HearLab · version hl-vwo-2026-10-06 · traduction

Accord de sous-traitance HearLab

Traduction de courtoisie. Ce texte est une traduction fournie à titre d’information. La version qui fait foi est le texte néerlandais (verwerkersovereenkomst), sur /hearlab/verwerkersovereenkomst. En cas de différence entre les deux, le texte néerlandais prévaut. En acceptant l’accord dans le tableau de bord, le cabinet accepte la version néerlandaise (version hl-vwo-2026-10-06). Cette traduction ne constitue pas un conseil juridique.

Le présent accord s’applique entre le cabinet qui l’accepte dans le tableau de bord HearLab (le responsable du traitement, ci-après : le cabinet) et AudioLaunch, KvK 54871204, Eindhoven, exerçant sous le nom d’AudioLab.tools (le sous-traitant). Le cabinet l’accepte en son propre nom par l’intermédiaire du professionnel qui crée le cabinet ; la version et la date et l’heure de l’acceptation sont enregistrées. Il règle ce que demande l’article 28 du règlement général sur la protection des données (RGPD).

La personne qui crée le cabinet déclare que le cabinet fournit des soins auditifs (par exemple en tant qu’audioprothésiste, audiologiste ou cabinet ORL) ou qu’elle agit pour le compte d’un tel cabinet, et qu’elle est habilitée à lier le cabinet par le présent accord. Si cette déclaration est inexacte, le sous-traitant peut suspendre l’accès et, après un avertissement laissant quatorze jours pour réagir ou exporter, mettre fin au cabinet et effacer ses données.

1. Objet et durée

Le sous-traitant conserve pour le cabinet les moments d’écoute que les patients du cabinet consignent avec HearLab, et les affiche dans le tableau de bord du cabinet. L’accord court aussi longtemps que le cabinet utilise HearLab et prend fin lorsque le cabinet ou le compte du propriétaire est supprimé.

2. Finalité et nature du traitement

La seule finalité est de permettre au cabinet de consulter les moments consignés par ses patients, afin de préparer les soins que le cabinet dispense. HearLab ne pose pas de diagnostic et ne prend pas de décisions. Le sous-traitant n’utilise pas les données à ses propres fins : ni pour l’analyse de son propre produit, ni pour l’entraînement de modèles, ni pour la publicité, et il ne les vend ni ne les partage.

3. Quelles données

• Par patient : un pseudonyme ou un numéro de dossier choisi par le cabinet, le statut de liaison, et la preuve du consentement (version du texte, date et heure, langue, et le cas échéant la date et l’heure du retrait). Pas de nom, pas d’adresse e-mail, pas de numéro de téléphone du patient.
• Par moment : la date et l’heure, l’heure locale et le décalage horaire, la situation choisie par le patient, l’évaluation (de 1 à 5), les caractéristiques que le patient coche (comme des voix qui se chevauchent ou de la réverbération), pour chaque oreille l’aide que le patient indique (appareil auditif, implant cochléaire, autre aide ou rien) et si elle était allumée, le programme si le patient l’indique, une note libre du patient (500 caractères au maximum), et des mesures acoustiques dérivées : niveau et dynamique, proportion de parole et rapport signal sur bruit, les moments où quelqu’un parlait (début et fin de chaque phrase, aucun contenu), le niveau de la parole et celui du fond sonore, le plancher de bruit, le type de fond sonore, la parole au-dessus du fond et l’intelligibilité, une tonalité marquée avec sa fréquence, le rapport parole sur bruit par phrase, le débit de parole, le risque de sifflantes et de saturation, le moment le plus fort, la part du fond sonore dans la bande de la parole et sous 500 Hz, par demi-seconde de combien le son dépasse le plancher de bruit, le centroïde spectral, par bande la planéité et un spectrogramme grossier (24 bandes, dB entiers, sans phase), des niveaux pondérés A (Leq, maximum, minimum, L10, L50 et L90) avec les bandes d’octave et la différence entre pondération C et pondération A, la hauteur des voix qui se faisaient entendre (médiane et dispersion, aucun contenu), et par bande de tiers d’octave le niveau dans les phrases et dans les pauses, l’énergie dans les pauses après la parole, des caractéristiques spectrales et des bandes de tiers d’octave, et le niveau par tranche de 100 ms sur la durée de la mesure.
• Des professionnels du cabinet : l’adresse e-mail de leur compte.
• Exclus : les enregistrements sonores ou tout autre son brut, la localisation, les contacts. L’application mesure sur le téléphone puis jette le son ; le serveur refuse tout champ qui ne figure pas sur la liste des mesures dérivées.

