Annexe MONDE — vente par revendeur

Cette page reproduit le texte intégral de l'annexe de zone applicable hors de Suisse, régénéré depuis sa source à chaque mise en ligne. Version de l'app en ligne : v1.5.1 (déployée le 11.10.2026).

Versions

Version : 2026-10-10 (annexe MONDE — vente par revendeur), en vigueur depuis le 10 octobre 2026.

Statut : publiable — version 2026-10-10

L'annexe MONDE s'applique avec les conditions du service géré hors de Suisse (le « tronc »), le contrat d'édition et de service « Carnet » et l'accord de sous-traitance « Carnet » (DPA), dans les versions publiées avec elle (contrat 2026-10-10, tronc 2026-10-10, accord de sous-traitance 2026-10-10), à l'adresse https://carnet.health/conditions.html et aux pages qu'elle cite. L'annexe MONDE elle-même est publiée à l'adresse https://carnet.health/annexe-monde.html.

Ce que vous acceptez. Le contrat, le tronc et l'annexe MONDE sont acceptés ensemble, en une seule fois, à la souscription, avec la déclaration professionnelle du tronc (I.3), faite sur le même écran : ils forment un seul texte accepté, rattaché à leurs trois versions et à son empreinte (tronc, I.4, I.6 et 14.1). L'achat lui-même se conclut ensuite avec Paddle, sur sa page de paiement, selon ses conditions d'achat (M-1).

Comment lire ces annexes

• Chaque annexe vaut pour la Cliente établie dans sa zone, c'est-à-dire dont le lieu d'exercice déclaré à la souscription s'y trouve (tronc, I.1 let. b). L'annexe MONDE vaut pour tout pays hors de Suisse où la vente est ouverte (M-0) ; une annexe propre à un pays, quand elle existe (Québec), s'y ajoute et prime.
• L'annexe de zone prime les modalités de vente, le tronc et le contrat (tronc, I.4). Ce qu'elle ne modifie pas s'applique tel quel.
• Les numéros de clause (« 11.1 », « 5.2 let. b ») renvoient au contrat, tel que le tronc le modifie. « Tronc, I.2 » renvoie aux conditions du service géré hors de Suisse.
• Le droit impératif reste au-dessus de tout (tronc, I.4 let. c). Cette annexe l'écrit plutôt que de le laisser découvrir.
• « La Cliente » désigne la professionnelle qui souscrit, quel que soit son genre. Le texte lui parle directement : « vous ».
• Le texte français fait foi (tronc, clause L). Des traductions de courtoisie du contrat et de la présente annexe existent en anglais, en allemand, en italien et en espagnol, à titre d'information : celle du contrat se lit sur l'écran de souscription, celle de l'annexe est remise sur demande ; le tronc n'en a pas encore. Elles ne font pas foi.

Annexe MONDE — vente par revendeur

M-0 Champ

(a) Cette annexe s'applique à la Cliente dont le lieu d'exercice déclaré est hors de Suisse, dans un pays ouvert à la vente à la date de sa souscription. Un pays est ouvert quand, à la fois : Paddle y vend (M-3 let. a), aucune exception juridique ne le ferme (M-3 let. b), et la page de prix lui donne un prix et le dit ouvert. La page de prix tient la liste à jour ; un pays s'y ouvre par une décision de l'Éditeur, sans nouvelle version de la présente annexe.

(b) Vous souscrivez pour votre activité professionnelle, et vous le déclarez sur l'écran de souscription (déclaration du tronc, I.3). Le contrat, le tronc et la présente annexe forment ensemble le texte que vous acceptez, d'un seul geste (tronc, I.4 et 14.1).

(c) Les règles de M-5 (quitter le service) et de M-6 (protection des données) viennent du droit de l'Union européenne. L'Éditeur les applique à toute Cliente de la présente annexe, à titre contractuel, quel que soit son pays.

M-1 Qui vend, qui fournit le service

(a) Paddle vend. Le service géré vous est vendu par Paddle.com Market Limited, société enregistrée en Angleterre et au pays de Galles sous le n° 08172165, 30 Old Bailey, Londres EC4M 7AU, Royaume-Uni, revendeur officiel (« merchant of record ») de l'Éditeur. Paddle vend en son propre nom : il encaisse le prix, perçoit et déclare la taxe de votre pays (en Argentine, au Chili, au Panama et en Uruguay : M-11.1), vous remet le reçu, renouvelle l'abonnement, relance un paiement qui échoue et exécute les remboursements (M-2, M-5.7). Pour le paiement, les conditions d'achat de Paddle s'appliquent (« Buyer Terms », https://www.paddle.com/legal/buyer-terms), à côté du présent texte.

(b) L'Éditeur fournit le service. Ce que le service géré est, ce qu'il vous doit et ce que vous lui devez — synchronisation, sauvegardes, porte de récupération, relève, support, sortie, données — restent régis par le contrat, le tronc et la présente annexe, entre vous et l'Éditeur. Paddle n'y est pas partie. La dette de remboursement que ces textes vous promettent reste celle de l'Éditeur : il la décide et la fait exécuter par Paddle ; si Paddle ne l'exécutait pas, l'Éditeur la lui réclame, et vos droits envers l'Éditeur restent entiers.

(c) Ce qui se contredit. Entre vous et l'Éditeur, le contrat, le tronc et la présente annexe priment toute disposition des conditions d'achat de Paddle qui vous serait moins favorable, notamment sur la résiliation à tout moment et le remboursement au prorata (M-5.1, M-5.7). Ce que Paddle vous accorde de plus, de lui-même, s'y ajoute (M-4 let. c).

(d) Ce que Paddle reçoit de l'Éditeur : le seul identifiant opaque de votre compte de synchronisation, qui relie votre paiement à votre compte, et les remboursements que l'Éditeur décide. Jamais votre dossier, un bloc chiffré ni une donnée de patient·e. Ce que vous donnez à Paddle en payant, Paddle le recueille lui-même, pour son propre compte (M-6.1 let. d).

M-2 Prix, taxe, paiement, renouvellement

(a) Prix. Celui que la page de prix publie pour votre pays à la date de votre souscription, hors taxe, par siège, au mois, ou à l'année pour dix mensualités, dans la devise que la page indique. Aucune hausse sans votre consentement exprès (clause 12.2). Au Liechtenstein, le prix est en francs suisses et se paie aussi par Paddle (décision de l'Éditeur du 08.10.2026). En Argentine, au Chili, au Panama et en Uruguay, il est en dollars des États-Unis (M-11.1).

(b) Essai d'abord. L'abonnement suit un essai de trente jours qui ne demande ni paiement ni moyen de paiement, et ne commence que si vous le confirmez (tronc, 5.1bis).

(c) Paiement. Si vous confirmez, l'Éditeur vous envoie par courriel un lien de paiement de Paddle. Il ouvre la page https://carnet.health/paiement/, où le module de paiement de Paddle (Paddle.js, servi par paddle.com) affiche le formulaire de paiement de Paddle. Vous payez par carte, dans ce formulaire : ce que vous y saisissez (carte, adresse de facturation) va à Paddle, vendeur, et non à l'Éditeur. C'est la seule page de Carnet qui charge un script d'un tiers ; ni l'application ni le reste de la vitrine n'en chargent. Paddle vous montre le total, taxe comprise, avant que vous payiez.

(d) Taxe. Sous réserve de M-11.1, Paddle détermine, perçoit et déclare la TVA ou la taxe de vente due dans votre pays, et l'ajoute au prix hors taxe. Vos soins étant en général exonérés, vous ne la récupérerez en général pas. Carnet ne vous demande aucun numéro de TVA ; si vous en donnez un à Paddle, ce que cela change relève des conditions de Paddle et du droit fiscal de votre pays. L'Éditeur ne vous adresse ni facture ni demande de paiement hors de Suisse : le reçu de Paddle est votre pièce.

(e) Renouvellement. L'abonnement se renouvelle par Paddle, à chaque période (mois ou année), jusqu'à ce que vous ou l'Éditeur y mettiez fin (M-5.1). Le contrat est à durée indéterminée : la période n'est qu'une période de paiement.

