Conditions Générales d'Utilisation

Les présentes Conditions Générales d'Utilisation (ci-après « CGU ») ont pour objet de définir les conditions d'accès et d'utilisation de la plateforme PRISME, éditée par PALM CELINE (EI). PRISME est un cadre de structuration clinique destiné aux psychologues et neuropsychologues. Il permet de structurer des données d'évaluation standardisées, d'appliquer des règles cliniques explicites et d'accompagner la rédaction de bilans. PRISME ne génère aucun diagnostic, aucune interprétation clinique autonome et ne se substitue en aucun cas au jugement du praticien.

L'accès à PRISME est réservé aux professionnels de santé (psychologues, neuropsychologues) exerçant en France ou dans l'Union européenne. L'inscription nécessite la création d'un compte avec une adresse email professionnelle valide. L'utilisateur s'engage à fournir des informations exactes et à jour. L'utilisateur est responsable de la confidentialité de ses identifiants de connexion et de toute activité réalisée sous son compte.

PRISME offre les fonctionnalités suivantes : • Structuration des données brutes et standardisées de tests psychométriques • Application de règles cliniques explicites (seuils, cohérences, écarts) • Utilisation exclusive de normes psychométriques officielles • Comparaisons intra-individuelles • Mise en évidence de profils et patterns • Aide à la rédaction structurée de bilans • Génération de rapports professionnels éditables PRISME ne fait jamais : • Génération de diagnostics • Interprétations cliniques autonomes • Suggestions de décisions cliniques • Remplacement du raisonnement du praticien

L'utilisateur s'engage à : • Utiliser PRISME conformément à sa finalité d'outil d'aide à la structuration clinique • Rester l'unique auteur et garant de l'ensemble des contenus cliniques produits • Assurer la confidentialité des données patients saisies dans l'outil • Ne pas tenter d'accéder à des données d'autres utilisateurs • Ne pas utiliser l'outil à des fins contraires à la déontologie professionnelle • Respecter le secret professionnel tel que défini par le Code de déontologie des psychologues • Signaler toute faille de sécurité ou tout dysfonctionnement constaté

Le logiciel PRISME, son architecture, son code source, ses algorithmes, son interface et l'ensemble de ses contenus sont la propriété exclusive de PALM CELINE et sont protégés par le droit d'auteur (articles L.111-1 et suivants du Code de la propriété intellectuelle). L'utilisateur bénéficie d'un droit d'usage personnel et non exclusif du logiciel, dans le cadre de son activité professionnelle, pour la durée de son abonnement. Toute reproduction, modification, distribution ou exploitation non autorisée est strictement interdite.

Le traitement des données personnelles est décrit dans notre Politique de confidentialité, accessible à l'adresse /privacy. PALM CELINE s'engage à traiter les données conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés. Les données sont hébergées au sein de l'Union européenne. L'utilisateur dispose d'un droit d'accès, de rectification, de suppression et de portabilité de ses données.

PRISME est un outil d'aide qui ne se substitue en aucun cas au jugement clinique du praticien. PALM CELINE décline toute responsabilité quant aux : • Interprétations cliniques formulées par l'utilisateur • Décisions thérapeutiques prises sur la base des données structurées par PRISME • Contenus des bilans et rapports rédigés par l'utilisateur • Conséquences directes ou indirectes de l'utilisation de l'outil PALM CELINE s'efforce d'assurer la disponibilité et le bon fonctionnement du service, mais ne peut garantir une disponibilité ininterrompue. En cas d'interruption programmée, les utilisateurs seront informés dans un délai raisonnable.

L'utilisateur peut résilier son compte à tout moment depuis les paramètres de son profil ou en contactant [email protected]. En cas de manquement aux présentes CGU, PALM CELINE se réserve le droit de suspendre ou de résilier l'accès de l'utilisateur, après notification préalable sauf en cas d'urgence. La résiliation de l'abonnement met fin à l'accès aux modules d'évaluation, mais n'entraîne pas la suppression des données : l'utilisateur conserve la possibilité d'exporter l'ensemble de ses données depuis son profil et de se réabonner à tout moment. La suppression définitive des données n'intervient qu'à la demande de l'utilisateur, soit par la suppression de son compte (depuis son profil — effacement immédiat et irréversible, un export étant proposé au préalable), soit par une demande d'effacement adressée à [email protected]. L'utilisateur, en sa qualité de responsable de traitement, demeure tenu de ses propres obligations de conservation des données cliniques (Code de la santé publique).

Conformément aux articles L.221-18 et suivants du Code de la consommation, l'utilisateur dispose d'un délai de 14 jours à compter de la souscription pour exercer son droit de rétractation, sans avoir à justifier de motif ni à payer de pénalité. Pour exercer ce droit, l'utilisateur peut envoyer sa demande à [email protected] ou utiliser le formulaire de rétractation disponible dans son espace personnel. En cas d'utilisation effective du service avant l'expiration du délai de rétractation, l'utilisateur reconnaît que le remboursement pourra être proportionnel à la période d'utilisation.

Les présentes CGU sont soumises au droit français. En cas de litige relatif à l'interprétation ou à l'exécution des présentes, les parties s'engagent à rechercher une solution amiable préalablement à toute action judiciaire. À défaut d'accord amiable, les tribunaux compétents du ressort de Montélimar seront seuls compétents.

