Politique de confidentialité

Responsable du traitement : KALYDA, Société par actions simplifiée (SAS), RCS Romans 130 538 895, 8 rue Maurice Sibille, 26200 Montélimar, France, représentée par son Président, Marco Sedda. KALYDA est responsable du traitement des données des praticiens-clients (compte, facturation, support). Pour les données de santé des patients saisies par le praticien, KALYDA agit en qualité de sous-traitant au sens de l'article 28 du RGPD : le praticien en est le responsable de traitement (voir CGU, Article 11). Contact pour vos données personnelles : contact@prismeclinical.com — KALYDA n'a pas désigné de délégué à la protection des données (DPO) : cette désignation n'est pas obligatoire pour sa situation, analyse documentée et réexaminée chaque année. Pour toute question relative au traitement de vos données personnelles, vous pouvez nous écrire à l'adresse ci-dessus ou par email.

Nous collectons uniquement les données nécessaires au fonctionnement du service : • Données d'identification : nom, prénom, email, numéro de téléphone • Données professionnelles : numéro RPPS, spécialité, adresse du cabinet • Données patients : informations démographiques, résultats d'évaluations, observations cliniques • Données techniques : journaux de connexion, préférences d'utilisation

Vos données sont utilisées exclusivement pour : • Permettre la gestion de vos patients et bilans • Générer des rapports d'évaluation cognitifs • Assurer le bon fonctionnement et la sécurité du service • Améliorer l'expérience utilisateur Nous ne vendons jamais vos données à des tiers.

Chaque traitement repose sur une base légale au sens de l'article 6 du RGPD : • Fourniture du service et gestion du compte : exécution du contrat (Art. 6.1.b) • Données de santé des patients : traitées pour le compte du praticien (sous-traitance, Art. 28) — la licéité relève du praticien, dans le cadre de sa mission de soin (Art. 9.2.h) et du consentement qu'il recueille (Art. 9.2.a) • Facturation et comptabilité : obligation légale (Art. 6.1.c) • Sécurité, journaux techniques, prévention des abus : intérêt légitime (Art. 6.1.f) • Newsletter et liste d'attente : consentement, révocable à tout moment (Art. 6.1.a) • E-mails aux praticiens clients (cycle de vie de l'abonnement, annonces produit) : intérêt légitime (Art. 6.1.f), opposition possible à tout moment par le lien de désinscription

Vos données sont protégées par : • Chiffrement en transit (HTTPS/TLS) et au repos : disques de la base de données chiffrés (AES, clé de 256 bits), sauvegardes chiffrées par l'hébergeur • Sauvegardes réalisées par l'hébergeur HDS en France, dans le périmètre de sa certification : sauvegardes quotidiennes conservées 7 jours, hebdomadaires 8 semaines et mensuelles 12 mois, plus restauration à un instant donné sur 7 jours • Authentification sécurisée avec tokens JWT • Isolation des données par praticien (Row Level Security) • Hébergement en France chez Scalingo, hébergeur certifié HDS (Hébergement de Données de Santé), sur l'infrastructure de son sous-traitant 3DS Outscale • Attestation HDS de l'hébergeur disponible sur demande à contact@prismeclinical.com Durées de conservation par type de données : • Données de compte (nom, email, RPPS) : tant que le compte existe — pendant l'abonnement et après sa résiliation (la fin de l'abonnement ne supprime rien : l'accès à l'export est conservé, cf. CGV art. 5) ; suppression immédiate lors de la suppression du compte (libre-service depuis votre profil ou sur demande), hors données soumises à une obligation légale de conservation (facturation, journaux) • Données patients (identité, coordonnées) : tant que le compte existe, y compris après résiliation de l'abonnement ; supprimées sur demande ou à la suppression du compte • Données cliniques (évaluations, bilans, rapports) : tant que le compte existe, y compris après résiliation de l'abonnement ; supprimées sur demande ou à la suppression du compte — le praticien est responsable de sa propre conservation conformément au Code de la santé publique. Pour exercer vos droits RGPD sans connexion à votre compte, écrivez à contact@prismeclinical.com. • Journaux d'audit (accès, modifications) : 3 ans (traçabilité — référentiel HDS) • Données de connexion (logs techniques) : 12 mois (obligation légale LCEN) • Données de facturation : 10 ans (obligation comptable, Art. L.123-22 Code de commerce) • Sauvegardes : une donnée effacée (à votre demande ou à la clôture du compte) disparaît immédiatement de l'application, mais peut subsister dans les sauvegardes chiffrées de l'hébergeur : jusqu'à 12 mois pour les sauvegardes automatiques (rotation quotidienne, hebdomadaire et mensuelle) ; les sauvegardes manuelles, déclenchées ponctuellement avant une opération sensible, sont conservées jusqu'à leur suppression. Ces sauvegardes ne servent qu'à restaurer le service après un incident. En fin de contrat avec l'hébergeur, l'ensemble des données est effacé au plus tard 30 jours après la phase de réversibilité. • Cookies et stockage local essentiels : session, 30 jours pour l'appareil de confiance, et jusqu'à leur effacement pour vos choix d'interface (voir la politique cookies) • Données anonymisées (après exercice du droit à l'effacement) : les identifiants directs sont supprimés — le nom est remplacé par « Patient anonymisé », la date de naissance et les coordonnées sont effacées. Seules des données dépourvues de tout identifiant (par ex. scores sans rattachement nominatif) peuvent être conservées à des fins d'intégrité statistique, sans possibilité de réidentification.

