Contrat d'édition et de service « Carnet » — Conditions générales

Cette page reproduit le texte intégral du contrat que l'application fait accepter, et elle est régénérée depuis ce texte à chaque mise en ligne. Version de l'app en ligne : v1.5.1 (déployée le 11.10.2026).

Parties

• L'Éditeur : David Lambrecht, éditeur du logiciel « Carnet », Sierre (Valais), Suisse.
• Le Client : le·la professionnel·le de santé indépendant·e utilisateur·rice du logiciel, agissant dans le cadre de son activité professionnelle (non-consommateur au sens de l'art. 32 CPC).

Version : 2026-10-10, en vigueur depuis le 10 octobre 2026 (remplace la version 2026-10-09 ; identifiant unique partagé avec l'application : la version acceptée par le Client et l'horodatage de son acceptation sont enregistrés par l'application et transmis en reçu au serveur, cf. section 14).

Avant d'accepter — les clauses spécialement signalées. Ce contrat s'accepte d'un seul geste, horodaté et rattaché à sa version (section 14). Les clauses ci-dessous vous engagent plus que les autres : chacune porte, dans le texte, la mention « clause spécialement signalée » et son essentiel y est écrit en gras. Les voici, en clair :

- Responsabilité de l'Éditeur limitée : pour une faute légère, au plus élevé des redevances des douze derniers mois et de CHF 10'000.—, par événement et au total pour une année contractuelle, sans les dommages indirects ; le dol, la faute grave et les dispositions impératives restent réservés (7.4, 7.5) ; - Prétentions des patients et des tiers : vous relevez l'Éditeur de celles qui naissent de votre usage, de vos données ou de vos décisions de soins (7.7) ; - Aucune récupération sans vos secrets : si vous perdez tous vos moyens d'accès (mot de passe, clé de secours, Feuille de récupération, et le contact de secours si vous l'avez activé), vos données sont perdues pour toujours ; l'Éditeur ne peut pas les rouvrir (7.9, 10.5, 10.6) ; - For à Sierre (Valais) : un litige se juge devant les tribunaux de Sierre, sous réserve des fors impératifs (13.2) ; - Modifications du contrat : les mineures sont réputées acceptées si vous ne résiliez pas dans les trente jours (12.1) ; une modification substantielle attend votre « J'accepte » ou votre « Je refuse » — sans réponse de votre part trente jours après qu'elle vous a été présentée, la synchronisation attend votre réponse, l'application continuant de fonctionner sur votre appareil (12.2) ; - Porte de récupération et dépositaires : ce que l'Éditeur garde, et à quelles conditions il le rend (10.8, 9.11) ; - Pas d'assurance de l'Éditeur : à la date de cette version, l'Éditeur n'a conclu aucune assurance de responsabilité civile et n'en promet aucune ; il répond de ses engagements sur son patrimoine, dans les limites de la section 7, et sa responsabilité légale (LRFP) reste entière (3.5, 7.11) ; - Patient·e·s soigné·e·s en France : vous déclarez ne pas en soigner avec ce compte — ni avec le service géré, ni avec une fonction qui dépose des données sur le serveur (relève, récupération, filet de secours, transfert entre appareils) ; si cette déclaration est fausse, l'Éditeur peut résilier le contrat, et vous répondez seul·e des conséquences légales en France (4.1ter) ; - Périmètre cantonal (2.5), accès anticipé — phase bêta (3.8), TVA (5.5), demandes d'autorités (9.14), cession du contrat (12.4) ; - à la souscription seulement : l'abonnement payant ne commence qu'avec votre confirmation, au terme de l'essai gratuit de trente jours — sans confirmation, le service géré s'arrête et l'usage local continue (5.1bis) —, la part payée d'avance gardée par l'Éditeur s'il résilie pour une faute de votre part — dans tous les autres cas, elle vous est remboursée au prorata (5.2) —, remèdes exclusifs en cas d'indisponibilité (3.2), retrait d'une fonction pour sécurité ou conformité (12.3), version non installée (7.12), cessation du service avec préavis de 90 jours (11.3) — et les conditions de la souscription elle-même (5.6).

Cet encadré résume ; le texte des clauses fait foi.

1. Situation initiale et intention des parties

1.1 L'Éditeur développe et publie « Carnet », application web progressive (PWA) zero-knowledge de tenue du dossier de soins, de planification de la tournée et de facturation, destinée aux professionnel·le·s de santé indépendant·e·s exerçant en Suisse (Suisse romande en premier lieu) — voir la clause 2.5 (périmètre cantonal).

1.2 Le logiciel est publié sous licence libre GNU Affero General Public License version 3 (AGPLv3). Le code source est publiquement accessible et auditable à l'adresse https://carnet.health/source/ (archive de chaque version déployée, tags compris), pendant toute la durée d'exploitation du service. L'Éditeur ne vend pas une licence d'usage du code — libre par nature — mais des prestations de service (hébergement de la synchronisation aveugle, support, service de dépositaire, sauvegardes gérées).

1.3 « Carnet » repose sur une architecture zero-knowledge : l'intégralité du dossier est chiffrée de bout en bout sur l'appareil du Client, au moyen de clés dérivées de son seul mot de passe et de sa clé de secours. L'Éditeur n'a aucun accès aux données en clair et ne détient aucune clé lui permettant, seul ou conjointement avec le serveur, de déchiffrer les données du Client — ni mot de passe d'administration, ni porte dérobée. Il détient uniquement la clé privée de garde du mécanisme de récupération (section 10.5), qui ne desselle qu'une part de ce mécanisme, inopérante sans les 8 mots de la Feuille de récupération — ou, si le Client a expressément activé un contact de secours, sans le code remis à ce contact — secrets que l'Éditeur ne connaît jamais et qui ne transitent jamais par le serveur. Cette propriété est vérifiable dans le code source public (AGPLv3). La souveraineté du Client sur ses données est une propriété essentielle et voulue du produit, et non un défaut.

1.4 Les parties conviennent que cette architecture emporte des conséquences que le Client déclare avoir comprises et acceptées, en particulier : la garde du mot de passe et de la clé de secours, la réalisation des sauvegardes et la conservation légale du dossier incombent exclusivement au Client (sections 4 et 10).

2. Objet du contrat

2.1 Le présent contrat règle la mise à disposition du logiciel « Carnet » et la fourniture des prestations de service associées, ainsi que la répartition des droits et des responsabilités entre les parties. Il est un contrat innommé de durée portant sur des services informatiques continus (hébergement, synchronisation, sauvegardes, support) ; les règles de la vente (art. 197 ss CO) ne s'appliquent pas à la fourniture du logiciel libre.

2.2 Prestations de service (facturées, à l'exception de la let. d) : (a) hébergement en Suisse du service de synchronisation aveugle entre les appareils du Client ; (b) conservation de sauvegardes chiffrées ; (c) support ; (d) mise à disposition du connecteur d'envoi au réseau MediData (clause 9.7bis), programme libre installé chez le Client, qui s'utilise sans souscription (clause 5.1ter let. a) ; l'Éditeur n'achemine aucune facture et ne détient ni ne remet aucun certificat d'accès au réseau, le Client obtenant le sien de MediData dans le cadre de son propre raccordement ; (e) le cas échéant, service de dépositaire de la clé de secours.

2.3 Destination assignée du logiciel (intended purpose). L'Éditeur assigne au logiciel la destination strictement et exclusivement suivante : (i) tenir et conserver le dossier de soins sous le contrôle du·de la professionnel·le ; (ii) organiser les tournées, plannings et rappels administratifs ; (iii) préparer et transmettre les factures et documents administratifs (notamment OPAS/MediData) ; (iv) mettre à disposition du·de la professionnel·le des informations de référence documentaires qui reproduisent des sources publiées et citées (fiches de repères usuels par substance, barèmes et consignes officielles des instruments d'évaluation), sans application automatique aux données d'un patient déterminé ; les contrôles du logiciel se limitent à la qualité formelle des saisies et des documents (écriture des doses selon les règles ISMP, unités manquantes, vraisemblance de frappe). Le logiciel n'est destiné ni à établir un diagnostic, ni à prescrire, ni à surveiller des paramètres physiologiques, ni à déterminer ou recommander un traitement pour un patient déterminé, ni à se substituer à l'appréciation clinique.

2.4 Positionnement au regard du droit des dispositifs médicaux. Le logiciel est destiné à la tenue du dossier de soins, à l'organisation des tournées et à la facturation. Il n'est pas mis sur le marché en tant que dispositif médical : il n'exécute aucune fonction de diagnostic, de prévention, de surveillance, de prédiction ou de traitement pour un patient déterminé ; ses contrôles se limitent à la qualité formelle des saisies et des documents, et les informations de référence qu'il affiche reproduisent des sources publiées, citées, sans application automatique aux données d'un patient. Au regard de cette destination, de la fonctionnalité effective du logiciel et de l'arbre de qualification du guide MDCG 2019-11 Rev.1, l'Éditeur considère que le logiciel ne poursuit aucune des finalités médicales énumérées à l'art. 3 de l'ordonnance sur les dispositifs médicaux (ODim, RS 812.213) ni à l'art. 2 ch. 1 du règlement (UE) 2017/745 (MDR), et qu'il ne constitue donc pas un dispositif médical soumis à évaluation de la conformité. Les parties reconnaissent que la qualification de dispositif médical est objective : elle relève de l'appréciation de Swissmedic et, le cas échéant, du juge, et non de l'accord des parties. Le présent contrat documente le cadrage retenu par l'Éditeur ; il ne qualifie pas le logiciel de manière opposable aux autorités. L'Éditeur se réserve la faculté prévue à la section 12 d'adapter, restreindre ou retirer une fonction en cas d'évolution réglementaire ou d'avis contraire d'une autorité compétente.

2.5 Périmètre cantonal (clause spécialement signalée). Le logiciel est conçu pour l'exercice en Suisse romande : Valais, Vaud, Genève, Fribourg, Neuchâtel, Jura et canton de Berne (Jura bernois). Les textes cantonaux affichés — autorité de surveillance, relais de continuité des soins, lignes d'urgence, durée de conservation du dossier et règle de remplacement — suivent le canton du cabinet, déduit de son code postal ou confirmé par le Client ; ils citent la loi cantonale lue par l'Éditeur, et un fait qu'il n'a pas pu vérifier n'est pas affiché. Le répertoire des localités couvre toute la Suisse. Le décompte du financement résiduel des soins est préparé sur l'appareil du Client et suit le canton de domicile de l'assuré au jour du soin (art. 25a al. 5 LAMal), d'après l'adresse enregistrée au dossier ; un soin dont l'adresse ne désigne pas un seul canton n'est attribué à aucun tant qu'elle n'est pas précisée. Pour un assuré domicilié dans le canton du cabinet, le décompte est préparé pour le Valais (modèle officiel valaisan, centres médico-sociaux), Genève (modèle officiel), Fribourg (formulaire officiel du Service de la prévoyance sociale, pour les soins fournis du 01.10.2026 au 31.03.2027 ; pour les soins fournis dès le 01.04.2027, ce service exige que le décompte d'une infirmière autorisée à Fribourg soit établi par un organisme de facturation qu'il reconnaît, ce que l'Éditeur n'est pas et que le logiciel ne remplace pas), Berne (totaux à saisir dans le portail cantonal et feuille de preuve), le Jura et Neuchâtel (modèles officiels). Pour un assuré domicilié dans un autre canton que celui du cabinet, le logiciel prépare le document que ce canton demande lorsque l'Éditeur en connaît la démarche (Genève : décompte détaillé ; Fribourg et Neuchâtel : leur modèle) ; à défaut, il ne calcule aucun montant, et le Client déclare ces soins selon les règles du canton ou de la commune de domicile. Le Client dépose lui-même chaque décompte et en vérifie le contenu, tarifs appliqués compris, avant de le déposer. Pour Vaud, il déclare le résiduel selon les règles du canton, hors du logiciel, jusqu'à ce que sa couverture soit annoncée par écrit. Dans les autres cantons, les textes cantonaux sont neutres, et l'Éditeur ne garantit pas l'aptitude du logiciel à l'exercice dans un canton dont la couverture n'a pas été annoncée par écrit. Le reste du logiciel — dossier de soins, tournées, prescriptions OPAS, facturation à l'assurance obligatoire des soins et transmission MediData — repose sur du droit fédéral et des conventions nationales, et n'est pas affecté. Il appartient au Client de vérifier les exigences de son propre canton ; l'Éditeur l'assiste sur demande sans en répondre. Cette clause borne l'aptitude promise ; elle ne restreint aucun droit impératif du Client.

2.6 Le Client reconnaît qu'il peut exécuter « Carnet » sans souscrire au service géré, le code étant libre ; la redevance rémunère exclusivement le service, non le logiciel.