(f) Paiement qui échoue. Paddle retente le paiement et vous relance ; l'Éditeur ne vous adresse aucune demande de paiement, et les relances de Paddle tiennent lieu du rappel de la clause 5.4. Sans paiement, l'Éditeur peut suspendre le service géré vingt-huit (28) jours au plus tôt après la fin de la période payée, pour la seule synchronisation, les sauvegardes gérées et l'ouverture de nouvelles relèves (clause 5.4, telle que le tronc la lit) ; jamais votre accès local, l'export .carnet, la porte de récupération ni une relève déjà ouverte. Vos blocs chiffrés sont gardés nonante (90) jours au moins ; aucune suppression sans préavis écrit de trente (30) jours. Un paiement reçu lève la suspension.

(f bis) Abonnement confirmé, jamais payé. Si vous confirmez l'abonnement sans jamais payer sa première période, Paddle n'a rien à retenter ni à relancer : l'Éditeur vous envoie le lien de paiement (let. c) par un courriel qui fixe une échéance, au plus tôt vingt (20) jours après cet envoi et après le début de cette première période (clause 5.1bis let. a), et qui en dit la conséquence. À défaut de paiement à cette échéance, le service géré est suspendu de lui-même, sans autre avis, dans les mêmes limites que la let. f : jamais votre accès local, l'export .carnet, la porte de récupération ni une relève déjà ouverte. Vos données restent sur votre appareil et rien n'y est effacé ; vos blocs chiffrés sont gardés comme le dit la let. f. Un paiement reçu ensuite lève la suspension. Sans ce courriel, aucune suspension n'intervient à ce titre.

(g) Données. Le paiement ne porte jamais sur une donnée de patient. Ce que l'Éditeur garde de vos paiements, et combien de temps : M-5.4 let. d.

M-3 Pays fermés

(a) Où Paddle ne vend pas. Paddle ne vend pas dans certains pays et régions ; sa liste fait foi : https://www.paddle.com/help/start/intro-to-paddle/which-countries-are-supported-by-paddle (lue le 05.10.2026, relue sans changement le 09.10.2026). Le service géré n'y est pas vendu.

(b) Exceptions juridiques. Le service géré n'est pas vendu là où le droit du pays interdit à une soignante de confier le dossier de ses patient·e·s à un serveur situé en Suisse. À la date de cette version :

• France, y compris ses départements et collectivités d'outre-mer où le code de la santé publique s'applique : héberger des données de santé pour le compte d'une professionnelle exige un hébergeur certifié, qui les stocke exclusivement dans l'Union européenne ou l'Espace économique européen, sauvegardes comprises (art. L.1111-8 et R.1111-9-1 du code de la santé publique). Le chiffrement n'en dispense pas. L'application s'y utilise gratuitement, sur l'appareil, sans service géré ; rien n'y est vendu.
• Québec : avant de confier la conservation de renseignements de santé hors du Québec, la loi exige une évaluation des facteurs relatifs à la vie privée et une entente écrite portant les mentions qu'elle prescrit ; l'Éditeur ne les a pas encore établies. Le Québec s'ouvrira le jour où elles le seront, par une annexe propre.
• Nouvelle-Calédonie : la loi du pays exige un hébergeur de données de santé agréé par son gouvernement, avec siège sur place.
• Polynésie française, Wallis-et-Futuna, Terres australes et antarctiques françaises : fermées avec la France, par prudence (décision de l'Éditeur), l'application de la loi française n'y étant pas établie.
• Conservation obligatoire dans le pays : Texas (États-Unis), Nouveau-Brunswick (Canada), Chine, Zambie, Éthiopie, Burkina Faso, Kenya, Indonésie, Corée du Sud et Taïwan imposent de conserver sur leur territoire les dossiers de santé électroniques.
• Système d'information certifié obligatoire : Slovaquie et Finlande.
• Langue nationale exigée du logiciel, et situation du pays : Ukraine.
• Autorisation préalable d'une autorité qui n'est pas opérationnelle : Cameroun.
• Droit du pays non encore instruit : Érythrée, Gambie, Bhoutan, Monaco, Bosnie-Herzégovine, Monténégro, Moldavie, Palestine, États-Unis (les cinquante États, dont seul le Texas a été lu), Saskatchewan, Terre-Neuve-et-Labrador, Île-du-Prince-Édouard, Yukon, Territoires du Nord-Ouest et Nunavut. L’Éditeur n’a pas encore instruit le droit de ces pays et régions ; par prudence, le service géré n’y est pas vendu tant qu’il ne l’a pas été.
• Conservation probablement obligatoire dans le pays : Japon, Kazakhstan, Mongolie, Émirats arabes unis, Turkménistan, Vanuatu, Mexique, Pérou, Nigeria, Bangladesh, Ouzbékistan, Arabie saoudite, Koweït et Azerbaïdjan. Le droit de ces pays semble imposer de conserver les dossiers de santé sur leur territoire, sans que le texte ait pu être établi avec certitude ; par prudence, le service géré n’y est pas vendu.
• Autorisation préalable d’une autorité étrangère, à obtenir par chaque soignante : Angola, Bénin, Côte d’Ivoire, Djibouti, Algérie, Égypte, Gabon, Madagascar, Macédoine du Nord, Niger, Oman, Qatar, Rwanda, Eswatini, Tunisie, Tanzanie, Burundi et Vietnam. Le droit de ces pays exige que chaque professionnelle obtienne l’autorisation (ou le permis, ou le dépôt) d’une autorité avant de confier des données de santé à un serveur à l’étranger ; l’Éditeur ne peut pas la vérifier, et le service géré n’y est pas vendu.
• Représentant local de l’Éditeur exigé : Jamaïque, Équateur, Albanie, Maurice et Ouganda. Le droit de ces pays exige d’un éditeur établi à l’étranger qu’il y désigne un représentant local ou s’y inscrive ; l’Éditeur ne l’a pas fait.
• Garanties que l’Éditeur n’a pas encore mises en place : Pays-Bas, Suède, Norvège, Islande, Danemark, Alberta, Brésil et Turquie. Le droit de ces pays demande à un service de dossier de santé des garanties que l’Éditeur n’a pas encore établies (journal des accès, dossier dans la langue du pays, évaluation d’impact ou clauses types, selon le pays) ; ces pays s’ouvriront le jour où elles le seront.
• Ouverts avec avertissement (Hongrie, Bulgarie, Serbie) : le dossier légal du patient y vit dans le système national (la Hongrie dans l'EESZT, la Bulgarie dans le НЗИС, la Serbie dans le RIZIS) ; Carnet ne s'y substitue pas. La page de souscription le dit avant toute souscription dans ces pays ; ils ne sont pas fermés.

La page de prix dit, pour chaque pays fermé, le motif. Cette liste est celle de la date de cette version ; un pays peut s'y ajouter, sur instruction.

(c) Pays sans prix. Un pays auquel la page de prix ne donne aucun prix n'est pas encore vendu : liste d'attente seulement.

(d) Si vous exercez dans un pays ouvert et soignez aussi en France, la clause 4.1ter du contrat s'applique : vous n'utilisez, pour des patient·e·s que vous soignez en France, ni le service géré ni aucune fonction qui dépose des données sur le serveur de l'Éditeur, et vous en faites la déclaration.

(e) La porte de souscription refuse un pays fermé ; si votre demande vient d'un tel pays, elle passe en liste d'attente, sans rien garder de votre acceptation.

M-4 Professionnelle ou consommatrice

(a) Vous souscrivez pour votre activité professionnelle, et vous le déclarez (tronc, I.3). Le contrat est un contrat entre professionnels.

(b) Si le droit impératif de votre pays vous traitait néanmoins comme consommatrice, les règles qui vous protègent s'appliquent : on ne peut y renoncer d'avance (tronc, I.3 let. b). La présente annexe ne vous retire aucun de ces droits. Pour l'Argentine, le Chili, le Panama et l'Uruguay : M-11.2.

(c) Ce que Paddle vous accorde de lui-même. Paddle applique ses propres conditions d'achat et sa politique de remboursement : il peut, à sa discrétion, rembourser une demande faite dans les quatorze jours d'un achat ou d'un renouvellement, et il ouvre à l'acheteuse qu'il tient pour consommatrice les droits que ses conditions prévoient (ainsi, dans l'Union, un droit de rétractation de quatorze jours sur le premier paiement) — conditions et politique lues le 23.09.2026, relues le 09.10.2026 (versions du 31.03.2026, inchangées). Ces droits appartiennent à Paddle : l'Éditeur ne peut ni les exercer à sa place, ni vous les opposer. Ils s'ajoutent aux vôtres ; ils ne les remplacent pas.