Les données relatives à la perception auditive peuvent constituer des données concernant la santé (article 9 du RGPD). La base juridique du partage est le consentement explicite du patient, que HearLab demande et enregistre dans l’application avant que quoi que ce soit ne soit partagé. Le cabinet reste responsable de la base juridique et de ce qu’il fait des données.

4. Personnes concernées

Les patients du cabinet qui utilisent HearLab, et les collaborateurs du cabinet disposant d’un compte.

5. Instructions et confidentialité

Le sous-traitant traite les données uniquement sur la base du présent accord et des actions que le cabinet effectue dans le tableau de bord. Toute personne qui a accès aux données chez le sous-traitant est tenue au secret.

Si le sous-traitant estime qu’une instruction du cabinet enfreint le RGPD ou une autre législation relative à la protection des données, il en informe immédiatement le cabinet et peut suspendre cette instruction jusqu’à ce que le cabinet la confirme par écrit.

6. Sécurité

• Toutes les connexions passent par TLS ; la base de données est stockée sous forme chiffrée.
• Les tables sont fermées par défaut à tout client (row level security sans exception). Seule l’API serveur y a accès, et elle vérifie à chaque requête que le professionnel est membre du cabinet et que le patient appartient à ce cabinet. Un cabinet ne voit jamais les données d’un autre cabinet.
• Un appareil d’un patient ne reçoit sa propre clé qu’après consentement explicite. Les clés et les codes de liaison ne sont conservés que sous forme de hash. Les codes de liaison sont valables 14 jours et le nombre de tentatives est limité.
• Aucun script d’analyse ou de publicité ne s’exécute sur les pages de HearLab.
• Les messages d’erreur ne contiennent aucun contenu des moments.

7. Sous-traitants ultérieurs

Le cabinet autorise les sous-traitants ultérieurs suivants :

• Supabase Inc. : base de données et connexion des professionnels, hébergées dans l’UE (Francfort, AWS eu-central-1).
• Vercel Inc. : hébergement du site web et de l’API serveur, exécutés dans l’UE (Francfort, région fra1).

Les deux sont des sociétés américaines. Les données sont stockées et traitées dans l’UE ; dans la mesure où un accès depuis les États-Unis est possible, les garanties offertes par ces parties s’appliquent (le EU-US Data Privacy Framework et/ou les clauses contractuelles types de la Commission européenne). Le sous-traitant notifie tout nouveau sous-traitant ultérieur au moins 30 jours à l’avance ; le cabinet peut formuler une objection dans ce délai et, si cela n’est pas résolu, mettre fin à l’accord.

Le sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations que celles qui figurent dans le présent accord, et demeure pleinement responsable (aansprakelijk) envers le cabinet de leur respect.

8. Droits des patients

Le sous-traitant aide le cabinet à traiter les demandes des patients. Le tableau de bord propose, pour chaque patient, un export (droit d’accès) et un bouton pour effacer le patient avec tous ses moments. Un patient peut retirer lui-même son consentement dans l’application ; le partage s’arrête alors et les moments de ce patient sont supprimés chez le cabinet.