3. Obligations de l'Éditeur (obligation de moyens)

3.1 Nature de la prestation. L'Éditeur s'engage à fournir et à maintenir le logiciel et les services avec la diligence requise d'un prestataire de sa branche (obligation de moyens, non de résultat). Il ne garantit ni un résultat clinique, administratif ou financier déterminé, ni un fonctionnement ininterrompu et exempt de toute erreur, une telle absence totale de défaut étant techniquement impossible pour tout logiciel.

3.2 L'Éditeur met à disposition des mises à jour correctives et de sécurité et s'efforce de maintenir la disponibilité du service de synchronisation. Aucun niveau de service chiffré (SLA) n'est garanti ; en revanche : une indisponibilité du service de synchronisation imputable à l'Éditeur (la force majeure de la clause 7.8 étant réservée) excédant dix (10) jours consécutifs donne droit à un avoir au prorata sur la prochaine échéance ; au-delà de trente (30) jours, le Client peut résilier avec remboursement du prorata. (Clause spécialement signalée, 14.2 let. i :) Ces remèdes sont exclusifs de toute autre prétention pour la même cause, les art. 100 et 101 CO demeurant réservés. Le Client est rappelé à ce que l'application fonctionne en local pour la tenue du dossier, le planning, l'impression et la préparation des factures ; la synchronisation entre appareils dépend en revanche du service. La transmission des factures au réseau MediData n'en dépend pas : elle part du connecteur installé chez le Client, sous son propre certificat (9.7bis).

3.3 L'Éditeur assure une sécurité des données appropriée au risque (section 9) : chiffrement de bout en bout (sans détenir de clé), chiffrement des transports (TLS), cloisonnement et restriction des accès d'administration, sauvegardes chiffrées hors-site, hébergement en Suisse. Les journaux d'accès du service sont désactivés (clause 9.3).

3.4 L'Éditeur maintient le code source de la version officielle publiquement accessible — à l'adresse https://carnet.health/source/, archive de chaque version déployée — pendant toute la durée d'exploitation commerciale du service.

3.5 Assurance de responsabilité civile de l'Éditeur — aucune n'est promise (clause spécialement signalée, 14.2 let. f bis).

(a) À la date de la présente version, l'Éditeur n'a conclu aucune assurance de responsabilité civile couvrant son activité d'éditeur du logiciel et de prestataire du service géré. Il ne promet pas d'en conclure une, ni à une date, ni à une condition de volume ou de chiffre d'affaires, ni pour une étendue ou une somme déterminées ; aucune redevance n'est subordonnée à l'existence d'une telle assurance. Aucune disposition légale n'impose cette assurance à l'Éditeur pour l'activité que le présent contrat décrit.

(b) Ce que cela signifie pour le Client. L'Éditeur est une personne physique qui exerce en raison individuelle : il répond de ses engagements, dans les limites de la section 7, sur l'ensemble de son patrimoine, et non à concurrence d'une somme assurée. Le Client sait donc, avant d'accepter, qu'une créance de dommages-intérêts contre l'Éditeur n'est garantie par aucun assureur. Cette information n'étend ni ne restreint la responsabilité de l'Éditeur : le plafond de la clause 7.4 s'applique que l'Éditeur soit assuré ou non, et il demeure sans effet, comme la clause 7.11, pour le dol, la faute grave et la responsabilité que le droit impératif met à sa charge.

(c) Le Client conserve le choix. S'il estime que l'absence d'assurance ne lui convient pas, il peut refuser la présente version (clause 12.2) ou résilier (clause 11.1) avec remboursement de la fraction payée d'avance au prorata (clause 5.2), et il garde l'usage local de son logiciel et l'export de ses données (clause 8.4). Il est invité à s'assurer que sa propre assurance de responsabilité civile professionnelle couvre l'usage d'outils informatiques de tenue du dossier.

(d) Si l'Éditeur conclut une assurance plus tard, il peut en informer le Client et publier l'étendue de la couverture sur la page des prix ; cette information n'est pas une modification du contrat au sens de la section 12, elle ne crée aucune obligation de la maintenir et ne limite ni n'étend la responsabilité de l'Éditeur au-delà de ce que prévoient la section 7 et le droit impératif.

(e) Versions antérieures. Ce qui a été gratuit sous une version antérieure du contrat, notamment parce que l'Éditeur s'était engagé à n'encaisser aucune redevance avant d'être assuré, n'est jamais facturé après coup. Le Client qui n'a pas accepté la présente version reste régi par la version qu'il a acceptée, y compris cet engagement (clause 12.2, « Sans réponse »).

3.6 Support. L'Éditeur fournit le support par courrier électronique (), avec un délai de réponse indicatif de 48 heures ouvrées ; les anomalies de sécurité (6.3) sont traitées en priorité. Le support est compris dans la redevance (5.1). Il est donné dans la langue du Client, parmi celles que l'application offre : français, anglais, allemand, italien ou espagnol ; à défaut, en français. La langue du support ne change pas la langue qui fait foi (le texte français du contrat).

3.7 Raccordement MediData. Le raccordement direct au réseau MediData est en place depuis le 6 août 2026, par le connecteur installé sur l'ordinateur du Client. Pour un Client chez qui il n'est pas encore activé, le logiciel produit les fichiers de facturation au format officiel (XML validé), que le Client dépose lui-même sur le portail de son choix ; l'Éditeur l'indique loyalement avant la souscription.

3.8 Accès anticipé — phase bêta du service géré (clause spécialement signalée). Le service géré est ouvert en accès anticipé, qui est une phase bêta au sens technique : le logiciel évolue vite, plusieurs fois par semaine, et des interruptions, des régressions et des défauts sont possibles. L'Éditeur l'annonce avant toute souscription, sur l'écran de souscription et sur le site, plutôt que de le laisser découvrir au Client après coup.

Cette phase ne réduit aucune des obligations de l'Éditeur : sauvegardes (3.3, 9.5), service de récupération (10.8), remèdes en cas d'indisponibilité (3.2), export des données (11.4) et durabilité du format restent intégralement dus, et la responsabilité de l'Éditeur n'est allégée en rien du fait de l'accès anticipé.

Sortie sans perte. Pendant cette phase comme après, le Client peut résilier à tout moment, avec effet immédiat, sans frais ni justification ; la part payée d'avance et non utilisée lui est remboursée au prorata des jours restants (clauses 5.2 et 11.1). L'Éditeur annonce la fin de l'accès anticipé dans l'application et sur le site, au moins trente (30) jours à l'avance ; cette fin ne change ni le prix ni les conditions de sortie.

4. Obligations du Client — devoir de vérification

4.1 Le Client est un·e professionnel·le de santé habilité·e, seul·e responsable de ses actes, de ses décisions cliniques et de leur conformité aux règles de l'art, à la loi fédérale sur les professions de la santé (LPSan, RS 811.21 — art. 11 ss et 16), à la LPTh et à ses obligations professionnelles et déontologiques (Code déontologique du CII pour la profession infirmière).

4.1bis Garantie d'habilitation. Le Client garantit qu'il dispose de l'autorisation cantonale de pratiquer requise (art. 11 ss LPSan) ainsi que, pour l'usage de la facturation à charge de l'assurance obligatoire des soins et du raccordement MediData, d'un numéro RCC/ZSR valable. Il informe l'Éditeur sans délai de tout retrait ou suspension de ces habilitations. L'Éditeur n'assume aucun devoir de vérification de ces éléments. Le raccordement MediData étant celui du Client, établi sous son propre certificat (9.7bis let. d), l'Éditeur n'a aucun moyen de le suspendre.

4.1ter Patient·e·s soigné·e·s en France — déclaration du Client (clause spécialement signalée). Le droit français réserve l'hébergement de données de santé pour le compte d'un·e professionnel·le à un hébergeur certifié, qui les stocke dans l'Union européenne ou l'Espace économique européen (art. L.1111-8 du code de la santé publique) ; le service géré, hébergé en Suisse (9.7), ne remplit pas ces conditions. En conséquence, le Client n'utilise, pour des patient·e·s qu'il soigne en France, ni le service géré ni aucune fonction qui dépose des données sur le serveur de l'Éditeur — relève (9.12), porte de récupération (10.5, 10.8), filet de secours du mode relève (9.7 ④), relais du transfert entre appareils (9.7 ①) —, et il fait la déclaration suivante :

Déclaration du Client : « Je ne soigne pas de patients en France avec ce compte. »

Cette déclaration fait partie du présent contrat : le Client la fait en l'acceptant, par le même geste, horodaté et rattaché à la version acceptée — à la souscription au service géré (5.6 let. c bis) et à chaque nouvelle acceptation d'une version du contrat (12.2) tant qu'il utilise le service géré ou l'une de ces fonctions. Elle ne demande aucun geste séparé. L'usage local de l'application, sans aucune de ces fonctions, n'est pas visé.

Déclaration inexacte. Si la déclaration est ou devient inexacte, l'Éditeur peut résilier le contrat pour ce motif, qui constitue un juste motif au sens de la clause 11.2. Le Client répond seul des conséquences légales en France de l'usage qu'il a fait du service géré ou de ces fonctions pour des patient·e·s qu'il y soigne, à l'égard de ces patient·e·s, des autorités et de tout tiers ; la clause 7.7 s'applique aux prétentions qui en naîtraient contre l'Éditeur. La résiliation ne prive le Client ni de ses données, qui restent sur son appareil, ni de leur export (8.4), ni de l'usage local du logiciel (8.7).

4.2 Devoir de vérification (fondement de l'art. 44 CO). Avant de s'en servir, de les partager, de les imprimer ou de les transmettre à un tiers (patient, assureur, autorité, réseau MediData), le Client vérifie l'exactitude, l'exhaustivité et la vraisemblance de toute donnée, dose, calcul, repère ou document produit ou affiché par le logiciel. Les repères du logiciel ne dispensent en aucun cas de cette vérification, du recours au jugement professionnel et aux sources officielles (information sur le médicament, Compendium, ordonnances fédérales applicables).

4.3 Le manquement à ce devoir de vérification constitue une faute concomitante du Client qui, au sens de l'art. 44 al. 1 CO, réduit ou supprime la responsabilité de l'Éditeur dans la mesure où elle a contribué à la survenance ou à l'aggravation du dommage.

4.4 Garde des secrets et sauvegardes (incombances). Le Client conserve son mot de passe et sa clé de secours de manière sûre, distincte et durable ; il effectue et vérifie régulièrement ses sauvegardes chiffrées (.carnet) et, le cas échéant, recourt au mécanisme de dépositaire (section 10).

4.5 Mises à jour. Le Client installe sans délai les mises à jour signalées comme correctives ou de sécurité et utilise la dernière version disponible du logiciel.

4.6 Usage conforme. Le Client utilise le logiciel conformément à la destination assignée (section 2.3) et au droit applicable. Il fonde ses décisions de soins sur son propre jugement et non sur les seuls repères du logiciel.

4.7 Sorties papier et fichiers exportés. Tout document imprimé ou exporté hors de l'application (plan de médication, fiche OPAS, dossier de transmission, formulaires légaux, fichiers PDF/ODT/DOCX, fichiers de facturation) sort nominatif et en clair et quitte le périmètre chiffré. Sa garde, son transport, son classement et sa destruction relèvent de la seule responsabilité du Client, au titre du secret professionnel (art. 321 CP) et de la sécurité des données (art. 8 LPD). L'effacement opéré dans Carnet ne porte pas sur ces copies. Lorsqu'un document est marqué envoyé dans Carnet, une copie chiffrée de l'exemplaire est conservée dans le classeur du patient, à l'intérieur du périmètre chiffré ; elle ne se substitue pas à la garde de l'exemplaire sorti.

5. Coûts et redevances

5.1 Prix. Le service géré — présenté sur le site et dans l'application sous le nom de « cabinet géré » — est facturé selon un forfait mensuel ou annuel, au choix du Client lors de la souscription : CHF 69.— par mois, ou CHF 690.— par an (soit dix mensualités), par siège (clause 5.1ter let. d), tout compris : synchronisation multi-appareils, sauvegardes chiffrées gérées, relève (clause 9.12), support, service de dépositaire et mises à jour. La redevance rémunère le service, non une licence d'usage du code (libre). Aucun tarif de lancement ni aucune hausse n'est convenu d'avance : l'Éditeur ne peut adapter ce prix que selon la procédure de la section 12. Hors de Suisse, dans chaque pays où la vente est ouverte et dès son ouverture seulement (la page de prix dit quels pays le sont), le prix est celui que cette page publie pour le pays du Client, hors taxe, dans la devise de ce pays (au mois, ou à l'année pour dix mensualités), et le service géré est vendu par un revendeur : celui que nomment, au moment de la vente, les conditions du service géré hors de Suisse et la page de paiement (9.6). Il encaisse le prix, y ajoute la taxe du pays et en remet le reçu. L'Éditeur fournit le service. Tant que la vente n'est pas ouverte dans son pays, le Client n'y souscrit pas et ne doit rien.

