Cal.com peut être utilisé dans un cabinet médical en Europe centrale, mais uniquement sous conditions strictes. La conformité aux règles européennes de protection des données de santé n’est pas automatique : elle dépend de quatre preuves que votre cabinet doit obtenir, vérifier et archiver avant tout déploiement.
Les conditions minimales à valider sont les suivantes :
- Hébergement dans l’Union européenne : les données de planification doivent résider sur des serveurs situés dans l’EEE, sans transfert implicite vers des pays tiers.
- Contrat de sous-traitance signé (DPA/BAA) : un accord conforme à l’article 28 du RGPD, couvrant l’objet, la durée, les mesures de sécurité et les sous-sous-traitants.
- Preuves d’audit : rapports SOC 2 Type II et certification ISO 27001 avec dates de validité.
- Cartographie des transferts et liste des sous-traitants : identification de tout flux vers des pays soumis à une législation extra-européenne et des mesures d’atténuation associées.
Rappel fondamental : selon le référentiel CNIL pour cabinets médicaux, votre cabinet reste responsable de traitement au sens de l’article 4(7) du RGPD. La conformité affichée par un éditeur ne vous exonère d’aucune obligation légale, notamment celles des articles 9, 24, 28 et 32.
Points clés
Cal.com peut être déployé dans un cabinet médical en Europe centrale à condition de valider quatre preuves documentées et de maintenir les obligations du responsable de traitement indépendamment de la conformité affichée par l’éditeur.
| Point | Détails | ||
|---|---|---|---|
| Quatre preuves indispensables | Hébergement UE, DPA/BAA signé, rapports SOC 2 Type II et ISO 27001, cartographie des transferts. | ||
| 4/24/28/32/9) même si Cal.com est certifié. | |||
Table des matières
- Que déclare Cal.com et quelles preuves publiques peut-on vérifier ?
- Quelles obligations le RGPD impose-t-il à votre cabinet en tant que responsable de traitement ?
- Quelles spécificités nationales s’appliquent en Europe centrale ?
- Quelle checklist opérationnelle suivre avant de déployer Cal.com ?
- Que faire si Cal.com ne satisfait pas une exigence nationale ?
- Sur quelles bases avons-nous vérifié ces points ?
- Pourquoi la prudence opérationnelle reste indispensable, même avec Cal.com
- Clicfone vous accompagne dans la mise en conformité opérationnelle
- Sources
- Questions fréquentes
Que déclare Cal.com et quelles preuves publiques peut-on vérifier ?
Cal.com publie plusieurs engagements vérifiables, que votre cabinet doit recouper avec ses propres exigences contractuelles.
Sur l’hébergement, Cal, conçue pour que les données de planification soient stockées et traitées dans les frontières de l’EEE. La plateforme déclare également appliquer une approche « privacy-by-design » et recommande l’audit des flux de données avant finalisation de la conformité.
Sur le plan organisationnel, Cal.com a nommé un délégué à la protection des données et un représentant dans l’UE, conformément à l’article 27 du RGPD. Ce point de contact officiel est accessible aux autorités de régulation et aux utilisateurs européens.
Concernant les certifications, Cal.com affiche la conformité SOC 2 Type II et ISO 27001, et propose un accord de type BAA pour les plans Enterprise. Pour les plans inférieurs, un BAA peut être ajouté moyennant un coût additionnel. Les fonctionnalités techniques déclarées comprennent le chiffrement des données au repos et en transit, le contrôle d’accès basé sur les rôles (RBAC), l’authentification unique (SSO/SAML) et la journalisation des accès.
Conseil de pro : Demandez systématiquement le résumé exécutif du rapport SOC 2 Type II et le certificat ISO 27001 avec sa date d’expiration. Ces documents constituent des pièces justificatives directement joignables à votre analyse d’impact (AIPD).
Quelles obligations le RGPD impose-t-il à votre cabinet en tant que responsable de traitement ?
La conformité d’un éditeur SaaS ne transfère pas vos responsabilités légales. Votre cabinet supporte des obligations propres, indépendantes de celles de Cal.com.
