Accord de Traitement des Données

Le DPA s'applique à toutes les opérations de traitement réalisées par Synkro pour le compte du Kinésithérapeute dans le cadre de l'utilisation de l'application Synkro. Il prend effet à la création du compte et demeure en vigueur pendant toute la durée de la relation contractuelle. À la cessation de la relation, les dispositions relatives à la restitution, à la suppression et à la confidentialité continuent de s'appliquer.

Le Kinésithérapeute s'engage à :

• Disposer d'une base légale valable pour chaque traitement (art. 9.2.h RGPD combiné à son statut de professionnel de santé soumis au secret professionnel, art. 9.3 RGPD).
• Informer ses patients du traitement de leurs données via la Politique de confidentialité Synkro.
• Recueillir les consentements requis : (i) consentement explicite au traitement des données de santé incluant l'analyse biomécanique (art. 9.2.a RGPD — obligatoire) ; (ii) consentement distinct et facultatif à l'utilisation de données pseudonymisées pour l'amélioration des algorithmes (finalité R&D, flux B).
• Pour les patients mineurs : vérifier l'âge et recueillir le consentement du représentant légal (Belgique : <13 ans ; France : <15 ans). Il est recommandé d'obtenir le consentement conjoint jusqu'à la majorité (18 ans) compte tenu de la sensibilité des données de santé.
• N'ajouter que des patients dont il assure effectivement le suivi clinique.
• Documenter son propre registre des traitements et ses mesures internes de sécurité.

4.1. Traitement uniquement sur instruction documentée

Synkro traite les données exclusivement selon les instructions du Kinésithérapeute (souscription au service, CGU, présent DPA, paramètres de l'application). Synkro informera le Kinésithérapeute si une instruction constitue une violation du RGPD.

4.2. Confidentialité

Les personnes autorisées à traiter les données sont soumises à une obligation contractuelle de confidentialité et sont sensibilisées aux exigences RGPD et aux spécificités des données de santé.

4.3. Mesures de sécurité (art. 32 RGPD)

• Hébergement AWS région Paris (eu-west-3), certifié HDS, ISO 27001, SOC 2.
• Chiffrement au repos : AES-256 via AWS KMS (base PostgreSQL RDS) ; SSE-S3 AES-256 (vidéos S3).
• Chiffrement en transit : HTTPS/TLS 1.2 minimum.
• Mots de passe hashés (bcrypt), tokens JWT à durée limitée.
• Isolation stricte des accès : chaque kinésithérapeute n'accède qu'aux données de ses propres patients.
• Sanitisation à la source des logs (aucune donnée de santé journalisée).
• Moindre privilège IAM, revue périodique des accès, sauvegardes RDS automatiques (30 jours), surveillance CloudWatch.

4.4. Sous-traitants ultérieurs

Le Kinésithérapeute autorise Synkro à recourir aux sous-traitants suivants :

Toute modification de cette liste fera l'objet d'une information préalable avec 30 jours de préavis.

4.5. Assistance au responsable

Synkro assiste le Kinésithérapeute pour répondre aux demandes d'exercice des droits (accès, rectification, effacement, portabilité, opposition), pour la sécurité du traitement (art. 32), la notification de violations (art. 33 & 34) et, le cas échéant, l'analyse d'impact (art. 35).

4.6. Notification des violations

En cas de violation de données, Synkro informe le Kinésithérapeute dans les meilleurs délais, et au plus tard dans les 48 heures, afin de lui permettre de respecter ses obligations de notification (art. 33 & 34 RGPD).

4.7. Restitution ou suppression

À l'issue de la relation contractuelle, selon le choix du Kinésithérapeute :

• Restitution : exportation des données depuis l'application (JSON ou CSV) avant résiliation.
• Suppression automatique : 90 jours après résiliation, toutes les données sont purgées des bases et sauvegardes Synkro.

4.8. Démonstration de la conformité

Sur demande raisonnable et justifiée, Synkro met à disposition : registre des traitements, liste des sous-traitants, politique de sécurité, procédure de gestion des violations, certificats HDS d'AWS. Un audit contradictoire peut être organisé aux frais du demandeur dans des conditions préservant la confidentialité des autres utilisateurs.

L'ensemble des données de santé des patients est hébergé en France (AWS région Paris, eu-west-3). Aucun transfert de données de santé hors UE n'est effectué.

Les transferts liés aux opérations techniques de Stripe (supervision, détection de fraude) concernent exclusivement les données de facturation du Kinésithérapeute et sont encadrés par les Clauses Contractuelles Types (décision 2021/914) intégrées au DPA Stripe.

Chaque Partie est responsable des dommages causés par un traitement non conforme au RGPD (art. 82 RGPD). La responsabilité financière de Synkro est plafonnée conformément aux CGV, sauf faute lourde ou intentionnelle.

• Articulation : le DPA prévaut sur les CGU et CGV en cas de contradiction sur des points relatifs à la protection des données.
• Modifications : toute modification substantielle fait l'objet d'une notification avec 30 jours de préavis.
• Droit applicable : droit belge ; juridiction : tribunaux de l'arrondissement judiciaire de Bruxelles. Dernière mise à jour : Mai 2026.