M-5 Quitter le service

Le règlement européen sur les données (règlement (UE) 2023/2854, « Data Act ») s'applique depuis le 12.09.2025 à tout fournisseur de services de traitement de données qui sert des clients dans l'Union, où qu'il soit établi (art. 1 § 3 let. f ; art. 50). Que le service géré soit un tel service (art. 2 point 8) est probable, pas certain. L'Éditeur en applique les règles dans tous les cas, et à toute Cliente de la présente annexe (M-0 let. c). La présente section est le contrat écrit qu'exige son art. 25.

M-5.1 Partir à tout moment (complète, pour vous, la clause 11.1 telle que le tronc la lit)

(a) Vous pouvez mettre fin au service géré à tout moment, sans justification, par un avis de sortie : un courriel à suffit, comme tout autre écrit.

(b) Vous choisissez la date de fin : le jour même, ou une date plus tardive, deux mois au plus après votre avis (art. 25 § 2 let. d). Sans date, la fin est le jour de l'avis.

(c) Dans votre avis, vous dites ce que vous voulez (art. 25 § 3) : une période transitoire pour passer à un autre outil (M-5.2) ; garder vos données sur vos seuls appareils ; ou faire effacer vos données dès la date de fin. Sans précision, la période de récupération s'ouvre à la date de fin (M-5.3), puis l'effacement suit (M-5.4).

(d) Annuler chez Paddle. Annuler votre abonnement dans l'espace de Paddle (lien de gestion de votre reçu) arrête le renouvellement : c'est un avis de sortie, avec pour date de fin l'échéance de la période payée, sauf si vous écrivez à l'Éditeur une autre date. L'Éditeur l'apprend par le relevé de Paddle.

(e) Ce que fait l'Éditeur de votre avis. Il inscrit la date de fin, et vos choix (transition, effacement immédiat), sans délai et au plus tard dans les deux (2) jours ouvrables ; il arrête le renouvellement chez Paddle avec effet à cette date ; il vous rembourse ce qui doit l'être (M-5.7). Un renouvellement prélevé malgré un avis reçu avant l'échéance est remboursé en entier (tronc, 11.1 let. a). Rien ne se déclenche de soi-même : ni une annulation chez Paddle, ni un impayé, ni un non-renouvellement ne ferment votre compte avant que l'Éditeur ait inscrit la date de fin.

(f) Ne pas renouveler vaut avis de sortie, avec pour date de fin l'échéance de la période payée. Un défaut de paiement suit d'abord M-2 let. f ; la sortie suit ensuite M-5.3 et M-5.4.

(g) La faculté de l'Éditeur de mettre fin au contrat reste celle du tronc et du contrat (11.1 : trente jours pour la fin d'une période ; 11.3 : nonante jours pour cesser le service).

(h) Pendant toute la sortie, l'application vous dit où vous en êtes : à l'écran « Synchro & appareils », la date de fin, la période transitoire, la lecture seule et la date d'effacement, au fur et à mesure que vos appareils se synchronisent.

M-5.2 Période transitoire

(a) Si vous la demandez, dans votre avis ou avant la date de fin, le service géré continue tel quel pendant trente (30) jours après la date de fin : synchronisation, sauvegardes, support (art. 25 § 2 let. a). Ces trente jours sont gratuits, même si une période restait impayée.

(b) Pendant cette période, le contrat continue de s'appliquer, et l'Éditeur :

• vous aide, vous et les tiers que vous autorisez, à changer d'outil (art. 25 § 2 let. a, i) ;
• maintient la continuité du service (ii) ;
• vous dit clairement les risques connus pour cette continuité (iii) ;
• maintient un niveau de sécurité élevé, pendant le transfert comme pendant la récupération (iv) ;
• concourt à votre stratégie de sortie et vous donne toute information utile (let. b).

(c) Vous pouvez prolonger la période transitoire une fois, pour la durée que vous jugez utile (art. 25 § 5). La prolongation est gratuite : au-delà des trente premiers jours, le service continue sans supplément ni facturation. Votre abonnement chez Paddle est arrêté à la date de fin, et la part non utilisée de la dernière période payée vous est remboursée au prorata des jours, à partir de cette date (M-5.7) ; l'Éditeur ne vous facture rien pour la prolongation.

(d) S'il était techniquement impossible de tenir ces délais, l'Éditeur vous le dit dans les quatorze (14) jours ouvrables qui suivent votre avis, motifs à l'appui, et propose une autre période transitoire, sept mois au plus, pendant laquelle le service continue (art. 25 § 4).

(e) Le contrat est tenu pour résilié, et l'Éditeur vous le confirme par courriel : à la fin de la période transitoire, ou à la date de fin si vous n'en avez pas demandé (art. 25 § 2 let. c).

M-5.3 Période de récupération : lecture seule

(a) Après la période transitoire, ou dès le lendemain de la date de fin si vous n'en avez pas demandé, votre compte passe en lecture seule pendant trente (30) jours au moins (art. 25 § 2 let. g).

(b) Pendant cette période, vos blocs chiffrés restent intacts sur le serveur. Vos appareils peuvent encore tirer vos données, plus en envoyer : le serveur refuse les envois et les photos nouvelles, et ce que vous écrivez reste sur l'appareil. Aucune nouvelle relève ne s'ouvre ; une relève déjà ouverte continue jusqu'à l'effacement. La boîte d'identités reste ouverte, pour qu'un appareil neuf rapatrie les noms de vos patient·e·s. L'export .carnet reste possible à tout moment depuis votre appareil.

(c) Cette période est gratuite : aucune suspension pour impayé n'y joue.

(d) À la fin de ces trente jours, votre compte attend l'effacement : l'écriture reste fermée, la lecture reste ouverte jusqu'à l'effacement effectif.

(e) Si vous avez demandé l'effacement immédiat, il n'y a pas de lecture seule : votre compte est à effacer dès le lendemain de la date de fin, ou de la fin de la période transitoire.

(f) Votre dossier est d'abord sur vos appareils. L'application continue d'y fonctionner, gratuitement et sans limite de temps, sous la licence AGPLv3 (tronc, 11.1 let. c ; clause 8.7).

M-5.4 Effacement attesté (remplace, pour vous, les clauses 9.10 et 11.4)

(a) Quand votre compte est à effacer (M-5.3 let. d et e), l'Éditeur efface intégralement, en une seule opération, les données qu'il détient pour vous sur le serveur, au plus tard trente (30) jours après ce moment (le premier jour où le compte est « à effacer » : lendemain de la fin de la lecture seule, ou de la date de fin en cas d'effacement immédiat) : opérations chiffrées du journal de votre coffre, médias chiffrés, porte de récupération (enveloppe chiffrée, part de garde, téléphone de vérification, identités sur-scellées, demandes), jours d'horodatage d'intégrité, messages en attente entre vos appareils, plis d'invitation scellés, invitations de relève inutilisées, et chaque compartiment de relève que vous aviez ouvert, avec ses opérations, ses médias, ses accès et ses plis de secours (art. 25 § 2 let. h). Seules restent les données de la let. d.

(b) Il vous atteste l'effacement par écrit, par courriel, daté, sans frais. L'attestation donne le nombre et le volume de ce qui a été effacé, la tête de la chaîne d'intégrité de votre journal — celle que votre application recevait à chaque synchronisation, et que le vérificateur du journal recalcule depuis votre fichier .carnet —, l'empreinte de vos médias, et l'empreinte (SHA-256) du reçu d'effacement, que l'Éditeur garde. Elle est rédigée en français, qui fait foi ; lorsque la langue de votre interface est l'anglais, l'allemand, l'italien ou l'espagnol, une traduction de courtoisie vous est remise avec elle.

(c) Les copies chiffrées que contiennent les sauvegardes disparaissent au fil de leur rotation : sur le serveur d'abord, puis en un an au plus hors du serveur (politique de confidentialité, § 7.4). Une réserve : ce que la rotation retire de la copie confiée à Proton Drive n'y est pas supprimé définitivement, mais placé dans sa corbeille, où il peut subsister jusqu'à ce qu'elle soit vidée ; Proton garde en outre ses propres sauvegardes jusqu'à trente jours. Ces restes sont chiffrés deux fois, et ni Proton ni l'Éditeur ne peuvent les lire sans vos secrets. Les copies ne sont ni lues ni restaurées, sauf pour rétablir le service après un incident.