Conformément à l'article 28 du RGPD, nous faisons appel aux sous-traitants suivants pour le fonctionnement du service : • Scalingo (Scalingo SAS) — Hébergement de l'application et de la base de données, hébergeur certifié HDS ; infrastructure physique fournie par son sous-traitant 3DS Outscale, certifié HDS — France. Les composants d'authentification et d'API (logiciels open source issus de Supabase) y sont exécutés par nos soins : Supabase Inc. n'a aucun accès aux données • Stripe (Stripe Payments Europe Ltd, Irlande) — Traitement des paiements, certifié PCI-DSS — Union européenne ; transferts possibles vers sa maison mère Stripe Inc. aux États-Unis (EU-US Data Privacy Framework + clauses contractuelles types) • Resend (Resend Inc.) — Envoi d'emails transactionnels — États-Unis (EU-US Data Privacy Framework + clauses contractuelles types) — aucune donnée de santé • Sentry (Functional Software Inc.) — Monitoring des erreurs, données pseudonymisées (identifiant du compte et e-mail haché, jamais l'e-mail en clair) — Union européenne (Francfort) • Klaviyo (Klaviyo Inc.) — E-mails liés à votre abonnement (bienvenue, fin d'essai) et e-mails marketing ; invitations de parrainage envoyées à la demande d'un praticien (adresse du collègue invité) — États-Unis (EU-US Data Privacy Framework + clauses contractuelles types). Votre profil Klaviyo est effacé à la suppression de votre compte • Telegram (Telegram FZ-LLC) — Notifications internes de l'équipe PRISME (inscription, ticket de support, demande d'export, alerte technique) : nom du praticien, adresse e-mail masquée et sujet du ticket, jamais de donnée de santé — Émirats arabes unis, pays sans décision d'adéquation et sans clauses contractuelles types disponibles ; transfert réduit au strict minimum, avec repli par e-mail en cas d'indisponibilité • Cloudflare (Cloudflare Inc.) — Hébergement des pages du site et de l'application (fichiers statiques), proxy/CDN, protection DDoS et vérification anti-robot (Turnstile) (adresses IP des visiteurs) — États-Unis (EU-US Data Privacy Framework + clauses contractuelles types). L'API et la base hébergeant les données de santé sont hors proxy Cloudflare (DNS-only) : aucune donnée de santé n'y transite. Chaque sous-traitant s'engage contractuellement à traiter vos données conformément au RGPD. Les données de santé résident exclusivement sur l'infrastructure hébergée en France chez Scalingo ; aucune donnée de santé n'est transmise aux autres sous-traitants (Stripe, Resend, Sentry, Klaviyo, Cloudflare, Telegram).

Conformément au RGPD, vous disposez des droits suivants : • Droit d'accès : obtenir une copie de vos données • Droit de rectification : corriger vos informations • Droit à l'effacement : supprimer votre compte et données • Droit à la portabilité : exporter vos données • Droit d'opposition : vous opposer au traitement • Droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr) si vous estimez que le traitement de vos données n'est pas conforme au RGPD Exercez ces droits depuis votre profil ou contactez-nous.

Depuis votre page de profil, vous pouvez : • Exporter vos données en format JSON (patients, bilans, profil) • Supprimer votre compte et toutes les données associées La suppression est définitive et irréversible.