5.1bis Essai de trente jours, puis abonnement sur confirmation (clause spécialement signalée, 14.2 let. g). La souscription au service géré ouvre un essai gratuit de trente (30) jours, relève comprise, qui court dès le jour de la première synchronisation du compte du Client, soit le premier envoi de données chiffrées que le serveur accepte ; tant que le Client n'a pas synchronisé, l'essai n'a pas commencé. L'Éditeur constate ces dates sans rien voir des données et les communique au Client sur demande. Aucune redevance n'est due pour l'essai.

(a) L'abonnement ne commence que si le Client le confirme, par tout moyen écrit ou électronique, en choisissant la formule mensuelle ou annuelle (clause 5.1). Aucune redevance n'est due ni facturée sans cette confirmation. La première période payée commence le lendemain du terme de l'essai, ou le jour de la confirmation si elle intervient plus tard ; l'abonnement court ensuite par périodes successives, payables d'avance, jusqu'à ce que l'une des parties y mette fin (section 11).

(b) Faute de confirmation, le service géré se met en pause de lui-même au terme de l'essai, en tant qu'il porte sur la synchronisation entre appareils, les sauvegardes gérées et l'ouverture de nouveaux accès de relève (clause 9.12). Un accès de relève déjà ouvert n'est pas retiré, et l'usage local du logiciel continue, gratuitement et sans limite de durée (clause 5.1ter let. a). Les blocs chiffrés du Client sont conservés au moins nonante (90) jours ; aucune suppression n'intervient sans un préavis écrit de trente (30) jours. Le Client peut confirmer l'abonnement à tout moment pendant ce délai : le service géré reprend dès sa confirmation.

(c) L'essai n'est ouvert qu'une fois par Client ; la confirmation de souscription (clause 5.6 let. d) en donne la date de fin, ou la règle qui la fixe si le Client n'a pas encore synchronisé. Le Client qui avait déjà accès au service géré avant le 9 octobre 2026, sans bénéficier de la gratuité de la clause 5.1ter let. e, dispose d'un essai de trente jours à compter du jour où il accepte pour la première fois la version du 9 octobre 2026 ou une version ultérieure ; aucune redevance ne lui est due avant sa confirmation. La fin de l'essai, convenue d'avance, ne constitue pas une modification au sens de la section 12.

5.1ter Fait générateur, siège, palier cabinet.

(a) Ce qui est gratuit. L'exécution strictement locale du logiciel — tenue du dossier, planning, impression, préparation des factures, export du fichier de facturation que le Client dépose lui-même et envoi des factures au réseau MediData par le connecteur installé sur son ordinateur, sous son propre certificat (clause 9.7bis) — est gratuite et sans limite de durée : elle ne requiert aucune souscription, le code étant libre (clause 2.6). Aucune fonction n'y est bridée, aucune donnée n'y est retenue. L'export complet des données du Client (clause 8.4bis) lui reste ouvert à tout moment et gratuitement, qu'il ait souscrit ou non, pendant l'essai, l'abonnement ou une suspension (clause 5.4) comme après la fin du contrat.

(b) Ce qui est facturé. La redevance est due pour le service géré, dès la confirmation de l'abonnement qui suit l'essai (clause 5.1bis), et pour ce seul service : synchronisation entre appareils, sauvegardes gérées, relève (clause 9.12), support, service de dépositaire. En pratique, le Client n'a besoin de souscrire qu'au moment où il veut ces prestations — c'est-à-dire lorsqu'il relie un second appareil, confie un mandat de relève ou dépose une porte de récupération. L'envoi des factures au réseau MediData n'en fait pas partie (let. a). Aucune de ces prestations n'est un préalable à l'usage local, qui reste entier et gratuit (let. a). La redevance est un forfait fixe, jamais un pourcentage du chiffre d'affaires du Client, et l'Éditeur ne mesure ni ne vérifie le volume d'activité du Client, qu'il lui est de toute façon impossible d'observer (architecture zero-knowledge). Une fois l'abonnement confirmé, la redevance court selon la périodicité convenue, indépendamment du nombre de factures effectivement transmises.

(c) Siège. Un siège est l'usage du service géré par une personne physique déterminée, professionnel·le de santé, sous son propre compte de synchronisation. Le compte est personnel et non partagé.

L'accès ouvert à un·e remplaçant·e sur un mandat de relève (clause 9.12) est personnel — son lien, son jeton et sa clé de signature n'appartiennent qu'à elle, et le Client peut le retirer séparément de celui des autres — tandis que le dossier du mandat est commun aux remplaçant·e·s que le Client y a appelé·e·s. Sur son appareil, un mot de passe unique ouvre l'ensemble des accès qu'elle y détient, y compris ceux confiés par d'autres soignant·e·s ; il lui appartient exclusivement, et le retrait d'un accès par le Client reste pleinement effectif quel que soit l'état de cet appareil.

Jusqu'à cinq (5) accès simultanés ouverts par le Client, toutes relèves confondues, ne constituent pas des sièges supplémentaires et ne sont pas facturés. Au-delà, chaque accès simultané supplémentaire est un siège au sens de la présente clause et de la clause 5.1. Le forfait s'apprécie sur l'ensemble des mandats ouverts par le Client, et non mandat par mandat : un Client qui mène trois relèves de front dispose de cinq accès gratuits au total, non de quinze. Un accès retiré libère sa place : seule compte la simultanéité, jamais le nombre de personnes qui se sont succédé. L'application annonce au Client qu'il franchit ce seuil avant qu'il n'ouvre l'accès ; elle ne le refuse jamais.

Portée précisée le 20.09.2026. La rédaction antérieure comptait les cinq accès par mandat ; comme rien ne borne le nombre de mandats d'un même Client, le forfait se multipliait sans limite. La correction intervient avant tout encaissement fondé sur cette clause et ne retire aucun droit exercé : aucun Client n'a ouvert plus de cinq accès simultanés à ce jour.

(d) Un seul prix, par siège. La redevance de la clause 5.1 s'applique à chaque siège, quel que soit le nombre de sièges et quel que soit leur rattachement, sauf convention écrite particulière. Il n'existe aucun forfait de groupe : le palier cabinet de deux à quatre sièges (CHF 109.—/mois), qui figurait ici, est supprimé le 06.09.2026 et n'a jamais été facturé à personne.

(e) Gratuité promise par écrit. Le Client à qui l'Éditeur a promis par écrit, avant le 9 octobre 2026, la gratuité du service géré la conserve, aux conditions et pour la durée de cette promesse : le présent contrat ne la retire ni ne la réduit, et la redevance de la clause 5.1 ne lui est pas due. Son compte n'est jamais suspendu pour défaut de paiement (clause 5.4). Le présent contrat ne consent aucune autre gratuité ni aucun prix garanti à vie.

5.2 Paiement et remboursement au prorata. Les redevances sont payables d'avance selon la périodicité convenue. Lorsque le contrat ou le service géré prend fin avant l'échéance de la période payée, la fraction payée d'avance et non utilisée est remboursée au Client au prorata des jours restants, sans recalcul ni frais, notamment en cas de : (a) résiliation par le Client, à tout moment (clause 11.1) ; (b) résiliation par l'Éditeur moyennant préavis (clause 11.1) ; (c) justes motifs imputables à l'Éditeur (clause 11.2), refus d'une modification (clauses 12.1 et 12.2), cessation du service géré (clause 11.3) ou cession du contrat (clause 12.4). (Clause spécialement signalée, 14.2 let. h :) Seule exception : en cas de résiliation pour justes motifs imputables au Client (clause 11.2), la fraction payée d'avance reste acquise à l'Éditeur, les dispositions impératives demeurant réservées. En Suisse, l'Éditeur rembourse lui-même, par virement sur le compte que le Client indique. Là où la vente est ouverte hors de Suisse, le remboursement est exécuté par le revendeur (9.6), sur le moyen de paiement utilisé lorsque c'est possible, taxe correspondante comprise : l'Éditeur le décide et le fait exécuter ; la dette de remboursement reste la sienne envers le Client.

5.3 L'Éditeur peut adapter ses tarifs conformément à la procédure de modification de la section 12.

5.4 Retard de paiement et suspension. En cas de redevance impayée, l'Éditeur adresse un rappel avec un délai de paiement de vingt (20) jours ; à son échéance infructueuse, il peut suspendre, après annonce, le service géré en tant seulement qu'il porte sur la synchronisation entre appareils, les sauvegardes gérées et la relève (clause 9.12) ; un accès de relève déjà ouvert n'est pas retiré par la suspension. La suspension ne porte jamais sur : l'accès local du Client à ses données et au logiciel, l'export .carnet, le mécanisme de récupération, l'envoi des factures au réseau MediData — qui part du connecteur installé chez le Client, sous le certificat propre du Client, que l'Éditeur ne détient pas (clause 9.7bis) —, ni les droits conférés par l'AGPLv3. Les blocs chiffrés du Client sont conservés au moins nonante (90) jours après la suspension ; aucune suppression n'intervient sans un préavis écrit de trente (30) jours. Là où la vente est ouverte hors de Suisse, l'Éditeur n'adresse au Client aucune demande de paiement : le revendeur (9.6) retente le paiement et le relance ; ses relances tiennent lieu du rappel, et la suspension n'intervient pas avant vingt-huit (28) jours après la fin de la période payée. Lorsque le Client y a confirmé l'abonnement (clause 5.1bis let. a) sans jamais en payer la première période, le revendeur n'a rien à relancer : l'Éditeur lui envoie le lien de paiement par un courriel qui fixe une échéance, au plus tôt vingt (20) jours après cet envoi et après le début de cette première période, et qui en dit la conséquence ; à défaut de paiement à cette échéance, le service géré est suspendu de lui-même, sans autre avis, et un paiement reçu ensuite lève la suspension. Sans ce courriel, aucune suspension n'intervient à ce titre. Les garanties de la présente clause restent entières.

5.5 Taxe sur la valeur ajoutée (clause spécialement signalée). Les prix indiqués au présent contrat s'entendent hors taxe sur la valeur ajoutée. À ce jour, l'Éditeur n'est pas assujetti à la TVA : son chiffre d'affaires imposable demeure inférieur au seuil légal d'assujettissement, aucune TVA n'est facturée et aucun impôt préalable n'est déduit ; les factures de l'Éditeur ne portent donc aucun numéro TVA. Si l'Éditeur devient assujetti, la TVA au taux légal s'ajoute de plein droit aux prix convenus dès la date d'assujettissement, moyennant un préavis de trente (30) jours ; cette adjonction ne constitue pas une modification substantielle au sens de la section 12 et n'ouvre pas de droit de résiliation extraordinaire, l'Éditeur ne faisant que reverser un impôt qu'il est légalement tenu de percevoir. Le Client, qui exerce une activité de soins exclue du champ de l'impôt, est rendu attentif à ce que cette TVA constituera pour lui une charge définitive (pas de déduction de l'impôt préalable).

5.6 Souscription — conditions préalables à toute redevance (clause spécialement signalée). Le présent contrat est accepté une première fois à la création du coffre, laquelle est gratuite et purement locale. Aucune redevance n'est due de ce seul fait. L'Éditeur n'encaisse aucune redevance avant que le Client ait, sur un écran de souscription distinct :

• (a) pris connaissance du prix applicable (par siège), de la périodicité, de la durée, des modalités de résiliation et du sort des sommes payées d'avance (clause 5.2) ;
• (b) été informé de l'essai de trente jours, de ce que l'abonnement ne commence qu'à sa confirmation (clause 5.1bis), du montant de la redevance qui sera alors due et de ce qui se passe sans confirmation ;
• (c) accepté expressément le présent contrat, par un geste distinct de la première acceptation (14.1 let. b), l'écran lui présentant, mises en évidence, les clauses onéreuses de nature économique énumérées à la clause 14.2, lettres (g) à (l) ;
• (c bis) déclaré, par cette même acceptation, ne soigner aucun·e patient·e en France avec ce compte, la déclaration de la clause 4.1ter étant reproduite, mise en évidence, sur l'écran de souscription ;
• (d) reçu une confirmation par courrier électronique reprenant ces éléments, la date de la fin de l'essai (ou, s'il n'a pas encore synchronisé, la règle qui la fixe) et la version du contrat acceptée.

Aussi longtemps que ce mécanisme n'est pas en service, l'usage du service géré est gratuit et aucune facture n'est adressée au Client.

6. Collaboration et support

6.1 L'Éditeur fournit un support par voie électronique dans une mesure raisonnable, aux fins d'aider le Client à utiliser le service. Le support ne constitue jamais un conseil clinique ni ne se substitue au jugement professionnel du Client.

6.2 Le Client collabore de bonne foi, signale sans délai tout dysfonctionnement et fournit les informations nécessaires au traitement de ses demandes. Aucune donnée nominative de patient ne doit être transmise à l'Éditeur dans le cadre du support ; le cas échéant, le Client anonymise ses demandes.