(d) Durées convenues au-delà de l'effacement. Restent, pour la durée indiquée, ces seules données, qui ne contiennent aucune donnée de patient :

• le reçu d'acceptation (versions acceptées, langue, empreinte, horodatages), et de refus le cas échéant, avec le courriel, le pays et la déclaration professionnelle de la souscription (tronc, I.3 et 9.3), et les reçus par lesquels vos remplaçantes ont accepté les conditions de la relève : dix ans dès la fin du contrat, pour la preuve (art. 127 CO) ;
• la ligne de votre compte — son identifiant opaque, la marque « révoqué » et ses dates, sans aucun contenu : dix ans dès la fin du contrat, pour que cet identifiant ne soit jamais attribué à nouveau, et que le reçu et les paiements restent rattachés ;
• le registre des paiements de votre compte — identifiant de compte, dates, montants, devise, période payée, moyen, identifiant de transaction ou d'ajustement de Paddle, motif d'un remboursement —, sans nom, courriel, adresse ni adresse IP : dix ans dès la dernière écriture, pour la preuve de ce que vous avez payé et de ce qui vous a été rendu (art. 127 CO) ;
• le journal du service de récupération, si vous l'avez mis en place ou utilisé : dix ans dès la procédure (clause 9.11 ; politique de confidentialité, § 7.6) ;
• le lien d'invitation entre votre compte et les accès de relève que vous aviez ouverts : un an après la fermeture du compte ;
• les copies chiffrées que contiennent les sauvegardes, jusqu'à leur rotation (let. c).

Ce sont les données propres de l'Éditeur (M-6.1 let. c), gardées pour la preuve, dans son intérêt légitime (art. 6 § 1 let. f RGPD). Pour autant qu'elles comptent parmi vos données exportables (M-5.5, ligne 8), la présente lettre en est l'« autre période convenue » (art. 25 § 2 let. h). Les pièces comptables de la vente sont celles de Paddle ; l'Éditeur ne les tient pas sous votre nom.

(e) Ce qui ne change pas : la conservation légale de votre dossier reste votre obligation (clause 10.2, telle que le tronc la lit). Exportez avant la date de fin. Ce qui change : l'Éditeur ne vous oppose plus « aucune restitution après la fin » ; il vous doit la récupération et l'effacement ci-dessus.

(f) Vérifiez vos secrets avant la date de fin. Après l'effacement, la Feuille de récupération ne rouvre plus rien : ses 8 mots ne servent qu'avec la part de garde de l'Éditeur, qui est détruite (clause 10.5). Seuls votre mot de passe et votre clé de secours ouvrent alors votre .carnet.

(g) Relève en cours. Une relève déjà ouverte continue pendant la période transitoire et la lecture seule ; l'effacement la ferme : la remplaçante perd son accès au serveur. Prévenez-la, et reprenez ses écritures, avant l'effacement.

M-5.5 Vos données exportables — liste exhaustive (art. 25 § 2 let. e et f ; art. 26 ; art. 30)

(a) Actifs numériques et interfaces ouvertes. Le logiciel lui-même est libre (AGPLv3). Son code, de chaque version, est à l'adresse https://carnet.health/source/. L'interface du serveur de synchronisation et le format .carnet sont décrits publiquement et gratuitement, de quoi écrire un logiciel qui communique avec le service ou relit vos données (art. 26 let. b ; art. 30 § 2), à l'adresse https://carnet.health/format-carnet.html.

(b) Rien n'est exclu au titre du secret d'affaires (let. f) : le code est public. N'est pas remise la part de garde de la porte de récupération : la remettre compromettrait la sécurité du service (art. 30 § 6), et elle ne vous donnerait rien d'utilisable sans la clé de garde de l'Éditeur. Elle est détruite à l'effacement (M-5.4).

(c) Limites connues (art. 26 let. a).

• Le fichier .carnet ne se relit aujourd'hui qu'avec « Carnet », et avec vos secrets : mot de passe ou clé de secours ; la Feuille de récupération, tant que la part de garde existe (M-5.4 let. f).
• Changer de fournisseur reste complexe (art. 29 § 5) : aucun autre logiciel ne relit le .carnet, et les exports lisibles (lignes 6 et 7) ne s'importent pas tels quels ailleurs. L'export déchiffré (ligne 10) et la description publique du format (let. a) sont là pour le permettre. Cette information figure aussi sur la page de l'art. 28 (M-5.8 let. c ; art. 29 § 6).
• Le journal lisible est en clair : il contient les identités de vos patient·e·s. Rangez-le comme un dossier papier.
• Les identités des patient·e·s ne font l'objet d'aucune synchronisation continue. Hors du .carnet, elles ne quittent vos appareils que par les quatre canaux scellés de la clause 9.7 : l'enveloppe de récupération et le pli de secours de la relève restent sur le serveur, chiffrés, et font partie de la ligne 9.
• Un .carnet peut manquer de photos arrivées après lui : l'application le dit à l'export.

M-5.6 Aucuns frais de sortie

L'Éditeur ne facture aucun frais de changement de fournisseur, de transfert, d'export ou d'effacement (art. 29 § 1 : obligatoire dès le 12.01.2027 ; appliqué ici dès aujourd'hui). Les trente jours de la période transitoire, sa prolongation (M-5.2 let. c) et la période de récupération sont gratuits. Le règlement ne range parmi les frais de changement de fournisseur ni les frais de service standard ni les pénalités de résiliation anticipée (art. 2 point 36 ; considérant 89).

M-5.7 Partir en cours de période : remboursée au prorata, par Paddle

(a) Pendant l'accès anticipé comme après, vous partez à tout moment (M-5.1). La part payée d'avance et non utilisée vous est remboursée au prorata des jours restants, au jour près, sans recalcul, pénalité ni frais (clause 5.2), taxe correspondante comprise. Cela vaut aussi pour l'année payée d'avance : aucun engagement d'une durée déterminée, aucune remise reprise.

(b) Qui rembourse. L'Éditeur décide le remboursement et le fait exécuter par Paddle, sur le moyen de paiement utilisé lorsque c'est possible ; il ne peut pas vous rembourser lui-même. Il l'ordonne au plus tard dix (10) jours après la date de fin ou votre demande complète ; Paddle l'exécute ensuite, selon sa politique de remboursement (dans les quatorze jours de son approbation, selon la version lue le 23.09.2026 et relue le 09.10.2026). L'Éditeur inscrit le remboursement à son registre des paiements. Les frais de Paddle restent à la charge de l'Éditeur ; si votre carte est tenue dans une autre devise, votre banque convertit à son propre cours. Exemple en Allemagne, au prix de la page de prix (45 € par mois, 450 € par an, hors taxe ; Paddle y ajoute la taxe allemande) : à l'année, vous avez payé 450 € hors taxe ; vous partez le 100ᵉ jour ; 265 jours sur 365 restent ; vous recevez 326,71 €, plus la taxe que Paddle avait perçue sur cette part. Au mois, vous avez payé 45 € pour un mois de 30 jours ; vous partez le 10ᵉ jour ; vous recevez 30,00 €, plus la taxe correspondante.

(c) Ne pas renouveler reste possible jusqu'à la veille de l'échéance, sans frais (M-5.1 let. d). Les cas de la clause 5.2 let. c (faute de l'Éditeur, refus d'une modification, cessation du service, cession du contrat) sont remboursés de même, au prorata, sans recalcul.

(d) Si Paddle, de lui-même, annule un achat et vous en rembourse le prix entier (M-4 let. c), la période correspondante n'est plus payée ; un remboursement partiel que l'Éditeur fait exécuter n'arrête pas, à lui seul, le service géré.

M-5.8 Où sont les serveurs, et qui peut exiger d'y accéder (art. 28)

(a) Juridictions dont dépend l'infrastructure :

Paddle, qui vend, ne détient aucune donnée de votre dossier (M-1 let. d).

