Politique de confidentialité

Préambule

La société HERVE (ci-après « nous », « notre » ou « HERVE »), éditrice du logiciel HerVé accessible à l'adresse app.herve-med.com (ci-après l'« Application ») et du site internet herve-med.com (ci-après le « Site »), accorde une importance primordiale à la protection des données personnelles de ses utilisateurs.

La présente politique de confidentialité (ci-après la « Politique ») a pour objet d'informer les utilisateurs du Site et de l'Application (ci-après les « Utilisateurs ») sur la manière dont leurs données personnelles sont collectées, traitées et protégées, conformément :

• au règlement (UE) 2016/679 du 27 avril 2016 dit « Règlement Général sur la Protection des Données » (RGPD) ;
• à la loi n° 78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés » ;
• aux articles L. 1111-8 et suivants du Code de la santé publique relatifs à l'hébergement des données de santé ;
• aux recommandations et référentiels de la Commission Nationale de l'Informatique et des Libertés (CNIL).

HerVé est un logiciel métier destiné aux orthoptistes libéraux. À ce titre, l'Application traite des données de santé au sens de l'article 4, paragraphe 15, du RGPD, lesquelles bénéficient d'une protection renforcée.

Article 1 - Responsable du traitement

Le responsable du traitement des données personnelles est :

• Raison sociale : HERVE
• Forme juridique : Société par actions simplifiée (SAS)
• Siège social : Hub Eurasanté, 350 avenue Eugène Avinée, 59120 Loos
• SIREN : 937 942 456
• Représentant légal : M. Maxime Jakubowicz, Président
• E-mail : support@herve-med.com

Dans le cadre de l'utilisation de l'Application par les orthoptistes (ci-après les « Professionnels de Santé »), HERVE agit en qualité de sous-traitant au sens de l'article 28 du RGPD pour le traitement des données de santé des patients. Le Professionnel de Santé demeure le responsable de traitement pour les données de ses patients.

Pour les données relatives aux Utilisateurs eux-mêmes (création de compte, facturation, support), HERVE agit en qualité de responsable de traitement.

Article 2 - Délégué à la protection des données (DPO)

Conformément aux articles 37 à 39 du RGPD, et compte tenu de la nature sensible des données traitées (données de santé), HERVE a désigné un Délégué à la Protection des Données (DPO).

Le DPO peut être contacté :

• Par e-mail : support@herve-med.com
• Par courrier : Délégué à la Protection des Données - HERVE, Hub Eurasanté, 350 avenue Eugène Avinée, 59120 Loos

Article 3 - Données collectées

3.1 - Données des Utilisateurs (Professionnels de Santé)

Lors de la création et de l'utilisation d'un compte sur l'Application, nous collectons les données suivantes :

• Données d'identification : nom, prénom, adresse e-mail, numéro de téléphone, numéro ADELI ou RPPS
• Données professionnelles : adresse du cabinet, spécialité, numéro FINESS de l'établissement
• Données de facturation : adresse de facturation, informations relatives au moyen de paiement (les données bancaires sont traitées exclusivement par notre prestataire de paiement sécurisé et ne sont pas stockées par HERVE)
• Données de connexion : adresse IP, logs de connexion, type de navigateur, système d'exploitation, date et heure d'accès
• Données d'utilisation : actions effectuées dans l'Application, préférences, paramètres

3.2 - Données des patients (données de santé)

Dans le cadre de l'utilisation de l'Application par les Professionnels de Santé, les données suivantes relatives aux patients peuvent être traitées :

• Données d'identification du patient : nom, prénom, date de naissance, sexe, coordonnées (adresse, téléphone, e-mail), numéro de sécurité sociale
• Données de santé : antécédents médicaux, comptes rendus d'examens orthoptiques, bilans visuels, ordonnances, correspondances médicales, résultats d'examens complémentaires, données de télémédecine
• Données administratives du patient : informations relatives à l'assurance maladie, mutuelle, médecin traitant, ophtalmologue référent

Important : Les données de santé des patients sont saisies et gérées exclusivement par le Professionnel de Santé, qui en demeure le responsable de traitement. HERVE n'accède à ces données que dans la stricte mesure nécessaire à l'exécution de ses obligations contractuelles (hébergement, maintenance, support technique) et dans les conditions définies par le contrat de sous-traitance.