9. Violations de données

Le sous-traitant notifie au cabinet une violation de données à caractère personnel sans retard injustifié et au plus tard dans les 48 heures suivant sa découverte, avec les informations connues à ce moment-là, et les complète dès que davantage d’informations sont connues. Le cabinet décide d’une notification à l’Autoriteit Persoonsgegevens (l’autorité néerlandaise de protection des données) et aux patients.

10. Durée de conservation et fin

Les moments sont effacés automatiquement dès qu’ils dépassent la durée de conservation choisie par le cabinet (6, 12 ou 24 mois). À la fin de l’accord, le cabinet dispose de trente jours pour réaliser un export par patient ; ensuite, le sous-traitant efface toutes les données du cabinet. La preuve du consentement et du retrait est conservée sans contenu aussi longtemps que nécessaire pour démontrer que le traitement était licite, et au plus tard jusqu’à trois ans après la fin de l’accord.

11. Information et audit

Le sous-traitant fournit au cabinet, sur demande, les informations nécessaires pour démontrer le respect du présent accord, et coopère à un audit réalisé par un expert indépendant, moyennant un préavis raisonnable et aux frais du cabinet. Le sous-traitant apporte son aide, si nécessaire, pour une analyse d’impact relative à la protection des données.

12. Période d’essai

HearLab est en période d’essai et est gratuit. Il n’y a pas de disponibilité convenue ni de délai de rétablissement convenu. Ce qui existe : chez Supabase, la base de données fait l’objet d’une sauvegarde quotidienne conservée sept jours, qui permet de restaurer le service dans son ensemble après une panne. Une restauration à un instant quelconque, ou d’un seul cabinet séparément, n’est pas possible ; les moments postérieurs à la dernière sauvegarde sont alors perdus. Ces limites sont sans préjudice des obligations de sécurité découlant de l’article 6 et de l’article 32 du RGPD. HearLab n’est pas un dossier patient : le cabinet consigne ce dont il a besoin pour les soins dans son propre dossier, respecte ses propres obligations de conservation et réalise lui-même un export si nécessaire. Le sous-traitant annonce la fin de la période d’essai, et ce qui change ensuite, au moins trente jours à l’avance.

13. Responsabilité

La responsabilité (aansprakelijkheid) du sous-traitant envers le cabinet est limitée aux dommages directs (directe schade) et au montant que le cabinet a payé pour HearLab au cours des douze mois précédant le dommage. Tant que HearLab est gratuit, ce montant est nul. Cette limitation ne s’applique pas en cas de faute intentionnelle ou d’imprudence consciente du sous-traitant (opzet of bewuste roekeloosheid), et est sans préjudice des droits que les patients tiennent du RGPD.

14. Divers

Le présent accord est régi par le droit néerlandais. Le cabinet doit accepter toute nouvelle version du présent accord avant de pouvoir continuer à utiliser le tableau de bord. Questions : privacy@audiolab.tools.

In English

This is the data processing agreement (Art. 28 GDPR) between a hearing care practice (controller) and AudioLaunch, trading as AudioLab.tools (processor), for HearLab. In short: only the moments patients choose to share after explicit consent, never audio or location, stored in the EU (Frankfurt) with Supabase and Vercel as sub-processors, access limited to the practice's own patients, deletion after the practice's retention period, breach notice within 48 hours. Whoever creates a practice declares that it provides hearing care, or that they act on behalf of one. HearLab is in a free trial: no availability guarantee, a daily database backup kept for 7 days but no restore per practice, and it is not a patient record. Liability is limited to direct damage and to what the practice paid in the prior twelve months (nothing while it is free), except for intent or wilful recklessness. At the end of the agreement the practice has thirty days to export before everything is deleted. The Dutch text at /hearlab/verwerkersovereenkomst is the binding version.

Traduction de courtoisie : seul le texte néerlandais fait foi (/hearlab/verwerkersovereenkomst, version hl-vwo-2026-10-06).