Introduction#
La présente politique de confidentialité décrit la manière dont OSPHY collecte, utilise et protège les données personnelles des personnes qui utilisent son site et son application : les praticiens et leurs équipes, les patients qui utilisent le portail patient, et les visiteurs du site. OSPHY traite ces données conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.
Qui est responsable de vos données#
- Comptes praticiens, facturation des abonnements, formulaire de contact : OSPHY (Pauline Alarcon, Entrepreneur individuel (EI), SIREN 988185526, 22 rue Verlet Hanus, 69003 Lyon, France) est responsable de traitement.
- Dossiers des patients : le praticien, ou le cabinet, qui suit le patient est responsable de traitement. OSPHY agit pour son compte en qualité de sous-traitant au sens de l'article 28 du RGPD, selon les engagements décrits dans nos conditions d'utilisation. Un patient qui souhaite exercer ses droits s'adresse en priorité à son praticien ; si la demande nous parvient, nous la transmettons au praticien concerné.
Données collectées#
Praticiens et membres d'un cabinet
- Identité et coordonnées : nom, prénom, adresse e-mail, téléphone, informations professionnelles et du cabinet
- Données de connexion : adresse IP et navigateur utilisé, enregistrés avec chaque session
- Données d'abonnement et de facturation (formule, factures). Les données de carte bancaire sont saisies chez Stripe et ne sont jamais stockées par OSPHY
- Image de profil (facultative)
Patients (pour le compte du praticien)
- Identité et coordonnées : nom, prénom, sexe, date de naissance, adresse, e-mail, téléphone, numéro de sécurité sociale, profession
- Données de santé : antécédents, contre-indications, consultations (motif, examen, tests, traitement, conseils), données gynécologiques et obstétricales, sommeil, activités, rendez-vous, factures
- Compte du portail patient, s'il est créé : e-mail, mot de passe chiffré, sessions
Visiteurs du site
- Messages et pièces jointes envoyés par le formulaire de contact, consultables uniquement dans l'espace d'administration de OSPHY
Finalités et bases légales#
- Fournir le service (comptes, agenda, dossiers patients, facturation, portail patient) : exécution du contrat (article 6.1.b du RGPD). Pour les données de santé, le traitement est nécessaire aux soins, sous la responsabilité d'un professionnel soumis au secret (article 9.2.h du RGPD).
- Facturer et conserver les factures : obligation légale (article 6.1.c).
- Sécuriser le service (sessions, journaux d'accès, prévention des fraudes) : intérêt légitime (article 6.1.f).
- Répondre aux demandes de contact et au support : intérêt légitime.
- Informer les praticiens clients des nouveautés de OSPHY : intérêt légitime. Chaque praticien peut s'y opposer à tout moment depuis ses paramètres ou par le lien présent dans chaque e-mail.
Traitement par intelligence artificielle#
OSPHY propose une aide au diagnostic différentiel par intelligence artificielle, réservée aux formules Pro et Premium. Lorsqu'un praticien l'utilise :
- Les éléments de la consultation (état général, tension, motif, facteurs aggravants et soulageants, symptômes associés, type de douleur, échelle EVA, examen clinique, tests, traitement, conseils) sont transmis au service d'OpenAI, opéré par OpenAI, LLC (États-Unis).
- Avec la formule Premium, le praticien peut ajouter des données du dossier : sexe, âge (et non la date de naissance), taille, poids, profession, latéralité, activités, antécédents, contre-indications, données gynécologiques et obstétricales, sommeil. Chaque catégorie peut être désactivée avant l'envoi.
- Aucun identifiant direct n'est transmis : ni nom, ni prénom, ni date de naissance, ni coordonnées, ni numéro de sécurité sociale. Les champs de texte libre sont envoyés tels qu'écrits : le praticien veille à ne pas y inscrire d'élément permettant d'identifier le patient.
- OpenAI agit en qualité de sous-traitant ultérieur. Son accord de traitement des données (DPA) interdit l'utilisation des données envoyées par l'API pour entraîner ses modèles. OSPHY demande à OpenAI de ne pas conserver les réponses générées.
- Le résultat est une aide à la décision : il ne remplace pas le jugement clinique du praticien.
- Le praticien informe ses patients de l'utilisation de cet outil, conformément aux articles 13 et 14 du RGPD.
OSPHY garde une trace de chaque demande (date, praticien, catégories de données envoyées, modèle utilisé), sans le contenu des données transmises.
