Data Processing Agreement
Dernière mise à jour : 21 octobre 2026
Dans l'utilisation de la plateforme PsyNote :
Les données sont traitées afin de permettre :
Les données susceptibles d'être traitées incluent :
PsyNote s'engage à :
Conformément à l'article 28.2 du RGPD, PsyNote fait appel aux sous-traitants suivants pour fournir le service. La liste ci-dessous est tenue à jour ; tout changement est annoncé sur cette page avant son entrée en vigueur.
| Sous-traitant | Rôle | Localisation des données |
|---|---|---|
| Google Cloud EMEA Limited (Irlande) | Hébergement de l'application web, de la base de données, de l'authentification, des fichiers et des fonctions serveur, depuis le 12 septembre 2026. Données chiffrées au repos avec des clés gérées par PsyNote. Google Cloud est hébergeur certifié de données de santé (HDS v2) ; PsyNote l'utilise sous contrat d'hébergement de données de santé, signé le 1er octobre 2026. | Paris, France (région europe-west9) |
| Mistral AI SAS (France) | Génération des synthèses cliniques, assistant et lecture des notes manuscrites, depuis le 8 septembre 2026. Depuis le 19 septembre 2026, lecture des documents que le professionnel joint à un dossier : le document est transmis pour être lu, puis n'est pas conservé par le fournisseur. Régime de non-conservation des données (zero data retention) : ni les contenus transmis ni les réponses produites ne sont conservés par le fournisseur, ni utilisés pour entraîner ses modèles. | Union européenne (traitement dans l'EEE) |
| ElevenLabs, Inc. (États-Unis) | Transcription audio (speech-to-text). Reçoit l'audio des séances enregistrées et des dictées. La transcription est supprimée du service d'ElevenLabs dès qu'elle nous est rendue, et les contenus ne sont pas utilisés pour entraîner ses modèles depuis le 19 octobre 2026. ElevenLabs ne nous offre pas de garantie contractuelle de non-conservation (zero data retention) : ses journaux techniques et ses sauvegardes restent régis par ses propres conditions. | États-Unis (EU-U.S. Data Privacy Framework et clauses contractuelles types) |
| Scaleway SAS (France) | Envoi des emails de service, depuis le 12 septembre 2026 : confirmation d'inscription, réinitialisation du mot de passe, codes de vérification. Reçoit l'adresse email du destinataire et le contenu du message ; ne reçoit aucune donnée clinique. | France |
| Stripe, Inc. (États-Unis) / Stripe Payments Europe, Ltd. (Irlande) | Traitement des paiements et gestion des abonnements. Reçoit l'adresse email de facturation et les données de paiement ; ne reçoit aucune donnée clinique. | Union européenne et États-Unis (clauses contractuelles types) |
Les synthèses et la lecture des documents passent par Mistral AI, en France et dans l'Union européenne, sous régime de non-conservation : ni les contenus transmis ni les réponses ne sont conservés, ni utilisés pour entraîner ses modèles. Seule la transcription de l'audio passe par ElevenLabs, aux États-Unis, dans les conditions décrites ci-dessus.
Jusqu'au 12 septembre 2026, les données de PsyNote étaient hébergées par Supabase, Inc. (Singapour) sur l'infrastructure d'Amazon Web Services EMEA SARL, à Londres (Royaume-Uni), et les fonctions serveur ainsi que l'envoi des emails étaient assurés par Lovable AB (Suède). Le fournisseur de repli pour les synthèses, Google LLC (modèles Gemini), n'est plus utilisé.
Ces prestataires ne reçoivent plus aucune donnée depuis la migration. La copie des données qui subsiste à Londres sera supprimée à l'issue de la période de vérification qui suit la migration ; la date de suppression sera indiquée sur cette page.
Toute objection concernant un sous-traitant peut être adressée à contact@psynote.fr.
Les données sont conservées tant que le compte utilisateur est actif.
La base de données est sauvegardée chaque nuit, chiffrée, dans la même région que l'hébergement (Paris). Chaque sauvegarde est conservée 30 jours, puis détruite ; l'hébergeur la garde au plus 7 jours supplémentaires dans une corbeille technique inaccessible depuis l'application. Les fichiers audio et les photographies de notes manuscrites, éphémères par conception, ne sont pas sauvegardés. Les fichiers des documents joints ne le sont pas non plus ; seul le texte validé par le professionnel figure dans la base et dans ses sauvegardes.
En cas de suppression du compte, les données associées sont supprimées dans un délai raisonnable. Elles disparaissent des sauvegardes au terme de leur durée de conservation, soit au plus 37 jours après la suppression.