Conditions Générales d'Utilisation

Les présentes Conditions Générales d'Utilisation (ci-après « CGU ») ont pour objet de définir les conditions d'accès et d'utilisation de la plateforme PRISME, éditée par KALYDA. PRISME est un cadre de structuration clinique destiné aux psychologues et neuropsychologues. Il permet de structurer des données d'évaluation standardisées, d'appliquer des règles cliniques explicites et d'accompagner la rédaction de bilans. PRISME ne génère aucun diagnostic, aucune interprétation clinique autonome et ne se substitue en aucun cas au jugement du praticien.

L'accès à PRISME est réservé aux psychologues et neuropsychologues exerçant en France ou dans l'Union européenne. L'inscription nécessite la création d'un compte avec une adresse email professionnelle valide. L'utilisateur s'engage à fournir des informations exactes et à jour. L'utilisateur est responsable de la confidentialité de ses identifiants de connexion et de toute activité réalisée sous son compte.

PRISME offre les fonctionnalités suivantes : • Structuration des données brutes et standardisées de tests psychométriques • Application de règles cliniques explicites (seuils, cohérences, écarts) à partir des valeurs saisies par le praticien depuis ses manuels • Comparaisons intra-individuelles • Aide à la rédaction structurée de bilans • Génération de rapports professionnels éditables PRISME ne fait jamais : • Génération de diagnostics • Interprétations cliniques autonomes • Suggestions de décisions cliniques • Remplacement du raisonnement du praticien

L'utilisateur s'engage à : • Utiliser PRISME conformément à sa finalité d'outil d'aide à la structuration clinique • Rester l'unique auteur et garant de l'ensemble des contenus cliniques produits • Assurer la confidentialité des données patients saisies dans l'outil • Ne pas tenter d'accéder à des données d'autres utilisateurs • Ne pas utiliser l'outil à des fins contraires à la déontologie professionnelle • Respecter le secret professionnel tel que défini par le Code de déontologie des psychologues • Signaler toute faille de sécurité ou tout dysfonctionnement constaté

Le logiciel PRISME, son architecture, son code source, ses algorithmes, son interface et l'ensemble de ses contenus sont protégés par le droit d'auteur (articles L.111-1 et suivants du Code de la propriété intellectuelle) et sont la propriété de KALYDA, qui les exploite. L'utilisateur bénéficie d'un droit d'usage personnel et non exclusif du logiciel, dans le cadre de son activité professionnelle, pour la durée de son abonnement. Toute reproduction, modification, distribution ou exploitation non autorisée est strictement interdite.

Le traitement des données personnelles est décrit dans notre Politique de confidentialité, accessible à l'adresse /privacy. KALYDA s'engage à traiter les données conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés. Les données sont hébergées au sein de l'Union européenne. L'utilisateur dispose d'un droit d'accès, de rectification, de suppression et de portabilité de ses données.

PRISME est un outil d'aide qui ne se substitue en aucun cas au jugement clinique du praticien. KALYDA décline toute responsabilité quant aux : • Interprétations cliniques formulées par l'utilisateur • Décisions thérapeutiques prises sur la base des données structurées par PRISME • Contenus des bilans et rapports rédigés par l'utilisateur • Conséquences directes ou indirectes de l'utilisation de l'outil KALYDA s'efforce d'assurer la disponibilité et le bon fonctionnement du service, mais ne peut garantir une disponibilité ininterrompue. En cas d'interruption programmée, les utilisateurs seront informés dans un délai raisonnable.

L'utilisateur peut résilier son compte à tout moment depuis les paramètres de son profil ou en contactant contact@prismeclinical.com. En cas de manquement aux présentes CGU, KALYDA se réserve le droit de suspendre ou de résilier l'accès de l'utilisateur, après notification préalable sauf en cas d'urgence. La résiliation de l'abonnement met fin à l'accès aux modules d'évaluation, mais n'entraîne pas la suppression des données : l'utilisateur conserve la possibilité d'exporter l'ensemble de ses données depuis son profil et de se réabonner à tout moment. La suppression définitive des données n'intervient qu'à la demande de l'utilisateur, soit par la suppression de son compte (depuis son profil — effacement immédiat et irréversible, un export étant proposé au préalable), soit par une demande d'effacement adressée à contact@prismeclinical.com. L'utilisateur, en sa qualité de responsable de traitement, demeure tenu de ses propres obligations de conservation des données cliniques (Code de la santé publique).

