Politique de confidentialité (RGPD)

1. Responsable du traitement

Le responsable du traitement des données à caractère personnel est [RAISON_SOCIALE], dont le siège social est situé [ADRESSE_SIEGE] (ci-après « KINON », « nous » ou « l'Éditeur »). Le responsable du traitement détermine les finalités et les moyens des traitements décrits dans la présente politique pour les données qu'il met en oeuvre pour son propre compte, telles que les données de compte des praticiens, les données de facturation et les données techniques de fonctionnement du service.

S'agissant des données de santé des patients saisies par le kinésithérapeute (bilans, programmes d'exercices, suivis, échanges), le praticien ou le cabinet utilisateur agit en qualité de responsable du traitement de ces données dans le cadre de la prise en charge de ses patients, tandis que KINON intervient en qualité de sous-traitant au sens de l'article 28 du RGPD, c'est-à-dire qu'il traite ces données pour le compte et sur instruction du praticien. Les rôles respectifs et les engagements de chaque partie sont précisés, le cas échéant, dans un accord de traitement des données (DPA) annexé aux conditions d'utilisation.

Pour toute question relative au présent traitement, vous pouvez contacter KINON à l'adresse [EMAIL_CONTACT] ou par courrier postal à l'adresse du siège social indiquée ci-dessus.

2. Délégué à la protection des données (DPO)

Compte tenu de la nature des données traitées, et notamment du traitement à grande échelle de données concernant la santé relevant de l'article 9 du RGPD, KINON a désigné un délégué à la protection des données (Data Protection Officer, DPO), chargé de veiller au respect de la réglementation applicable en matière de protection des données et de servir de point de contact pour les personnes concernées et pour l'autorité de contrôle.

Le délégué à la protection des données peut être contacté à l'adresse [DPO_EMAIL] pour toute question relative au traitement de vos données personnelles ou à l'exercice de vos droits. Vous pouvez également lui adresser un courrier au siège social [ADRESSE_SIEGE], à l'attention du « Délégué à la protection des données ».

3. Catégories de données collectées

Nous collectons et traitons différentes catégories de données à caractère personnel, selon que vous êtes un kinésithérapeute (praticien utilisateur), un membre d'un cabinet, ou un patient dont les données sont saisies par un praticien. Nous nous limitons aux données strictement nécessaires aux finalités décrites à l'article 4, conformément au principe de minimisation des données.

• Données d'identité et de compte : nom, prénom, adresse électronique, numéro de téléphone le cas échéant, identifiant de connexion, mot de passe (stocké sous forme chiffrée et irréversible), rôle au sein du cabinet, et pour les praticiens, données professionnelles telles que le numéro d'inscription à l'ordre ou le numéro RPPS lorsqu'il est renseigné.
• Données concernant la santé (article 9 du RGPD) : il s'agit de données sensibles relevant d'une catégorie particulière. Elles comprennent les informations déclarées et saisies dans le cadre des bilans kinésithérapiques, les pathologies et antécédents, les douleurs et symptômes déclarés, les zones corporelles concernées, les résultats de tests et d'échelles d'évaluation, les programmes d'exercices prescrits, les comptes rendus de séances, les mesures de progression et les échanges entre le patient et son praticien relatifs à sa prise en charge.
• Données d'usage : informations relatives à votre utilisation de la plateforme, telles que les pages consultées, les fonctionnalités utilisées, les exercices réalisés, les dates et heures de connexion, l'état d'avancement des programmes et les actions effectuées dans l'application.
• Données de facturation et de paiement : pour les praticiens et cabinets abonnés, les données nécessaires à la facturation de l'abonnement (raison sociale, adresse de facturation, historique des paiements et des factures). Le paiement est traité par notre prestataire Stripe ; KINON n'a jamais accès au numéro complet de votre carte bancaire.
• Données techniques et journaux de connexion (logs) : adresse IP, type et version du navigateur, système d'exploitation, type d'appareil, identifiants de session, ainsi que les journaux techniques d'accès et d'évènements générés automatiquement pour assurer le fonctionnement, la sécurité et la traçabilité du service.
• Cookies et traceurs : informations collectées au moyen de cookies et de technologies similaires, dans les conditions précisées à l'article 16 et dans notre politique relative aux cookies.