6.3 Anomalies de sécurité de l'information. L'Éditeur maintient un canal de signalement dédié () pour toute anomalie de sécurité de l'information affectant le logiciel ou le service. Il traite ces signalements de manière prioritaire et, avec la diligence d'une obligation de moyens, publie un correctif ou neutralise la fonction concernée (clause 12.3) et informe les Clients lorsque l'anomalie les concerne (clause 12.1). La présente clause ne crée aucun délai de correction garanti.

7. Responsabilité

Section spécialement signalée (clauses onéreuses). Les clauses 7.4 (limitation et plafond), 7.5 (dommages indirects), 7.7 (relève à l'égard des tiers) et 7.9 (irréversibilité zero-knowledge) limitent ou répartissent la responsabilité au détriment du Client. Elles sont mises en évidence dans le texte, rappelées dans l'encadré placé en tête du contrat et présentées sur l'écran d'acceptation avant le geste qui l'accepte (section 14) ; le Client déclare en avoir pris connaissance.

7.1 Faute requise. La responsabilité contractuelle de l'Éditeur suppose un défaut de diligence (art. 97 al. 1 CO). Le Client demeure seul responsable de ses décisions professionnelles, des soins qu'il prodigue, de l'exactitude des données qu'il saisit et des documents qu'il établit, imprime ou transmet au moyen du logiciel.

7.2 Informations de référence — documentation non contraignante. Les informations de référence fournies par le logiciel (fiches documentaires de repères usuels par substance, signalement administratif d'un doublon de saisie, barèmes cités des instruments d'évaluation, bornes convenues au plan de soins SAISIES par le Client) constituent une documentation générique ou un paramétrage du Client, indicatifs et non contraignants, destinés à un·e professionnel·le qui conserve l'entière maîtrise de son jugement. Aucune de ces informations n'est bloquante ; aucune ne constitue un avis médical, un diagnostic, une prescription ou une décision automatisée opposable (art. 21 LPD). Une fiche absente (la liste des substances couvertes est courte et fermée), un signalement non déclenché, incomplet ou erroné ne sauraient, à eux seuls, constituer un défaut : le niveau de sécurité légitimement attendu de ces fonctions s'apprécie au regard de leur caractère purement documentaire.

7.3 Erreurs d'affichage ou d'impression. Les erreurs, inexactitudes, omissions ou défauts de mise en page dans les informations affichées, calculées ou imprimées par le logiciel relèvent du régime de la clause 7.4 (dol, faute grave et art. 100 al. 2 CO réservés). Demeure réservé le devoir de vérification du Client (section 4.2) : son manquement constitue une faute concomitante (art. 44 al. 1 CO).

7.4 Limitation et plafond (faute légère) — clause spécialement signalée (14.2 let. a). Sous réserve des dispositions impératives — en particulier l'art. 100 al. 1 CO (dol et faute grave), l'art. 100 al. 2 CO (pouvoir d'appréciation du juge lorsque la responsabilité résulte de l'exercice d'une activité soumise à autorisation ou lorsque le créancier est au service du débiteur) et la LRFP (RS 221.112.944), dont l'art. 8 interdit d'exclure ou de limiter d'avance la responsabilité du fait des produits — la responsabilité de l'Éditeur résultant d'une faute légère est limitée, pour chaque événement dommageable, au plus élevé des deux montants suivants : (a) le montant des redevances effectivement versées par le Client au cours des douze mois précédant le fait dommageable ; ou (b) un plancher fixe de CHF 10'000.—. Ce plancher a pour objet d'écarter tout grief d'exclusion déguisée. Plusieurs dommages qui procèdent d'une même cause ou de faits connexes ne forment qu'un seul événement, rattaché à l'année contractuelle où survient le premier fait dommageable. Plafond annuel. En outre, pour l'ensemble des événements d'une même année contractuelle, la responsabilité de l'Éditeur est limitée au même montant, calculé au jour du premier fait dommageable de l'année : le total des indemnités dues pour cette année ne peut le dépasser, et les deux plafonds ne s'additionnent pas. L'année contractuelle est chaque période de douze mois qui commence à l'acceptation du contrat par le Client, puis à chacun de ses anniversaires. Ces plafonds ne valent que pour la faute légère : ils ne limitent ni le dol, ni la faute grave (art. 100 al. 1 CO), ni la responsabilité que la LRFP (art. 8) ou une autre disposition impérative met à la charge de l'Éditeur, et les dommages de cette nature ne s'imputent pas sur eux.

7.5 Dommages indirects — clause spécialement signalée (14.2 let. a). Dans la même mesure et sous les mêmes réserves, l'Éditeur ne répond pas des dommages indirects ou consécutifs, notamment du gain manqué, de la perte de clientèle, du dommage d'exploitation, du dommage résultant d'un retard, d'un refus ou d'une erreur de facturation, ni de la perte ou de la corruption de données non imputable à l'Éditeur.

7.6 Auxiliaires et sous-traitants (art. 101 al. 2 et 3 CO). La responsabilité de l'Éditeur pour ses auxiliaires et sous-traitants (notamment l'hébergeur, le prestataire de synchronisation aveugle et le dépositaire) est, conformément à l'art. 101 al. 2 CO, limitée dans la même mesure que sa responsabilité propre et exclue pour leur faute légère. Les parties reconnaissent que, conformément à l'art. 101 al. 3 CO, le juge conserve le pouvoir d'apprécier la validité de cette exclusion lorsque la responsabilité résulte de l'exercice d'une activité soumise à autorisation. Le dol et la faute grave demeurent réservés.

7.7 Prétentions de tiers (patients) — relève encadrée (art. 41 CO) — clause spécialement signalée (14.2 let. b). Les tiers, en particulier les patients, ne sont pas parties au présent contrat. Le Client garantit l'Éditeur et le relève de toute prétention élevée par un tiers (patient, proche, assureur, autorité, employeur) en relation avec l'utilisation que le Client fait du logiciel, ses décisions de soins, les données qu'il saisit ou les documents qu'il établit, transmet ou conserve, y compris les frais de défense raisonnables. Cette relève ne joue en aucun cas — même en faute légère de l'Éditeur — pour la responsabilité que la LRFP ou une autre disposition impérative met à la charge de l'Éditeur (notamment mort et lésions corporelles), ni pour le dol ou la faute grave de l'Éditeur, ni pour un défaut propre du logiciel. La relève est cantonnée aux prétentions nées du fait, de l'usage, des données ou des décisions du Client.

7.8 Force majeure et empêchement non fautif (art. 97, 103, 119 CO). L'Éditeur n'est pas responsable de l'inexécution ou du retard résultant d'un événement qu'il ne pouvait raisonnablement prévoir ni surmonter (interruption de réseau ou d'électricité, défaillance d'un hébergeur ou d'un service tiers, cyberattaque, décision d'autorité, épidémie, catastrophe). Pour la durée d'un tel empêchement non fautif, l'Éditeur n'est pas en demeure (art. 103 al. 2 CO) et les obligations affectées sont suspendues.

7.9 Caractère zero-knowledge — perte de données non fautive — clause spécialement signalée (14.2 let. c). Le Client reconnaît et accepte que l'Éditeur ne peut ni lire, ni restaurer les données, ni réinitialiser un mot de passe. La perte simultanée du mot de passe et de la clé de secours entraîne la perte définitive et irréversible des données. L'Éditeur ne répond pas de cette perte lorsqu'elle résulte de la négligence de garde du Client (perte, oubli ou divulgation de son mot de passe ou de sa clé de secours), la faute grave et le dol de l'Éditeur dans la conception du mécanisme de clé de secours ou de dépositaire demeurant réservés. Les parties conviennent que l'inaccessibilité pour l'Éditeur est une propriété voulue du produit, non un défaut au sens de l'art. 4 LRFP ou de la garantie contractuelle.

7.10 Garantie des défauts. Le contrat étant un contrat innommé de durée portant sur des services informatiques continus (section 2.1), la responsabilité est régie par les art. 97, 100 et 101 CO. Le logiciel est fourni « en l'état » ; l'Éditeur ne garantit pas qu'il soit exempt de toute erreur ni adapté à un usage particulier non convenu, autre que les engagements de correction prévus au présent contrat. Sont réservés en toute hypothèse les art. 100 (al. 1 et 2) et 101 CO, la LRFP et — dans la mesure où le régime de la vente serait néanmoins retenu — l'art. 199 CO (nullité de l'exclusion en cas de dissimulation frauduleuse d'un défaut).

7.11 Responsabilité du fait des produits — réserve et transparence (clause spécialement signalée, 14.2 let. f bis). Le Client est informé que la responsabilité de l'Éditeur pour un dommage résultant de la mort ou de lésions corporelles causé par un défaut du produit est régie par la LRFP (RS 221.112.944), à laquelle il ne peut être dérogé par convention (art. 8 LRFP). Aucune stipulation du présent contrat ne saurait exclure ni limiter cette responsabilité, ni celle pour dol ou faute grave (art. 100 al. 1 CO). La LRFP ne couvre que la mort, les lésions corporelles et les dommages aux choses à usage privé (franchise de CHF 900.—, art. 6 LRFP) ; le préjudice patrimonial propre du Client reste régi par les sections 7.4 et 7.5. L'Éditeur n'étant pas assuré à la date de la présente version (clause 3.5), ce dommage est à la charge de son patrimoine ; assuré ou non, il demeure à sa charge dans toute la mesure que la LRFP prévoit, sans limitation au plafond de la clause 7.4.

7.12 Mises à jour et risque de développement (art. 5 LRFP) — clause spécialement signalée (14.2 let. k). L'Éditeur ne répond pas des dommages résultant de l'usage d'une version obsolète, d'un défaut déjà corrigé par une mise à jour mise à disposition et non installée, ou d'une modification du logiciel ou de son environnement d'exécution non autorisée par l'Éditeur, dans les limites permises par le droit impératif.

7.13 Clause de sauvegarde (réduction à la mesure licite). Si une clause du présent contrat, en particulier une limitation ou une exclusion de responsabilité ou de garantie, devait être jugée nulle, invalide ou inapplicable, elle ne serait pas supprimée mais réduite par le juge à la portée maximale admise par le droit impératif, sans que la validité des autres clauses en soit affectée. Toute limitation prévue au présent contrat s'applique dans la plus large mesure permise par la loi.

8. Propriété intellectuelle et licence AGPLv3

8.1 Titularité (art. 2 al. 3 et 10 LDA). Le logiciel « Carnet » (code source et objet, interfaces, documentation, éléments graphiques originaux) est une œuvre protégée. L'Éditeur en demeure seul titulaire des droits d'auteur, sous réserve des droits des tiers contributeurs ; les contributions de tiers sont régies par la politique de contribution publiée avec le dépôt (CONTRIBUTING.md : DCO, soumission sous AGPL-3.0-or-later). Le présent contrat n'emporte aucune cession de ces droits ; ni la signature, ni le paiement des redevances, ni l'usage ne fondent au profit du Client un quelconque droit de propriété intellectuelle sur le logiciel.

8.2 Licence libre. « Carnet » est publié sous AGPLv3. Le Client bénéficie librement et gratuitement des droits que cette licence confère (exécution, étude, modification, redistribution du code, aux conditions de l'AGPLv3, notamment son art. 13). Le présent contrat ne restreint, ne suspend ni ne conditionne ces droits ; en cas de contradiction, l'AGPLv3 prévaut pour ce qui concerne l'usage du code (conformément à l'interdiction de « restrictions supplémentaires » de l'AGPLv3 §10).

8.3 Absence de porte dérobée. L'Éditeur garantit que « Carnet » est conçu selon une architecture à connaissance nulle : l'Éditeur ne dispose d'aucun accès administrateur global, mot de passe maître, porte dérobée ou moyen technique lui permettant, seul ou conjointement avec le serveur, de lire, déchiffrer ou transmettre à un tiers les données du Client (la clé de garde du mécanisme de récupération, inopérante seule, est décrite aux sections 1.3 et 10.5). Le serveur de synchronisation n'héberge que des blocs chiffrés inintelligibles. Le caractère libre du code permet au Client, ou à tout tiers de son choix, de vérifier cette absence de porte dérobée.

8.4 Maîtrise et réversibilité des données du Client. Les données saisies, générées ou importées par le Client, y compris le journal chiffré et les données nominatives des patients, demeurent sous la maîtrise exclusive du Client, responsable du traitement au sens de la LPD (RS 235.1). Les parties emploient à dessein le terme de maîtrise et non celui de propriété : le droit suisse ne connaît pas de droit de propriété sur des données, et les personnes concernées conservent en toute hypothèse leurs droits propres (droit d'accès, art. 25 LPD ; obligation de rendre compte du mandat, art. 400 al. 1 CO). L'Éditeur n'acquiert sur ces données aucun droit d'usage, d'analyse, de valorisation ou de cession.

