuelles types s'appliquent en vertu de l'article 10 et divergent du présent DPA, les Clauses contractuelles types prévalent.

1.5 Langue. Le présent DPA est rédigé en anglais, et le texte anglais fait foi. Le présent texte en est la version française ; toute traduction que nous publions est fournie à titre de simple commodité.

2. DÉFINITIONS

2.1 Les termes définis dans les Conditions applicables aux cabinets (notamment Client, Consultation, Invité, Place de marché, Membre, Participant, Portail, Lien Cabinet, Siège et Vétérinaire) ont la même signification dans le présent DPA.

2.2 Les termes « responsable du traitement » (« controller »), « sous-traitant » (« processor »), « personne concernée » (« data subject »), « données à caractère personnel » (« personal data »), « traitement » (« processing »), « violation de données à caractère personnel » (« personal data breach ») et « autorité de contrôle » (« supervisory authority ») ont le sens qui leur est donné dans le RGPD. Au regard des autres Lois sur la protection des données, ils englobent les termes équivalents qui y sont employés, tels que « organisation » (« organisation ») et « intermédiaire de données » (« data intermediary ») au sens du droit de Singapour.

2.3 Dans le présent DPA :

• Copies Client (« Client Copies ») : les copies qu'un Client conserve dans son propre compte vetty.app de ses réponses au questionnaire préalable et de leurs pièces jointes, des messages et fichiers échangés dans la messagerie d'une Consultation, et de la version de chaque compte rendu signé rédigée à son intention.
• Lois sur la protection des données (« Data Protection Laws ») : le RGPD et la législation française relative à la protection des données ; le décret-loi fédéral n° 45 de 2021 des Émirats arabes unis relatif à la protection des données personnelles (le « UAE PDPL ») ; le Personal Data Protection Act 2012 de Singapour (le « PDPA ») ; le Privacy Act 1988 australien, y compris les Australian Privacy Principles ; et le Privacy Act 2020 néo-zélandais ; dans chaque cas dans la mesure où ils s'appliquent au traitement.
• Dossiers du Cabinet (« Practice Records ») : les données à caractère personnel décrites à l'article 3.1 et à l'Annexe 1.
• Clauses contractuelles types (« Standard Contractual Clauses ») : les clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers approuvées par la Commission européenne dans la décision d'exécution (UE) 2021/914.
• Sous-traitant ultérieur (« Sub-processor ») : un tiers auquel Vetty fait appel pour traiter des Dossiers du Cabinet.

3. RÔLES ET CHAMP D'APPLICATION

3.1 Vetty en tant que sous-traitant. Le Cabinet est le responsable du traitement, et Vetty le sous-traitant, des Dossiers du Cabinet, qui sont :

• (a) les dossiers clients et patients du Cabinet dans le Portail : les clients et patients qu'il ajoute ou importe, et ses notes relatives aux clients, aux patients et aux rendez-vous ;
• (b) le contenu de chaque Consultation tel qu'il est conservé pour le Cabinet : les réponses du Client au questionnaire préalable et leurs pièces jointes ; les messages et fichiers échangés dans la messagerie ; l'enregistrement du microphone de chaque Participant, jusqu'à sa suppression ; la trace du consentement ou du refus de chaque Participant à l'enregistrement ; la transcription ; et le projet de compte rendu et le compte rendu signé, tant la note clinique que la version rédigée à l'intention du Client ;
• (c) les fichiers que le Cabinet ajoute aux rendez-vous ; et
• (d) toute autre donnée à caractère personnel que le Cabinet ou ses Membres saisissent dans le Portail au sujet des clients et patients du Cabinet.

3.2 Vetty en tant que responsable du traitement. Vetty est un responsable du traitement indépendant, et le présent DPA ne s'applique pas, pour les comptes des propriétaires et les données de la place de marché, comme le décrit notre Politique de confidentialité, disponible à l'adresse https://vetty.app/privacy-policy. Cela couvre :

• (a) les comptes des propriétaires d'animaux sur vetty.app, leurs profils et les animaux qu'ils y enregistrent ;
• (b) les Copies Client ;
• (c) les réservations, paiements, remboursements, annulations, absences, avis et les données relatives aux Commissions Nouveau Client ;
• (d) la Place de marché : les profils publics et fiches de référencement des Cabinets et des Vétérinaires ;
• (e) les comptes des Membres, leurs licences et l'examen des licences ;
• (f) les données de sécurité, de prévention de la fraude, de limitation du débit et d'erreurs du service, ainsi que les enregistrements des consentements aux cookies.

3.3 Données détenues au titre des deux rôles. Certains contenus existent à la fois dans les Dossiers du Cabinet et sous forme de Copie Client : le questionnaire préalable, la messagerie et la version de chaque compte rendu signé rédigée à l'intention du Client. Vetty détient la copie du Cabinet en tant que sous-traitant en vertu du présent DPA, et la Copie Client en tant que responsable du traitement afin que le Client en conserve l'accès. La fin du présent DPA, ou la fermeture du Cabinet, met fin à la première et non à la seconde. Toutes deux sont supprimées à l'expiration de la durée prévue à l'article 13.1.