4. Finalités des traitements

Vos données à caractère personnel sont traitées pour des finalités déterminées, explicites et légitimes. Chaque finalité correspond à une ou plusieurs bases légales détaillées à l'article 5.

• Fourniture du service : création et gestion de votre compte, authentification, mise à disposition des fonctionnalités de bilan, de prescription, de suivi des programmes d'exercices et de messagerie entre praticien et patient.
• Prise en charge et suivi des soins : permettre au kinésithérapeute de réaliser les bilans, d'élaborer et d'adapter les programmes d'exercices, et d'assurer le suivi de la rééducation de ses patients.
• Gestion de la relation contractuelle et facturation : gestion des abonnements, encaissement des paiements, émission des factures, suivi des échéances et gestion des éventuels impayés.
• Support et assistance : traitement de vos demandes, réponses à vos questions et résolution des incidents techniques.
• Amélioration et sécurité du service : analyse de l'usage de la plateforme au moyen de données agrégées ou anonymisées, maintien de la qualité, prévention de la fraude, détection des incidents de sécurité et garantie de la disponibilité du service.
• Communication : envoi de notifications de service, d'informations relatives au fonctionnement de la plateforme et, sous réserve de votre consentement lorsque la loi l'exige, de communications relatives à nos offres.
• Respect de nos obligations légales : conservation des documents comptables et fiscaux, réponse aux demandes des autorités habilitées et respect de la réglementation applicable.

5. Bases légales des traitements

Conformément à l'article 6 du RGPD, et à l'article 9 pour les données de santé, chaque traitement repose sur une base légale appropriée.

• Consentement explicite (article 9, paragraphe 2, point a) : le traitement des données concernant la santé repose sur le consentement explicite de la personne concernée ou, le cas échéant, sur la nécessité aux fins de la médecine préventive ou de la prise en charge sanitaire au sens de l'article 9, paragraphe 2, point h, mise en oeuvre sous la responsabilité du professionnel de santé. Le consentement peut être retiré à tout moment, sans que ce retrait ne porte atteinte à la licéité du traitement effectué avant celui-ci.
• Exécution du contrat (article 6, paragraphe 1, point b) : le traitement des données de compte, d'usage et de facturation est nécessaire à l'exécution du contrat d'abonnement auquel vous êtes partie ou à l'exécution de mesures précontractuelles prises à votre demande.
• Intérêt légitime (article 6, paragraphe 1, point f) : certains traitements, tels que la sécurité du service, la prévention de la fraude et l'amélioration de la plateforme au moyen de données agrégées, reposent sur l'intérêt légitime de KINON à fournir un service fiable et sécurisé, après mise en balance avec vos droits et libertés.
• Obligation légale (article 6, paragraphe 1, point c) : certains traitements, notamment la conservation des factures et des pièces comptables, sont nécessaires au respect d'obligations légales auxquelles KINON est soumis.

6. Destinataires des données et sous-traitants

Vos données ne sont accessibles qu'aux personnes habilitées qui en ont besoin dans le cadre de leurs fonctions. Elles ne font l'objet d'aucune cession, location ni vente à des tiers à des fins commerciales.

Dans le cadre du fonctionnement du service, nous faisons appel à des sous-traitants soigneusement sélectionnés, qui agissent sur nos instructions et présentent des garanties suffisantes au sens de l'article 28 du RGPD. Chaque sous-traitant est lié par un contrat encadrant la confidentialité et la sécurité des données.

• Prestataire de paiement (Stripe) : traitement sécurisé des paiements par carte bancaire selon la norme PCI-DSS. KINON ne stocke pas les données complètes de votre carte.
• Hébergeur de données de santé ([HEBERGEUR_HDS]) : hébergement de la plateforme et des données, y compris les données de santé, dans des conditions conformes à la certification d'hébergement de données de santé (HDS).
• Prestataire d'envoi d'e-mails (emailing) : acheminement des courriers électroniques transactionnels et de service (vérification de compte, notifications, réinitialisation de mot de passe).
• Autorités et tiers habilités : transmission possible à des autorités administratives ou judiciaires lorsque la loi l'exige ou pour faire valoir nos droits.

7. Hébergement et localisation des données de santé

Conformément à l'article L. 1111-8 du Code de la santé publique, les données de santé à caractère personnel collectées ou produites à l'occasion des activités de prise en charge sont hébergées auprès d'un hébergeur certifié pour l'hébergement de données de santé (certification HDS). Notre hébergeur, [HEBERGEUR_HDS], est titulaire de cette certification.