8.4bis Deux outils distincts — ne pas les confondre. Le logiciel offre deux exports, qui n'ont ni le même destinataire ni le même usage :

(a) La sauvegarde « .carnet » — pour le Client seul. À tout moment et gratuitement, le Client exporte l'intégralité de son coffre dans un fichier .carnet. Ce fichier est chiffré sous sa propre clé maîtresse : il ne se restaure que sur son propre compte, au moyen de son mot de passe, de sa clé de secours ou de sa Feuille de récupération, et le logiciel de l'Éditeur est aujourd'hui le seul à savoir le relire (son format est décrit dans le code source public, ce qui permet à quiconque d'en écrire un lecteur, mais un tel lecteur reste à écrire). Il contient les dossiers de tous les patients du Client. Il constitue donc sa sauvegarde intégrale et, à l'égard de l'Éditeur, sa restitution complète — l'Éditeur n'ayant rien d'autre à restituer qu'il puisse lire. Ce fichier n'est ni destiné ni remissible à un patient : le lui remettre serait à la fois inutile (il ne peut pas l'ouvrir) et constitutif d'une violation du secret professionnel à l'égard de tous les autres patients.

(b) Le « Dossier complet du patient — droit d'accès (art. 25 LPD) » — pour le·la patient·e. Le logiciel produit, par patient·e et sur sélection des rubriques, un document lisible — PDF, ODT ou DOCX — intitulé « Dossier complet du patient — droit d'accès (art. 25 LPD) », comprenant l'historique entier et, sur option, les photographies de plaies. C'est cet export que le Client remet à une personne qui exerce ses droits.

8.4ter Droit d'accès des patients — répartition des rôles. Le Client demeure débiteur du droit d'accès de ses patients : le responsable du traitement qui recourt à un sous-traitant demeure tenu de fournir les renseignements demandés (art. 25 al. 4 LPD). L'impossibilité technique de l'Éditeur ne crée donc aucune lacune — l'obligation n'a jamais quitté le Client, qui est le seul à pouvoir déchiffrer. Les parties rappellent que nul ne peut renoncer par avance au droit d'accès (art. 25 al. 5 LPD), que les renseignements sont en principe gratuits et fournis dans les trente (30) jours (art. 25 al. 6 et 7 LPD), et que des données de santé peuvent, avec le consentement de la personne concernée, lui être communiquées par l'intermédiaire d'un·e professionnel·le de la santé qu'elle désigne (art. 25 al. 3 LPD) — faculté utile face à une demande délicate. Le droit à la remise ou à la transmission des données (art. 28 LPD) s'exerce de même auprès du Client, seul en mesure d'y donner suite.

8.5 Signes distinctifs et intégrité de la version officielle. Le logo et les autres éléments graphiques originaux de l'Éditeur sont des œuvres protégées par le droit d'auteur ; ils ne sont pas couverts par l'AGPLv3 (réserves de la section 7, let. d et e, de cette licence, relatives à l'usage des noms à des fins de publicité et aux marques) et demeurent la propriété de l'Éditeur. La dénomination « Carnet » est utilisée par l'Éditeur comme signe distinctif de son produit ; à ce jour, aucune marque n'est enregistrée et l'Éditeur ne revendique aucun droit de marque. Le Client peut employer ces signes pour désigner le logiciel tel que fourni. Qui modifie et redistribue le code doit signaler ses modifications et ne peut présenter une version modifiée comme la version officielle ni utiliser les signes distinctifs d'une manière prêtant à confusion. L'Éditeur ne répond ni du fonctionnement, ni de la sécurité, ni de la conformité d'une version modifiée ou distribuée par un tiers.

8.6 Répartition de la charge réglementaire en cas de modification. Conformément aux libertés de l'AGPLv3, le Client peut modifier le code. Celui qui modifie le logiciel et lui confère une finalité médicale au sens de l'art. 3 ODim / art. 2 ch. 30 MDR devient lui-même fabricant et en assume seul l'ensemble des obligations réglementaires. La présente clause n'interdit pas la modification (droit garanti par l'AGPLv3) ; elle répartit la responsabilité réglementaire qui en découle.

8.7 Pérennité par le code source. En raison de la publication sous AGPLv3, le Client conserve, indépendamment de la survie de l'Éditeur ou de la poursuite du service géré, le droit d'exécuter, de faire héberger et de faire maintenir « Carnet » par lui-même ou par tout tiers, à partir du code source publié. La cessation du contrat, quelle qu'en soit la cause, n'éteint pas ce droit.

8.8 Garantie « en l'état » et réserve impérative. Le logiciel étant fourni sous licence libre, il est mis à disposition « en l'état », sans garantie de qualité ou d'adéquation à un usage particulier, dans les limites permises par le droit applicable (AGPLv3, sections 15 à 17). Sont expressément réservés l'art. 100 al. 1 et 2 CO, l'art. 101 CO, la LRFP (art. 8, indérogeable) et le droit du Client à l'information nécessaire à l'interopérabilité (art. 21 LDA). Pour le surplus, la responsabilité liée au logiciel obéit à la section 7.

9. Protection des données (DPA intégré — LPD RS 235.1, OPDo RS 235.11)

9.1 Rôles. Le Client est seul responsable du traitement (art. 5 let. j LPD) des données de ses patient·e·s : il en détermine les finalités et les moyens, en assume la licéité (art. 6 et 8 LPD) et demeure titulaire du secret professionnel (art. 321 CP).

9.2 Sous-traitance sur les blocs chiffrés. Pour le seul service de synchronisation et de conservation de sauvegardes, l'Éditeur intervient en sous-traitant (art. 5 let. k et 9 LPD), exclusivement sur des blocs chiffrés de bout en bout qu'il ne peut déchiffrer. Par conception, il n'a aucun accès aux données de santé en clair ni aux identités des patient·e·s. Cette qualification de sous-traitant est retenue par précaution et ne s'étend qu'à ces opérations sur données chiffrées.

9.3 Responsable autonome pour les métadonnées techniques. Pour les métadonnées et données qui lui sont propres — horodatages et volumes de synchronisation, données d'appairage et données de facturation du Client — l'Éditeur agit en responsable du traitement autonome, sur la base légale de l'exécution du contrat et de la sécurité du système (art. 31 LPD). Ces traitements ne sont pas soumis au régime de la seule instruction du Client ; le Client en est informé par le présent contrat. Ces données ne comprennent aucune donnée de patient. Les journaux d'accès des serveurs sont désactivés : l'adresse IP n'est traitée qu'en mémoire vive, aux seules fins de limitation du débit, et n'est pas enregistrée. Seule exception, le service de récupération de compte : chacune de ses étapes — mise en place, changement du numéro de vérification, ajout ou révocation d'un contact de secours, désactivation du service, demande, veto, livraison — est consignée avec une empreinte à clé secrète de l'adresse (depuis le 23.09.2026 ; auparavant l'adresse elle-même) et la date, dans un journal que rien ne peut modifier ni effacer, à titre de protection contre une demande frauduleuse. Relèvent du même régime les données traitées lors de la procédure de libération de la récupération (clause 9.11) : numéro de téléphone de vérification, éléments de vérification d'identité présentés le jour de la demande et journal de la procédure — traitements propres de l'Éditeur, nécessaires à la protection du Client lui-même.

9.4 Instructions et confidentialité. Sur les blocs chiffrés, l'Éditeur ne traite que sur instruction documentée du Client et pour les seules finalités du service (art. 9 al. 1 LPD). L'Éditeur, ses organes et ses auxiliaires sont astreints à la confidentialité, y compris sur les métadonnées ; cette obligation survit au contrat. L'Éditeur s'interdit toute tentative de déchiffrement, de corrélation ou de réidentification des données conservées, ainsi que tout usage à des fins propres.

9.5 Sécurité (art. 8 LPD, art. 1 à 4 OPDo). L'Éditeur assure une sécurité appropriée au risque : chiffrement de bout en bout (sans détenir de clé), TLS, cloisonnement et restriction des accès d'administration, sauvegardes chiffrées hors-site, hébergement décrit à la clause 9.7. Il maintient ces mesures à l'état de la technique. Le Client reconnaît que la robustesse de la protection repose de manière déterminante sur la confidentialité de son mot de passe et de sa clé de secours, qu'il est seul à détenir.

9.6 Sous-traitance ultérieure (art. 9 al. 3 LPD). Le Client donne une autorisation générale au recours à des sous-traitants ultérieurs (hébergement, infrastructure), à la condition que chacun soit soumis à des obligations équivalentes. L'Éditeur informe le Client, par support durable, de tout ajout ou remplacement avant sa mise en œuvre, de manière à permettre au Client de s'y opposer pour de justes motifs ; en cas d'opposition fondée non résolue, le Client peut résilier le service concerné. L'Éditeur répond de la bonne exécution des obligations du sous-traitant ultérieur comme des siennes.

Prestataire de paiement. Là où la vente est ouverte hors de Suisse, le prix du service géré est vendu et encaissé par un revendeur (« merchant of record »), que les conditions du service géré hors de Suisse et la page de paiement nomment au moment de la vente (à la date de la présente version, le revendeur est Paddle.com Market Limited, Londres, dans les pays hors de Suisse que la page de prix dit ouverts) : il vend en son propre nom, perçoit la taxe du pays du Client, renouvelle, relance et rembourse. Pour les données de paiement que le Client lui donne lui-même, ce prestataire agit comme responsable du traitement indépendant, selon ses propres conditions ; il n'est pas un sous-traitant des données des patient·e·s et ne reçoit ni bloc chiffré, ni donnée de patient·e. L'Éditeur ne lui communique que l'identifiant opaque du compte de synchronisation du Client, pour relier un paiement à ce compte, et les remboursements qu'il décide. Le régime d'information et d'opposition du premier alinéa s'applique à ce prestataire comme à un sous-traitant ultérieur : l'Éditeur informe le Client, par support durable, de tout remplacement du prestataire de paiement ou de tout ajout d'un second prestataire, avant sa mise en œuvre ; le Client peut s'y opposer pour de justes motifs et, faute de solution, résilier le service géré, la fraction payée d'avance et non utilisée lui étant remboursée au prorata (5.2). En Suisse, l'Éditeur vend lui-même, sans prestataire de paiement.

9.7 Localisation. Les blocs chiffrés confiés à l'Éditeur sont hébergés sur des infrastructures situées en Suisse. Aucune donnée de patient·e — chiffrée ou en clair — n'est communiquée à l'étranger, hormis d'éventuelles sauvegardes chiffrées répliquées vers un État à protection adéquate (art. 16 al. 1 LPD) ou moyennant une garantie de l'art. 16 al. 2 LPD, le Client en étant informé au préalable. Les identités nominatives des patient·e·s ne sont jamais lisibles par l'Éditeur ni par le serveur, et ne font l'objet d'aucune synchronisation continue. Elles ne circulent que par quatre canaux scellés, tous chiffrés de bout en bout et opaques pour l'Éditeur comme pour le serveur : ① le transfert ponctuel appareil-à-appareil que le Client déclenche, scellé vers le seul appareil destinataire, avec vérification humaine ; ② la porte de récupération — proposée à l'activation de la synchronisation, l'application posant la question sans rien activer sans choix exprès, refusable et révocable à tout moment, ce choix étant conservé — qui dépose au serveur une enveloppe SUR-SCELLÉE (chiffrée sous la clé maîtresse du Client puis scellée vers la clé de récupération), déchiffrable exclusivement sur l'appareil du Client par la recombinaison de ses 8 mots de secours et de la part détenue par l'Éditeur, libérée seulement après un délai de carence ; le serveur ne détient que des blocs inertes ; ③ le remplacement (« mode relève », clause 9.12), qui scelle vers les appareils de la remplaçante désignée les identités et les dossiers des patient·e·s que le Client a lui-même sélectionné·e·s ; ④ le filet de secours du mode relève, qui dépose au serveur les seules identités des patient·e·s confié·e·s, chiffrées sous une clé dérivée de la clé d'accès de la remplaçante — que le serveur ne peut pas reconstituer —, bornées à la fin du mandat et détruites par le retrait de son accès comme par la clôture. Il existe pour qu'une remplaçante qui perd son appareil en pleine relève retrouve les dossiers confiés sans que le Client ait à tout recommencer.

Un flux échappe à ces canaux et n'est ni scellé ni opaque : la facture à l'assurance, qui part EN CLAIR. L'art. 42 LAMal impose au fournisseur de prestations de remettre à l'assureur une facture détaillée ; celle-ci contient nécessairement le nom, le prénom, la date de naissance, le sexe, le numéro AVS et l'adresse de la personne assurée, les prestations facturées, l'identité et l'adresse du médecin prescripteur, ainsi qu'une indication médicale en texte libre (jusqu'à 350 caractères). Cette transmission est imposée par la loi et adressée à l'assureur, lui-même tenu au secret. Le Client la déclenche LUI-MÊME depuis son propre appareil, à destination du réseau MediData ; le contenu du champ d'indication médicale relève de sa seule appréciation et de son devoir de proportionnalité.

