Mon DPA doit-il être signé pour que je puisse utiliser la plateforme ?

Oui, l'article 28 du RGPD impose un contrat ou un acte juridique contraignant entre le Controller et le Processor avant tout traitement. Une plateforme qui opère sans DPA signé est en violation, et son Client Controller aussi.

Puis-je signer un DPA avec un sous-traitant basé hors UE ?

Oui, à condition que le transfert soit encadré (clauses contractuelles types, décision d'adéquation, règles d'entreprise contraignantes). Mais un hébergement dans l'UE reste la solution la plus simple, et c'est ce que propose Revydo.

Que faire en cas d'incident de données ?

Le Processor notifie le Controller dans les meilleurs délais. Le Controller évalue le risque et, sous 72 heures, notifie la CNIL si le risque est élevé. La notification aux patients n'est obligatoire que si le risque est élevé. Le registre des incidents doit être tenu à jour des deux côtés.

RGPD et plateforme de réputation : qui est responsable de quoi

Data Controller et Data Processor : qui fait quoi

Le Data Controller (le cabinet) décide de la finalité du traitement (gérer la réputation en ligne) et des moyens (quelle plateforme, quel volume d'avis traités, quels canaux de sollicitation). Le Data Processor (la plateforme) traite les données pour le compte du Controller, sur ses instructions documentées, et n'a pas le droit de les utiliser pour ses propres finalités. C'est la base de l'article 28 du RGPD.

Ce que le DPA doit contenir

Objet et durée du traitement : ce que la plateforme fait, et pour combien de temps.
Nature et finalité du traitement : avis Google, brouillons, demandes d'avis.
Catégories de données : données d'identification des patients, contenu des avis, métadonnées.
Catégories de personnes concernées : patients du cabinet qui ont laissé un avis ou qui sont sollicités.
Obligations du sous-traitant : sécurité, confidentialité, notification d'incident, audit.
Sous-traitants ultérieurs (sub-processors) : qui ils sont, et comment le Controller en est informé.
Transferts hors UE : s'il y en a, sur quelle base légale (décision d'adéquation, clauses contractuelles types).
Droits des personnes : comment la plateforme aide le Controller à répondre aux demandes d'accès, de rectification, d'effacement.
Suppression des données en fin de contrat : sous quel délai, et sur quel support.

Le droit d'audit

Le Controller a le droit d'auditer le Processor, ou de faire auditer par un tiers mandaté. Le Processor doit mettre à disposition les informations nécessaires pour démontrer la conformité. Un DPA qui ne prévoit pas ce droit, ou qui le limite de manière déraisonnable, n'est pas conforme au RGPD.

La notification d'incident

En cas de violation de données personnelles (fuite, perte, accès non autorisé), le Processor doit notifier le Controller dans les meilleurs délais — typiquement sous 24 à 72 heures — pour que le Controller respecte son propre délai de 72 heures envers la CNIL. La notification doit contenir la nature de la violation, les catégories et le nombre de personnes concernées, les conséquences probables, et les mesures prises.

Le cas particulier des avis publics

Un avis Google est un contenu public. Le Controller n'a pas inventé l'avis, et n'a pas le droit de le supprimer unilatéralement — c'est le patient qui décide de le retirer via Google. Mais le Controller reste responsable du traitement des données personnelles que contient l'avis (nom, photo de profil, parfois adresse), et doit pouvoir répondre à une demande d'accès, de rectification, ou d'opposition du patient via le DPA.

Comment Revydo adresse ces points

Le DPA de Revydo est publié en ligne, signé sur demande, et conforme au modèle recommandé par la CNIL. Il liste les sous-traitants (Vercel, base de données PostgreSQL hébergée dans l'UE, fournisseur d'email transactionnel), prévoit le droit d'audit, et fixe le délai de notification d'incident à 48 heures. Les données sont hébergées en Europe, sans transfert vers un pays tiers sans décision d'adéquation.