3.3 - Données collectées via le Site (visiteurs)

Lors de la visite du Site herve-med.com, nous pouvons collecter :

• Données de navigation : adresse IP, type de navigateur, pages visitées, durée de la visite
• Données de contact : nom, prénom, adresse e-mail, message (en cas d'utilisation du formulaire de contact ou du chat Crisp)
• Cookies : voir l'article 10 ci-dessous

Article 4 - Finalités et bases juridiques des traitements

Conformément à l'article 13 du RGPD, nous vous informons des finalités et bases juridiques de chacun des traitements que nous mettons en œuvre :

Article 5 - Destinataires des données

Les données personnelles collectées peuvent être communiquées aux catégories de destinataires suivantes :

5.1 - Destinataires internes

• Les personnels habilités de HERVE, dans la stricte limite de leurs attributions (équipe technique, support, direction)

5.2 - Sous-traitants

HERVE fait appel à des sous-traitants pour l'exécution de certaines prestations. Ces sous-traitants agissent exclusivement sur instructions de HERVE et dans le respect du RGPD. Des contrats de sous-traitance conformes à l'article 28 du RGPD ont été conclus avec chacun d'entre eux.

5.3 - Tiers autorisés

Les données personnelles peuvent être communiquées à des tiers autorisés par la loi (administrations fiscales, autorités judiciaires, CNIL, etc.) sur demande et dans la limite de ce qui est légalement requis.

5.4 - Interopérabilité

L'Application permet l'interopérabilité avec des services tiers (ex. : Doctolib pour la gestion de rendez-vous). Ces connexions sont activées par le Professionnel de Santé et soumises aux conditions d'utilisation et politiques de confidentialité de chaque service tiers concerné.

Article 6 - Transferts de données hors de l'Union européenne

Les données de santé des patients sont exclusivement hébergées en France / au sein de l'Union européenne, auprès d'un hébergeur certifié HDS et ISO 27001. Aucun transfert de données de santé n'est effectué en dehors de l'Union européenne.

Certaines données non sensibles (données analytiques, monitoring applicatif) peuvent faire l'objet d'un transfert vers les États-Unis. Ces transferts sont encadrés par :

• les clauses contractuelles types (CCT) adoptées par la Commission européenne (décision d'exécution (UE) 2021/914 du 4 juin 2021) ;
• le cas échéant, le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) pour les destinataires certifiés.

Des mesures de sécurité supplémentaires sont mises en œuvre conformément aux recommandations du Comité européen de la protection des données (CEPD).

Article 7 - Durée de conservation des données

Les données personnelles sont conservées pendant les durées suivantes :

À l'expiration des durées de conservation indiquées, les données sont supprimées de manière sécurisée ou anonymisées de façon irréversible.

Article 8 - Sécurité des données

HERVE met en œuvre des mesures techniques et organisationnelles appropriées pour assurer la sécurité, la confidentialité et l'intégrité des données personnelles, conformément à l'article 32 du RGPD. Ces mesures incluent notamment :

• Hébergement certifié : Les données de santé sont hébergées auprès d'un hébergeur certifié HDS (Hébergeur de Données de Santé) conformément à l'article L. 1111-8 du Code de la santé publique, et certifié ISO 27001 (système de management de la sécurité de l'information).
• Chiffrement : Les données sont chiffrées en transit (TLS 1.2 minimum) et au repos (AES-256).
• Contrôle d'accès : Accès strictement limité aux personnels habilités, authentification forte, gestion des droits selon le principe du moindre privilège.
• Journalisation : Les accès aux données de santé sont tracés et audités.
• Sauvegardes : Des sauvegardes régulières et chiffrées sont effectuées, avec des tests de restauration périodiques.
• Gestion des incidents : Une procédure de gestion des violations de données est en place, conformément aux articles 33 et 34 du RGPD, incluant la notification à la CNIL dans les 72 heures et, le cas échéant, l'information des personnes concernées.
• Sensibilisation : L'ensemble des collaborateurs ayant accès aux données personnelles fait l'objet d'une sensibilisation régulière à la protection des données et à la sécurité de l'information.
• Tests de sécurité : Des audits de sécurité et des tests de pénétration sont réalisés périodiquement.

