Politique de confidentialité
Politique de confidentialité Cirona
Cirona SAS - SIRET 10495881400014 - 38 Côte Capelette, 81300 Graulhet - contact@cirona.fr
Les informations relatives à votre santé sont personnelles et doivent être traitées et protégées avec le plus grand soin.
Soucieuse du respect de la vie privée des Utilisateurs, la Société Cirona SAS dont le siège social est situé 38 Côte Capelette, 81300 Graulhet, immatriculée au RCS de Castres sous le numéro de SIRET 10495881400014, s'engage à ce que la collecte et le traitement d'informations à caractère personnel soient effectués conformément au Règlement UE n°2016/679 du 27 avril 2016 sur la protection des données (RGPD), à la Loi informatique et Libertés du 6 janvier 1978 modifiée (« LIL ») ainsi qu'à l'ensemble des dispositions de la réglementation française applicable en la matière.
Les Données à caractère personnel (y compris les Données de Santé) des Patients et des Cabinets qui utilisent les services Cirona sont hébergées en France par un hébergeur agréé. Cet hébergeur est certifié par le label français "HDS" ("Hébergeur de Données de Santé") conformément à la loi et aux normes établies par l'ANS ("Agence du Numérique en Santé"), en concertation avec la CNIL ("Commission nationale de l'informatique et des libertés"), l'autorité française de protection des données.
La présente politique vise à vous éclairer sur l'utilisation et la protection de vos données personnelles par Cirona : Vous trouverez l'ensemble des informations sur les données que nous traitons, leur utilisation ainsi que vos droits dans le cadre de l'utilisation des Services Cirona incluant l'application mobile, le back-office, le site patient, les pages publiques et les services associés.
Définitions
Dans la présente politique, les termes suivants ont le sens indiqué ci-dessous
- « Cirona » désigne la société éditrice et la plateforme logicielle Cirona.
- « Services » désigne l'application mobile, le back-office, le site patient, les pages publiques, les API et les fonctionnalités associées.
- « Cabinet » désigne le cabinet infirmier, la structure d'exercice ou le professionnel de santé utilisant les Services.
- « Utilisateur » désigne toute personne autorisée à accéder aux Services pour le compte d'un Cabinet.
- « Patient » désigne toute personne dont les informations sont traitées par un Cabinet via les Services ou qui transmet une demande via un parcours public Cirona.
- « Application » désigne l'application de bureau ou mobile publiée par Cirona et téléchargeable depuis le Store.
- « Documents » désigne tout support, quel qu'en soit le format, créé, reçu, envoyé ou conservé dans le cadre d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pouvant contenir des Données de Santé, y compris les Ordonnances.
- « Responsable de traitement » la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement des données à caractère personnel.
- « RGPD » désigne le Règlement Général sur la Protection des Données (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des Données à caractère personnel et à la libre circulation de ces données, abrogeant la Directive 95/46/CE.
- « Données de Santé » désigne les données à caractère personnel relatives à la santé physique ou mentale d'une personne physique, au sens de l'article 4 du RGPD, traitées par les Cabinets via les Services.
- « Données à caractère personnel » désigne toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l'article 4 du RGPD.
- « Plateforme » désigne l'ensemble logiciel édité par Cirona (back-office, site patient, pages publiques, API et Application) permettant l'accès aux Services.
- « Compte Utilisateur » désigne l'espace personnel créé par l'Utilisateur pour accéder aux Services.
- « Ordonnance » désigne toute prescription médicale, sous forme papier ou électronique, transmise, importée ou traitée via les Services.
Objectifs et présentation de la politique
Au regard du RGPD, Cirona agit soit en tant que Responsable de traitement soit en tant que sous-traitant.
Cirona agit comme Responsable de traitement lorsqu'elle exécute pour son propre compte et décide des finalités pour lesquelles vos données sont traitées, à savoir :
- la gestion des comptes ;
- la sécurité ;
- la facturation ;
- le support ;
- la prospection ;
- l'administration des Services ;
- l'exploitation de la Plateforme ;
- les environnements bêta ou TestFlight.