3.4 Description du traitement. L'Annexe 1 décrit l'objet, la durée, la nature et la finalité du traitement, ainsi que les catégories de données à caractère personnel et de personnes concernées.

4. INSTRUCTIONS ET OBLIGATIONS DU CABINET

4.1 Instructions documentées. Le Cabinet donne instruction à Vetty de traiter les Dossiers du Cabinet afin de fournir Vetty Pro comme le décrivent les Conditions applicables aux cabinets, notamment d'enregistrer, de transcrire et de rédiger des comptes rendus comme le décrit l'article 7 et de les conserver et de les supprimer comme le décrit l'article 13. Les Conditions applicables aux cabinets, le présent DPA, l'utilisation et la configuration du Portail par le Cabinet, ainsi que toute autre instruction écrite que le Cabinet donne et que Vetty accepte, constituent l'intégralité des instructions documentées du Cabinet.

4.2 Obligations du Cabinet. Le Cabinet :

• (a) est responsable de disposer d'une base juridique pour les Dossiers du Cabinet et pour leur traitement par Vetty en vertu du présent DPA ;
• (b) informe ses clients de la manière dont leurs données sont traitées, notamment du fait qu'une Consultation n'est enregistrée et transcrite qu'avec le consentement de chaque Participant, que les comptes rendus sont rédigés au moyen de l'intelligence artificielle puis relus et signés par le Vétérinaire, et que les dossiers sont conservés auprès de Vetty ;
• (c) répond aux demandes de ses clients concernant les Dossiers du Cabinet, avec l'assistance de Vetty prévue à l'article 11 ;
• (d) conserve les dossiers exigés par son autorité de régulation et par la loi, en les exportant lorsqu'il doit les conserver plus longtemps que Vetty ; et
• (e) ne donne à Vetty que des instructions conformes aux Lois sur la protection des données.

5. OBLIGATIONS DE VETTY

5.1 Instructions. Vetty ne traite les Dossiers du Cabinet que sur instruction documentée du Cabinet, y compris en ce qui concerne les transferts vers un pays tiers, à moins qu'une disposition du droit de l'Union européenne ou du droit d'un État membre auquel Vetty est soumise ne l'exige. Dans ce cas, Vetty informe le Cabinet de cette obligation juridique avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d'intérêt public.

5.2 Instructions illicites. Vetty informe immédiatement le Cabinet si, selon elle, une instruction constitue une violation des Lois sur la protection des données. Vetty peut suspendre le traitement concerné jusqu'à ce que le Cabinet confirme ou modifie l'instruction.

5.3 Confidentialité. Vetty veille à ce que chaque personne qu'elle autorise à traiter les Dossiers du Cabinet soit soumise à une obligation de confidentialité, contractuelle ou légale, et ne les traite que dans la mesure nécessaire à la fourniture du service.

5.4 Sécurité. Vetty met en œuvre les mesures techniques et organisationnelles figurant à l'Annexe 3, qui sont conçues pour satisfaire à l'article 32 du RGPD. Vetty peut les modifier au fil du temps, à condition que le niveau global de protection ne soit pas réduit.

5.5 Aucune autre utilisation. Vetty ne vend pas les Dossiers du Cabinet, ne les utilise pas à ses propres fins, et ne les utilise pas, ni ne permet à un Sous-traitant ultérieur de les utiliser, pour entraîner des modèles d'intelligence artificielle.

5.6 Assistance. Compte tenu de la nature du traitement et des informations à sa disposition, Vetty aide le Cabinet à respecter ses obligations au titre des articles 32 à 36 du RGPD : sécurité, notification des violations de données à caractère personnel, analyses d'impact relatives à la protection des données et consultation préalable d'une autorité de contrôle. Vetty fournit les informations qu'elle détient sur le traitement, telles que le présent DPA et ses annexes, et répond aux questions raisonnables.

6. PERSONNEL ET RESPONSABLE DES INCIDENTS

Brahim Ouasti est le contact de Vetty pour la protection des données et est responsable de la protection des données et des incidents chez Vetty. Il peut être joint à l'adresse privacy@vetty.app. L'article 15.4 expose son rôle au titre du PDPA.

7. ENREGISTREMENT, TRANSCRIPTION ET RÉDACTION PAR IA

7.1 Consentement recueilli pour le Cabinet. Avant de rejoindre une Consultation, il est demandé à chaque Participant, Invités compris, s'il consent à l'enregistrement et à la transcription de l'audio de la Consultation. Vetty recueille et conserve chaque réponse, avec l'heure à laquelle elle a été donnée, pour le compte du Cabinet. Si un Participant refuse, la Consultation se déroule sans enregistrement, et aucune transcription ni aucun projet de compte rendu n'est produit.

