Le présent Accord relatif au traitement des données à caractère personnel (« DPA ») s’applique à toute prestation fournie par elionis dans le cadre de laquelle elionis traite des données à caractère personnel pour le compte du Client. Il fait partie intégrante du contrat conclu entre elionis et le Client dès lors que les Conditions Générales applicables à la prestation (CGA ou CGSU), le Bulletin d’adhésion, le devis ou tout autre document contractuel y fait référence.
1. Parties et qualité des parties
Le « Client » désigne la personne physique ou morale identifiée au Bulletin d’adhésion ou au contrat de prestation applicable. Dans le cadre des traitements couverts par le présent DPA, le Client agit en qualité de responsable du traitement ou, le cas échéant, de sous-traitant de ses propres clients.
« elionis », société par actions simplifiée au capital de 25 000 euros, dont le siège social est situé 19, rue Maryse Bastié – 94490 Ormesson-sur-Marne, immatriculée au RCS de Créteil sous le numéro 484 736 103, agit en qualité de sous-traitant lorsqu’elle traite des données à caractère personnel pour le compte et sur instructions documentées du Client.
2. Objet et champ d’application
Le présent DPA définit les conditions dans lesquelles elionis traite des données à caractère personnel pour le compte du Client dans le cadre des Services, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »), notamment son article 28, et à la réglementation française applicable en matière de protection des données.
Il complète, selon le périmètre effectivement souscrit par le Client, les CGA ou les CGSU applicables, le Bulletin d’adhésion, les devis, la documentation technique et les autres annexes contractuelles. Les CGA et les CGSU constituent des cadres contractuels distincts et indépendants : le présent DPA s’applique à chacun d’eux lorsqu’il y est expressément fait référence. En cas de contradiction concernant spécifiquement la protection des données à caractère personnel, les dispositions impératives du RGPD prévalent.
3. Description des traitements
| Objet du traitement | Hébergement, stockage, mise à disposition, administration, maintenance, supervision, sécurisation, sauvegarde d’infrastructure, support et opérations techniques nécessaires à la fourniture des Services souscrits. |
|---|---|
| Durée | Pendant la durée du Contrat et, après son terme, pendant la période strictement nécessaire aux opérations de réversibilité, restitution, suppression et aux obligations légales applicables. |
| Nature des opérations | Collecte ou réception technique, enregistrement, organisation, structuration, conservation, consultation lorsque nécessaire à l’exécution du Service, transmission sécurisée, sauvegarde, restauration, effacement et autres opérations techniques prévues au Contrat. |
| Finalités | Fourniture et exploitation des Services informatiques souscrits ; hébergement et maintien en conditions opérationnelles ; sécurité, supervision et assistance ; continuité et restauration technique de l’infrastructure ; exécution des instructions documentées du Client. |
| Catégories de personnes concernées | Patients, professionnels de santé, salariés, collaborateurs, prestataires, correspondants, utilisateurs et, plus généralement, toute personne dont les données sont traitées par le Client au moyen des Services. |
| Catégories de données | Données d’identification et de contact ; données professionnelles et administratives ; données de connexion, journaux et traces techniques ; documents et fichiers confiés par le Client ; données relatives aux patients et données de santé lorsque le Service souscrit entre dans le périmètre HDS ; toute autre donnée déposée ou traitée par le Client dans le périmètre contractuel. |
| Données sensibles | Les Services peuvent impliquer le traitement de catégories particulières de données au sens de l’article 9 du RGPD, notamment des données concernant la santé, lorsque cela résulte de l’activité du Client et du Service souscrit. |
4. Instructions du Client
elionis traite les données à caractère personnel uniquement sur instructions documentées du Client, y compris en ce qui concerne les transferts de données, sauf lorsqu’un traitement est requis par le droit de l’Union européenne ou le droit français. Dans ce cas, elionis informe le Client de cette obligation avant le traitement, sauf interdiction légale.
Les instructions documentées résultent notamment du Contrat, des demandes et tickets de support, des demandes écrites du Client et des paramétrages réalisés à sa demande. Si elionis estime qu’une instruction constitue une violation de la réglementation applicable à la protection des données, elle en informe le Client dans les meilleurs délais.