A l'inverse, Cirona intervient en tant que sous-traitant lorsque le Cabinet est le Responsable de traitement et qu'il utilise vos Données à caractère personnel dans le cadre de l'utilisation de nos Services, notamment :
- la gestion de ses Patients (gestion des rendez-vous) ;
- la transmission des prescriptions, Ordonnances, ou tout autres Documents et prérequis ; et
- l'organisation des tournées.
Que ce soit en tant que Responsable du traitement ou en tant que sous-traitant, Cirona prend les mesures appropriées pour garantir la protection et la confidentialité des Données à caractère personnel qu'elle détient ou traite, conformément aux dispositions du RGPD et aux lois nationales applicables.
Cette politique s'applique aux visiteurs de la plateforme, aux Utilisateurs, à leurs proches et aux Patients.
Comment exercer vos droits ?
Pour toute demande relative aux Données à caractère personnel, les personnes concernées peuvent écrire à l'adresse mail suivante : privacy@cirona.fr
Lorsque la demande concerne des données traitées pour le compte d'un Cabinet, Cirona peut transmettre ou orienter la demande vers le Cabinet concerné.
Données collectées
Bases légales
Conformément à l'art.6 du RGPD, tout traitement de données doit se fonder sur l'une des « bases légales » prévues par ce règlement.
A ce titre, Cirona s'appuie sur l'exécution d'un contrat, le respect d'obligations légales, l'intérêt légitime de Cirona ou des Cabinets de santé, le consentement lorsque celui-ci est requis, ou encore les instructions du Cabinet lorsque Cirona agit pour son compte.
Données vous concernant
Selon les Services utilisés, Cirona est susceptible de traiter les catégories de données suivantes :
| Catégorie de données | Données personnelles collectées |
|---|---|
| Données des Utilisateurs professionnels | Identité et Coordonnées |
| Numéro de téléphone | |
| Profession | |
| Fonction | |
| Cabinet | |
| RPPS | |
| Assurance Maladie | |
| SIRET | |
| informations de connexion | |
| sessions | |
| préférences et logs de sécurité | |
| Données des Cabinets | Dénomination sociale si contient le nom et le prénom de la personne |
| adresse, | |
| description, | |
| horaires, | |
| zone d'intervention, | |
| contacts, | |
| équipe, | |
| paramétrages, | |
| abonnement, | |
| facturation et informations administratives | |
| Données des Patients traitées par les Cabinets | identité, |
| coordonnées, | |
| adresse, | |
| date de naissance, | |
| informations administratives, | |
| santé, | |
| prescriptions, | |
| ordonnances, | |
| documents, | |
| photos, | |
| constantes, | |
| consignes, | |
| prérequis, | |
| demandes et événements de tournée. | |
| Données des parcours publics | demande de rendez-vous, |
| soin demandé, | |
| message, | |
| disponibilités, | |
| coordonnées, | |
| documents transmis, | |
| informations nécessaires au traitement de la demande par le Cabinet | |
| Données techniques | adresse IP, |
| identifiants techniques, | |
| horodatages, | |
| type d'appareil, | |
| navigateur, | |
| journaux d'erreur, | |
| journaux d'audit, | |
| données nécessaires à la sécurité et à l'analyse des incidents. | |
| Données de paiement et facturation | informations de souscription, |
| factures, | |
| statut de paiement, | |
| identifiants Stripe ou données équivalentes gérées par les prestataires de paiement |
Données Bêta et TestFlight
Dans le cadre de la phase de test (Bêta), Cirona peut collecter des données techniques supplémentaires (rapports de crash, logs, performances) afin d'identifier les dysfonctionnements et améliorer l'Application avant son lancement officiel.
Ces environnements distribués via TestFlight servent uniquement à tester, valider, démontrer et améliorer Cirona. Ils ne contiennent pas de données réelles de patients, de Données de santé réelles, d'Ordonnances réelles ou de Documents permettant d'identifier une personne réelle.
Les testeurs utilisent uniquement des données fictives, anonymisées ou de démonstration. Toute donnée réelle saisie par erreur doit être signalée à Cirona à l'adresse privacy@cirona.fr, et sera supprimée dès que possible.