7.2 Ce qui est enregistré et quand cela est supprimé. Seul l'audio du microphone de chaque Participant est enregistré ; la vidéo et le partage d'écran ne sont jamais enregistrés. L'audio est conservé dans un espace de stockage privé situé à Francfort, en Allemagne, transcrit après la Consultation, et supprimé dès que la transcription est enregistrée. L'audio d'une Consultation qui ne se termine pas est supprimé immédiatement, et en tout état de cause dans un délai de 24 heures.

7.3 Transcription. L'audio est transcrit par le Sous-traitant ultérieur de reconnaissance vocale désigné à l'Annexe 2. Une fois que Vetty a récupéré une transcription, elle demande à ce Sous-traitant ultérieur de supprimer sa copie de la transcription.

7.4 Rédaction par IA. Le projet de compte rendu est préparé par les Sous-traitants ultérieurs d'IA désignés à l'Annexe 2 à partir de la transcription, des réponses du Client au questionnaire préalable et du profil du patient. Le Vétérinaire relit, corrige et signe le compte rendu, et seul un compte rendu signé parvient au Client. Aucune décision produisant des effets juridiques à l'égard d'un Client, ou l'affectant de manière significative de façon similaire, n'est prise sur le seul fondement d'un traitement automatisé.

7.5 Fournisseurs d'IA et entraînement. Vetty n'a conclu aucun accord de non-conservation (zero-retention) avec ses fournisseurs d'IA. Ceux-ci peuvent conserver les données d'entrée pendant une courte période aux fins de détection des abus, conformément à leurs propres conditions. Aucun d'entre eux n'est autorisé à entraîner ses modèles sur les Dossiers du Cabinet : les conditions commerciales d'Anthropic interdisent l'entraînement sur le contenu des clients ; OpenAI n'utilise pas les données transmises par son API à des fins d'entraînement, sauf si le client y consent expressément, ce que Vetty n'a pas fait, et conserve les journaux de détection des abus pendant 30 jours au maximum ; et Vetty a refusé l'entraînement dans les paramètres d'utilisation des données de son compte ElevenLabs.

8. SOUS-TRAITANTS ULTÉRIEURS

8.1 Autorisation générale. Le Cabinet donne à Vetty une autorisation écrite générale de recruter des Sous-traitants ultérieurs. Les Sous-traitants ultérieurs en place à la date du présent DPA sont énumérés à l'Annexe 2, et le Cabinet les autorise.

8.2 Contrats avec les Sous-traitants ultérieurs. Vetty recrute chaque Sous-traitant ultérieur en vertu d'un contrat écrit qui impose des obligations en matière de protection des données offrant le même niveau de protection que le présent DPA, en particulier des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Vetty demeure pleinement responsable à l'égard du Cabinet de l'exécution des obligations de chaque Sous-traitant ultérieur.

8.3 Modifications. Vetty informe le Cabinet au moins 30 jours avant d'ajouter ou de remplacer un Sous-traitant ultérieur, par e-mail adressé aux Administrateurs du Cabinet et par la mise à jour de l'Annexe 2. Lorsqu'une modification est nécessaire de toute urgence pour assurer la sécurité ou le fonctionnement du service, Vetty peut y procéder plus tôt et en informe le Cabinet dès que possible, en indiquant ses motifs.

8.4 Opposition. Le Cabinet peut s'opposer à un nouveau Sous-traitant ultérieur par écrit adressé à privacy@vetty.app dans ce délai de préavis, pour des motifs raisonnables tenant à la protection des données. Vetty examinera l'opposition de bonne foi et proposera une solution lorsqu'une solution est raisonnablement envisageable. Si les parties ne parviennent pas à résoudre l'opposition, le Cabinet peut mettre fin aux Conditions applicables aux cabinets en fermant le Cabinet avant l'entrée en vigueur de la modification, et Vetty rembourse la partie non utilisée de toute période d'Abonnement payée d'avance.

9. LIEUX DE TRAITEMENT DES DOSSIERS DU CABINET

9.1 Stockage dans l'Union européenne. Vetty est établie en France. Les Dossiers du Cabinet sont stockés dans l'Union européenne, à Francfort, en Allemagne, où fonctionnent la base de données, le stockage de fichiers et les fonctions serveur de Vetty.