9.7bis Le connecteur d'envoi — engagement d'architecture (clause essentielle).

(a) Règle. La facture d'un patient ne transite jamais par une infrastructure de l'Éditeur. Les parties conviennent que cette règle est une caractéristique essentielle du produit, et non une modalité technique : c'est elle qui fait que l'Éditeur n'est jamais mis en présence du contenu d'une facture nominative. L'Éditeur s'engage à la maintenir ; il ne pourrait y déroger qu'avec le consentement exprès et préalable du Client, recueilli selon la procédure des modifications substantielles (clause 12.2), le silence ne valant jamais acceptation.

(b) Comment cela fonctionne. L'envoi direct au réseau MediData s'opère au moyen d'un connecteur, petit programme libre fourni par l'Éditeur et installé sur l'ordinateur du Client. Sur l'ordre du Client, le logiciel lui remet la facture par une interface propre à cet ordinateur ; le connecteur la transmet directement au réseau et en rapporte la réponse de l'assureur au logiciel. Le Client peut en outre lui désigner expressément un dossier local d'où le connecteur envoie les factures qui y sont déposées ; aucun dossier n'est surveillé à défaut d'une telle désignation. L'export manuel du fichier officiel, que le Client dépose lui-même sur le portail de son choix, reste disponible en permanence : si le connecteur ou le réseau s'arrête, la facturation n'est jamais bloquée.

(c) Ce que l'Éditeur apprend. Rien. Le connecteur ne communique avec aucun serveur de l'Éditeur : l'Éditeur n'apprend ni qu'il a démarré, ni qu'une facture est partie, ni aucune facture, aucun patient, aucun montant, aucune adresse IP.

(d) Le certificat d'accès au réseau. MediData authentifie le connecteur au moyen du certificat client propre au Client, que celui-ci obtient lui-même de MediData dans le cadre de son propre raccordement, sous son identifiant de raccordement. Ce certificat et sa clé privée restent sur l'ordinateur du Client ; ils ne sont ni transmis à l'Éditeur ni conservés par lui, et l'Éditeur ne détient aucun certificat qui lui permettrait d'envoyer une facture au nom du Client ou de lire les réponses qui lui sont destinées. Il s'ensuit que : (i) le Client est authentifié par un secret qui lui est propre ; (ii) l'Éditeur ne peut ni suspendre ni interrompre l'envoi direct, que la suspension de la clause 5.4 n'atteint pas ; (iii) le renouvellement du certificat à son échéance incombe au Client, auprès de MediData, le connecteur lui en indiquant l'échéance.

9.8 Violation de la sécurité (art. 24 LPD). L'Éditeur annonce au Client sans délai et au plus tard dans les quarante-huit (48) heures dès qu'il en a connaissance, toute violation affectant les données confiées ; l'annonce est adressée à l'adresse de courrier électronique communiquée par le Client et, à défaut, par affichage dans l'application ; l'Éditeur peut être joint à ce sujet à l'adresse . L'annonce indique au minimum la nature de la violation, les catégories et l'ordre de grandeur des données concernées, les conséquences probables et les mesures prises ou proposées, ainsi qu'un point de contact ; elle est complétée au fur et à mesure si tout n'est pas connu d'emblée — un fait incomplet ne justifie pas d'attendre. L'obligation de l'Éditeur envers le Client découle de l'art. 24 al. 3 LPD. Deux protections en faveur du Client sont rappelées : une annonce fondée sur l'art. 24 LPD ne peut être utilisée dans une procédure pénale contre celui qui annonce qu'avec son consentement (art. 24 al. 6 LPD) — ce qui importe au Client, tenu au secret professionnel (art. 321 CP) ; et le Client peut restreindre, différer ou renoncer à l'information des personnes concernées lorsqu'un devoir de secret l'exige (art. 24 al. 5 LPD). Le chiffrement de bout en bout des blocs constitue un facteur pertinent dans l'appréciation du risque pour les personnes concernées — cette appréciation demeurant casuistique et incombant en dernier ressort au Client (responsable du traitement), auquel l'Éditeur prête l'assistance raisonnable. L'Éditeur documente chaque violation et les mesures prises et conserve cette documentation deux (2) ans au moins (art. 15 OPDo).

9.9 Droits des personnes, registre. Les demandes des patient·e·s (art. 25 ss LPD) sont traitées par le Client, seul en mesure de déchiffrer et d'identifier les données ; l'Éditeur, dépourvu d'accès au contenu, n'y est pas tenu et transmet sans délai au Client toute demande reçue. L'Éditeur fournit au Client, sur demande, les informations nécessaires à son registre (art. 12 LPD). Le Client, traitant des données de santé (art. 5 let. c ch. 2 LPD), est rendu attentif à ce qu'il lui incombe de tenir son propre registre, l'exemption de l'art. 24 OPDo pouvant ne pas lui être acquise.

9.10 Suppression en fin de contrat. L'Éditeur supprime ou anonymise les blocs chiffrés qu'il conservait dans un délai raisonnable après la fin du contrat, sous réserve des durées techniques strictement nécessaires (journaux, sauvegardes en rotation) et de ses propres obligations légales. La suppression portant sur des données déjà inintelligibles pour l'Éditeur, elle n'affecte pas la capacité du Client à disposer de ses données via son export. Sur demande, l'Éditeur atteste par écrit de la suppression.

9.11 Service de récupération et de dépositaire (clause spécialement signalée, 14.2 let. f). Lorsque la porte de récupération est active (proposée à l'activation de la synchronisation, sans option pré-cochée, refusable et révocable — section 10.5), l'Éditeur conserve pour le compte du Client : la part cryptographique scellée du mécanisme, l'enveloppe sur-scellée (identités comprises) et le numéro de téléphone de vérification ; le serveur ne détient que des blocs inintelligibles, qu'aucun élément détenu par l'Éditeur ne permet, seul ou conjointement avec le serveur, de déchiffrer. La procédure de libération comprend, par principe : un délai de carence de soixante-douze (72) heures par défaut, sur un plancher incompressible de vingt-quatre (24) heures inscrit en dur dans le code du serveur — aucun paramétrage ne peut l'abaisser, seulement l'allonger —, la notification des appareils actifs du Client avec faculté de veto, une vérification d'identité avant toute libération (appel vidéo au seul numéro enregistré lors de la mise en place, pièce d'identité présentée, ou rencontre en personne), et la tenue d'un journal inaltérable (append-only) de chaque étape. Le journal de la procédure est conservé dix (10) ans ; en cas de révocation (opt-out), les éléments conservés sont détruits et l'Éditeur l'atteste par écrit sur demande. Ce service est décrit du point de vue des données dans la politique de confidentialité (section 2).

9.12 Remplacement (« mode relève ») — communication de données couvertes par le secret professionnel. Le mot « relève » désigne ici le remplacement professionnel ; il est sans rapport avec la relève à l'égard des tiers de la clause 7.7.

(a) Ce que fait le logiciel. Lorsque le Client confie tout ou partie de sa tournée à un·e remplaçant·e, le logiciel transmet à celui-ci ou celle-ci, sous forme scellée vers ses appareils, le dossier des seul·e·s patient·e·s que le Client a désigné·e·s, identités comprises, tant que l'accès que le Client leur a ouvert l'est — accès qu'il peut étendre, borner ou révoquer à tout moment, et qui s'éteint par la clôture de la relève, par le retrait de cet accès seul, par sa révocation ou, de lui-même, 90 jours après la fin prévue du mandat (filet contre l'oubli ; un mandat sans fin n'en a pas).

Le Client peut appeler plusieurs remplaçant·e·s sur un même mandat. Le compte de synchronisation est alors dédié au mandat ; chacune y reçoit un accès personnel — lien, jeton et clé de signature propres — que le Client peut retirer séparément sans couper celui des autres. Le dossier du mandat est commun : chacune lit et alimente ce que les autres écrivent, et chaque écriture porte le nom et la signature de son autrice. Seul le Client appelle une remplaçante sur un mandat ; une remplaçante ne peut y appeler personne. La remplaçante y tient le dossier de ces patient·e·s comme le Client le tient, chacune de ses écritures portant son nom et sa signature ; la déclaration de soins à l'assureur (OPAS 7) demeure au Client, qui répond du mandat : la remplaçante la consulte et peut l'imprimer, sans pouvoir la modifier. L'Éditeur crée à cette fin un compte de synchronisation dédié à la remplaçante et héberge les blocs chiffrés correspondants.

(b) Le chiffrement ne délie pas du secret. Cette transmission est une communication de données couvertes par le secret professionnel (art. 321 CP). Le chiffrement protège les données pendant leur transport et leur conservation ; il ne délie en rien le Client de son secret à l'égard de la remplaçante, ni de son devoir d'apprécier, patient·e par patient·e, ce qu'il est nécessaire et proportionné de transmettre. Le Client demeure responsable du traitement (clause 9.1) pour les dossiers ainsi confiés.

(c) Démarches à la charge du Client. Le Client recueille le consentement de ses patient·e·s au partage de leur dossier avec les soignant·e·s qui interviennent auprès d'eux·elles — fondement de la communication (art. 321 ch. 2 CP ; art. 36 al. 2 LS/VS) —, le trace et informe ses patient·e·s du recours à un·e remplaçant·e. L'application lui signale toute opposition d'un·e patient·e et la trace dans son dossier ; elle ne retire aucun dossier à sa place : la décision de confier ou non un dossier malgré une opposition — et sa justification, notamment en cas d'urgence — relève de la seule appréciation et de la seule responsabilité du Client. Il s'assure que la remplaçante est habilitée à pratiquer.

(d) L'Éditeur ne vérifie rien et ne le peut pas. L'Éditeur n'a aucun moyen de vérifier ces démarches et n'y procède pas : il ne connaît ni l'identité des patient·e·s concerné·e·s, ni le contenu transmis (blocs chiffrés), ni le fait qu'une information ait été donnée ou une opposition recueillie. Sa prestation se limite au mécanisme décrit sous (a).

(e) Engagement de la remplaçante, dans l'application. Avant tout affichage nominatif, la remplaçante doit accepter des « Conditions d'utilisation du mode relève » versionnées, de manière bloquante au premier accès ; l'acceptation est horodatée et tracée. Lorsque ces conditions changent en cours de mandat, la re-acceptation lui est demandée à son entrée suivante dans l'application, sans interrompre un soin en cours : rien ne se ferme et rien ne disparaît d'ici là — le dossier continue de lui parvenir, la sécurité des soins l'exigeant, et ses écritures continuent de parvenir au Client ; un bandeau lui demande d'accepter la nouvelle version. Ces conditions couvrent : le fondement de l'accès — le consentement des patient·e·s au partage de leur dossier, recueilli et tracé par le Client —, le secret professionnel (art. 321 CP), l'accès limité aux soins des patient·e·s confié·e·s tant que l'accès accordé est ouvert, le caractère personnel de l'ACCÈS — lien, jeton et clé de signature — et le caractère COMMUN du dossier du mandat, que toutes les remplaçantes appelées par le Client lisent et alimentent, l'interdiction de communiquer ces dossiers à des tiers — les autres remplaçantes du même mandat n'étant pas des tiers au sens de cette clause —, ce qu'elle conserve après le retrait de son accès : le récapitulatif de ses propres actes, et lui seul, l'extinction de l'accès à sa clôture, au retrait de cet accès seul ou à sa révocation, et la suppression du compartiment, la responsabilité de sa propre documentation, le caractère personnel et non partagé de l'accès, le signalement sans délai d'une perte, d'un vol ou d'un accès non autorisé, l'interdiction de communiquer ces dossiers à des tiers et d'en faire copie hors de Carnet, et le rappel que l'information des patient·e·s incombe au Client. Il n'existe aucun document papier : l'engagement est pris dans l'application. Ces conditions lient la remplaçante à l'égard du Client ; elles ne créent aucune obligation de l'Éditeur quant au comportement de la remplaçante.

9.13 Secret professionnel et licéité de la sous-traitance (art. 9 al. 1 let. b LPD ; art. 321 CP). La loi ne permet de confier un traitement à un sous-traitant que si aucune obligation légale ou contractuelle de garder le secret ne l'interdit. Les parties conviennent de la construction suivante :

(a) À titre principal — il n'y a pas de révélation. Le Client demeure titulaire du secret. Ce qu'il confie à l'Éditeur est chiffré de bout en bout : l'Éditeur reçoit des blocs inintelligibles, sans identité ni contenu, qu'aucun élément en sa possession ne permet d'ouvrir (sections 1.3 et 8.3). Confier un contenu que le destinataire ne peut pas lire n'est pas le lui révéler ; le secret n'est donc pas mis en cause, et la condition de l'art. 9 al. 1 let. b LPD est satisfaite.