5. Confidentialité et personnes autorisées
elionis veille à ce que les personnes autorisées à traiter les données à caractère personnel soient soumises à une obligation appropriée de confidentialité et n’accèdent aux données que dans la mesure nécessaire à l’exécution de leurs missions. Les habilitations sont attribuées selon le principe du besoin d’en connaître et font l’objet de mesures de contrôle adaptées.
6. Sécurité des traitements
Compte tenu de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques pour les droits et libertés des personnes, elionis met en œuvre les mesures techniques et organisationnelles appropriées conformément à l’article 32 du RGPD.
- chiffrement des flux de communication, d’administration, d’interconnexion et de transfert selon les usages concernés ;
- contrôle des accès, gestion des habilitations et authentification ;
- pare-feu, segmentation réseau et mesures de protection des systèmes ;
- protection contre les logiciels malveillants et contrôles de sécurité ;
- supervision, journalisation et analyse des événements de sécurité ;
- mécanismes de redondance, sauvegarde et contrôles de restaurabilité adaptés au Service ;
- procédures destinées à assurer la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes.
Les mesures techniques et organisationnelles détaillées peuvent être décrites dans une annexe de sécurité, la documentation technique du Service ou une page dédiée d’elionis. Elles peuvent évoluer afin de tenir compte de l’état de l’art, sous réserve de ne pas diminuer substantiellement le niveau global de protection applicable au Service.
7. Hébergement de données de santé
Lorsque les Services souscrits impliquent l’hébergement de données de santé à caractère personnel pour le compte du Client et entrent dans le périmètre de certification applicable, elionis fournit les Services dans le respect des exigences relatives à l’hébergement de données de santé (HDS) correspondant à son périmètre certifié. La localisation, l’architecture et les caractéristiques techniques applicables sont précisées dans la documentation contractuelle et technique du Service.
8. Sous-traitants ultérieurs
Le Client accorde à elionis une autorisation générale de recourir à des sous-traitants ultérieurs lorsque cela est nécessaire à la fourniture des Services. elionis informe préalablement le Client de tout ajout ou remplacement significatif d’un sous-traitant ultérieur impliqué dans le traitement des données à caractère personnel, afin de lui permettre de présenter une objection motivée fondée sur la protection des données.
elionis impose à tout sous-traitant ultérieur concerné des obligations de protection des données offrant un niveau de protection au moins équivalent à celui requis par le présent DPA pour les prestations qui lui sont confiées. elionis demeure responsable envers le Client de l’exécution des obligations de protection des données de ses sous-traitants ultérieurs dans les conditions prévues par le RGPD.
La liste ou les catégories de sous-traitants ultérieurs applicables peuvent être communiquées au Client ou publiées sur un support contractuel ou une page dédiée tenue à jour par elionis.
À la date de la présente version, OPCORE intervient comme sous-traitant ultérieur d’elionis pour l’hébergement en datacenter des infrastructures concernées. La liste ou les catégories de sous-traitants ultérieurs peuvent évoluer conformément aux modalités d’information préalable et d’opposition prévues au présent DPA.
9. Transferts hors Espace économique européen
elionis privilégie le traitement et l’hébergement des données dans l’Union européenne. Aucun transfert de données à caractère personnel vers un pays tiers ou une organisation internationale n’est réalisé pour le compte du Client sans respecter les exigences du chapitre V du RGPD et, lorsque cela est requis, les instructions documentées du Client.
10. Assistance au Client et droits des personnes
Compte tenu de la nature du traitement, elionis assiste le Client, dans la mesure du possible et par des mesures techniques et organisationnelles appropriées, pour lui permettre de répondre aux demandes d’exercice des droits des personnes concernées.
Lorsqu’elionis reçoit directement une demande d’une personne concernée portant sur des données traitées pour le compte du Client, elle transmet cette demande au Client dans les meilleurs délais et ne répond pas au fond, sauf instruction du Client ou obligation légale.
11. Assistance en matière de conformité
elionis fournit au Client, compte tenu de la nature du traitement et des informations dont elle dispose, une assistance raisonnable pour le respect des obligations applicables en matière de sécurité, de notification des violations de données, d’analyse d’impact relative à la protection des données et, le cas échéant, de consultation préalable de l’autorité de contrôle.
