Contrat de sous-traitance au sens de l'article 28 du RGPD
Dernière mise à jour : 4 octobre 2026
Le présent Accord de Traitement des Données (ci-après « DPA ») encadre les conditions dans lesquelles Lacteo, en sa qualité de sous-traitant, traite les données à caractère personnel pour le compte de la professionnelle utilisatrice du service Lacteo, agissant en qualité de responsable de traitement (ci-après « la Cliente »).
Le présent DPA fait partie intégrante des Conditions Générales d'Utilisation et de Vente et s'applique automatiquement dès la souscription au service Lacteo. Il complète la Politique de Confidentialité.
Sous-traitant :
Lacteo, représenté par Mickael Delolme
Micro entreprise, SIRET 82320161100014
28 rue Clément Forissier, 42100 Saint-Étienne
Contact RGPD : contact@lacteo.app
Responsable de traitement :
La Cliente, professionnelle de santé ou de la périnatalité (sage-femme, IBCLC, conseillère en lactation, puéricultrice, kiné pédiatrique, etc.), titulaire d'un compte Lacteo actif.
Nature du traitement : hébergement, stockage, mise à disposition et traitement de données personnelles via le logiciel SaaS Lacteo.
Finalité : permettre à la Cliente de gérer son activité professionnelle (suivi des patientes, agenda, consultations, facturation, communications, espace patient, suivi d'activité).
Durée : pendant toute la durée de l'abonnement de la Cliente, prolongée de la période de récupération des données prévue dans les CGV (30 jours après résiliation).
Catégories de données :
Catégories de personnes concernées : patientes de la Cliente, enfants suivis, contacts professionnels.
Conformément à l'article 28.3 du RGPD, Lacteo s'engage à :
La Cliente autorise Lacteo à faire appel aux sous-traitants ultérieurs listés ci-dessous pour la fourniture du service. Lacteo s'engage à conclure avec chacun un contrat imposant les mêmes obligations de protection des données.
| Sous-traitant | Finalité | Localisation |
|---|---|---|
| Supabase Inc. | Base de données, stockage de fichiers, authentification | UE (Paris, France) |
| Hostinger International Ltd | Hébergement du site web | UE |
| Stripe Payments Europe Ltd | Traitement des paiements (abonnement et paiement patientes) | UE (Irlande), certifié PCI-DSS niveau 1 |
| Brevo (Sendinblue SAS) | Envoi d'emails transactionnels et de communications professionnelles | UE (France) |
| Nylas Inc. | Synchronisation emails et calendriers Microsoft / iCloud | UE (option région européenne) |
| Unipile SAS | Synchronisation emails et calendriers Google | UE (France) |
| Mistral AI SAS | Dictée vocale (fonction facultative) : transcription de la voix et rangement du texte dans les champs de la fiche. Données non utilisées pour l'entraînement des modèles, supprimées sous 30 jours. | UE |
En cas d'ajout, de remplacement ou de suppression d'un sous-traitant ultérieur, Lacteo en informera la Cliente par email ou via la mise à jour de la présente liste, dans un délai raisonnable. La Cliente disposera alors d'un délai de 30 jours pour s'opposer, ce qui pourra entraîner la résiliation du service.
L'ensemble des données traitées par Lacteo et ses sous-traitants ultérieurs sont hébergées au sein de l'Union Européenne. Aucun transfert vers un pays tiers n'est effectué dans le cadre du service. Si une telle situation devait évoluer, Lacteo encadrerait le transfert par les Clauses Contractuelles Types adoptées par la Commission Européenne et en informerait la Cliente.
Lacteo met en œuvre les mesures techniques et organisationnelles suivantes :
En cas de violation de données à caractère personnel, Lacteo s'engage à notifier la Cliente sans retard injustifié, et au plus tard dans un délai de 72 heures après en avoir pris connaissance, par email à l'adresse associée au compte. La notification contiendra a minima : la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables, les mesures prises ou envisagées pour y remédier. Il appartient à la Cliente, en tant que responsable de traitement, de notifier la CNIL et, le cas échéant, les personnes concernées.
Lacteo apporte son aide à la Cliente pour répondre aux demandes d'exercice des droits (accès, rectification, effacement, opposition, limitation, portabilité) émanant des patientes ou de toute autre personne concernée.
La Cliente dispose dans son interface des outils nécessaires pour exercer la majorité de ces droits de manière autonome (modification, suppression, export des données patientes). Pour toute demande nécessitant une intervention technique de Lacteo, la Cliente peut écrire à contact@lacteo.app.
À l'issue de l'abonnement, la Cliente dispose d'un délai de 30 jours pour exporter l'intégralité de ses données via la fonctionnalité « Mes données » de son profil (export structuré CSV + ZIP des documents).
Passé ce délai, l'ensemble des données personnelles est supprimé de l'infrastructure de production de Lacteo. Les sauvegardes contenant des données effacées sont écrasées selon le cycle de rétention des sauvegardes (7 jours maximum). Les obligations légales de conservation (notamment comptables, 10 ans) demeurent applicables aux seules données concernées.
La responsabilité de Lacteo au titre du présent DPA est encadrée par les limitations de responsabilité prévues aux CGU/CGV. Chaque partie reste responsable des dommages causés par le manquement à ses propres obligations RGPD.
Le présent DPA est soumis au droit français et au Règlement (UE) 2016/679 (RGPD). Tout litige relève des juridictions compétentes désignées dans les CGU/CGV.
Pour toute question relative au présent DPA ou pour obtenir une version signée par Lacteo, contactez : contact@lacteo.app