(b) Ce qui empêche l'accès d'une autorité étrangère :

• Chiffrement de bout en bout. L'Éditeur ne détient aucune clé qui lui permette, seul ou avec le serveur, de déchiffrer vos données. Il détient la seule clé de garde de la porte de récupération, inopérante sans vos 8 mots (clauses 1.3 et 10.8). Une autorité qui saisirait le serveur n'obtiendrait que des blocs inintelligibles (clause 9.14 let. a).
• Aucune porte dérobée, et l'engagement de ne jamais en créer (clauses 8.3 et 9.14 let. c).
• Aucun historique de connexion à remettre : les journaux d'accès des serveurs sont désactivés (clause 9.3). Deux traces seulement : les jours où votre journal a été horodaté (preuve d'intégrité), et, si vous utilisez le service de récupération, la date de chacune de ses étapes avec une empreinte à clé secrète de l'adresse IP.
• Le droit suisse fait écran. L'Éditeur ne remet rien sans un titre écrit d'une autorité compétente selon le droit suisse. Une autorité étrangère doit passer par l'entraide judiciaire, notamment celle de la loi fédérale sur l'entraide internationale en matière pénale (EIMP, RS 351.1). Accomplir en Suisse, sans autorisation, pour un État étranger, des actes qui relèvent des pouvoirs publics est une infraction (art. 271 du Code pénal suisse).
• Une réquisition suisse, elle, peut contraindre l'Éditeur. L'Éditeur vous informe avant toute remise, sauf si la loi le lui interdit (clause 9.14 let. b), pour que vous puissiez faire valoir vos droits. Il ne remet que ce que le titre exige, et au plus ce que décrit la clause 9.14 let. a : des blocs qu'il ne peut pas lire, les métadonnées de la clause 9.3 et, le cas échéant, la part de garde, insuffisante seule.
• L'Éditeur ne détient aucune donnée dans l'Union, sauf les copies de Proton Drive éventuellement stockées en Allemagne, chiffrées deux fois et illisibles pour Proton.

(c) Ces informations sont tenues à jour sur les deux pages que vise l'art. 28 § 2 : la présente annexe, à l'adresse https://carnet.health/annexe-monde.html, et la politique de confidentialité, https://carnet.health/confidentialite.html (§ 5 et 6).

M-6 Protection des données

M-6.1 Qui fait quoi (pour toute Cliente de la présente annexe)

(a) Vous êtes responsable du traitement des données de vos patient·e·s (clause 9.1 ; dans l'Espace économique européen, art. 4 point 7 RGPD). Ce sont des données de santé : vous détenez la clé qui les rend lisibles.

(b) L'Éditeur est sous-traitant, par précaution, pour les seuls blocs chiffrés qu'il héberge (clause 9.2). Il ne peut pas les lire.

(c) L'Éditeur est responsable du traitement de ses propres données sur vous : courriel, pays et déclaration professionnelle de la souscription (tronc, I.3 et 9.3) ; reçus d'acceptation et de refus ; métadonnées techniques de votre compte (clause 9.3 : horodatages et volumes de synchronisation, données d'appairage, jours d'horodatage) ; registre des paiements (M-5.4 let. d) ; service de récupération ; sortie et effacement. La politique de confidentialité vous en informe.

(d) Paddle est responsable du traitement indépendant des données que vous lui donnez en payant — nom, courriel, adresse de facturation, moyen de paiement, le cas échéant numéro de TVA, adresse IP et données techniques de la page de paiement —, selon ses propres conditions et sa politique de confidentialité (https://www.paddle.com/legal/privacy). Il n'est pas un sous-traitant de l'Éditeur, et ne traite aucune donnée de patient·e. L'Éditeur ne lui communique que l'identifiant opaque de votre compte (M-1 let. d). Dans l'espace vendeur de Paddle, l'Éditeur peut voir ce que Paddle y affiche de votre achat ; il ne le recopie pas. Pour le seul chargement du module de paiement de Paddle sur la page de paiement de Carnet (M-2 let. c) et la transmission à Paddle que ce chargement provoque, l'Éditeur se tient pour responsable conjoint avec Paddle (art. 26 RGPD) ; la politique de confidentialité le dit (5.3).

(e) Registre. L'Éditeur tient un registre des traitements qu'il fait pour son compte et comme sous-traitant (art. 30 RGPD), et le remet à l'autorité de contrôle qui le demande.

(f) Délégué. L'Éditeur n'a pas désigné de délégué à la protection des données. À ce jour, compte tenu du nombre de clientes et de ce qu'il traite — des blocs chiffrés qu'il ne peut pas lire —, il estime que son activité de base ne consiste pas en un traitement à grande échelle de données de santé (art. 37 § 1 let. c RGPD). Il réévalue ce point chaque année et à l'ouverture de chaque pays.

(g) Représentant. L'Éditeur n'a pas désigné de représentant dans l'Union (art. 27 RGPD), ni au Royaume-Uni (art. 27 du RGPD britannique), ni dans aucun autre pays. Vous, les personnes concernées et les autorités vous adressez directement à l'Éditeur : , +41 77 276 96 99, Rue du Bourg 55, 3960 Sierre, Suisse. Cela ne retire aucun droit, ni à vous ni aux personnes concernées.

M-6.2 Espace économique européen : les clauses types de la Commission (art. 28 RGPD)

Pour la Cliente établie dans un État de l'Union européenne, en Islande, au Liechtenstein ou en Norvège (Espace économique européen ; le RGPD y est repris par l'accord EEE, par la décision du Comité mixte de l'EEE n° 154/2018 du 06.07.2018, en vigueur depuis le 20.07.2018) :

(a) Le contrat qu'exige l'art. 28 § 3 RGPD — un contrat « au titre du droit de l'Union ou du droit d'un État membre » — est formé des clauses contractuelles types entre responsables du traitement et sous-traitants adoptées par la Commission européenne : décision d'exécution (UE) 2021/915 de la Commission du 4 juin 2021, annexe « Clauses contractuelles types », publiée au Journal officiel de l'Union européenne, L 199 du 7.6.2021, p. 18, soumises au droit de votre État (let. f).

• Texte officiel, version française : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32021D0915
• Identifiant européen (ELI) : http://data.europa.eu/eli/dec_impl/2021/915/oj

(b) Elles sont incorporées par renvoi, sans aucune modification (clause 2 let. a des clauses) : sections I à III, clauses 1 à 10, avec les options de la let. d et les annexes I à IV remplies en let. k. Le texte officiel est joint à la confirmation de souscription, et remis sur demande. Elles complètent l'accord de sous-traitance « Carnet » (DPA) sans le remplacer (let. e).

(c) Envers ses sous-traitants ultérieurs (annexe IV), l'Éditeur tient les engagements de la clause 7.7, let. b à d :

• un contrat qui leur impose, en substance, les mêmes obligations de protection des données (let. b), dont il vous remet copie sur demande (let. c) ;
• il répond envers vous de leur exécution (let. d).

Clause du tiers bénéficiaire (clause 7.7 let. e) : un écart, dit tel qu'il est. La let. e demande à l'Éditeur de convenir avec chacun d'eux d'une clause par laquelle, s'il a matériellement disparu, a cessé d'exister en droit ou est devenu insolvable, vous pouvez résilier leur contrat et leur faire effacer ou renvoyer vos données. Les contrats de l'Éditeur avec ses deux sous-traitants ultérieurs ne contiennent pas cette clause, et ces contrats d'adhésion ne la prévoient pas : l'accord sur le traitement des données d'Infomaniak (art. 5.3 et 13.1) et le « Data Processing Agreement » de Proton (version du 10 février 2026, art. 5 et 11) imposent à leurs propres sous-traitants un contrat au moins aussi protecteur et renvoient aux clauses types de l'Union, sans clause du tiers bénéficiaire en votre faveur. Vous n'avez donc pas, envers eux, le droit direct de la let. e. Ce qui en tient lieu, et seulement cela :

• en cas de décès ou d'incapacité durable de l'Éditeur, le mandataire technique de la clause 11.5 vous en notifie dans les trente (30) jours, maintient la lecture et l'export de vos données pendant le préavis, puis remet ou détruit les éléments de garde sous procès-verbal ; les accès à l'hébergeur sont séquestrés à cette fin (clause 11.5 let. b et c) ;
• si l'Éditeur devient insolvable, ou disparaît autrement que par son décès ou son incapacité, aucun mécanisme contractuel ne remplace la let. e ;
• dans tous les cas, ce que ces sous-traitants hébergent est chiffré de sorte que ni eux, ni l'Éditeur seul, ne peuvent le lire (clause 1.3) ; et vos données restent complètes sur votre appareil, exportables à tout moment (clause 8.4).