Article 9 - Analyse d'impact relative à la protection des données (AIPD)

Compte tenu de la nature des données traitées (données de santé), du volume potentiel de personnes concernées et de l'utilisation de technologies innovantes (intelligence artificielle), une analyse d'impact relative à la protection des données (AIPD) a été réalisée conformément à l'article 35 du RGPD et aux lignes directrices de la CNIL.

Cette analyse est tenue à la disposition de la CNIL et est revue périodiquement ou lors de toute modification substantielle des traitements.

Article 10 - Cookies et traceurs

10.1 - Définition

Un cookie est un petit fichier texte déposé sur le terminal de l'Utilisateur (ordinateur, tablette, smartphone) par le serveur du site visité. Il permet au site de reconnaître l'Utilisateur lors de ses visites successives.

10.2 - Cookies utilisés

10.3 - Gestion des cookies

Lors de votre première visite sur le Site, un bandeau d'information vous permet d'accepter ou de refuser les cookies non essentiels. Vous pouvez modifier vos préférences à tout moment en cliquant sur le lien « Gérer les cookies » présent en pied de page du Site.

Vous pouvez également configurer votre navigateur pour accepter ou refuser les cookies. Les modalités de gestion varient selon le navigateur utilisé :

• Google Chrome
• Mozilla Firefox
• Safari
• Microsoft Edge

Le refus des cookies non essentiels n'empêche pas l'utilisation du Site ou de l'Application, mais certaines fonctionnalités peuvent être réduites.

Gérer mes cookies

10.4 - Mesure des visites venues des assistants IA (Skoup Analytics)

Pour savoir quelles visites du Site viennent des assistants d'intelligence artificielle (ChatGPT, Claude, Gemini, Perplexity…), nous utilisons Skoup Analytics, édité par Lunify SAS (155 avenue de Choisy, 75013 Paris), éditrice de Skoup, qui agit en qualité de sous-traitant de HERVE.

• Avant votre accord : aucun cookie ni aucun stockage n'est déposé ou lu sur votre appareil. Chaque page vue est comptée avec un identifiant aléatoire qui ne vit que le temps de la page. Il s'agit d'une mesure d'audience exemptée de consentement.
• Après « Accepter » : un cookie skp_vid (identifiant aléatoire, 13 mois) relie vos visites successives.
• Adresse IP : elle sert seulement à déterminer le pays de la visite, puis elle est oubliée.
• Conservation et hébergement : les données de mesure sont conservées 25 mois et hébergées dans l'Union européenne.

Vous pouvez vous opposer à cette mesure à tout moment : votre choix est retenu par votre navigateur et plus rien n'est envoyé à Skoup Analytics depuis le Site.

Ne pas être mesuré par Skoup Analytics

Article 11 - Droits des personnes concernées

Conformément aux articles 15 à 22 du RGPD et aux articles 48 à 56 de la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (art. 15 RGPD) : Vous avez le droit d'obtenir la confirmation que des données vous concernant sont ou ne sont pas traitées, et, lorsqu'elles le sont, l'accès auxdites données ainsi qu'à certaines informations (finalités, catégories de données, destinataires, durée de conservation, etc.).
• Droit de rectification (art. 16 RGPD) : Vous avez le droit d'obtenir la rectification de vos données personnelles inexactes ou le complément de vos données incomplètes.
• Droit à l'effacement (art. 17 RGPD) : Vous avez le droit d'obtenir l'effacement de vos données personnelles dans certains cas (données plus nécessaires, retrait du consentement, traitement illicite, etc.), sous réserve des obligations légales de conservation.
• Droit à la limitation du traitement (art. 18 RGPD) : Vous avez le droit d'obtenir la limitation du traitement de vos données dans certains cas (contestation de l'exactitude, traitement illicite, etc.).
• Droit à la portabilité (art. 20 RGPD) : Vous avez le droit de recevoir vos données personnelles dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable de traitement.
• Droit d'opposition (art. 21 RGPD) : Vous avez le droit de vous opposer à tout moment au traitement de vos données fondé sur l'intérêt légitime, y compris le profilage. Vous pouvez également vous opposer au traitement de vos données à des fins de prospection commerciale.
• Droit de retrait du consentement : Lorsque le traitement est fondé sur votre consentement, vous pouvez le retirer à tout moment, sans que cela ne remette en cause la licéité du traitement effectué avant le retrait.
• Droit de définir des directives post-mortem (art. 85 loi Informatique et Libertés) : Vous avez le droit de définir des directives relatives à la conservation, à l'effacement et à la communication de vos données personnelles après votre décès.