9.2 Traitement en dehors de l'Union européenne. Certains Sous-traitants ultérieurs traitent des Dossiers du Cabinet en dehors de l'Espace économique européen, comme l'indique l'Annexe 2 :

• (a) les Sous-traitants ultérieurs de reconnaissance vocale et de rédaction par IA les traitent aux États-Unis ;
• (b) le Sous-traitant ultérieur chargé des e-mails traite les noms, adresses e-mail et contenus des notifications aux États-Unis ;
• (c) le Sous-traitant ultérieur chargé de la vidéo, LiveKit, achemine l'audio et la vidéo en direct de chaque Consultation par le serveur LiveKit le plus proche de chaque Participant, qui peut se trouver en dehors de l'Espace économique européen, et conserve les enregistrements de session et les journaux qu'il retient dans la région de données de son projet, les États-Unis ;
• (d) le Sous-traitant ultérieur chargé de l'hébergement, Vercel, est établi aux États-Unis et sert le Portail au moyen de son réseau mondial ; et les Sous-traitants ultérieurs établis aux États-Unis, notamment Supabase, Upstash et PostHog, peuvent accéder depuis ce pays aux Dossiers du Cabinet stockés à Francfort, par exemple pour assurer l'assistance ou la maintenance de leur service.

10. TRANSFERTS INTERNATIONAUX

10.1 Transferts vers les Sous-traitants ultérieurs. Lorsqu'un Sous-traitant ultérieur traite des Dossiers du Cabinet dans un pays situé en dehors de l'Espace économique européen qui ne bénéficie d'aucune décision d'adéquation de la Commission européenne, ou y accède depuis un tel pays, le transfert est encadré par le cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework) lorsque le Sous-traitant ultérieur est certifié à ce titre, à défaut par les clauses contractuelles types de la Commission européenne (module 3, de sous-traitant à sous-traitant) figurant dans le contrat du Sous-traitant ultérieur avec Vetty, assorties de toute mesure supplémentaire que le transfert requiert. L'Annexe 2 indique la garantie applicable à chaque Sous-traitant ultérieur.

10.2 Cabinets établis en dehors de l'Espace économique européen. Vetty est un sous-traitant établi dans l'Union européenne. Lorsque le Cabinet est établi dans un pays situé en dehors de l'Espace économique européen qui ne bénéficie d'aucune décision d'adéquation de la Commission européenne (à la date du présent DPA, les Émirats arabes unis, l'Australie et Singapour, mais pas la Nouvelle-Zélande), et dans la mesure où le RGPD l'exige, le module 4 (de sous-traitant à responsable du traitement) des Clauses contractuelles types s'applique au transfert des Dossiers du Cabinet de Vetty vers le Cabinet et est intégré par référence au présent DPA, selon les options suivantes :

• (a) Vetty est l'exportateur de données et le Cabinet est l'importateur de données ;
• (b) la clause d'adhésion facultative (clause 7) ne s'applique pas ;
• (c) clause 17 : les clauses sont régies par le droit français ;
• (d) clause 18 : les litiges sont tranchés par les juridictions de Pontoise, en France ;
• (e) annexe I.A : les parties sont celles visées à l'article 1.1, avec les adresses qui y sont indiquées et celles figurant dans le Portail ; le contact de l'exportateur de données est Brahim Ouasti à l'adresse privacy@vetty.app, et le contact du Cabinet est celui enregistré dans le Portail ; l'annexe I.B est l'Annexe 1 du présent DPA.

10.3 Transferts relevant d'autres lois. Lorsque la Loi sur la protection des données du pays du Cabinet restreint le transfert des Dossiers du Cabinet à Vetty en France ou leur transfert ultérieur à un Sous-traitant ultérieur, les parties conviennent que le présent DPA et, le cas échéant, les Clauses contractuelles types constituent la garantie contractuelle de ce transfert, et l'article 15 s'applique.

11. DEMANDES DES PERSONNES CONCERNÉES

11.1 Assistance. Compte tenu de la nature du traitement, Vetty aide le Cabinet, par des mesures techniques et organisationnelles appropriées et dans toute la mesure du possible, à répondre aux demandes des personnes concernées visant à exercer leurs droits sur les Dossiers du Cabinet. Le Portail permet au Cabinet de consulter, rectifier et exporter les Dossiers du Cabinet. Pour tout ce que le Portail ne permet pas, le Cabinet peut écrire à privacy@vetty.app, et Vetty l'aidera sans retard injustifié.

11.2 Demandes adressées à Vetty. Si Vetty reçoit d'une personne concernée une demande relative aux Dossiers du Cabinet, elle la transmet au Cabinet sans retard injustifié et n'y répond pas elle-même, sauf pour informer la personne que sa demande a été transmise ou lorsque la loi impose à Vetty d'y répondre. Une demande portant sur des données dont Vetty est le responsable du traitement, y compris les Copies Client, reçoit une réponse de Vetty conformément à sa Politique de confidentialité.

12. VIOLATIONS DE DONNÉES À CARACTÈRE PERSONNEL

12.1 Notification au Cabinet. Vetty notifie au Cabinet, sans retard injustifié et en tout état de cause dans un délai de 48 heures après en avoir pris connaissance, toute violation de données à caractère personnel affectant les Dossiers du Cabinet. La notification est effectuée par e-mail adressé aux Administrateurs du Cabinet.