Finalités des traitements
Cirona utilise vos données visées précédemment afin de vous fournir les services suivants :
- Créer, administrer et sécuriser les Comptes Utilisateurs ;
- Fournir les Services aux Cabinets et permettre la gestion de leur activité ;
- Permettre la gestion des dossiers médicaux et la tenue des dossiers nécessaires au suivi du Patient ;
- Assurer les communications entre les Utilisateurs et les Cabinets participant à la prise en charge de la personne concernée et à la coordination de celle-ci ;
- Recherche de Cabinets sur l'application et fournir un service de carte ;
- Envoyer des emails transactionnels, invitations, notifications et liens nécessaires à l'utilisation des Services ;
- Gérer l'abonnement, la facturation, les paiements et le recouvrement ;
- Assurer le support, la maintenance, la sécurité, la prévention des abus et l'analyse des incidents ;
- Recherches et études, améliorer les Services, mesurer leur fonctionnement et préparer de nouvelles fonctionnalités ;
- Respecter les obligations légales, répondre aux demandes d'autorités et défendre les droits de Cirona.
- Tester Cirona et mettre en œuvre la phase Bêta, notamment via TestFlight à des fins de débogage et d'amélioration des Services.
Durée de conservation des données
Vos Données à caractère personnel sont conservées pendant une durée conforme aux dispositions légales ou proportionnelles aux finalités pour lesquelles elles ont été collectées.
Néanmoins vos données personnelles sont conservées pour une durée plus importante lorsque les obligations légales et réglementaires s'imposent.
| Catégories de données | Finalités | Durée de conservation |
|---|---|---|
| Données de compte utilisateur (identité, email, mot de passe,…) | Création et gestion du compte, accès aux Services | 3 ans à compter de la dernière activité (dernier RDV ou dernière connexion en cas d'inactivité) |
| Données professionnelles du Cabinet (RPPS, AM, informations professionnelles) | Gestion du Cabinet, accès aux Services, vérification de l'identité professionnelle | 5 ans à compter de la fin de la relation contractuelle |
| Données d'abonnement et de facturation (contrats, factures, statut de paiement) | Gestion de l'abonnement, facturation, recouvrement, obligations comptables et discales | 10 ans à compter de la clôture de l'exercice comptable |
| Données bancaires et identifiants de paiement | Paiement de l'abonnement | Suppression après la transaction, sauf consentement pour paiements ultérieurs et 13 mois après débit (15 mois si débit différé) en archivage intermédiaire à des fins de preuve |
| Données patients (identité, prescriptions, ordonnances, documents) | Gestion des patients pour le compte du Cabinet, fourniture des Services | 20 ans à compter de la dernière prise en charge du patient En cas de décès moins de 10 ans après la dernière prise en charge : 10 ans à compter du décès |
| Données de parcours publics (demande de RDV, message, coordonnées, documents transmis) | Traitement de la demande de RDV par le Cabinet | 3 ans à compter du dernier contact. |
| Logs de sécurité (adresse IP, incidents…) | Sécurité, prévention des abus, analyse d'incidents, preuve | 1 an extensible jusqu'à 3 ans si justifié (obligation légale, contentieux, traçabilité des accès aux données de santé) |
| Données de navigation et techniques (logs applicatifs, crashs, performances…) | Maintenance, amélioration des Services, phase Bêta/TestFlight | 6 mois (durée strictement nécessaire au diagnostic) |
Dans le cadre des traitements effectués en qualité de sous-traitant, Cirona agit uniquement sur instruction des Cabinets, qui agissent quant à eux comme Responsables de traitement, et ne détermine pas elle-même la durée de conservation des Données à caractère personnel.
Pour toute question ou précision sur la durée de conservation des Données à caractère personnel pour lesquelles Cirona n'est pas Responsable de traitement, nous vous recommandons de vous adresser directement au Cabinet traitant de vos données.
A l'expiration des durées de conservation, vos Données à caractère personnel sont conservées sur une base active pendant une durée de cinq ans à compter de la dernière intervention sur le dossier du Patient, puis, à l'issue de cette période, sous la forme archivée sur un support distinct pendant quinze ans dans des conditions de sécurité équivalentes à celles des autres données enregistrées dans l'Application conformément à l'article 32 du RGPD. A terme, les Données à caractère personnel vous concernant sont supprimées de façon définitive ou anonymisées.