Les données de santé constituent une catégorie spéciale au sens de l’article 9 du RGPD. Leur traitement exige une exception légale explicite (consentement exprès du patient ou nécessité médicale), une sécurité renforcée et une documentation rigoureuse. Votre registre des activités de traitement (article 30) doit mentionner Cal.com comme sous-traitant, avec la nature des données traitées et les mesures de sécurité appliquées.
La désignation d’un délégué à la protection des données (DPO) est souvent obligatoire pour les cabinets traitant régulièrement des données de santé à grande échelle. Même lorsqu’elle n’est pas formellement requise, la CNIL recommande cette désignation pour les structures médicales.
Tout contrat avec un sous-traitant doit respecter l’article 28 : objet du traitement, durée, nature des données, mesures de sécurité, interdiction de sous-sous-traitance sans accord préalable, et droit d’audit. Une analyse d’impact sur la protection des données (AIPD) est obligatoire si le traitement présente des risques élevés pour les droits et libertés des personnes concernées, ce qui est généralement le cas pour les données de santé.
En cas d’incident, votre cabinet doit notifier rapidement l’autorité nationale compétente si la violation présente un risque pour les droits et libertés des patients. Ce délai court dès la détection, pas dès la confirmation complète de l’incident.
Quelles spécificités nationales s’appliquent en Europe centrale ?
Le RGPD constitue le socle commun, mais plusieurs pays d’Europe centrale imposent des exigences supplémentaires qui conditionnent directement l’utilisation de Cal.com pour des données patient identifiantes.
En France, la certification HDS (hébergement de données de santé) est obligatoire pour tout hébergeur de données de santé à caractère personnel. Le référentiel HDS impose un système de management de la sécurité de l’information certifié ISO 27001, un périmètre de certification précis, des clauses contractuelles spécifiques (EXI 17, EXI 19, EXI 30, EXI 31) et une cartographie publique des transferts avec mention des risques résiduels. Or, la conformité RGPD d’un éditeur SaaS ne suffit pas à satisfaire ces exigences nationales : l’absence de certification HDS peut constituer une violation réglementaire, même si le fournisseur respecte le RGPD.
En Allemagne, les exigences KBV et le paragraphe 393 du SGB V imposent aux fournisseurs cloud traitant des données sociales et de santé de disposer d’un testat C5 (catalogue de critères du BSI) ou d’une attestation équivalente. SecNumCloud, qualification française délivrée par l’ANSSI, répond à des exigences comparables pour les hébergeurs opérant en France.
Pour les autres pays d’Europe centrale (Autriche, Pologne, République tchèque, Hongrie), vérifiez auprès de l’autorité nationale de protection des données les agréments spécifiques requis pour l’hébergement de données médicales, les exigences d’authentification forte et les registres obligatoires.
Conseil de pro : Joignez à votre dossier de conformité la date de validité de chaque certification nationale exigée. Un certificat ISO 27001 expiré ou un testat C5 non renouvelé invalide rétroactivement votre documentation d’audit.
Quelle checklist opérationnelle suivre avant de déployer Cal.com ?
Avant tout déploiement, votre cabinet doit constituer un dossier documentaire structuré. Voici les éléments à obtenir et à archiver, organisés par catégorie.
Éléments contractuels à obtenir de Cal.com :
- DPA/BAA signé, couvrant l’objet, la durée, les sous-traitants et les transferts hors EEE
- Clause explicite sur l’interdiction de sous-sous-traitance sans accord préalable
- Droit d’audit formalisé dans le contrat
- Liste complète des sous-traitants et sous-sous-traitants avec leur localisation géographique
Preuves techniques à vérifier :
- Confirmation écrite de la région d’hébergement (UE) et de l’absence de réplication hors EEE
- Chiffrement au repos (AES-256 ou équivalent) et en transit (TLS 1.2 minimum)
- Paramétrage RBAC vérifié : chaque membre du cabinet n’accède qu’aux données nécessaires à sa fonction
- Journalisation des accès avec durée de rétention des logs documentée
- Procédure de sauvegarde et politique de conservation des données
Preuves d’audit et certifications :
- Résumé exécutif du rapport SOC 2 Type II avec date de l’audit
- Certificat ISO 27001 avec périmètre et date d’expiration
- Pour la France : attestation HDS ou justification de l’architecture hybride retenue
Documentation interne du cabinet :
- AIPD réalisée et archivée, mentionnant Cal.com comme sous-traitant
- Registre des traitements (article 30) mis à jour
- Mentions d’information patients sur l’utilisation d’un outil de planification tiers
- Procédure d’incident documentée : point de contact chez Cal.com, SLA de notification, modèle de déclaration à l’autorité nationale
Conseil de pro : Testez la procédure d’incident avant le déploiement. Simulez une violation fictive et vérifiez que vous pouvez notifier l’autorité compétente dans les 72 heures avec les informations requises. Un exercice de 30 minutes peut éviter une sanction.
