Politique de Confidentialité

1. Responsable de traitement

Le responsable du traitement des données personnelles collectées via Ortholab est Aubin Massart, éditeur du service Ortholab.

Pour toute question relative à la présente politique ou à l'exercice de vos droits, vous pouvez nous contacter à l'adresse suivante : roxane.aubin.crbo@gmail.com.

2. Données collectées

Nous collectons et traitons trois catégories de données :

• Données de compte utilisateur (orthophoniste) : nom, prénom, adresse e-mail, identifiant fourni par le service d'authentification, adresse du cabinet, numéro d'identification professionnel (RPPS / ADELI en France, INAMI en Belgique), code de parrainage, préférences d'utilisation.
• Données patients saisies dans les bilans : nom, prénom, date de naissance, sexe, niveau scolaire ou profession, numéro d'identification de santé (NIR / numéro de sécurité sociale), contenu clinique du bilan. Ces données sont sous la responsabilité de l'orthophoniste qui les saisit ; Ortholab agit comme sous-traitant au sens du RGPD pour leur traitement.
• Données techniques et d'usage : journaux de connexion, adresse IP, informations sur le navigateur, statistiques d'usage (création / export de bilans). Le traitement effectif des paiements est opéré par Stripe : Ortholab ne stocke aucune donnée bancaire, uniquement un identifiant client Stripe et le statut d'abonnement.

3. Finalités et bases légales

4. Destinataires et transferts hors UE

Les données ne sont accessibles qu'aux personnes habilitées chez Ortholab et à nos sous-traitants techniques listés à la section 9. Les données patients sont hébergées exclusivement en France sur l'infrastructure HDS de Scalingo et ne font l'objet d'aucun transfert hors Union européenne.

Certains sous-traitants techniques utilisés pour des fonctions support (paiement, suivi métriques produit) peuvent traiter des données non-cliniques en dehors de l'UE — il s'agit uniquement de données de compte ou d'usage, et en aucun cas de données patients. Ces transferts sont alors encadrés par les Clauses Contractuelles Types de la Commission européenne.

5. Durées de conservation

• Données de compte : conservées pendant toute la durée de votre abonnement, puis supprimées dans un délai de 30 jours après la suppression du compte.
• Données patients et bilans : conservées tant que le compte de l'orthophoniste est actif. La suppression du compte entraîne la suppression en cascade de l'ensemble des bilans et données patients associés.
• Données de facturation : conservées pendant 10 ans conformément aux obligations comptables.
• Journaux d'audit et de connexion : conservés pendant 12 mois maximum.

6. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données :

• Hébergement certifié HDS (Hébergeur de Données de Santé) sur des serveurs situés en France.
• Chiffrement au repos des données identifiantes des patients (nom, prénom, date de naissance) via algorithme symétrique Fernet.
• Chiffrement en transit de toutes les communications (TLS).
• Anonymisation systématique des données identifiantes avant transmission au moteur d'IA.
• Journal d'audit des accès et modifications portant sur les données patients.
• En-têtes de sécurité HTTP renforcés en production et sessions stockées en base.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès à vos données.
• Droit de rectification des données inexactes.
• Droit à l'effacement (« droit à l'oubli »).
• Droit à la portabilité de vos données dans un format structuré.
• Droit d'opposition et de limitation du traitement.
• Droit de définir des directives post-mortem relatives à vos données.

Pour exercer ces droits, écrivez-nous à roxane.aubin.crbo@gmail.com. Vous pouvez également supprimer votre compte directement depuis l'application, ce qui entraîne la suppression de l'ensemble de vos données.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr) en France ou de l'APD en Belgique (www.autoriteprotectiondonnees.be).

8. Cookies et mesure d'audience

Ortholab utilise des cookies strictement nécessaires au fonctionnement du service (session d'authentification, sécurité), qui ne requièrent pas de consentement.

Mesure d'audience (PostHog) — Avec votre consentement, recueilli lors de la création de votre compte et modifiable à tout moment, nous utilisons l'outil de mesure d'audience PostHog, hébergé exclusivement dans l'Union européenne. Cet outil nous permet de comprendre l'usage des fonctionnalités (par exemple : création de trames, génération et export de bilans) afin d'améliorer le produit. Les données collectées sont limitées à un identifiant utilisateur interne, des événements d'usage et des informations techniques de navigation. Aucune donnée de santé, aucune donnée patient, aucun contenu de bilan, aucun nom ni e-mail n'est transmis à PostHog.

Rediffusion de session — Toujours sous réserve de votre consentement, PostHog peut enregistrer une reproduction visuelle de la navigation afin d'identifier les difficultés d'ergonomie. Cet enregistrement est réalisé avec un masquage intégral : tous les textes et champs de saisie sont masqués, et l'enregistrement est totalement désactivé sur les pages contenant des données patients (édition de bilans, gestion des patients).

Le site vitrine ortholab.fr peut par ailleurs déposer, après acceptation via le bandeau de consentement, un pixel de mesure publicitaire (Meta) limité aux pages publiques du site — jamais au sein de l'application. Vous pouvez refuser ou retirer votre consentement à tout moment sans que cela n'affecte l'utilisation du service.

9. Liste des sous-traitants

Pour fournir le service, Ortholab fait appel aux sous-traitants suivants. Chacun est lié par un contrat de sous-traitance conforme à l'article 28 du RGPD.

Cette liste est susceptible d'évoluer. Toute modification matérielle vous sera communiquée et la présente page sera mise à jour en conséquence.

10. Modifications de la politique

La présente politique peut être mise à jour pour refléter les évolutions du service ou de la réglementation. La date de dernière mise à jour figure en haut de cette page. En cas de modification substantielle, vous serez informé par e-mail ou via une notification dans l'application.