Sous-traitants et destinataires#
Nous ne vendons jamais de données personnelles. Elles ne sont accessibles qu'aux personnes autorisées du cabinet et, pour le support et la maintenance, à l'éditeur. Elles sont confiées aux prestataires suivants, chacun lié par un contrat qui encadre le traitement des données :
| Prestataire | Pays | Finalité | Garanties | |---|---|---|---| | Celeonet SAS | France | Hébergement de l'application et de la base de données | Hébergeur certifié HDS | | OpenAI, LLC | États-Unis | Aide au diagnostic par IA | DPA, Data Privacy Framework UE–États-Unis et clauses contractuelles types | | Resend, Inc. | États-Unis | Envoi des e-mails (comptes, rendez-vous, factures, comptes rendus) | DPA et clauses contractuelles types | | Stripe Payments Europe, Ltd. | Irlande | Paiement des abonnements | DPA | | ilikoo | France | Paiement en ligne des séances par les patients, si le praticien l'active | Contrat de traitement des données | | SuperPDP | France | Facturation électronique des abonnements | Contrat de traitement des données |
La recherche d'adresse utilise la Base adresse nationale de l'État (api-adresse.data.gouv.fr) : seul le texte de l'adresse saisie lui est envoyé.
Les e-mails envoyés à un patient à la demande du praticien (facture, compte rendu de consultation, rendez-vous) passent par Resend et peuvent contenir des informations de santé que le praticien choisit d'y inclure.
Transferts hors de l'Union européenne#
OpenAI et Resend sont établis aux États-Unis. Ces transferts sont encadrés par le Data Privacy Framework UE–États-Unis lorsque le prestataire y est certifié, et par les clauses contractuelles types de la Commission européenne (article 46 du RGPD).
Conservation des données#
- Compte praticien : pendant toute la durée du compte, supprimé dès la confirmation de sa suppression.
- Cabinet et dossiers des patients : durée choisie par le praticien, responsable de traitement. À la suppression du cabinet (ou du compte de son propriétaire, sans co-propriétaire), le cabinet est bloqué pendant 30 jours : le praticien peut encore exporter toutes ses données ou annuler. Ensuite, toutes les données du cabinet sont supprimées définitivement. OSPHY ne garde aucune copie : la conservation du dossier patient au-delà de cette date relève du praticien, à partir de son export.
- Factures d'abonnement émises par OSPHY : 10 ans (obligation comptable).
- Sessions : 7 jours pour les praticiens, 14 jours au plus pour le portail patient. Les sessions expirées sont effacées après 30 jours.
- Historique des e-mails envoyés : 3 ans.
- Traces des demandes d'aide au diagnostic : 12 mois.
- Journal des accès d'administration : 12 mois.
- Messages du formulaire de contact : 2 ans.
- Données transmises à OpenAI : OpenAI peut les conserver jusqu'à 30 jours pour détecter les abus, puis les supprime.
Vos droits#
Vous disposez des droits suivants sur vos données :
- Droit d'accès : obtenir une copie de vos données
- Droit de rectification : corriger des données inexactes ou incomplètes
- Droit à l'effacement : demander la suppression de vos données
- Droit à la limitation : restreindre le traitement de vos données
- Droit à la portabilité : récupérer vos données dans un format structuré. Le praticien exporte à tout moment toutes les données de son cabinet (fichier Excel) depuis Paramètres, Zone sensible
- Droit d'opposition : vous opposer à un traitement fondé sur l'intérêt légitime, notamment aux e-mails d'information
- Directives après le décès : définir ce que deviennent vos données après votre décès
Pour exercer ces droits, écrivez-nous à l'adresse indiquée dans la section Contact. Nous répondons dans un délai d'un mois. Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr).
Sécurité des données#
- Hébergement en France chez un hébergeur certifié Hébergeur de Données de Santé (HDS)
- Chiffrement des échanges (HTTPS)
- Chiffrement en base des données d'identité et de santé des patients (AES-256-GCM, une clé par enregistrement)
- Accès réservé aux membres autorisés du cabinet, avec des rôles
- Journalisation des accès d'administration aux données des cabinets
En cas de violation de données, nous prévenons le praticien concerné dans les meilleurs délais et, lorsque la loi l'exige, la CNIL.
Cookies et stockage local#
OSPHY n'utilise que des cookies et stockages nécessaires au fonctionnement du service, qui ne demandent pas de consentement :
- Cookies de session et de sécurité (connexion des praticiens et du portail patient, protection contre les requêtes frauduleuses)
- Préférences d'affichage (thème clair ou sombre, menu latéral replié)
- Notifications déjà vues
Aucun cookie de mesure d'audience, de publicité ou de réseau social n'est déposé.
Modification de la politique#
Cette politique peut évoluer pour suivre nos pratiques ou la loi. Les changements importants vous sont signalés par e-mail ou dans l'application. La date de dernière mise à jour figure en bas de cette page.
Contact#
Pour toute question sur cette politique ou pour exercer vos droits :
- E-mail : contact.osphy@gmail.com
- Courrier : OSPHY, 22 rue Verlet Hanus, 69003 Lyon, France
Dernière mise à jour : 13/11/2026