Pour aller plus loin sur la sécurisation de la gestion des rendez-vous médicaux, Clicfone propose un guide opérationnel complet adapté aux cabinets.
Que faire si Cal.com ne satisfait pas une exigence nationale ?
Plusieurs options opérationnelles permettent de réduire le risque sans renoncer à un outil de planification performant.
Option 1 : architecture séparée des flux. N’utiliser Cal.com que pour des métadonnées non identifiantes (créneaux disponibles, type de consultation) et conserver les données de santé à caractère personnel sur un hébergeur certifié HDS. Cette séparation est la solution la plus pragmatique pour les cabinets français, selon le guide CNIL sur les règles applicables aux données de santé.
Option 2 : renforcement contractuel. Signer des clauses contractuelles renforcées avec Cal.com, exiger une preuve écrite des mesures d’atténuation des transferts (chiffrement de bout en bout, stockage restreint à l’UE, garanties contractuelles supplémentaires) et documenter ces engagements dans votre AIPD.
Option 3 : intermédiation par un prestataire local. Confier la gestion de l’agenda et l’interface patient à un service comme Clicfone, qui agit en intermédiaire et prend en charge la synchronisation avec Cal.com sans que l’éditeur stocke directement des données de santé à caractère personnel. Cette architecture décharge Cal.com du rôle d’hébergeur de données sensibles.
Option 4 : report de l’usage. Si aucune des options précédentes ne peut être documentée de manière satisfaisante, reporter le déploiement et privilégier un éditeur ou hébergeur certifié HDS ou qualifié localement. Le risque légal d’un déploiement non conforme dépasse largement le coût d’une migration anticipée.
Sur quelles bases avons-nous vérifié ces points ?
L’analyse présentée dans cet article repose sur plusieurs sources primaires et sur l’expérience opérationnelle de Clicfone dans l’intégration d’outils de prise de rendez-vous pour cabinets médicaux.
Les sources consultées comprennent :
- Les pages officielles de Cal.com dédiées à l’Europe, à la confidentialité et à la conformité (hébergement UE, DPO, certifications)
- Le référentiel de certification HDS publié par l’ANS (Agence du Numérique en Santé)
- Le référentiel CNIL pour la gestion des cabinets médicaux et paramédicaux
- Des analyses juridiques spécialisées sur l’écart entre conformité RGPD et exigences nationales comme HDS
La méthode retenue consiste à recouper les déclarations publiques de Cal.com avec les exigences contractuelles de l’article 28 du RGPD et les référentiels nationaux applicables en Europe centrale. Clicfone apporte à cette analyse une expérience directe : plus de 15 ans d’intégration d’outils de planification (Doctolib, Maiia, CalenDoc, LibreRDV, Cal.com) chez des praticiens, avec les listes de contrôle adoptées en conditions réelles.
Pourquoi la prudence opérationnelle reste indispensable, même avec Cal.com
La tentation est réelle de considérer qu’un éditeur affichant SOC 2 Type II, ISO 27001 et un hébergement UE a « réglé » la question de la conformité. Ce raisonnement est inexact, et il expose le praticien à un risque juridique persistant.
La responsabilité du cabinet en tant que responsable de traitement ne se délègue pas. Un audit de la CNIL ou d’une autorité nationale ne s’arrête pas aux certifications de l’éditeur : il examine votre registre des traitements, votre AIPD, vos contrats Art. 28 et votre procédure d’incident. Un dossier vide, même face à un éditeur certifié, constitue un manquement.