Exercice des droits

Pour exercer vos droits, vous pouvez nous contacter :

• Par e-mail : support@herve-med.com
• Par courrier : HERVE - Service Protection des Données, Hub Eurasanté, 350 avenue Eugène Avinée, 59120 Loos

Votre demande sera traitée dans un délai d'un (1) mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux (2) mois supplémentaires en cas de demande complexe ou de nombre élevé de demandes, conformément à l'article 12.3 du RGPD. Vous en serez informé dans le délai initial d'un mois.

Un justificatif d'identité pourra vous être demandé en cas de doute raisonnable sur votre identité.

Droits spécifiques aux données de santé des patients

Les patients dont les données de santé sont traitées via l'Application doivent exercer leurs droits auprès du Professionnel de Santé qui est responsable de traitement de leurs données. HERVE, en qualité de sous-traitant, assistera le Professionnel de Santé dans la satisfaction de ses obligations conformément à l'article 28.3.e du RGPD.

Article 12 - Droit d'introduire une réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD ou de la loi Informatique et Libertés, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• En ligne : www.cnil.fr/fr/plaintes
• Par courrier : CNIL, 3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07

Article 13 - Engagements de HERVE en qualité de sous-traitant

En qualité de sous-traitant pour les données de santé, HERVE s'engage, conformément à l'article 28 du RGPD, à :

• ne traiter les données que sur instruction documentée du Professionnel de Santé ;
• veiller à ce que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité ;
• prendre toutes les mesures de sécurité requises par l'article 32 du RGPD ;
• ne pas recruter de sous-traitant ultérieur sans l'autorisation préalable écrite ou générale du Professionnel de Santé ;
• aider le Professionnel de Santé à satisfaire aux demandes d'exercice des droits des personnes concernées ;
• aider le Professionnel de Santé à garantir le respect des obligations de sécurité, de notification des violations, d'analyse d'impact et de consultation préalable ;
• au choix du Professionnel de Santé, supprimer ou restituer les données au terme de la prestation ;
• mettre à la disposition du Professionnel de Santé toutes les informations nécessaires pour démontrer le respect des obligations et permettre les audits.

Article 14 - Modification de la présente politique

HERVE se réserve le droit de modifier la présente Politique à tout moment afin de se conformer à toute évolution législative, réglementaire, jurisprudentielle ou technique. La version en vigueur est celle accessible sur le Site à la date de consultation.

En cas de modification substantielle, les Utilisateurs seront informés par tout moyen adapté (notification dans l'Application, e-mail) au moins trente (30) jours avant l'entrée en vigueur de la nouvelle version.

La poursuite de l'utilisation du Site ou de l'Application après l'entrée en vigueur de la nouvelle version vaut acceptation de la Politique modifiée.

Article 15 - Droit applicable

La présente Politique est régie par le droit français. En cas de litige relatif à l'interprétation ou l'exécution de la présente Politique, et à défaut de résolution amiable, les tribunaux français compétents seront ceux du ressort du siège social de HERVE.

Article 16 - Contact

Pour toute question relative à la présente Politique ou au traitement de vos données personnelles, vous pouvez nous contacter :

• DPO : support@herve-med.com
• Par courrier : HERVE - Hub Eurasanté, 350 avenue Eugène Avinée, 59120 Loos
• Par e-mail général : support@herve-med.com