Politique de confidentialité

Le responsable du traitement des données personnelles collectées via MEDVY est :

Nathanael Josephson — Entrepreneur Individuel
11 rue Jean Lurçat, 95100 Argenteuil, France
SIREN : 913 752 572
Email : privacy@medvy.fr

En tant qu'auto-entrepreneur en phase beta, l'Éditeur assume directement la fonction de point de contact RGPD. Un Délégué à la Protection des Données (DPO) sera désigné formellement lors de la phase de commercialisation du Service ou lorsque les seuils prévus par l'article 37 du RGPD seront atteints.

Pour toute question relative à vos données personnelles, écrivez à privacy@medvy.fr.

Pour les médecins utilisateurs

• Identité : nom, prénom, email professionnel, numéro RPPS, spécialité
• Coordonnées : adresse du cabinet, téléphone
• Données de connexion : email, mot de passe (haché), code PIN (haché)
• Données d'usage : logs de connexion, actions effectuées dans le Service
• Données de facturation (le cas échéant)

Pour les patients

• Identité : nom, prénom, date de naissance, sexe
• Coordonnées : email, téléphone (optionnels)
• Données de santé (saisies par le médecin) : pathologies, antécédents, allergies, traitements en cours, résultats de bilans biologiques, comptes-rendus d'imagerie, courriers médicaux, transcriptions audio de consultations
• Données de connexion (si le patient a un compte)

Les données de santé sont des données sensibles au sens de l'article 9 du RGPD et bénéficient d'une protection renforcée.

Les données sont traitées pour les finalités suivantes :

• Permettre au médecin de tenir le dossier médical de ses patients (DMP universel)
• Générer des synthèses cliniques, transcriptions audio et courriers médicaux assistés par IA
• Permettre au patient de consulter et partager son DMP
• Assurer la sécurité du Service (logs, détection de fraude)
• Améliorer le Service (analyses agrégées et anonymisées)
• Facturer le Service (le cas échéant)
• Répondre aux demandes des utilisateurs

Le traitement des données est fondé sur :

• L'exécution du contrat entre l'utilisateur et MEDVY (art. 6.1.b RGPD) pour les fonctionnalités du Service
• L'intérêt légitime de l'Éditeur (art. 6.1.f RGPD) pour l'amélioration du Service et la sécurité
• Le consentement explicite de la personne concernée (art. 9.2.a RGPD) pour les données de santé, lorsque le patient utilise directement le Service via le portail patient
• L'exécution d'une mission de soins (art. 9.2.h RGPD) lorsque le médecin traite les données de santé de ses patients dans le cadre de sa pratique médicale

Pour fournir le Service, l'Éditeur fait appel aux sous-traitants suivants :

Mistral AI est une société française : aucune donnée n'est transférée hors UE pour les fonctionnalités d'IA.

Pour Supabase et Cloudflare, dont les sociétés mères sont basées hors UE :

• Le traitement effectif a lieu en UE (Stockholm pour Supabase)
• Des Clauses Contractuelles Types (CCT) approuvées par la Commission européenne sont mises en place
• Les deux prestataires sont certifiés au Data Privacy Framework (DPF) UE-US

Aucune donnée n'est partagée avec des tiers à des fins commerciales ou publicitaires.

• Données de compte (médecin) : conservées tant que le compte est actif, puis supprimées dans un délai de 30 jours après résiliation
• Données de santé (patients) : conservées selon les obligations du médecin (généralement 20 ans après la dernière consultation pour les dossiers médicaux, conformément à l'article L.1142-28 du Code de la santé publique)
• Logs de connexion : 12 mois
• Transcriptions audio brutes : supprimées immédiatement après transcription (seul le texte transcrit est conservé)
• Données de facturation : 10 ans (obligation comptable)

L'Éditeur met en œuvre des mesures techniques et organisationnelles pour protéger les données :

• Chiffrement des communications (TLS 1.3)
• Chiffrement des données au repos (AES-256 via Supabase)
• Authentification renforcée par code PIN obligatoire
• Contrôle d'accès strict via RLS (Row Level Security) Postgres
• Logs d'audit
• Sauvegardes quotidiennes
• Rate limiting sur les actions sensibles
• Verrouillage automatique après 5 tentatives échouées

Malgré ces mesures, aucun système n'est totalement infaillible. En cas de violation de données affectant les droits des personnes, l'Éditeur s'engage à notifier la CNIL dans les 72 heures et à informer les personnes concernées conformément à l'article 34 du RGPD.

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement ("droit à l'oubli") : demander la suppression de vos données
• Droit à la limitation du traitement
• Droit à la portabilité : récupérer vos données dans un format structuré et lisible par machine
• Droit d'opposition au traitement fondé sur l'intérêt légitime
• Droit de retirer votre consentement à tout moment
• Droit de définir des directives sur le sort de vos données après votre décès

Pour exercer ces droits, écrivez à privacy@medvy.fr en précisant votre demande et en joignant une pièce d'identité.

L'Éditeur répondra dans un délai d'un mois, prolongeable de deux mois en cas de complexité particulière.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL :

Commission Nationale de l'Informatique et des Libertés
3 Place de Fontenoy
TSA 80715
75334 Paris Cedex 07
www.cnil.fr

Le service MEDVY utilise uniquement des cookies strictement nécessaires au fonctionnement du Service (authentification, session, sécurité). Aucun cookie publicitaire ou analytique tiers n'est utilisé.

Ces cookies ne nécessitent pas de consentement préalable conformément à l'article 82 de la loi Informatique et Libertés.

Cette politique peut être mise à jour pour refléter des évolutions légales ou techniques. Les utilisateurs seront informés par email de toute modification substantielle au moins 15 jours avant son entrée en vigueur.