(d) Options retenues :

(e) Primauté. Selon leur clause 4, les clauses types priment tout accord connexe : le contrat, le tronc, la présente annexe et l'accord de sous-traitance « Carnet » (DPA). C'est une exception à la règle de priorité du DPA : son préambule, let. c, fait prévaloir le texte le plus protecteur sur un point de protection des données, et le contrat de service pour le surplus. Le DPA continue de s'appliquer comme garantie supplémentaire, dans la mesure où il ne contredit pas les clauses types (leur clause 2 let. b). Ce qu'il dit du droit suisse — renvois à la LPD et au Préposé fédéral, opposition limitée aux « justes motifs » — ne restreint aucun droit que les clauses types vous donnent.

(f) Droit applicable aux clauses types. Les clauses types, et le traitement qu'elles régissent, sont soumis au droit de l'État où vous êtes établie (votre lieu d'exercice déclaré). Le contrat qu'exige l'art. 28 § 3 est ainsi conclu « au titre du droit d'un État membre ». Pour le reste, le contrat reste soumis au droit suisse (M-7). Le for est celui de M-7, sans préjudice de votre droit de saisir une autorité de contrôle (let. l).

(g) Nouveau sous-traitant ultérieur (clause 7.7, option 2). L'Éditeur vous informe par courriel, trente (30) jours au moins avant d'ajouter ou de remplacer un sous-traitant ultérieur, avec les informations utiles. Vous pouvez vous y opposer sans donner de motif. Cette règle remplace, pour vous, la clause 9.6 du contrat et la section 9.3 du DPA. Si vous vous opposez :

• l'Éditeur ne recourt pas à ce sous-traitant pour vos données ;
• s'il ne le peut pas, parce que le serveur est commun à toutes les clientes, vous pouvez résilier sans frais avant le changement. La part payée d'avance vous est remboursée au prorata des jours restants, sans recalcul (M-5.7), et la sortie suit M-5. Le même préavis vaut pour un changement de revendeur (M-1), qui n'est pas un sous-traitant ultérieur des blocs chiffrés (clause 9.6, second alinéa).

(h) Violation de données (clause 9.2). « Dans les meilleurs délais » signifie, pour l'Éditeur, au plus tard quarante-huit (48) heures après qu'il en a connaissance (clause 9.8 ; DPA, 11.1), avec le contenu de la clause 9.2 et un point de contact nommé. Il n'existe pas de guichet unique : cette annonce vous permet de notifier votre autorité dans les soixante-douze heures (art. 33).

(i) Audits (clause 7.6 let. c et d). L'Éditeur vous remet d'abord, sans frais, la documentation : annexes III et IV à jour, code source de la version en service, attestations d'effacement. Vous pouvez faire procéder à une inspection, par vous-même ou par un auditeur indépendant tenu au secret, lorsque vous l'estimez nécessaire ou en présence d'un indice de manquement, moyennant un préavis raisonnable, sans porter atteinte à la confidentialité des autres clientes. Chaque partie supporte ses frais ; le DPA (section 13) s'y ajoute là où il vous est plus favorable.

(j) Assistance, instructions, personnes autorisées, fin du traitement (clauses 8, 7.1, 7.4 let. b et 10 let. d). L'Éditeur ne peut pas lire vos données : son assistance tient compte de cette nature du traitement. Il vous transmet sans délai toute demande qu'il reçoit d'une personne concernée, sans y répondre lui-même, et vous fournit les outils qui vous permettent d'y répondre : dossier complet par patient·e, exports (M-5.5), effacement (M-5.4) ; et les informations utiles à une analyse d'impact. Le contrat, la présente annexe et vos réglages dans l'application (synchronisation, porte de récupération, appairage, relève) sont vos instructions documentées ; une réquisition d'une autorité suisse suit M-5.8 let. b. L'Éditeur travaille seul, sans personnel ; il est tenu au secret (clauses 9.4 et 9.13) ; le mandataire technique de la clause 11.5 s'engage par écrit à la confidentialité avant tout accès. À la fin du traitement, à votre choix, l'Éditeur efface vos données et vous l'atteste, ou vous les renvoie (M-5.5) puis efface ; les délais sont ceux de M-5.3 et M-5.4, sauvegardes comprises.

(k) Annexes I à IV des clauses types.

Annexe I — Liste des parties

Annexe II — Description du traitement (matière : annexe 1 du DPA, sans les briques suisses)

Annexe III — Mesures techniques et organisationnelles

L'annexe III des clauses types est l'annexe 3 du DPA « Carnet », tenue à jour, sauf son paragraphe « Envoi direct des factures (connecteur) », sans objet hors de Suisse. Elle décrit concrètement, notamment :

• le chiffrement de bout en bout (libsodium, ChaCha20-Poly1305), la clé maîtresse de 32 octets détenue sur l'appareil seulement, la dérivation Argon2id, le plancher de 12 caractères ;
• le serveur « aveugle », le type d'opération masqué, l'absence de journal d'accès, l'adresse IP gardée en mémoire vive seulement (sauf l'empreinte à clé secrète du journal de récupération) ;
• TLS et HSTS, SSH par clé, pare-feu, fail2ban ; l'écrasement des pages effacées de la base ;
• les sauvegardes quotidiennes vérifiées et leur rotation : sur le serveur, puis un an au plus hors du serveur ; ce que la rotation retire de Proton Drive peut subsister, chiffré deux fois, dans sa corbeille (M-5.4 let. c) ;
• le cloisonnement des compartiments de relève et leur fin réelle ;
• la porte de récupération : part de garde hors serveur, carence de 72 heures (plancher de 24 heures codé en dur), veto, vérification d'identité, journal inaltérable ;
• la sortie : lecture seule codée, effacement en une transaction, reçu et attestation.

Mesures d'assistance (clauses 8 et 9) : transmission sans délai des demandes reçues ; annonce d'une violation dans les 48 heures ; outils d'export et de droit d'accès ; documentation sur demande.

Annexe IV — Liste des sous-traitants ultérieurs (liste convenue, clause 7.7, option 2)

Pour être complet : reçoivent des signaux d'exploitation, jamais une donnée de la Cliente ni un identifiant de compte, et ne sont donc pas des sous-traitants : healthchecks.io (SIA Monkey See Monkey Do, Riga, Lettonie), ntfy.sh (ntfy LLC, Connecticut, États-Unis), les calendriers OpenTimestamps (empreinte de 32 octets). La messagerie de contact (Proton, Suisse) ne doit recevoir aucune donnée de patient (clause 6.2). Paddle, revendeur, n'est pas un sous-traitant des blocs chiffrés : il ne reçoit de l'Éditeur que l'identifiant opaque de votre compte (M-1 let. d ; M-6.1 let. d).

(l) Autorités de contrôle. Vous-même, et toute personne concernée, pouvez introduire une réclamation auprès de l'autorité de contrôle de l'État de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation alléguée (art. 77 RGPD). Par exemple : Belgique — Autorité de protection des données (www.autoriteprotectiondonnees.be) ; Espagne — Agencia Española de Protección de Datos (www.aepd.es) ; Norvège — Datatilsynet (www.datatilsynet.no). L'Éditeur n'a pas d'établissement dans l'Union : aucune autorité n'est « chef de file ».

(m) Transfert vers la Suisse : par adéquation (clause 1 let. f et clause 7.8). Le traitement a lieu en Suisse. La Commission a constaté que la Suisse offre un niveau de protection adéquat (décision 2000/518/CE du 26.07.2000, article premier), décision maintenue par l'art. 45 § 9 RGPD et reconduite par le rapport de la Commission du 15.01.2024, COM(2024) 7 final. Aucune autre garantie n'est donc requise pour ce transfert : les clauses types de la présente section sont celles de l'art. 28, pas des clauses de transfert. Les sous-traitants ultérieurs sont en Suisse, en Allemagne ou en Norvège (annexe IV).

M-6.3 Royaume-Uni

(a) Pour la Cliente établie au Royaume-Uni, les renvois de M-6.2 au RGPD se lisent comme des renvois aux articles de même numéro du RGPD britannique (« UK GDPR »), lu avec le Data Protection Act 2018, et l'autorité de contrôle est l'Information Commissioner's Office (ico.org.uk).