12.2 Contenu de la notification. La notification décrit, dans la mesure de ce que Vetty sait alors : la nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés ; ses conséquences probables ; les mesures prises ou proposées pour y remédier et pour en atténuer les effets ; et le point de contact auprès duquel des informations supplémentaires peuvent être obtenues. Lorsque Vetty ne peut pas fournir toutes ces informations en même temps, elle les fournit de manière échelonnée sans autre retard injustifié.

12.3 Qui notifie les autorités et les personnes concernées. Le Cabinet, en tant que responsable du traitement des Dossiers du Cabinet, décide de toute notification à son autorité de contrôle et aux personnes concernées et y procède. Vetty fournit au Cabinet les informations et l'aide dont il a raisonnablement besoin à cette fin. Vetty ne notifie pas, pour le compte du Cabinet, l'autorité de contrôle du Cabinet ni les clients du Cabinet d'une violation des Dossiers du Cabinet, sauf si le Cabinet le lui demande ou si la loi l'exige. Lorsque la même violation affecte également des données dont Vetty est le responsable du traitement, y compris les Copies Client, Vetty procède à ses propres notifications : à la CNIL dans les meilleurs délais et, lorsque le RGPD impose une notification, dans un délai de 72 heures après avoir pris connaissance de la violation ; à toute autre autorité compétente dans le délai prévu par la loi applicable ; et aux personnes concernées lorsque la loi l'exige.

12.4 Endiguement. Vetty prend des mesures raisonnables pour endiguer la violation, en limiter les effets et empêcher qu'elle ne se reproduise. Une notification au titre du présent article ne constitue pas une reconnaissance de faute ou de responsabilité.

13. CONSERVATION, SUPPRESSION ET RESTITUTION

13.1 Conservation pendant le service. Sur instruction du Cabinet visée à l'article 4.1, Vetty supprime le contenu de chaque Consultation (le questionnaire préalable, les messages et fichiers de la messagerie, la transcription et le compte rendu) 5 ans après la dernière Consultation du Client avec le Cabinet. L'audio est supprimé plus tôt, comme le décrit l'article 7.2. Les autres dossiers clients et patients du Cabinet sont conservés tant que le compte du Cabinet est ouvert. Le Cabinet peut demander par écrit à Vetty de supprimer plus tôt certains Dossiers du Cabinet, et Vetty le fera sauf si la loi lui impose de les conserver ; cela n'affecte pas les Copies Client.

13.2 Restitution. Tant que le Cabinet est ouvert, un Administrateur peut télécharger à tout moment un export des Dossiers du Cabinet depuis les paramètres du cabinet : un fichier ZIP contenant les dossiers de consultation et comptes rendus signés, les transcriptions au format texte, et les listes des Consultations, clients, patients et notes. L'audio n'y est pas inclus, car il est supprimé une fois transcrit.

13.3 À la fin du service. Lorsque le Cabinet est fermé, ou que les Conditions applicables aux cabinets prennent fin pour tout autre motif, la personne qui a fermé le Cabinet peut télécharger l'export pendant 30 jours. À l'expiration de ces 30 jours, Vetty supprime les Dossiers du Cabinet comme le décrit l'article 16 des Conditions applicables aux cabinets, sauf si le droit de l'Union européenne ou d'un État membre impose à Vetty de les conserver. En acceptant le présent DPA, le Cabinet choisit cette combinaison de restitution et de suppression. Les Copies Client ne sont pas des Dossiers du Cabinet et restent dans le compte du Client jusqu'à l'expiration de la durée prévue à l'article 13.1.

13.4 Sauvegardes. Les données supprimées subsistent dans les sauvegardes de Vetty jusqu'à ce que celles-ci soient écrasées, ce qui intervient dans un délai de 30 jours. Vetty ne restaure pas de données supprimées à partir des sauvegardes, sauf pour se rétablir à la suite d'un incident.

13.5 Confirmation. Sur demande écrite du Cabinet, Vetty confirme par écrit que les Dossiers du Cabinet ont été supprimés.

14. INFORMATIONS ET AUDITS

14.1 Informations. Vetty met à la disposition du Cabinet toutes les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et du présent DPA, à commencer par le présent DPA et ses annexes et par ses réponses écrites aux questions raisonnables du Cabinet.

14.2 Audits. Lorsque ces informations ne suffisent pas à démontrer la conformité, ou lorsqu'une autorité de contrôle l'exige, Vetty permet la réalisation d'audits, y compris d'inspections, par le Cabinet ou par un auditeur indépendant qu'il a mandaté, et contribue à ces audits, aux conditions suivantes :

• (a) le Cabinet adresse un préavis écrit d'au moins 30 jours ainsi qu'un projet de périmètre ;
• (b) il n'est pas réalisé plus d'un audit par période de 12 mois, sauf si une autorité de contrôle en exige un autre ou si une violation de données à caractère personnel affectant les Dossiers du Cabinet est survenue ;
• (c) l'audit a lieu pendant les heures ouvrables, sans perturber de manière déraisonnable les activités de Vetty, et est limité au traitement des propres Dossiers du Cabinet ;
• (d) l'auditeur est tenu à la confidentialité, n'est pas un concurrent de Vetty, et n'accède ni aux données d'autres clients ni aux informations dont la divulgation compromettrait la sécurité du service ;
• (e) chaque partie supporte ses propres frais, et le Cabinet rémunère l'auditeur.