Les prestations dépassant l’assistance normalement incluse dans les Services et nécessitant des travaux spécifiques peuvent faire l’objet d’un devis ou d’une facturation complémentaire, sous réserve des obligations impératives incombant à elionis en sa qualité de sous-traitant.
12. Violations de données à caractère personnel
elionis notifie au Client, dans les meilleurs délais après en avoir pris connaissance, toute violation de données à caractère personnel affectant les données traitées pour son compte. La notification comporte, dans la mesure où ces informations sont disponibles, les éléments utiles permettant au Client de satisfaire à ses propres obligations au titre des articles 33 et 34 du RGPD.
elionis coopère raisonnablement avec le Client pour l’analyse de l’incident, la limitation de ses conséquences et la documentation des mesures correctives.
elionis notifie au Client toute violation de données à caractère personnel concernant les traitements réalisés pour son compte, sans délai injustifié après en avoir pris connaissance, et lui communique les informations disponibles utiles à l’accomplissement de ses propres obligations.
13. Sauvegardes et restitution de données
Les mécanismes de sauvegarde d’infrastructure mis en œuvre par elionis ont pour finalité première d’assurer la protection technique et la restaurabilité de l’infrastructure exploitée. Leur existence ne confère pas au Client un accès direct aux outils ou aux supports de sauvegarde.
En l’absence de souscription d’un service de sauvegarde individualisé, le Client peut néanmoins adresser à elionis une demande ponctuelle et raisonnable de restitution de ses informations sauvegardées. Sous réserve de la présence des données dans les sauvegardes disponibles, de leur intégrité et de leur exploitabilité technique, elionis peut procéder à leur extraction ou restitution dans un format techniquement exploitable. Cette opération ne constitue pas un engagement de restauration à la demande inclus dans le forfait de base et peut faire l’objet d’une facturation complémentaire.
Les caractéristiques de rétention, de fréquence, de localisation et de restauration applicables sont celles prévues par le Service et sa documentation technique. Un service de sauvegarde dédié peut être souscrit séparément par le Client.
Les demandes exceptionnelles de restitution ou de restauration ne relevant pas du périmètre du Service souscrit peuvent faire l’objet d’une facturation complémentaire, selon le tarif d’intervention en vigueur ou sur devis préalable en fonction de la nature de l’intervention.
14. Sort des données à l’issue des Services
Les tickets de support et les enregistrements d’appels téléphoniques sont, en principe, conservés pendant douze (12) mois. Certains éléments peuvent être conservés au-delà lorsqu’une finalité particulière le justifie, notamment pour le traitement de dossiers complexes, la constitution ou la conservation d’éléments probatoires ou juridiques, ou les besoins de formation. Dans ces cas, la conservation est limitée à la durée nécessaire à la finalité concernée et fait l’objet d’une réévaluation.
À l’issue des Services et selon le choix du Client, elionis restitue ou supprime les données à caractère personnel traitées pour son compte, ainsi que les copies existantes, sauf obligation légale imposant leur conservation. Les modalités pratiques de réversibilité, les formats disponibles, les délais et les éventuels coûts sont régis par le Contrat et les prestations souscrites.
15. Documentation, audits et démonstration de conformité
elionis met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD et contribue aux audits raisonnablement nécessaires à cette démonstration.
Sauf incident de sécurité, demande d’une autorité compétente ou motif légitime particulier, tout audit sur site est organisé sur préavis raisonnable, pendant les heures ouvrées, de manière à ne pas perturber les Services et dans le respect des obligations de sécurité et de confidentialité applicables aux autres clients et aux infrastructures mutualisées. Les coûts spécifiques d’un audit demandé par le Client peuvent être mis à sa charge lorsqu’ils excèdent les justificatifs et contrôles normalement mis à disposition, sous réserve des obligations légales impératives.
Les audits, demandes d’assistance ou travaux spécifiques excédant les obligations légales d’elionis ou le périmètre des Services souscrits peuvent faire l’objet d’une facturation complémentaire, selon le tarif d’intervention en vigueur ou sur devis préalable.
16. Obligations du Client
Le Client demeure responsable de la licéité des traitements qu’il confie à elionis, de la détermination des finalités et des bases juridiques, de l’information des personnes concernées, de la gestion de leurs droits et, plus généralement, du respect des obligations qui lui incombent en qualité de responsable du traitement.