(b) Le contrat de sous-traitance qu'exige l'art. 28 § 3 du RGPD britannique est formé des clauses de M-6.2, reprises comme stipulations du contrat, en substance et sans retrait, et soumises au droit de la partie du Royaume-Uni où vous êtes établie (Angleterre et pays de Galles, Écosse ou Irlande du Nord).

(c) Transfert vers la Suisse : le droit britannique tient un transfert vers la Suisse pour approuvé, comme par un règlement pris en vertu de l'art. 45A du RGPD britannique, en reprenant la décision 2000/518/CE (Data Protection Act 2018, annexe 21, par. 4 al. 1 et par. 5 al. 1 let. e et al. 2 let. a ; texte lu sur legislation.gov.uk le 03.10.2026, à jour à cette date). Aucune autre garantie n'est requise.

M-6.4 Autres pays

(a) Hors de l'Espace économique européen et du Royaume-Uni, le contrat de sous-traitance qui vous lie à l'Éditeur pour les blocs chiffrés est formé de la section 9 du contrat, du DPA « Carnet » et de M-6.2 let. c, g à j, appliqués à titre contractuel. En Argentine, au Chili, au Panama et en Uruguay, M-11 le précise (rôles, transfert vers la Suisse, garanties).

(b) Si le droit de votre pays exige, pour ce traitement ou pour son hébergement en Suisse, une garantie, une formalité ou un hébergement que ces textes ne donnent pas, il vous appartient de l'accomplir (tronc, clause F) ; si ce droit interdit l'hébergement en Suisse, votre pays est fermé (M-3 let. b) et le service géré ne peut pas vous être fourni (tronc, 9.7 let. e).

M-7 Droit applicable et for (complète la clause 13.2, telle que le tronc la remplace)

(a) Droit applicable. Le contrat reste soumis au droit suisse (clause 13.1, telle que le tronc la lit). Dans l'Union, ce choix vaut entre professionnels (règlement (CE) n° 593/2008, « Rome I », art. 3) ; devant un juge d'un autre État, son effet est celui que lui donnent les règles de conflit de ce juge. Il ne touche ni aux règles de protection des données qui s'appliquent selon leur propre champ (art. 3 RGPD), ni aux lois de police, ni au droit qui régit les clauses types (M-6.2 let. f ; M-6.3 let. b).

(b) For. La clause 13.2 du tronc s'applique : les tribunaux de Sierre (canton du Valais, Suisse) sont seuls compétents, pour l'une comme pour l'autre partie ; l'Éditeur renonce à agir au for de votre domicile ou de votre siège. Les fors impératifs sont réservés. Ce qui suit dit, selon votre pays, sur quoi cette clause repose.

(c) État membre de l'Union, Islande, Norvège. La clause repose sur l'art. 23 de la Convention de Lugano du 30.10.2007 (RS 0.275.12), en vigueur pour l'Islande depuis le 01.05.2011 : des parties dont l'une au moins est domiciliée dans un État lié par la convention peuvent convenir d'un tribunal d'un État lié, et sa compétence est exclusive (§ 1). La convention conclue par voie électronique, d'une manière qui permet d'en consigner durablement le texte, vaut écrit (§ 2) : c'est l'objet de l'enregistrement du contrat avant votre acceptation (tronc, I.6 ; CJUE, 21.05.2015, El Majdoub, C-322/14). Devant un juge de l'Union, c'est cette convention qui s'applique (Convention de Lugano, art. 64 § 2 let. a ; règlement (UE) n° 1215/2012, art. 73 § 1). Les seules limites de l'art. 23 § 5 (assurance, consommation, travail) ne visent pas un contrat conclu pour l'activité professionnelle (tronc, I.3).

(d) Royaume-Uni, et tout État partie à la Convention de La Haye du 30.06.2005 sur les accords d'élection de for (la Suisse l'est depuis le 01.01.2025 ; liste des États parties tenue par la Conférence de La Haye). La clause repose sur cette convention :

• le tribunal désigné est compétent, sauf si la clause est nulle selon le droit suisse (art. 5 § 1) ;
• un tribunal d'un autre État partie saisi malgré elle doit, en principe, surseoir à statuer ou se dessaisir (art. 6), sous les exceptions qu'énonce cet article ;
• le jugement du tribunal désigné est reconnu et exécuté dans les autres États parties (art. 8 § 1), sous les motifs de refus de l'art. 9 ;
• elle ne vaut pas pour un contrat de consommation (art. 2 § 1 let. a) : c'est pourquoi la déclaration professionnelle compte (tronc, I.3).

(e) Liechtenstein et autres pays. Devant un juge suisse, la clause vaut par l'art. 5 LDIP (RS 291). L'Éditeur n'a pas vérifié si un juge de votre pays, saisi par l'une des parties, se dessaisirait au profit de Sierre, ni à quelles conditions un jugement de Sierre y serait exécuté. La clause ne vous retire aucun for que le droit de votre pays vous garantit impérativement. L'Argentine, le Chili, le Panama et l'Uruguay relèvent de la présente lettre (M-11.8).

(f) L'achat chez Paddle. Un litige qui porte sur le paiement lui-même, entre vous et Paddle, suit les conditions d'achat de Paddle, qui désignent leur propre droit et leurs propres tribunaux (lues le 23.09.2026 et relues le 09.10.2026 : pour une acheteuse qui n'est pas consommatrice, le droit anglais et les tribunaux d'Angleterre). Ce qui touche le service géré, ce que l'Éditeur vous doit et ce que vous lui devez, suit les let. a à e.

M-8 Support et langue

(a) Le support vous est donné dans votre langue : français, anglais, allemand, italien ou espagnol, par courriel à , avec un délai de réponse indicatif de quarante-huit heures ouvrées (clause 3.6). Une autre langue : en français.

(b) Le texte français fait foi (tronc, clause L). Les traductions de courtoisie du contrat et de la présente annexe (tronc, clause L let. a bis) vous aident à lire ; elles ne font pas foi.

(c) Les courriels que l'Éditeur vous adresse au fil du contrat — confirmation de souscription, lien de paiement, sortie, attestation d'effacement — partent dans la langue de votre interface, lorsqu'elle est l'une des cinq langues de l'alinéa a. Hors du français, la confirmation de souscription et l'attestation d'effacement sont des traductions de courtoisie, accompagnées de leur texte français, qui fait foi.

M-9 Mentions propres à la zone (tronc, 14.2)

À la souscription, l'écran d'acceptation présente, mises en évidence avec les clauses spécialement signalées du tronc et avant le bouton d'acceptation, les mentions propres à la présente annexe. Vous les acceptez par le même geste unique qui accepte le contrat, horodaté et rattaché à sa version ; aucune case n'est à cocher :

• (M-a) la déclaration de la clause 4.1ter du contrat : « Je ne soigne pas de patients en France avec ce compte » (M-3 let. d) ;
• (M-b) la vente par Paddle : Paddle vend, encaisse, perçoit la taxe, renouvelle l'abonnement à chaque période jusqu'à sa résiliation, et rembourse ; ses conditions d'achat s'appliquent au paiement (M-1, M-2) ;
• (M-c) le for de Sierre et ce qu'il vaut dans votre pays (M-7).

M-10 Ce que l'annexe MONDE change

M-11 Argentine, Chili, Panama et Uruguay

Cette section s'applique à la Cliente dont le lieu d'exercice déclaré est en Argentine, au Chili, au Panama ou en Uruguay (décision de l'Éditeur du 08.10.2026). Elle complète les sections qui précèdent ; là où elle y déroge, elle le dit, et elle prime.

M-11.1 Prix et taxe (déroge à M-1 let. a et à M-2 let. d)

(a) Le prix est en dollars des États-Unis (USD), hors taxe, par siège, au mois, ou à l'année pour dix mensualités, au montant que la page de prix publie pour votre pays (M-2 let. a). Si le paiement passe par une autre monnaie, le cours appliqué ne dépend pas de l'Éditeur.

(b) Paddle perçoit et déclare les taxes que la loi de votre pays met à sa charge, et vous les montre avant le paiement. Au jour de la publication de la présente annexe, Paddle ajoute au prix la TVA de 19 % au Chili et de 22 % en Uruguay ; il n'ajoute aucune taxe en Argentine ni au Panama. Ces taux et cette liste sont ceux de Paddle (https://www.paddle.com/help/sell/tax/which-countries-does-paddle-charge-sales-tax-or-vat-for, lue le 08.10.2026 et relue le 09.10.2026) ; l'Éditeur ne les fixe pas et ne promet pas qu'ils demeurent. La page de paiement de Paddle vous permet d'indiquer votre numéro fiscal ; l'effet de ce numéro sur la taxe est celui que Paddle lui donne. Le montant que Paddle vous montre avant le paiement fait foi. Toute taxe, retenue ou déclaration que la loi de votre pays met à votre charge reste la vôtre.