Vetty informe immédiatement le Cabinet si elle considère qu'une instruction donnée dans le cadre d'un audit constitue une violation des Lois sur la protection des données.

15. STIPULATIONS PROPRES À CERTAINS PAYS

15.1 Fonctionnement du présent article. Le reste du présent DPA s'applique à chaque Cabinet. Le présent article ajoute ce que la Loi sur la protection des données du pays du Cabinet exige en sus. Chaque partie se conforme aux Lois sur la protection des données qui lui sont applicables.

15.2 Union européenne. Pour un Cabinet établi à Chypre, en Espagne, en Grèce, en Italie ou au Portugal, le présent DPA constitue le contrat exigé par l'article 28, paragraphe 3, du RGPD, et l'autorité de contrôle du Cabinet est l'autorité de son propre État membre. L'autorité de contrôle chef de file de Vetty est la Commission nationale de l'informatique et des libertés (CNIL).

15.3 Émirats arabes unis. Pour un Cabinet établi aux Émirats arabes unis, en dehors des zones franches financières dotées de leur propre législation en matière de protection des données, Vetty agit en tant que sous-traitant du Cabinet au sens du UAE PDPL. Vetty ne traite les Dossiers du Cabinet que sur les instructions du Cabinet et pour les finalités indiquées à l'Annexe 1, applique les mesures figurant à l'Annexe 3, notifie les violations au Cabinet comme le décrit l'article 12, et supprime les Dossiers du Cabinet comme le décrit l'article 13. Le Cabinet demeure responsable de toute notification au UAE Data Office et aux personnes concernées, ainsi que de la licéité du transfert des Dossiers du Cabinet à Vetty en dehors des Émirats arabes unis.

15.4 Singapour. Pour un Cabinet situé à Singapour, Vetty agit en tant qu'intermédiaire de données (data intermediary) du Cabinet au sens du PDPA. Le responsable de la protection des données (« Data Protection Officer ») de Vetty aux fins du PDPA est Brahim Ouasti, joignable à l'adresse privacy@vetty.app. Vetty protège les Dossiers du Cabinet au moyen de dispositifs de sécurité raisonnables, cesse de les conserver lorsqu'ils ne sont plus nécessaires aux finalités indiquées à l'Annexe 1, comme le décrit l'article 13, et informe le Cabinet sans retard injustifié, et dans le délai de 48 heures prévu à l'article 12.1, lorsqu'elle a des raisons de croire qu'une violation de données les concernant est survenue. Le Cabinet demeure responsable d'évaluer si une violation doit être notifiée et de la notifier à la Personal Data Protection Commission et aux personnes concernées dans le délai exigé par le PDPA. Au titre de l'obligation de limitation des transferts (Transfer Limitation Obligation), le présent DPA oblige Vetty et, par l'intermédiaire de leurs contrats, ses Sous-traitants ultérieurs à assurer aux Dossiers du Cabinet un niveau de protection comparable à celui du PDPA.

15.5 Australie. Pour un Cabinet situé en Australie qui est soumis au Privacy Act 1988, Vetty traite les Dossiers du Cabinet conformément aux Australian Privacy Principles applicables à leur sécurité, à leur utilisation, à leur communication et à leur communication à l'étranger, et aide le Cabinet à évaluer une violation de données susceptible d'être éligible (eligible data breach) au titre du régime Notifiable Data Breaches dans le délai de 30 jours prévu par ce régime. Le Cabinet demeure responsable de la notification à l'Office of the Australian Information Commissioner et aux personnes concernées.

15.6 Nouvelle-Zélande. Pour un Cabinet situé en Nouvelle-Zélande, Vetty détient les Dossiers du Cabinet en tant que mandataire (agent) du Cabinet aux fins de la section 11 du Privacy Act 2020, uniquement pour fournir le service, et ne les utilise ni ne les communique à ses propres fins. Le Cabinet demeure responsable de la notification d'une violation de la vie privée devant être notifiée (notifiable privacy breach) au Privacy Commissioner et aux personnes concernées.

16. RESPONSABILITÉ

16.1 Application des Conditions applicables aux cabinets. La responsabilité de chaque partie découlant du présent DPA ou s'y rapportant, qu'elle soit contractuelle, délictuelle ou autre, est soumise aux exclusions et limites prévues à l'article 21 des Conditions applicables aux cabinets, et s'impute sur le plafond unique qui y est fixé. Le présent DPA ne crée pas de second plafond.