Le Client s’engage à ne transmettre à elionis que les données nécessaires aux Services souscrits et à communiquer des instructions licites, documentées et compatibles avec le périmètre contractuel.
17. Responsabilité
La responsabilité des parties au titre du présent DPA s’apprécie conformément au RGPD, à la réglementation applicable et aux stipulations du Contrat, sans qu’une clause contractuelle puisse exclure ou limiter une responsabilité qui ne pourrait l’être légalement.
18. Durée et entrée en vigueur
Le présent DPA entre en vigueur en même temps que le Contrat auquel il se rattache et demeure applicable aussi longtemps qu’elionis traite des données à caractère personnel pour le compte du Client. Les obligations qui, par leur nature, doivent survivre à la fin du Contrat, notamment celles relatives à la confidentialité et au sort des données, demeurent applicables.
19. Version et mise à disposition
Le présent DPA est publié et accessible à l’adresse permanente : https://elionis.fr/accord-relatif-au-traitement-des-donnees-personnelles-dpa/
Chaque version du DPA est identifiée par un numéro de version et une date d’entrée en vigueur. elionis conserve les versions antérieures afin de pouvoir déterminer la version applicable à une relation contractuelle donnée.
Point de contact en matière de protection des données : Thomas SERRE, Référent RGPD elionis – dpo@elionis.fr.
Version 1.2 – Septembre 2026. Le présent DPA est un document transversal, indépendant des CGA et des CGSU, auquel chacun de ces cadres contractuels peut renvoyer séparément. Il peut être mis à disposition par voie électronique à une adresse permanente unique communiquée dans les CGA, les CGSU, le Bulletin d’adhésion, le devis ou tout autre document contractuel. La version applicable au Client est celle identifiée dans le Contrat ou en vigueur à la date d’acceptation du Contrat, sous réserve des modifications rendues nécessaires par une évolution légale ou réglementaire.
Annexe A – Mesures techniques et organisationnelles
Les mesures ci-dessous constituent un socle général. Les mesures effectivement applicables dépendent du Service souscrit et de la documentation technique associée.
| Mesure | Principes |
|---|---|
| Chiffrement | Chiffrement des communications et transferts selon les usages concernés, au moyen de protocoles sécurisés. Chiffrement des données au repos lorsque prévu par l’architecture ou le Service concerné. Gestion des clés selon des procédures de sécurité adaptées. |
| Pseudonymisation | Mise en œuvre lorsque pertinente au regard du Service et des instructions du Client. elionis ne cherche pas à réidentifier des données pseudonymisées sauf instruction documentée ou nécessité légale. |
| Contrôle d’accès | Gestion des comptes, habilitations, authentification et principe du moindre privilège / besoin d’en connaître. |
| Sécurité réseau | Pare-feu, segmentation, VPN, filtrage et mesures de protection des infrastructures contre les accès non autorisés. |
| Protection des systèmes | Mises à jour, protection contre les logiciels malveillants, supervision, contrôles de vulnérabilités et procédures d’administration sécurisée selon le périmètre du Service. |
| Journalisation | Journalisation des accès et événements de sécurité relevant du périmètre elionis, avec conservation selon les durées prévues dans la documentation applicable. |
| Sauvegardes | Sauvegardes et mécanismes de restaurabilité selon la politique applicable au Service. Les sauvegardes d’infrastructure sont administrées par elionis et peuvent faire l’objet de copies externalisées et de contrôles d’intégrité/restaurabilité. |
| Disponibilité et résilience | Redondance des infrastructures selon le Service, alimentation protégée, supervision et procédures de reprise technique adaptées au périmètre souscrit. |
| Confidentialité | Engagements de confidentialité, contrôle des habilitations et sensibilisation des personnes autorisées. |
| Conservation / effacement | Mesures destinées à limiter la conservation aux durées nécessaires et procédures de restitution ou suppression en fin de Service, sous réserve des obligations légales. |
| Gestion des incidents | Processus de détection, analyse, traitement, traçabilité et notification des incidents et violations de données. |
| Sous-traitants ultérieurs | Évaluation des garanties appropriées et contractualisation d’obligations de protection des données adaptées aux prestations confiées. |