(c) Le reste de M-2 s'applique tel quel.

M-11.2 Acheteuse professionnelle (précise M-4)

(a) Vous souscrivez pour votre activité professionnelle (M-4 let. a). Les lois de protection des consommateurs de ces pays protègent la personne qui acquiert un bien ou un service comme destinataire final : en Argentine, la loi 24.240, art. 1 ; en Uruguay, la loi 17.250, art. 2, qui exclut en outre qui acquiert un service pour l'intégrer à une activité de production ou de commercialisation ; au Chili, la loi 19.496, art. 1 ch. 1. L'Éditeur ne vous traite donc pas comme consommatrice.

(b) Au Chili, la loi 20.416, art. 9, rend applicables certaines règles de la loi 19.496 aux actes conclus entre une micro ou petite entreprise et ses fournisseurs, sans qu'on puisse y renoncer d'avance. Si votre cabinet en relève, ces règles s'appliquent (M-4 let. b).

(c) Au Panama, la loi 45 de 2007 protège le consommateur ; l'Éditeur n'a pas lu sur le texte officiel la définition qu'elle en donne. Si cette loi s'applique à votre achat, ses règles s'appliquent (M-4 let. b).

(d) Dans tous les cas, l'essai de trente (30) jours sans paiement, la sortie à tout moment et le remboursement au prorata (M-5.1, M-5.7) vous sont acquis, et ce que Paddle vous accorde de lui-même s'y ajoute (M-4 let. c).

M-11.3 Qui est responsable de quoi (précise M-6.1)

(a) Vous êtes responsable des données de vos patient·e·s — du traitement ou de la base de données, selon les termes de la loi de votre pays. Ce sont des données de santé, que ces lois rangent parmi les données sensibles. L'Éditeur n'en détient qu'une forme chiffrée, qu'il ne peut pas lire ; il les héberge pour votre compte, sur vos instructions (M-6.1 let. b ; M-6.4 let. a).

(b) L'Éditeur est responsable de ses propres données sur vous (M-6.1 let. c) ; la politique de confidentialité vous dit, pour chacun de ces pays, la loi qu'il applique, vos droits et l'autorité que vous pouvez saisir.

(c) Paddle est responsable des données que vous lui donnez en payant (M-6.1 let. d).

M-11.4 Transfert vers la Suisse (précise M-6.4 let. a)

Le serveur, les sauvegardes et l'Éditeur sont en Suisse (M-5.8 let. a). Pour ce transfert :

(a) Argentine. La loi 25.326 n'admet le transfert que vers un pays qui offre une protection adéquate (art. 12). La Suisse figure parmi les pays dont la législation est tenue pour adéquate (disposition de la Direction nationale de la protection des données personnelles n° 60-E/2016).

(b) Uruguay. La loi 18.331 subordonne le transfert à une protection adéquate (art. 23). L'Unité de régulation et de contrôle des données personnelles (URCDP) a reconnu la Suisse adéquate (résolution n° 23/021 du 08.06.2021).

(c) Chili. Jusqu'à l'entrée en vigueur de la loi 21.719, la loi 19.628 s'applique. Dès cette entrée en vigueur, et tant que l'Agence de protection des données personnelles n'a pas reconnu la Suisse comme adéquate, la présente section, avec la section 9 du contrat, le DPA « Carnet » et M-6.2 let. c, g à j appliqués à titre contractuel, forme les clauses contractuelles qui offrent les garanties adéquates au sens de l'art. 27 de la loi 21.719. Si l'Agence publie des clauses types, M-11.9 let. a s'applique.

(d) Panama. La loi 81 de 2019 admet notamment le transfert nécessaire à l'exécution de la relation juridique entre le responsable et la personne concernée, et celui qui est nécessaire à la prestation d'assistance sanitaire ou à la gestion de services de santé (art. 33). Le transfert de vos données vers la Suisse est nécessaire à l'exécution du présent contrat, et celui des blocs chiffrés de vos patient·e·s à la tenue de leur dossier de soins.

(e) Ce que la loi de votre pays exige en outre de vous pour ce transfert — information de vos patient·e·s, consentement, mention dans votre propre registre — vous incombe (M-6.4 let. b).

M-11.5 Garanties

(a) Chiffrement de bout en bout : vos dossiers sont chiffrés sur vos appareils ; l'Éditeur ne détient aucune clé qui lui permette, seul ou avec le serveur, de les déchiffrer, et le serveur ne peut pas les lire (M-5.8 let. b).

(b) Les engagements de M-6.2 let. c, g à j s'appliquent à titre contractuel (M-6.4 let. a) : sous-traitants ultérieurs tenus aux mêmes obligations, information trente (30) jours avant tout changement et opposition, annonce d'une violation dans les quarante-huit (48) heures, audits, assistance, effacement ou restitution en fin de traitement. Les mesures techniques sont celles de l'annexe III (M-6.2 let. k).

(c) L'Éditeur ne cède aucune donnée à un tiers. Paddle ne reçoit que l'identifiant opaque de votre compte (M-1 let. d).

M-11.6 Vos devoirs selon votre droit

(a) Le secret professionnel, l'information et, s'il est exigé, le consentement de vos patient·e·s, ainsi que la durée de conservation de leur dossier, relèvent de votre droit et vous incombent (clause 10.2, telle que le tronc la lit ; M-5.4 let. e). Par exemple, en Argentine, la loi 26.529 fixe une durée minimale de dix (10) ans dès la dernière inscription au dossier (art. 18). Le service géré ne fixe ni ne garantit une durée légale de conservation : votre dossier vit sur vos appareils, et vous l'exportez avant toute fin du service (M-5.5).

(b) Inscriptions. Si votre droit exige d'inscrire votre base de données auprès d'une autorité — ainsi en Uruguay (loi 18.331, art. 29) ou en Argentine (loi 25.326, art. 21 et 24) —, l'inscription vous incombe. L'Éditeur vous remet, sur demande, les informations utiles sur le traitement qu'il fait pour vous (M-6.2 let. k).

M-11.7 L'Éditeur, pour ses propres données

(a) Canal de contact. Vous, vos patient·e·s et les autorités de ces pays joignez l'Éditeur à , adresse qu'il maintient à jour et en service ; au Chili, c'est le moyen de contact que la loi 21.719 demande au responsable qui n'y est pas domicilié. L'Éditeur n'a désigné de représentant dans aucun de ces pays (M-6.1 let. g).

(b) Délégué. L'Éditeur n'a pas désigné de délégué à la protection des données (M-6.1 let. f). En Uruguay, la loi 19.670 (art. 40) en exige un de certaines entités, dont celles qui traitent des données sensibles comme activité principale ; ne traitant que des blocs chiffrés qu'il ne peut pas lire, l'Éditeur estime ne pas en relever, et réévalue ce point chaque année.

M-11.8 Droit applicable, for et langue

(a) Le contrat reste soumis au droit suisse (M-7 let. a), sous réserve des dispositions impératives du droit de votre pays, notamment ses règles de protection des données, qui s'appliquent selon leur propre champ.

(b) Le for suit M-7 let. b et e : aucun de ces quatre pays n'est partie à la Convention de La Haye du 30.06.2005.

(c) Le texte français fait foi (M-8 let. b). Une traduction de courtoisie en espagnol du contrat et de la présente annexe existe (tronc, clause L let. a bis) ; le tronc n'en a pas encore ; le support vous répond en espagnol (M-8 let. a).

M-11.9 Adaptation

(a) Chili. La loi 21.719 entre en vigueur le 01.12.2026, selon son texte ; un report est en discussion. À son entrée en vigueur, la présente section s'y lit. Si l'Agence de protection des données personnelles reconnaît la Suisse adéquate, le transfert repose sur cette reconnaissance ; si elle publie des clauses types, l'Éditeur les propose dans une nouvelle version de la présente annexe.

(b) Toute autre réforme du droit argentin, chilien, panaméen ou uruguayen qui l'exige donne lieu à une nouvelle version de la présente annexe, selon la clause 12.