Ce que les praticiens sous-estiment souvent, c’est la cartographie des transferts. Cal.com peut héberger dans l’UE tout en faisant appel à des sous-traitants dont les serveurs ou le siège social sont soumis à des législations extra-européennes (Cloud Act américain, par exemple). Sans liste complète des sous-traitants et sans mesures d’atténuation documentées, votre AIPD reste incomplète. Les solutions mixtes, où un prestataire local gère l’interface patient et la synchronisation d’agenda, limitent précisément ce risque en réduisant la surface de données exposée à l’éditeur.
Clicfone vous accompagne dans la mise en conformité opérationnelle
Valider la conformité de Cal.com pour votre cabinet demande du temps, une expertise juridique et une rigueur documentaire que peu de praticiens peuvent mobiliser seuls.
Depuis 2010, Clicfone accompagne des médecins généralistes, spécialistes et maisons de santé dans la gestion sécurisée de leurs agendas, avec une intégration éprouvée sur Doctolib, Maiia, CalenDoc, LibreRDV et Cal.com. Pour votre cabinet, cela signifie une prise en charge immédiate de la synchronisation d’agenda, une réduction du risque lié au stockage direct de données patients chez un éditeur tiers, et un dossier de conformité tenu à jour. Contactez Clicfone pour un audit rapide de votre gestion des rendez-vous et découvrez comment externaliser en toute conformité.
Sources
Pour constituer votre dossier de conformité, téléchargez et archivez les documents suivants avec leur date de validité :
- Cal
- Référentiel de certification HDS (extraits) | Ministère/ANSP
- Référentiel relatif aux traitements de données à caractère personnel destinées à la gestion des cabinets médicaux et paramédicaux | CNIL
Conseil de pro : Créez un dossier dédié « Conformité Cal.com » dans votre système de gestion documentaire, avec un sous-dossier par année. Joignez-y chaque certificat avec sa date d’expiration et programmez un rappel 60 jours avant le renouvellement.
Cet article constitue une information générale et ne remplace pas l’avis d’un médecin qualifié. Consultez un professionnel de santé qualifié à propos de votre cas personnel avant d’agir sur la base de ce contenu.
Questions fréquentes
Cal.com est-il conforme au RGPD pour un cabinet médical ?
Cal.com déclare respecter le RGPD grâce à un hébergement dans l’UE, un DPO nommé et des certifications SOC 2 Type II et ISO 27001. Cependant, la conformité finale dépend aussi des obligations propres au cabinet (DPA signé, AIPD, registre des traitements).
Un BAA Cal.com suffit-il pour satisfaire les exigences françaises HDS ?
Non. Le BAA couvre les engagements contractuels de Cal.com, mais la certification HDS est une exigence réglementaire distincte imposée à l’hébergeur de données de santé identifiantes en France. Sans cette certification, une architecture hybride séparant les flux est nécessaire.
Quelles certifications Cal.com fournit-il pour les cabinets médicaux ?
Cal.com affiche la conformité SOC 2 Type II et ISO 27001, et propose un accord de type BAA pour les plans Enterprise. Ces certifications sont des preuves utiles pour votre AIPD, mais ne remplacent pas la certification HDS en France ni le testat C5 en Allemagne.
Que faire si Cal.com ne peut pas fournir de certification HDS ?
La solution la plus pragmatique consiste à séparer les flux : utiliser Cal.com uniquement pour des métadonnées non identifiantes et conserver les données patient sur un hébergeur certifié HDS. Une intermédiation par un prestataire local comme Clicfone permet également de réduire la surface de données exposée.
Dans quel délai faut-il notifier une violation de données de santé ?
Toute violation présentant un risque pour les droits et libertés des patients doit être notifiée rapidement à l’autorité nationale compétente (CNIL en France) dès la détection, conformément à l’article 33 du RGPD.
Recommandation
- Guide conformité RGPD médical : obligations et bonnes pratiques
- Télésecrétariat et RGPD en 2026 : Le Guide de la Conformité pour les Professionnels de Santé
- rendez-vous en ligne : outils, sécurité, et intégration
- Télésecrétariat médical : conformité légale et obligations
