OsteoPad

Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données est Hedi Nouar, Entrepreneur individuel, éditeur de la plateforme OsteoPad.

2. Données collectées

Dans le cadre de la gestion de cabinet, OsteoPad traite :

  • Données d'identité : nom, prénom, date de naissance, sexe, adresse, téléphone, email
  • Données de santé : antécédents médicaux, chirurgicaux et familiaux, allergies, traitements en cours, motif de consultation, examens cliniques, diagnostic, techniques utilisées, conseils thérapeutiques
  • Données de facturation : montants, moyens de paiement, numéros de reçu
  • Données techniques: adresse IP, agent utilisateur (pour les journaux d'audit)

3. Base légale du traitement

  • Données de santé : consentement explicite du patient (article 9.2.a du RGPD) et nécessité pour la prise en charge sanitaire (article 9.2.h du RGPD), soumis au secret professionnel (article L.1110-4 du Code de la santé publique).
  • Données d'identité et de facturation : exécution du contrat de soins (article 6.1.b du RGPD) et obligations légales (comptabilité, fiscalité — article 6.1.c).

4. Finalités du traitement

Les données sont collectées pour les finalités suivantes :

  • Gestion des consultations et du suivi patient
  • Facturation et émission de reçus
  • Suivi de l'historique médical du patient
  • Communication avec le patient (rappels, courriers)

5. Destinataires des données

Les données personnelles sont accessibles uniquement par :

  • Le praticien titulaire du dossier.
  • Ses collaborateurs et remplaçants, s'il les invite (formule Premium). Avec un accès en lecture et écriture, ils voient tous les dossiers patients du cabinet. Avec un accès en lecture seule, ils voient les dossiers des patients des rendez-vous qui leur sont attribués.
  • Le patient, depuis son espace patient, pour une partie de son propre dossier : ses rendez-vous, ses reçus, le suivi de ses consultations (motif, conseils, exercices et courrier qui lui est adressé, sauf si son praticien désactive ce partage) et les documents partagés par son praticien ou déposés par lui-même.
  • Sous-traitants techniques : ceux listés à la section 9, dans le strict cadre de leurs prestations.

Aucune donnée n'est vendue, cédée ou partagée avec des tiers à des fins commerciales.

6. Mesures de sécurité

OsteoPad met en œuvre les mesures techniques suivantes :

  • Chiffrement des champs sensibles: les champs sensibles des dossiers patients (antécédents, traitements, examens, diagnostic, comptes rendus) sont chiffrés au niveau applicatif avec l'algorithme AES-256-GCM avant stockage. La clé de chiffrement est conservée à part des données, dans la configuration de l'hébergeur.
  • Transport sécurisé : toutes les communications sont chiffrées via HTTPS/TLS.
  • Authentification : accès par identifiant et mot de passe hashé (bcrypt), sessions sécurisées avec expiration.
  • Journaux d'audit : chaque accès et modification de données de santé est tracé (qui, quand, quoi).
  • Espace patient sécurisé : compte personnel du patient, créé depuis un lien envoyé par son praticien à son adresse e-mail, avec un mot de passe de 12 caractères au moins (hashé en bcrypt), et une alerte par e-mail à chaque connexion depuis un nouvel appareil.

7. Durée de conservation

  • Dossiers patients : 20 ans à compter de la dernière consultation (article R.1112-7 du Code de la santé publique).
  • Données de facturation : 10 ans (obligations comptables et fiscales).
  • Journaux d'audit : 3 ans.
  • Données de session : 7 jours après expiration.

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

  • Droit d'accès : obtenir une copie de vos données
  • Droit de rectification : corriger des données inexactes
  • Droit à l'effacement : demander la suppression de vos données (sous réserve des obligations légales de conservation)
  • Droit à la portabilité : recevoir vos données dans un format structuré (JSON)
  • Droit d'opposition : vous opposer au traitement dans certaines conditions
  • Droit à la limitation : demander la limitation du traitement de vos données

Pour exercer ces droits, contactez votre praticien directement ou écrivez à dpo@osteopad.fr.

9. Sous-traitants

  • Hébergement : Scalingo SAS (Strasbourg, France) — plateforme certifiée HDS (Hébergeur de Données de Santé) et ISO 27001. Base de données PostgreSQL et cache Redis managés en instances HDS. Données hébergées en France (région osc-fr1, Paris).
  • Intelligence artificielle: Groq, Inc. (États-Unis) — transcription vocale et synthèses. Les données nécessaires à la fonction demandée (enregistrement audio, notes de consultation, et pour les courriers l'identité du patient) sont transmises à ce sous-traitant.
  • Emails: serveur SMTP de messagerie. S'il est indisponible, l'envoi passe en secours par Resend Inc. (États-Unis). Cela vaut pour tous les emails de l'application et leurs pièces jointes, y compris les courriers et les reçus envoyés aux patients.
  • Paiements: Stripe (Stripe Payments Europe, Irlande, avec des transferts possibles vers les États-Unis). Stripe traite le paiement par carte bancaire des abonnements des praticiens et reçoit l'email du praticien. Stripe est certifié PCI-DSS niveau 1. OsteoPad ne stocke aucune donnée de carte bancaire : elles sont traitées exclusivement par Stripe.
  • Notifications internes: Telegram (société établie hors de l'Union européenne). L'éditeur y reçoit des alertes de gestion. À l'inscription : nom, email, cabinet et numéro RPPS du praticien. Pour les abonnements et les paiements : nom, email, formule, montant et références Stripe. Pour l'assistance : prénom, initiale du nom, formule et écran concerné. Aucun contenu de dossier patient n'y est transmis.

10. Transfert hors UE

Les dossiers patients sont hébergés en France par Scalingo SAS, hébergeur certifié HDS et ISO 27001, région osc-fr1 (Paris). Certaines données sont toutefois transmises hors de l'Union européenne :

  • Lorsque le praticien utilise une fonction d'intelligence artificielle, les données nécessaires à cette fonction (enregistrement audio, notes de consultation, et pour les courriers l'identité du patient) sont transmises à Groq, Inc., situé aux États-Unis.
  • Si le serveur d'envoi principal est indisponible, les emails passent par Resend Inc., aux États-Unis, y compris les courriers et les reçus joints envoyés aux patients.
  • Les paiements des abonnements passent par Stripe, qui peut transférer des données vers les États-Unis.
  • Les notifications internes d'inscription, d'abonnement et d'assistance passent par Telegram. Elles ne contiennent aucune donnée de dossier patient.

11. Cookies

OsteoPad utilise uniquement des cookies strictement nécessaires :

  • osteopad_session : connexion du praticien ;
  • osteopad_cabinet_actif : cabinet choisi par un praticien qui travaille aussi comme collaborateur ou remplaçant ;
  • espace_patient : connexion du patient à son espace patient ;
  • espace_patient_appareil : reconnaît un appareil déjà utilisé, pour prévenir le patient d'une connexion depuis un nouvel appareil.

Aucun cookie publicitaire ni analytique n'est utilisé.

12. Réclamation

Si vous estimez que le traitement de vos données n'est pas conforme, vous pouvez adresser une réclamation à la CNIL (Commission Nationale de l'Informatique et des Libertés) :

CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
www.cnil.fr

Dernière mise à jour : octobre 2026