Destinataires de vos données
Destinataires au sein de l'Union européenne
Usage interne
Vos Données à caractère personnel peuvent être traitées par les équipes habilitées de Cirona, dans la limite de leurs missions et attributions, ainsi qu'aux personnes autorisées par les Cabinets concernés.
Cirona ne vend pas les données personnelles et n'utilise pas les données patients à des fins commerciales indépendantes du Cabinet.
Prestataires et services tiers
Afin de fournir les Services, Cirona peut avoir recours à ces prestataires d'hébergements applicatif et de base de données, de stockage de fichiers, de paiement, d'email transactionnel, de cartographie, de géocodage, de support, de logs et de supervision.
Pour assurer le stockage sécurisé des documents et des fichiers de l'Application, nous utilisons les services d'hébergement (Object Storage) d'OVHCloud. Toutes ces données sont stockées en France (et, le cas échéant, sur des serveurs certifiés HDS - Hébergeur de Données de Santé) afin d'en garantir la plus stricte confidentialité.
L'ensemble des Données de santé sont hébergées en France.
En cas de recours à un prestataire de service pour assurer la maintenance du logiciel et des postes de travail gérant les dossiers Patients, celui-ci accède aux données personnelles dans le respect du secret médical. Les données devront être protégées par des moyens physiques et logiques, tels que le chiffrement, afin de permettre au technicien d'assurer ses missions sans pouvoir lire ces données.
Prestataires établis hors de l'Union Européenne
Certains prestataires peuvent être établis hors de l'Espace économique européen ou appartenir à des groupes internationaux. Lorsque des transferts de données sont nécessaires, Cirona s'appuie sur les mécanismes reconnus aux articles 44 et suivants du RPGD, notamment les décisions d'adéquation ou les clauses contractuelles types lorsque nécessaire.
Responsables de traitement indépendants établis hors UE :
- Stripe : Lors des achats et paiements, certaines données peuvent être partagées avec Stripe dans le but de permettre la sécurisation des transactions et assurer la facturation de nos Services. Bien que ces données soient stockées exclusivement au sein de l'Union Européenne, le transfert peut se faire hors Union Européenne dans des cas précisé par le DPA prévu à l'adresse suivante : https://stripe.com/fr/legal/dpa.
Autres destinataires
Cirona travaille exclusivement avec des prestataires établis en France ainsi que dans l'Espace économique européen pour les Services établis ci-dessous :
- Pour l'affichage et la tenue des services de localisation
- Lorsque vous activez les Services de géolocalisation dans l'Application, vos données de localisation (coordonnées GPS, adresses) sont transmises à notre partenaire « MapBox » pour permettre l'affichage des cartes et le calcul de vos itinéraires. Nous veillons à ce que seules les données techniques strictement nécessaires à ce service soient partagées.
- L'affichage des cartes et la conversion de vos adresses en coordonnées géographiques s'effectue via le traitement OpenStreetMap ou Nominatim. Aucune Donnée de santé n'est transmise.
- Lorsque vous recevez des notifications ou des messages de l'Application (validation de compte, réinitialisation de mot de passe), votre adresse e-mail est traitée par notre prestataire Resend. Ce service est utilisé exclusivement pour la distribution technique des messages et n'a aucunement accès à vos Données de santé.
Afin de satisfaire ses obligations légales, et lorsque la loi le prévoit, Cirona peut transmettre des Données à caractère personnel à des autorités publiques ou judiciaires.
Hébergement et sécurité
Hébergement
Cirona met en œuvre des mesures techniques et organisationnelles destinées à protéger les données, notamment le contrôle des accès, la séparation logique par Cabinet, la gestion des sessions, le chiffrement des communications, des journaux de sécurité, des sauvegardes et une limitation des accès internes.
Lorsque la réglementation impose des exigences spécifiques d'hébergement pour des Données de santé réelles, les traitements concernés doivent être réalisés dans un environnement conforme à ces exigences.