(b) À titre subsidiaire et sans reconnaissance — la qualité d'auxiliaire. Pour le cas où une autorité ou un juge retiendrait néanmoins qu'une révélation existe, les parties conviennent que l'Éditeur intervient comme auxiliaire du Client au sens de l'art. 321 ch. 1 CP : il est astreint au même secret, pour la même durée, y compris après la fin du contrat (clause 9.4), et l'étend à ses propres auxiliaires. Cette stipulation est subsidiaire et n'emporte aucune reconnaissance que l'architecture décrite sous (a) serait insuffisante.

(c) Ce qui, en revanche, sort en clair — la facture à l'assureur (clause 9.7) — ne transite jamais par une infrastructure de l'Éditeur (clause 9.7bis) : l'Éditeur n'en est donc à aucun moment le dépositaire.

9.14 Demandes d'autorités (clause spécialement signalée). L'Éditeur peut être saisi d'une réquisition, d'une demande de production ou d'un séquestre (notamment art. 265 CPP).

(a) Ce qu'il peut remettre : des blocs chiffrés inintelligibles, les métadonnées techniques décrites à la clause 9.3, et — si la porte de récupération est active — la part de garde, qui est mathématiquement insuffisante seule (clause 10.8). Il ne peut remettre ni le contenu d'un dossier, ni l'identité d'un patient, ni un historique de connexion, qui n'existe pas (clause 9.3).

(b) Ce qu'il fera : sauf interdiction légale de le faire, l'Éditeur informe le Client sans délai de toute demande le concernant, avant toute remise si le délai le permet, afin qu'il puisse faire valoir ses droits — en particulier son secret professionnel ; il se limite à ce qui est strictement exigé par la décision, exige un titre écrit, et invoque le caractère protégé des données lorsque le droit le permet.

(c) Ce qu'il ne fera pas : l'Éditeur n'a pas de porte dérobée et s'engage à ne pas en créer, ni à affaiblir le chiffrement, ni à modifier le logiciel pour capter un secret du Client — que ce soit spontanément ou sur demande d'un tiers. Toute évolution qui rendrait cet engagement inexact constituerait une modification substantielle (clause 12.2), soumise au consentement exprès du Client. Le caractère libre du code permet de vérifier cet engagement à chaque version publiée.

10. Zero-knowledge, conservation légale, sauvegardes et clé de secours

10.1 Impossibilité technique et juridique de conserver pour le Client. L'Éditeur n'ayant aucun accès aux données en clair, il est dans l'impossibilité d'assurer la conservation, l'archivage ou la restitution du contenu des dossiers : ces obligations incombent exclusivement au Client.

10.2 Obligation légale de conservation. Le Client, professionnel de santé indépendant, demeure seul débiteur de l'obligation de conserver le dossier de chaque patient·e pendant la durée exigée par le droit applicable — soit, sauf disposition plus longue, vingt (20) ans à compter de la dernière inscription (hypothèse sûre : art. 128a et 60 al. 1bis CO — prescription des lésions corporelles ; devoirs professionnels de l'art. 16 LPSan ; ordonnance DEP ; le Valais imposant au moins 20 ans, art. 32 al. 2 LS-VS). Il conserve de même, dix (10) ans au moins, les pièces de facturation et de comptabilité (art. 958f CO, Olico). Le Client fait son affaire personnelle du respect de ces délais : il lui incombe d'exporter régulièrement ses dossiers (clause 10.3) et de conserver ces exports pendant toute la durée légale, y compris après la fin du présent contrat. L'Éditeur n'assure pas cette conservation et n'est techniquement pas en mesure de le faire, n'ayant aucun accès aux données en clair : « Carnet » n'est pas un service d'archivage légal et l'Éditeur ne saurait être recherché à ce titre.

10.3 Sauvegardes (incombance). Le Client effectue, sous sa seule responsabilité et à une fréquence adaptée (au minimum mensuelle et après toute saisie significative), des sauvegardes complètes au moyen de l'export chiffré « .carnet », et en conserve au moins une copie hors de l'appareil de travail. Il vérifie périodiquement la lisibilité et la restaurabilité de ses sauvegardes.

10.4 Synchro ≠ sauvegarde ≠ archivage. La synchronisation aveugle a pour seule finalité la réplication entre les appareils du Client de données déjà chiffrées ; elle ne constitue ni une sauvegarde de sécurité, ni un archivage légal, et ne dispense pas des incombances de la clause 10.3.

10.5 Irréversibilité (clause spécialement signalée, 14.2 let. c). La récupération de l'accès n'est possible que par la clé de secours, par la Feuille de récupération (8 mots, recombinés sur l'appareil du Client avec la part de garde détenue par l'Éditeur — section 1.3) ou, si le Client l'a activé, par le contact de secours. Le Client comprend et accepte expressément que la perte simultanée du mot de passe, de la clé de secours ET de la Feuille de récupération entraîne la perte définitive et irréversible de l'accès à l'ensemble des données — aucune procédure de réinitialisation n'existe et l'Éditeur seul ne peut rien récupérer. Le Client conserve donc ces éléments de manière sûre, distincte et durable.

10.6 Exclusion corrélative (clause spécialement signalée, 14.2 let. c). L'Éditeur ne répond pas de la perte d'accès ou de données résultant de la perte, de l'oubli ou de la divulgation par le Client de son mot de passe ou de sa clé de secours, cette impossibilité de récupération étant la contrepartie inhérente et voulue de la protection zero-knowledge, portée à la connaissance du Client avant la conclusion du contrat. Demeurent réservés le dol et la faute grave de l'Éditeur, notamment dans la conception du mécanisme de clé de secours ou de dépositaire.

10.7 Information reçue. Le Client déclare avoir été clairement informé, avant la conclusion du contrat, de ce que la garde durable du dossier, des secrets et des sauvegardes relève de sa seule responsabilité, et que « Carnet » est un outil de tenue et non un service d'archivage légal exploité pour son compte par l'Éditeur.

10.8 Porte de récupération et dépositaires (clause spécialement signalée). Le contrat emploie le terme « dépositaire » dans deux sens distincts, que la présente clause délimite : (a) le dépositaire de confiance que le Client peut désigner librement (clause 10.5) est un tiers choisi par le Client ; l'Éditeur ne reçoit rien et n'intervient pas dans cette relation ; (b) la porte de récupération repose sur deux parts : la part « 8 mots » (Feuille de récupération), détenue par le seul Client, et une part cryptographique détenue par l'Éditeur, conservée scellée hors du serveur et mathématiquement insuffisante seule ; la recombinaison s'effectue exclusivement sur un appareil du Client ; (c) la part détenue par l'Éditeur n'est remise que rescellée vers un appareil du Client, à l'issue de la procédure vérifiée de la clause 9.11 — jamais en clair, et jamais à des héritiers ou tiers hors procédure. Les parties précisent expressément qu'un certificat de décès, un certificat d'héritier ou la qualité d'ayant droit ne donnent aucun droit à la remise de la part de garde : le secret professionnel du Client ne se transmet pas par succession, et l'ouverture du coffre livrerait les dossiers de l'ensemble de ses patients. Le sort des dossiers en cas de décès du Client relève des règles de la profession et de l'autorité cantonale compétente, non du présent contrat ; (d) en cas de séquestre ou de réquisition (art. 265 CPP), les éléments saisissables auprès de l'Éditeur ne permettent pas, à eux seuls, le déchiffrement des données du Client — propriété technique vérifiable dans le code source public.

11. Durée, résiliation et cessation du service géré

11.1 Durée et résiliation. Le contrat est conclu pour une durée indéterminée. Le Client peut mettre fin au service géré, ou au contrat, à tout moment, par tout moyen écrit ou électronique, sans frais ni justification, avec effet immédiat ou à la date qu'il indique ; la fraction payée d'avance et non utilisée lui est remboursée au prorata (clause 5.2). L'Éditeur peut résilier pour la fin d'une période d'abonnement en cours, moyennant un préavis de trente (30) jours, par tout moyen écrit ou électronique.

11.2 Justes motifs. Chaque partie peut résilier avec effet immédiat pour de justes motifs, notamment en cas de violation grave d'une obligation essentielle demeurée sans remède dans un délai raisonnable après mise en demeure.

11.3 Cessation du service géré par l'Éditeur (clause spécialement signalée, 14.2 let. l). L'Éditeur peut cesser tout ou partie du service géré moyennant un préavis de nonante (90) jours. Grâce au caractère local et libre du logiciel (8.7) et à l'export (8.4), le Client reste en mesure d'accéder à ses données et de les conserver. La cessation n'affecte ni la maîtrise du Client sur ses données (8.4), ni son obligation de conservation, et n'ouvre droit à aucune indemnité autre que, le cas échéant, le remboursement de la fraction d'abonnement payée d'avance et non utilisée, les art. 100 al. 1 et 2 et 101 CO demeurant réservés.

11.4 Devoir persistant. La résiliation ne met pas fin à l'obligation légale de conservation (10.2) : il incombe au Client, avant toute résiliation ou cessation d'usage, de procéder à l'export complet de ses dossiers et d'en assurer la conservation pendant les délais légaux résiduels. L'Éditeur ne conserve après la fin du contrat aucune donnée exploitable et n'assume aucune obligation de restitution ultérieure.

11.5 Continuité en cas de décès ou d'incapacité de l'Éditeur. (a) En dérogation à l'art. 405 al. 1 CO, le décès ou l'incapacité durable de l'Éditeur ne met pas fin au contrat de plein droit ; le contrat se poursuit selon le régime de cessation de la clause 11.3, le préavis de nonante (90) jours courant dès la notification aux Clients. (b) L'Éditeur désigne un mandataire technique contractuel (instructions scellées conservées avec la copie physique de la clé de garde), doublé de directives à l'exécuteur testamentaire ; ce mandataire est chargé de notifier les Clients sous trente (30) jours, de maintenir la synchronisation en lecture et l'export pendant la durée du préavis (hébergement provisionné), puis de remettre ou détruire les éléments de garde sous procès-verbal — jamais de transmission dans la masse successorale hors procédure. (c) Les secrets d'exploitation (accès hébergeur, jeton d'administration, enveloppe de garde) sont séquestrés à cette fin ; ils ne permettent aucune lecture des données des Clients (architecture zero-knowledge). (d) Le raccordement MediData, contrat de tiers, n'est pas garanti au-delà de la notification. La présente clause est stipulée en faveur du Client ; en toute hypothèse, les droits des clauses 8.4 (export) et 8.7 (pérennité par le code) subsistent.

12. Modifications du contrat et du service

12.1 Modifications mineures (clause spécialement signalée, 14.2 let. e). L'Éditeur peut adapter les présentes conditions pour des motifs mineurs (précisions, évolutions techniques n'affectant pas l'équilibre du contrat). Toute modification mineure est communiquée au moins trente (30) jours avant son entrée en vigueur, par affichage dans l'application ou par voie électronique ; à défaut de résiliation avant cette date, elle est réputée acceptée. Le Client qui refuse une modification mineure peut, en dérogation à la clause 11.1, résilier par écrit avant son entrée en vigueur, avec effet à cette date et remboursement du prorata de la fraction payée d'avance. Les modifications ne s'appliquent pas rétroactivement aux prestations déjà exécutées.

12.2 Modifications substantielles — acceptation expresse. Toute modification substantielle — notamment du prix, du régime de responsabilité, de la protection des données ou du for — requiert l'acceptation expresse du Client. L'Éditeur la lui présente dans l'application, et par courrier électronique au Client qui a souscrit au service géré, en une seule communication qui comprend :

• (a) la mention que les conditions ont changé, avec l'identifiant de la nouvelle version ;
• (b) un résumé de ce qui change, clause par clause ;
• (c) l'accès au texte complet de la nouvelle version, où les clauses spécialement signalées restent mises en évidence (14.2), et que le Client peut enregistrer ou imprimer (PDF) avant de répondre ;
• (d) le choix entre accepter et refuser, et ce que le refus entraîne (ci-dessous).

Le Client accepte par un geste unique (« J'accepte »), horodaté et rattaché à la version ; aucune case n'est à cocher. Le silence ne vaut pas acceptation d'une modification substantielle. Une modification substantielle que le résumé (let. b) tairait n'est pas opposable au Client.

Sans réponse (clause spécialement signalée, 14.2 let. e). Tant que le Client n'a ni accepté ni refusé, les conditions antérieures continuent de s'appliquer. Pendant trente (30) jours dès la communication, l'Éditeur lui rappelle la modification, dans l'application et, s'il a souscrit au service géré, par courrier électronique, sans rien interrompre. À l'échéance de ce délai, la synchronisation de son compte attend sa réponse ; elle reprend dès qu'il accepte. La réponse donnée sur l'un de ses appareils vaut pour son compte, et donc pour tous ses appareils. Cette attente ne s'applique qu'au Client qui a déjà accepté une version du contrat qui la prévoit : à la modification qui l'introduit, le rappel se poursuit sans rien interrompre jusqu'à sa réponse. Cette attente n'est ni une suspension au sens de la clause 5.4, ni une résiliation : l'usage de l'application sur son appareil continue, et elle ne porte jamais sur l'accès local du Client à ses données, l'export .carnet, le mécanisme de récupération ni les droits conférés par l'AGPLv3 ; les blocs chiffrés déjà confiés restent conservés. Les jours d'attente d'un Client qui a souscrit ne sont pas facturés : ils lui sont crédités au prorata sur la période suivante, ou remboursés si le contrat prend fin (5.2).

