RGPD & Data Processing Agreement
Dernière mise à jour : 28 septembre 2026
Cette page synthétise l'architecture RGPD de VetiA pour permettre aux cabinets vétérinaires utilisateurs de documenter leur conformité sans friction. Si vous êtes vétérinaire et que vous avez besoin d'une version signée du Data Processing Agreement (DPA), vous trouverez la marche à suivre en bas de page.
1. Qui est responsable de quoi ?
| Acteur | Rôle RGPD | Sur quelles données |
|---|---|---|
| Cabinet vétérinaire | Responsable de traitement | Données clients (propriétaires) + données patients (animaux) |
| VetiA (Sébastien Maira, entrepreneur individuel exerçant sous la marque VetiA) | Sous-traitant (article 28 RGPD) | Mêmes données, traitées pour le compte du cabinet |
| Supabase Inc. | Sous-traitant ultérieur | Hébergement BD + stockage fichiers (région Londres, eu-west-2, Royaume-Uni : pays bénéficiant d'une décision d'adéquation de la Commission européenne) |
| Vercel Inc. | Sous-traitant ultérieur | Hébergement de l'application et exécution des traitements serveur (États-Unis, CCT 2021) |
| Anthropic PBC | Sous-traitant ultérieur de VetiA | Inférence IA (Claude) : informations cliniques de l'animal, sans coordonnées du propriétaire (États-Unis, CCT 2021) |
| Resend Inc. | Sous-traitant ultérieur | Emails transactionnels : email et nom du destinataire, nom de l'animal, court extrait du message (États-Unis, CCT) |
| Sentry (Functional Software Inc.) | Sous-traitant ultérieur | Télémétrie d'erreurs techniques, région Union européenne (Allemagne), sans données personnelles par défaut |
2. Mesures de sécurité techniques
- Chiffrement TLS 1.2 ou supérieur pour tout transit réseau
- Chiffrement AES-256 au repos (Supabase Storage + Postgres)
- Row Level Security PostgreSQL : cloisonnement strict par cabinet
- Authentification Supabase Auth + 2FA disponible
- Logs d'accès et de modification (audit trail)
- Sauvegardes régulières de la base de données
- Mise à jour régulière des dépendances
- Headers de sécurité HTTP (HSTS, X-Frame-Options, X-Content-Type-Options)
3. Localisation des données
Toutes les données structurées (dossiers patients, ordonnances, comptes-rendus) et les fichiers sont hébergés chez Supabase en région Londres (eu-west-2, Royaume-Uni). Le Royaume-Uni bénéficie d'une décision d'adéquation de la Commission européenne : le transfert y est licite sans garantie supplémentaire. Chiffrement au repos et en transit.
L'application est hébergée et exécutée par Vercel Inc. (États-Unis). Les requêtes d'inférence vers Claude (Anthropic, États-Unis) contiennent les informations cliniques de l'animal (espèce, race, âge, sexe, poids, anamnèse, examen clinique, antécédents, images médicales), jamais les coordonnées du propriétaire. Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT / SCC 2021)de la Commission européenne, intégrées aux Data Processing Agreements de Vercel et d'Anthropic. Anthropic conserve les requêtes et réponses pendant une durée limitée (30 jours maximum) à des fins de sécurité et de conformité, puis les supprime. Ces données ne sont pas utilisées pour entraîner ses modèles. Un cache technique éphémère (moins d'une heure) est utilisé pour réduire les coûts et la latence.
4. Durées de conservation
Les durées indicatives appliquées (à confirmer par chaque cabinet selon ses obligations propres) :
- Dossiers médicaux et comptes-rendus : durée de la relation de soin, puis archivage 5 ans après la dernière consultation.
- Ordonnances / traçabilité du médicament : 5 ans.
- Compte vétérinaire : durée de l'abonnement, supprimé sous 30 jours après résiliation (hors données à conservation légale).
- Logs techniques et de sécurité : 12 mois maximum.
- Données de facturation : 10 ans (obligation comptable).
Le détail complet figure dans la Politique de confidentialité.
5. Droits des personnes concernées
Les propriétaires d'animaux disposent des droits RGPD habituels (accès, rectification, effacement, portabilité, opposition). Ces droits s'exercent auprès du cabinet vétérinaire en première intention, qui pourra solliciter VetiA pour leur mise en œuvre technique.
6. Notification de violation de données
En cas de violation de données personnelles (data breach), VetiA s'engage à notifier le cabinet client dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, et à fournir toutes les informations nécessaires à la notification CNIL (72 heures, art. 33 RGPD).
7. Lire et accepter le DPA
Le contrat de sous-traitance complet (article 28 RGPD), avec ses annexes (description du traitement, mesures de sécurité, liste des sous-traitants ultérieurs), est consultable directement :
L'acceptation se fait en ligne : l'administrateur du cabinet l'accepte en un clic depuis Réglages → Contrat de sous-traitance (DPA). L'acceptation est horodatée et conservée comme preuve (identité du signataire + version du document). Une version signée manuscrite reste disponible sur demande à sebastien.maira@gmail.com.
8. Registre des activités de traitement
Votre cabinet doit tenir un registre de ses traitements (art. 30.1 RGPD). Pour vous aider, un modèle pré-rempli pour l'activité « Gestion des dossiers via VetiA », ainsi que le registre de VetiA en tant que sous-traitant (art. 30.2), sont disponibles ici :
9. Délégué à la Protection des Données (DPO)
VetiA n'a pas désigné de DPO : la désignation n'est pas obligatoire au regard de l'article 37 du RGPD pour son activité. Le point de contact pour toute question RGPD est sebastien.maira@gmail.com. Chaque cabinet apprécie de son côté si sa propre activité requiert la désignation d'un DPO.
10. Autorité de contrôle
Toute personne concernée par un traitement de données dans le cadre de VetiA peut introduire une réclamation auprès de la CNIL :
Commission Nationale de l'Informatique et des Libertés
3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07
www.cnil.fr