PRISME s'adresse à des professionnels qui souscrivent dans le cadre de leur activité : le droit de rétractation du Code de la consommation (Art. L.221-18) n'a, en principe, pas vocation à s'appliquer. KALYDA accorde néanmoins, à titre commercial et volontaire, une garantie « satisfait ou remboursé » de 14 jours à compter de la souscription du premier abonnement payant (modalités détaillées à l'Article 6 des CGV). Pour en bénéficier, l'utilisateur adresse sa demande à contact@prismeclinical.com. Si le service a déjà été utilisé, le remboursement pourra être proportionnel à la période non utilisée.

Les présentes CGU sont soumises au droit français. En cas de litige relatif à l'interprétation ou à l'exécution des présentes, les parties s'engagent à rechercher une solution amiable préalablement à toute action judiciaire. À défaut d'accord amiable, les tribunaux compétents du ressort de Montélimar seront seuls compétents.

En application de l'article 28 du Règlement Général sur la Protection des Données (RGPD), KALYDA agit en qualité de sous-traitant des données patients au sens du RGPD, le praticien demeurant responsable de traitement pour les données de ses propres patients. 11.1 Objet et durée du traitement KALYDA traite les données personnelles des patients uniquement pour permettre au praticien d'utiliser les fonctionnalités de structuration clinique de PRISME. Le traitement se poursuit tant que le compte du praticien existe. Il prend fin lors de la suppression du compte par le praticien ou sur sa demande d'effacement, conformément à l'article 28 §3 g) du RGPD (suppression ou restitution des données au choix du responsable de traitement en fin de prestation). Le praticien peut, à tout moment, exporter ses données et en demander la suppression. Responsable de traitement, il conserve lui-même la preuve des consentements qu'il a recueillis (Art. 7.1 RGPD) : les consentements enregistrés dans PRISME sont effacés avec le dossier du patient ou avec le compte, il lui appartient donc de les télécharger avant tout effacement. 11.2 Nature et finalité du traitement Les opérations effectuées sur les données patients sont : collecte, structuration, stockage sécurisé, restitution au praticien, et suppression sur demande. La finalité exclusive est la fourniture du service PRISME au praticien. Aucun traitement à des fins propres de KALYDA n'est réalisé sur les données patients. En particulier, KALYDA s'interdit d'utiliser les données patients, en clair, pseudonymisées ou agrégées, pour entraîner, affiner, évaluer ou alimenter un modèle d'intelligence artificielle ou d'apprentissage automatique, pour son compte ou pour celui d'un tiers. PRISME n'embarque aucun composant d'intelligence artificielle : le compte-rendu est produit par des règles déterministes à partir des saisies et des décisions du praticien, et aucune donnée clinique n'est transmise à un fournisseur de modèle de langage. 11.3 Catégories de données et de personnes concernées • Données d'identification et coordonnées : prénom, nom, date de naissance, genre, adresse, téléphone, e-mail, médecin adresseur • Parcours : scolarité (établissement, niveau, classe, aménagements AVS, PAP, PPS) ou contexte professionnel (profession, niveau d'études, aménagements, RQTH) • Données cliniques : scores psychométriques (WISC-V, WPPSI-IV, WAIS-IV et autres épreuves proposées dans PRISME), observations, notes • Personnes concernées : patients du praticien (adultes et mineurs) • Catégorie spéciale : données de santé (Art. 9 RGPD) 11.4 Obligations de KALYDA (sous-traitant) KALYDA s'engage à : • Ne traiter les données que sur instruction documentée du praticien, responsable de traitement (Art. 28 §3 a RGPD) • S'assurer que les personnes autorisées à traiter les données patients sont soumises à une obligation de confidentialité — engagement contractuel ou obligation légale (Art. 28 §3 b RGPD) • Garantir la sécurité des données par des mesures techniques et organisationnelles appropriées au sens de l'Art. 32 RGPD : chiffrement TLS en transit, chiffrement au repos des disques de la base (AES, clé de 256 bits) et des sauvegardes (chiffrées par l'hébergeur), hébergement et sauvegardes chez un hébergeur certifié HDS en France (sauvegardes quotidiennes conservées 