Les environnements bêta et TestFlight ne doivent pas être utilisés pour des Données réelles de santé sauf confirmation expresse contraire par Cirona.
Sécurité des liens patients et documents
Certains parcours publics peuvent fonctionner au moyen de liens temporaires ou de contrôles de vérification. Les Documents transmis peuvent être accessibles via des liens techniques à durée limitée. Les Patients et Utilisateurs doivent éviter de partager ces liens avec des personnes non autorisées.
Quels sont vos droit sur vos données à caractère personnel ?
Vos droits
Conformément au RGPD et à la loi n° 78-17 du 6 janvier 1978 (LIL), vous disposez des droits suivants sur ces Données à caractère personnel collectées :
- Droit d'accès (article 15 RGPD) : vous pouvez à tout moment accéder aux informations personnelles vous concernant et détenues par Cirona ;
- Droit de rectification (article 16 RGPD) ;
- droit d'effacement (article 17 du RGPD) : vous pouvez demander la modification ou la suppression de vos Données à caractère personnel ;
- Droit à la limitation du traitement (article 18 RGPD) : vous disposez du droit de limiter les traitements effectués sur vos Données à caractère personnel uniquement lorsque l'une des situations suivantes se présente :
- lorsque vous contestez l'exactitude de vos données,
- lorsque vous pensez que le traitement de vos Données à caractère personnel est illicite,
- ou lorsque vous avez besoin de cette limitation pour la constatation, l'exercice ou la défense de vos droits en justice.
- Droit à la portabilité des données (article 20 RGPD) : vous avez la possibilité de demander à récupérer les Données à caractère personnel que vous avez fournies à Cirona, pour un usage personnel ou pour les transmettre à un tiers de votre choix. Uniquement lorsque ces données font l'objet de traitements automatisés fondés sur votre consentement ou sur un contrat.
- Droit d'opposition (article 21 RGPD) : vous pouvez vous opposer au traitement de vos Données à caractère personnel à des fins de marketing direct et/ou vous opposer aux traitements effectués sur le fondement de l'intérêt légitime de Cirona.
- Droit de définir le sort des Données à caractère personnel après votre mort (article 85. LIL) et de choisir à qui Cirona devra les communiquer (ou non) tels qu'à un tiers préalablement désigné. Dès que Cirona a connaissance de votre décès et à défaut d'instructions de votre part, Cirona s'engage à détruire vos Données à caractère personnel, sauf si leur conservation s'avère nécessaire à des fins probatoires ou pour répondre à une obligation légale (telle que la conservation du dossier Patient).
Exercer vos droits
Pour toutes les demandes concernant des données personnelles pour lesquelles Cirona agit en tant que Responsable de traitement :
Toute demande peut être adressées à l'adresse suivante : 38 Côte Capelette, 81300 Graulhet
Ou par mail : privacy@cirona.fr
Pour toute demande portant sur des données traitées par un Cabinet dans le cadre de sa relation avec un Patient, Cirona pourra orienter la personne vers le Cabinet responsable ou assister le Cabinet dans le traitement de la demande.
Toute personne dispose également du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (la CNIL), sur le site www.cnil.fr
Concernant les cookies
Les sites et Applications Cirona peuvent être amenées à recueillir automatiquement vos Données à caractère personnel lors de l'utilisation des services de navigation et utiliser des cookies ou technologies similaires strictement nécessaires au fonctionnement, à la sécurité, à l'authentification, à la conservation des préférences et à la mesure technique du bon fonctionnement des Services.
Lorsque des cookies ou traceurs non strictement nécessaires sont utilisés, Cirona recueille le consentement des personnes concernées lorsque la réglementation l'exige et permet de modifier les préférences applicables. Pour en savoir plus, veuillez consulter notre politique cookies.
Mise à jour de la politique
Cirona peut mettre à jour la présente politique pour tenir compte de l'évolution des services, du droit applicable, des mesures de sécurité ou de son organisation. La version applicable est celle mise à disposition par Cirona à la date d'utilisation des Services.
Contact
Pour toute question générale, Cirona peut être contactée à contact@cirona.fr.
Pour toute question relative aux données personnelles, le contact dédié est privacy@cirona.fr.