16.2 Personnes concernées et autorités. Aucune stipulation du présent DPA ne limite la responsabilité de l'une ou l'autre partie envers les personnes concernées au titre de l'article 82 du RGPD ou des autres Lois sur la protection des données, ni les droits des personnes concernées au titre des Clauses contractuelles types. Chaque partie supporte toute amende qui lui est infligée par une autorité de contrôle.

17. DURÉE, DROIT APPLICABLE ET MODIFICATIONS

17.1 Durée. Le présent DPA prend effet lorsque le Cabinet accepte les Conditions applicables aux cabinets et reste en vigueur aussi longtemps que Vetty traite des Dossiers du Cabinet. Les articles 12, 13, 14 et 16 survivent aussi longtemps qu'ils demeurent pertinents.

17.2 Droit applicable et juridictions. Le présent DPA est régi par le droit français, et les tribunaux de Pontoise, en France, sont seuls compétents, comme le prévoit l'article 24 des Conditions applicables aux cabinets, sauf lorsque les Clauses contractuelles types en disposent autrement.

17.3 Modifications. Vetty peut modifier le présent DPA comme le décrit l'article 23 des Conditions applicables aux cabinets, moyennant un préavis d'au moins 30 jours pour toute modification substantielle, à l'exception d'une modification de l'Annexe 2, qui suit l'article 8.3. Aucune modification ne peut réduire la protection que le présent DPA accorde aux Dossiers du Cabinet en deçà de ce qu'exigent les Lois sur la protection des données.

18. CONTACT

Brahim Ouasti EI, exerçant sous le nom commercial Inumbra Labs
Entrepreneur individuel immatriculé en France (RNE), SIREN 538 543 034, numéro de TVA intracommunautaire FR24538543034
Contact pour la confidentialité, la protection des données et les incidents : Brahim Ouasti, privacy@vetty.app

ANNEXE 1. DESCRIPTION DU TRAITEMENT

Objet. Héberger et traiter les Dossiers du Cabinet afin que le Cabinet puisse tenir des Consultations vidéo avec ses clients au moyen de Vetty Pro, tenir ses dossiers clients et patients, et recevoir des projets de comptes rendus de consultation que ses Vétérinaires relisent et signent.

Durée. Aussi longtemps que le Cabinet utilise Vetty Pro, puis jusqu'à la suppression décrite à l'article 13. L'audio d'une Consultation n'est conservé que jusqu'à sa transcription, et 24 heures au maximum si la Consultation ne se termine pas.

Nature du traitement. Collecte, enregistrement, conservation, organisation, transcription par reconnaissance vocale, rédaction automatisée par des modèles d'IA, affichage aux Membres du Cabinet, transmission des comptes rendus signés aux Clients, export et suppression. L'audio et la vidéo en direct sont transmis mais non conservés, à l'exception de l'audio du microphone enregistré avec le consentement de chaque Participant.

Finalités. Fournir la Consultation et sa messagerie ; recueillir et enregistrer le consentement de chaque Participant à l'enregistrement ; enregistrer, transcrire et rédiger un compte rendu soumis à la relecture du Vétérinaire ; remettre le compte rendu signé au Client ; conserver, afficher et exporter les dossiers clients et patients du Cabinet ; et les supprimer à l'expiration de la durée de conservation ou à la fin du service.

Catégories de personnes concernées.

• les clients du Cabinet (propriétaires d'animaux), y compris les personnes qu'il ajoute ou importe dans le Portail ;
• les Invités qu'un Client invite à une Consultation ;
• les Membres du Cabinet, dans la mesure où ils apparaissent dans les Dossiers du Cabinet (par exemple en tant qu'auteur ou signataire d'une note ou d'un compte rendu, ou en tant que voix dans un enregistrement).

Les animaux ne sont pas des personnes concernées, mais les données les concernant sont liées à leurs propriétaires.

Catégories de données à caractère personnel.

• données d'identité et coordonnées des clients : nom, adresse e-mail, numéro de téléphone et, lorsqu'elles sont fournies, adresses postales ;
• données relatives au patient liées au client : nom, espèce, race, date de naissance, sexe, statut de stérilisation, poids, numéro d'identification électronique (puce), photo, allergies, traitements, affections chroniques et antécédents de l'animal ;
• réponses au questionnaire préalable et pièces jointes (images) ;
• messages et fichiers de la messagerie (images et documents PDF) ;
• l'audio du microphone de chaque Participant ayant donné son consentement, son nom tel qu'il apparaît dans l'appel, et la trace du consentement ou du refus de chaque Participant à l'enregistrement, avec son heure ;
• la transcription, les intervenants étant identifiés par leur rôle ;
• le projet de compte rendu et le compte rendu signé, les notes du Vétérinaire et les notes du Cabinet ;
• les fichiers que le Cabinet ajoute aux rendez-vous.