7 jours, hebdomadaires 8 semaines et mensuelles 12 mois, plus restauration à un instant donné sur 7 jours), isolation par RLS PostgreSQL, contrôle d'accès strict, authentification à deux facteurs (2FA/TOTP) disponible, audit trail permanent • Notifier le praticien (responsable de traitement) de toute violation de données à caractère personnel sans délai indu, et au plus tard sous 48 heures après en avoir pris connaissance (Art. 28 §3 f et Art. 33 §2 RGPD), afin de lui permettre de respecter son propre délai de notification de 72 heures à la CNIL • Assister le praticien dans la réponse aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité, limitation, opposition — Art. 15 à 22 RGPD) • Assister le praticien dans le respect des obligations liées à la sécurité du traitement : communication aux personnes concernées en cas de violation à risque élevé (Art. 34), analyse d'impact relative à la protection des données lorsque requise (Art. 35), et consultation préalable de la CNIL le cas échéant (Art. 36) • Permettre les audits de conformité sur demande du praticien responsable de traitement et mettre à disposition toute information nécessaire à la démonstration du respect de l'Art. 28 RGPD • Supprimer ou restituer les données en fin de contrat, au choix du responsable de traitement • Ne jamais utiliser les données patients pour entraîner, affiner ou évaluer un modèle d'intelligence artificielle, et ne jamais les transmettre à un fournisseur de modèle de langage (Article 11.2) • Ne pas recruter de sous-traitant ultérieur sans autorisation préalable écrite du praticien, sauf les sous-traitants listés à l'Article 11.5 11.5 Sous-traitants ultérieurs autorisés Le praticien autorise expressément le recours aux sous-traitants ultérieurs suivants, chacun lié par un DPA (Data Processing Agreement) conforme à l'article 28 RGPD — contrat signé pour l'hébergeur HDS, DPA standard intégré aux conditions du prestataire pour les autres : | Sous-traitant | Rôle | Localisation | DPA | |---------------|------|--------------|-----| | Scalingo SAS | Hébergement HDS de l'application et de la base de données (certificat HDS n° 38436) ; infrastructure physique 3DS Outscale, certifiée HDS | France | Contrat d'hébergement HDS signé | | Stripe Payments Europe Ltd | Traitement des paiements praticiens (pas de données patients) | UE (Dublin) ; transferts vers Stripe Inc., US (DPF + CCT) | DPA du prestataire, intégré à ses conditions | | Functional Software Inc. (Sentry) | Monitoring d'erreurs — données patients exclues, PII hashé SHA-256 | UE (Francfort) | DPA du prestataire, intégré à ses conditions | | Telegram FZ-LLC | Notifications internes de l'équipe (inscription, ticket, export, alerte) — nom du praticien, e-mail masqué, sujet du ticket ; aucune donnée patient | Émirats arabes unis (sans décision d'adéquation ni CCT disponibles ; transfert minimisé) | Conditions du prestataire | | Resend Inc. | Envoi d'emails transactionnels praticiens (pas de données patients) | US (DPF + CCT) | DPA du prestataire, intégré à ses conditions | | Klaviyo Inc. | E-mails d'abonnement et marketing praticiens, invitations de parrainage (pas de données patients) | US (DPF + CCT) | DPA du prestataire, intégré à ses conditions | | Cloudflare Inc. | Hébergement des fichiers statiques du site et de l'application, proxy DNS, cache, protection DDoS/WAF et anti-robot (Turnstile) — l'API hébergeant les données de santé est en DNS-only, aucune donnée patient ne transite par Cloudflare | US (DPF + CCT) | DPA du prestataire, intégré à ses conditions | En cas de modification de cette liste, le praticien en sera informé par email avec un préavis de 30 jours. 11.5 bis Attestation hébergeur HDS Sur demande du praticien, KALYDA fournit l'attestation de l'hébergeur Scalingo relative au périmètre HDS applicable à l'infrastructure de production PRISME (article L.1111-8 du Code de la santé publique). 11.6 Droits des patients (personnes concernées) Le praticien, en tant que responsable de traitement, reste seul responsable de l'information des patients et du recueil de leur consentement. KALYDA met à disposition les outils techniques permettant l'exercice des droits (export, suppression) mais ne traite pas directement les demandes des patients.