Droit de refuser. Le Client peut refuser la modification, par un geste unique (« Je refuse »), horodaté et rattaché à la version. L'application transmet le refus à l'Éditeur, qui en conserve un reçu horodaté (version refusée, date du refus, date d'effet choisie) et le montre au Client.

• (a) Le Client qui a souscrit au service géré et refuse la modification résilie le service géré, sans frais ni indemnité. La résiliation prend effet, à son choix, immédiatement ou à la fin de la période d'abonnement en cours — à défaut de période payée en cours, à la fin du mois civil qui suit le refus, et au plus tôt à la fin du trentième jour qui suit le refus —, mais jamais avant que l'Éditeur ait reçu le refus — par le reçu de l'application ou par une demande écrite à ; jusque-là, les conditions antérieures continuent de s'appliquer et la synchronisation se poursuit. La fraction payée d'avance et non utilisée lui est remboursée au prorata (5.2 let. c). À la date d'effet, il se trouve dans la situation de la let. (b).
• (b) Le Client qui n'a pas souscrit au service géré conserve l'usage local du logiciel sur son appareil, aux conditions antérieures, sans synchronisation. Ses données restent sur son appareil et leur export (8.4) lui reste ouvert. Il peut accepter la nouvelle version plus tard, depuis l'application ; la synchronisation lui redevient alors accessible, aux conditions de la nouvelle version.

Le refus ne prive le Client ni de ses données ni de leur export ; il lui appartient de conserver ses dossiers pendant les délais légaux (10.2, 11.4).

La fin de l'essai (clause 5.1bis), convenue d'avance, n'est pas une modification au sens de la présente section.

12.3 Évolution du logiciel et réserve réglementaire (clause spécialement signalée, 14.2 let. j). L'Éditeur peut faire évoluer les fonctionnalités, en ajouter ou en retirer, pour des motifs de sécurité, de conformité ou d'amélioration, pour autant que les fonctions essentielles convenues demeurent substantiellement assurées. Si une autorité compétente, une évolution législative ou une nouvelle version du guide MDCG venait à qualifier de dispositif médical tout ou partie d'une fonction, l'Éditeur peut la modifier, la restreindre ou la retirer afin de préserver la conformité, sans que cela constitue une inexécution. Le caractère libre (AGPLv3) garantit au Client la disponibilité pérenne des versions antérieures. Les dispositions impératives (notamment la LRFP) demeurent réservées.

12.4 Cession du contrat et changement de contrôle (clause spécialement signalée). L'Éditeur détient une part de clé de récupération et, lorsque la porte est active, une enveloppe contenant les identités sur-scellées des patients du Client : l'identité de celui qui détient ces éléments est déterminante pour le Client. En conséquence :

(a) l'Éditeur ne peut céder le présent contrat, son entreprise, ou le service géré, ni transférer le contrôle de celui-ci à un tiers, sans en informer le Client par écrit au moins soixante (60) jours à l'avance, en indiquant l'identité, le siège et la juridiction du repreneur ;

(b) le Client peut alors résilier sans frais avec effet à la date du transfert, la fraction de redevance payée d'avance lui étant remboursée au prorata ;

(c) le Client peut, en tout état de cause et sans résilier, exiger la destruction attestée des éléments de garde le concernant (part cryptographique, enveloppe sur-scellée, numéro de vérification) plutôt que leur transfert au repreneur ; l'Éditeur y procède avant le transfert et l'atteste par écrit. La porte de récupération est alors désactivée, ce dont le Client assume la conséquence (clause 10.5) ;

(d) le repreneur est tenu de reprendre l'intégralité des obligations du présent contrat, y compris l'engagement d'architecture de la clause 9.7bis et l'absence de porte dérobée (clause 9.14 let. c).

Le décès ou l'incapacité de l'Éditeur relève de la clause 11.5, non de la présente clause.

13. Droit applicable et for

13.1 Droit applicable. Le présent contrat est soumis exclusivement au droit suisse, à l'exclusion des règles de conflit de lois et de la Convention des Nations Unies sur les contrats de vente internationale de marchandises (CVIM).

13.2 For (clause spécialement signalée, 14.2 let. d). Le Client agissant dans le cadre de son activité professionnelle est un non-consommateur (l'art. 35 CPC ne s'applique pas). Les parties conviennent que le for exclusif est au siège de l'Éditeur, à Sierre (canton du Valais), pour l'une comme pour l'autre partie, sous réserve des fors impératifs. Concrètement : un litige né du présent contrat se porte devant les tribunaux de Sierre, et non devant ceux du domicile du Client, quelle que soit la partie qui agit. Cette clause, onéreuse pour le Client, est mise en évidence dans le texte, rappelée dans l'encadré placé en tête du contrat et présentée sur l'écran d'acceptation (14.2). Son acceptation, horodatée et rattachée à une version dont le texte intégral est conservé (14.4), constitue le « moyen permettant d'en établir la preuve par un texte » de l'art. 17 al. 2 CPC.

14. Conclusion, acceptation et attention spéciale aux clauses onéreuses

14.1 Formation du contrat — deux moments distincts. (a) À la création du coffre, gratuite et purement locale, le Client accepte les présentes conditions par un geste unique dans l'application — l'appui sur le bouton « Créer le compte », que précède immédiatement la phrase « En appuyant sur « Créer le compte », vous déclarez : « J'accepte le contrat, y compris les clauses spécialement signalées » » (14.2 ch. 4) —, après que le texte complet et ses clauses spécialement signalées lui ont été présentés (14.2) ; la version acceptée et l'horodatage de l'acceptation sont enregistrés comme preuve. Cette acceptation ne fait naître aucune obligation de payer : elle règle l'usage, non l'abonnement. (b) À la souscription au service géré, le Client accepte en outre, sur un écran distinct et par un nouveau geste unique, horodaté et rattaché à la version, les éléments économiques du contrat, ses clauses onéreuses de nature économique et la déclaration de la clause 4.1ter (clause 5.6). Les clauses de nature économique — prix, essai et confirmation de l'abonnement, sort des sommes payées d'avance, durée et résiliation — ne sont opposables qu'à compter de cette seconde acceptation. Il en va de même de la clause de for (13.2) : celui qui n'a jamais souscrit relève des fors légaux ordinaires. Les clauses relatives à la responsabilité et à l'irréversibilité zero-knowledge s'appliquent en revanche dès la première acceptation, l'usage gratuit étant lui-même fourni « en l'état » (clause 8.8).

14.2 Attention spéciale aux clauses onéreuses (règle de l'insolite). Les parties reconnaissent que le Client n'est pas rompu au droit des licences ni de la responsabilité logicielle. Les clauses onéreuses ci-après ne sont donc pas noyées dans une acceptation globale : l'Éditeur attire spécialement l'attention du Client sur chacune d'elles, et il le fait par quatre moyens cumulés :

• (1) dans le texte, chacune porte la mention « clause spécialement signalée » et son essentiel est écrit en gras ;
• (2) un encadré placé en tête du contrat les énumère et en dit la portée en langage courant ;
• (3) l'écran d'acceptation présente ce même encadré, et donne accès au texte complet, avant le bouton d'acceptation, de sorte qu'on ne peut accepter sans l'avoir eu sous les yeux ; il permet aussi, avant ce bouton, d'enregistrer ou d'imprimer le contrat (PDF) ;
• (4) le bouton d'acceptation, ou la phrase qui le précède immédiatement, les nomme : « J'accepte le contrat, y compris les clauses spécialement signalées ».

Le Client accepte le contrat, clauses signalées comprises, par ce geste unique, horodaté et rattaché à la version ; aucune case n'est à cocher. Il en va de même à chaque nouvelle acceptation d'une version modifiée (12.2). La jurisprudence du Tribunal fédéral tient l'attention pour suffisamment attirée lorsque la clause est rédigée de façon claire, sans équivoque et mise en évidence par des procédés typographiques tels que des caractères gras (TF 4A_372/2022 du 11.07.2023, consid. 3.3 ; voir aussi ATF 138 III 411 consid. 3.1 et 3.5 ; ATF 135 III 1 consid. 2.1).

Premier groupe — à la création du coffre, dans l'application :

• (a) limitation de responsabilité et plafond (7.4) et exclusion des dommages indirects (7.5) ;
• (b) relève à l'égard des tiers / hold harmless (7.7) ;
• (c) irréversibilité zero-knowledge et perte de données (7.9, 10.5, 10.6) ;
• (d) for au siège de l'Éditeur (13.2) ;
• (e) modification par silence pour les modifications mineures (12.1), et attente de la synchronisation faute de réponse à une modification substantielle dans les trente jours (12.2) ;
• (f) porte de récupération et dépositaires (10.8, 9.11) ;
• (f bis) absence d'assurance de l'Éditeur : aucune assurance de responsabilité civile n'est conclue ni promise ; l'Éditeur répond sur son patrimoine, dans les limites de la section 7 ; la responsabilité légale (LRFP) reste entière (3.5, 7.11) ;
• (m) périmètre cantonal : l'aptitude du logiciel n'est pas garantie hors des cantons et des démarches que la clause nomme (2.5) ;
• (n) accès anticipé — phase bêta : interruptions, régressions et défauts possibles ; sortie à tout moment avec remboursement au prorata, pendant cette phase comme après (3.8) ;
• (o) patient·e·s soigné·e·s en France : la déclaration du Client et ses conséquences — résiliation par l'Éditeur, et responsabilité du Client seul·e des conséquences légales en France (4.1ter) ;
• (p) demandes d'autorités : ce que l'Éditeur peut remettre, ce qu'il fera et ce qu'il ne fera pas (9.14) ;
• (q) cession du contrat et changement de contrôle (12.4).

Les lettres (m) à (q) ont été ajoutées par la version du 8 octobre 2026, après les lettres existantes, pour que les renvois du contrat à 14.2 let. a à l (3.2, 3.5, 5.1bis, 5.2, 9.11, 10.5, 11.3, 12.1, 12.3, 13.2) restent exacts. Ces cinq clauses portaient déjà la mention « clause spécialement signalée » et figuraient dans l'encadré de tête ; elles manquaient à cette liste, qui fonde leur opposabilité.

Second groupe — à la souscription au service géré (clause 5.6), sur l'écran de souscription :

• (g) arrêt du service géré au terme de l'essai de trente jours, faute de confirmation (5.1bis) : synchronisation, sauvegardes gérées et ouverture de nouvelles relèves s'arrêtent, les blocs chiffrés sont conservés au moins nonante jours (5.1bis) ;
• (h) part payée d'avance acquise à l'Éditeur en cas de résiliation pour justes motifs imputables au Client — seule exception au remboursement au prorata (5.2) ;
• (i) caractère exclusif des remèdes en cas d'indisponibilité : avoir au prorata au-delà de 10 jours, résiliation au-delà de 30 jours, à l'exclusion de toute autre prétention pour la même cause (3.2) ;
• (j) faculté de retirer ou de restreindre une fonction pour motif de sécurité ou de conformité, sans que cela constitue une inexécution (12.3) ;
• (k) déchéance en cas de version non installée : l'Éditeur ne répond pas des dommages résultant de l'usage d'une version obsolète ou d'un défaut déjà corrigé par une mise à jour non installée (7.12) ;
• (l) cessation du service géré moyennant un préavis de 90 jours (11.3), et adjonction de plein droit de la TVA en cas d'assujettissement de l'Éditeur (5.5).

Une clause de cette liste qui n'aurait pas été présentée au Client de la manière décrite ci-dessus avant son acceptation lui est inopposable, le reste du contrat demeurant en vigueur.

14.3 Portée du dispositif. Le Client reconnaît que le présent contrat n'est qu'un étage d'un dispositif de protection comprenant également le cadrage in-app « aide, non dispositif médical, non décisionnel » et l'obtention, le cas échéant, d'un avis de qualification écrit de Swissmedic.

14.4 Signatures / acceptation électronique.

Pour l'Éditeur : ____________________ Date : __________

Le Client déclare avoir lu, compris et accepté le présent contrat, y compris les clauses onéreuses spécialement signalées à la clause 14.2 et, s'il utilise le service géré, la déclaration de la clause 4.1ter. Le contrat n'étant soumis à aucune forme légale (art. 11 CO), l'acceptation électronique suffit à le conclure ; l'Éditeur conserve le texte intégral de chaque version acceptée, et le joint à la confirmation de souscription (5.6 let. d) :

Nom / prénom : ____________________ Date et horodatage : __________ Version acceptée : __________