Catégories particulières. Les Dossiers du Cabinet n'ont pas vocation à contenir des catégories particulières de données à caractère personnel. Une Consultation peut en révéler incidemment, par exemple un élément relatif à la santé d'un Client mentionné pendant l'appel, et Vetty leur applique les mêmes mesures. Vetty n'utilise pas les voix pour identifier quiconque.

Fréquence. Continue, aussi longtemps que le Cabinet utilise Vetty Pro.

Autorité de contrôle compétente pour Vetty. La Commission nationale de l'informatique et des libertés (CNIL), France.

ANNEXE 2. SOUS-TRAITANTS ULTÉRIEURS

Les Sous-traitants ultérieurs suivants traitent des Dossiers du Cabinet pour Vetty Pro à la date du présent DPA. Chacun est recruté conformément à l'article 8. Dans la dernière colonne, « DPF ou CCT » (« DPF or SCCs ») désigne le cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework) lorsque le Sous-traitant ultérieur est certifié à ce titre, à défaut les clauses contractuelles types (module 3), comme le décrit l'article 10.1.

Stripe n'est pas un Sous-traitant ultérieur au titre du présent DPA. Le Cabinet contracte directement avec Stripe pour son Compte Stripe, et l'utilisation par Vetty des données Stripe pour son propre compte est couverte par sa Politique de confidentialité.

ANNEXE 3. MESURES TECHNIQUES ET ORGANISATIONNELLES

Localisation et hébergement. Les Dossiers du Cabinet sont stockés dans l'Union européenne, à Francfort, en Allemagne, auprès d'un hébergeur reconnu dont le stockage est chiffré au repos.

Chiffrement en transit. Tout le trafic vers vetty.app et pro.vetty.app est servi en HTTPS, et les navigateurs reçoivent l'instruction de n'utiliser que le HTTPS (HTTP Strict Transport Security). La vidéo et l'audio transitent par des connexions WebRTC chiffrées.

Contrôle d'accès. Les règles d'accès à la base de données limitent chaque utilisateur aux données de son propre Cabinet ou de son propre compte, et chaque nouvelle table et fonction reçoit des droits d'accès explicites. Les Dossiers du Cabinet sont conservés dans un stockage privé. L'accès d'un Membre aux Dossiers du Cabinet prend fin immédiatement lorsqu'il est retiré ou qu'il part. Les Administrateurs contrôlent qui appartient au Cabinet et dans quel rôle.

Audio des Consultations. L'audio est conservé dans un espace de stockage privé distinct auquel aucun compte utilisateur ne peut accéder, seuls les serveurs de Vetty le pouvant. Chaque identifiant de téléversement est limité à un seul fichier et expire au bout de 6 heures. L'audio est supprimé une fois la transcription enregistrée, et le nom du Participant est alors effacé de la fiche de l'enregistrement. La vidéo et le partage d'écran ne sont jamais enregistrés.

Fichiers. Les fichiers sont accessibles au moyen de liens signés qui expirent au bout de 6 heures, ou au moyen de requêtes authentifiées adressées aux serveurs de Vetty. Les exports ne sont téléchargés qu'au moyen d'une requête authentifiée, jamais au moyen d'un lien public. Le type de chaque fichier téléversé est vérifié à partir de son contenu, et les tailles sont limitées.

Authentification. Chaque adresse e-mail est confirmée au moyen d'un code à usage unique avant utilisation. Les mots de passe doivent comporter au moins 8 caractères et sont conservés par le service d'authentification sous forme hachée. Les Membres peuvent à la place se connecter avec Google. L'inscription et les autres requêtes sensibles sont soumises à une limitation du débit.

Accès des opérateurs. La console d'opérateur de Vetty ne peut être utilisée que par des comptes d'opérateurs nominatifs que Vetty a autorisés, et chaque action d'un opérateur est consignée dans un journal d'audit.

Données de paiement. Les données de carte sont collectées et détenues par Stripe et ne parviennent jamais aux serveurs de Vetty.

Minimisation et conservation des données. L'audio est supprimé une fois transcrit. La copie de chaque transcription détenue par le fournisseur de reconnaissance vocale est supprimée une fois récupérée. Le contenu des Consultations est supprimé 5 ans après la dernière Consultation du Client avec le Cabinet, et les Dossiers du Cabinet 30 jours après la fermeture du Cabinet, comme le décrit l'article 13. Les sauvegardes sont écrasées dans un délai de 30 jours.

Sous-traitants ultérieurs. Chaque Sous-traitant ultérieur est recruté en vertu d'un contrat écrit comportant des obligations en matière de protection des données, et aucun d'entre eux n'est autorisé à entraîner des modèles d'IA sur les Dossiers du Cabinet.

Personnes. Toute personne que Vetty autorise à traiter des Dossiers du Cabinet est tenue à la confidentialité. Brahim Ouasti est responsable de la protection des données et de la gestion des incidents.