En application de l'article 28 du Règlement Général sur la Protection des Données (RGPD), PALM CELINE agit en qualité de sous-traitant des données patients au sens du RGPD, le praticien demeurant responsable de traitement pour les données de ses propres patients. 11.1 Objet et durée du traitement PALM CELINE traite les données personnelles des patients uniquement pour permettre au praticien d'utiliser les fonctionnalités de structuration clinique de PRISME. Le traitement se poursuit tant que le compte du praticien existe. Il prend fin lors de la suppression du compte par le praticien ou sur sa demande d'effacement, conformément à l'article 28 §3 g) du RGPD (suppression ou restitution des données au choix du responsable de traitement en fin de prestation). Le praticien peut, à tout moment, exporter ses données et en demander la suppression. 11.2 Nature et finalité du traitement Les opérations effectuées sur les données patients sont : collecte, structuration, stockage sécurisé, restitution au praticien, et suppression sur demande. La finalité exclusive est la fourniture du service PRISME au praticien. Aucun traitement à des fins propres de PALM CELINE n'est réalisé sur les données patients. 11.3 Catégories de données et de personnes concernées • Données d'identification : prénom, nom, date de naissance, genre • Données cliniques : scores psychométriques (WISC-V, WPPSI-IV, WAIS-IV), observations, notes • Personnes concernées : patients du praticien (adultes et mineurs) • Catégorie spéciale : données de santé (Art. 9 RGPD) 11.4 Obligations de PALM CELINE (sous-traitant) PALM CELINE s'engage à : • Ne traiter les données que sur instruction documentée du praticien, responsable de traitement (Art. 28 §3 a RGPD) • S'assurer que les personnes autorisées à traiter les données patients sont soumises à une obligation de confidentialité — engagement contractuel ou obligation légale (Art. 28 §3 b RGPD) • Garantir la sécurité des données par des mesures techniques et organisationnelles appropriées au sens de l'Art. 32 RGPD : chiffrement TLS 1.3 en transit, chiffrement LUKS AES-256 au repos, RLS PostgreSQL, authentification forte (2FA/TOTP), audit trail permanent • Notifier le praticien (responsable de traitement) de toute violation de données à caractère personnel sans délai indu, et au plus tard sous 48 heures après en avoir pris connaissance (Art. 28 §3 f et Art. 33 §2 RGPD), afin de lui permettre de respecter son propre délai de notification de 72 heures à la CNIL • Assister le praticien dans la réponse aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité, limitation, opposition — Art. 15 à 22 RGPD) • Assister le praticien dans le respect des obligations liées à la sécurité du traitement : communication aux personnes concernées en cas de violation à risque élevé (Art. 34), analyse d'impact relative à la protection des données lorsque requise (Art. 35), et consultation préalable de la CNIL le cas échéant (Art. 36) • Permettre les audits de conformité sur demande du praticien responsable de traitement et mettre à disposition toute information nécessaire à la démonstration du respect de l'Art. 28 RGPD • Supprimer ou restituer les données en fin de contrat, au choix du responsable de traitement • Ne pas recruter de sous-traitant ultérieur sans autorisation préalable écrite du praticien, sauf les sous-traitants listés à l'Article 11.5 11.5 Sous-traitants ultérieurs autorisés Le praticien autorise expressément le recours aux sous-traitants ultérieurs suivants, chacun faisant l'objet d'un DPA (Data Processing Agreement) signé : | Sous-traitant | Rôle | Localisation | DPA | |---------------|------|--------------|-----| | OVH SAS | Hébergement HDS (serveur Advance-1, Gravelines GRA04) | France (UE) | Signé | | Supabase Inc. (instance self-hosted) | Base de données PostgreSQL (auto-hébergée sur OVH) | France (UE) | N/A — self-hosted | | Stripe Inc. | Traitement des paiements praticiens (pas de données patients) | UE (Dublin) | Signé | | Functional Software Inc. (Sentry) | Monitoring d'erreurs — données patients exclues, PII hashé SHA-256 | UE (Francfort) | Signé | | Resend Inc. | Envoi d'emails transactionnels praticiens (pas de données patients) | UE | Signé | | Klaviyo Inc. | Emails marketing praticiens (pas de données patients) | US (SCCs) | Signé | | Cloudflare Inc. | Proxy DNS, cache et protection DDoS/WAF du site public uniquement — l'API hébergeant les données de santé est en DNS-only, aucune donnée patient ne transite par Cloudflare | US (CCT) | Signé | En cas de modification de cette liste, le praticien en sera informé par email avec un préavis de 30 jours. 11.5 bis Attestation hébergeur HDS Sur demande du praticien, PALM CELINE fournit l'attestation de l'hébergeur OVHcloud relative au périmètre HDS applicable à l'infrastructure de production PRISME (article L.1111-8 du Code de la santé publique). 11.6 Droits des patients (personnes concernées) Le praticien, en tant que responsable de traitement, reste seul responsable de l'information des patients et du recueil de leur consentement. PALM CELINE met à disposition les outils techniques permettant l'exercice des droits (export, suppression) mais ne traite pas directement les demandes des patients.