Les données, et en particulier les données de santé, sont hébergées et stockées au sein de l'Union européenne. Nous veillons à ce que l'infrastructure utilisée garantisse un niveau élevé de sécurité, de disponibilité et de confidentialité, et à ce que les données de santé ne soient pas transférées en dehors de l'Espace économique européen sans les garanties appropriées décrites à l'article 8.

8. Transferts de données hors Union européenne

En principe, vos données, et notamment vos données de santé, sont hébergées et traitées au sein de l'Union européenne. Nous privilégions systématiquement des prestataires et des infrastructures situés dans l'Espace économique européen.

Dans l'hypothèse où un traitement impliquerait un transfert de données vers un pays situé en dehors de l'Espace économique européen, par exemple par l'intermédiaire de certains prestataires techniques, ce transfert ne serait réalisé que vers un pays bénéficiant d'une décision d'adéquation de la Commission européenne, ou encadré par des garanties appropriées au sens des articles 44 et suivants du RGPD, telles que les clauses contractuelles types adoptées par la Commission européenne, complétées le cas échéant par des mesures techniques et organisationnelles supplémentaires. Une copie des garanties mises en oeuvre peut être obtenue sur demande auprès de notre délégué à la protection des données.

9. Durées de conservation

Vos données à caractère personnel sont conservées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées, puis archivées ou supprimées conformément aux durées légales applicables.

• Données de compte et d'usage : conservées pendant toute la durée de la relation contractuelle, puis supprimées ou anonymisées dans un délai raisonnable après la clôture du compte, sous réserve des durées d'archivage légales.
• Données concernant la santé : conservées pendant la durée de la prise en charge décidée par le praticien responsable du traitement, dans le respect des règles relatives au dossier du patient et des recommandations applicables aux professionnels de santé. À l'issue de cette période, elles sont archivées de manière sécurisée puis supprimées.
• Données de facturation et pièces comptables : conservées pendant dix (10) ans à compter de la clôture de l'exercice comptable, conformément aux obligations légales en matière comptable et fiscale.
• Données techniques et journaux de connexion (logs) : conservés pendant une durée généralement comprise entre six (6) et douze (12) mois à des fins de sécurité et de traçabilité, sauf obligation légale de conservation plus longue.
• Données relatives aux prospects et à la prospection : conservées pendant trois (3) ans à compter du dernier contact, lorsque cela s'applique.

10. Sécurité des données

KINON met en oeuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD, et de protéger vos données contre la destruction, la perte, l'altération, la divulgation ou l'accès non autorisés, de manière accidentelle ou illicite.

• Chiffrement : chiffrement des données en transit (protocole TLS/HTTPS) et chiffrement au repos des données sensibles ; les mots de passe sont stockés sous forme de condensats (hachage) irréversibles.
• Contrôle d'accès : gestion des habilitations selon le principe du moindre privilège, authentification des utilisateurs et cloisonnement des données entre cabinets (architecture multi-tenant).
• Journalisation : enregistrement des accès et des opérations sensibles afin d'assurer la traçabilité et de détecter d'éventuels incidents.
• Hébergement sécurisé : recours à un hébergeur certifié HDS offrant des garanties de sécurité physique et logique, de sauvegarde et de continuité d'activité.
• Gestion des violations de données : en cas de violation de données à caractère personnel susceptible d'engendrer un risque pour vos droits et libertés, KINON s'engage à notifier l'autorité de contrôle compétente dans les meilleurs délais et, lorsque la réglementation l'exige, à en informer les personnes concernées.

11. Vos droits sur vos données

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données à caractère personnel. Lorsque les données concernées sont des données de santé saisies par un praticien, certaines demandes peuvent être traitées en lien avec le praticien responsable du traitement.

• Droit d'accès : obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie.
• Droit de rectification : obtenir la correction des données inexactes ou incomplètes vous concernant.
• Droit à l'effacement : obtenir l'effacement de vos données dans les cas prévus par le RGPD, sous réserve des durées de conservation légales et des obligations de KINON.
• Droit à la limitation du traitement : obtenir, dans certains cas, la suspension temporaire du traitement de vos données.
• Droit d'opposition : vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l'intérêt légitime, ainsi qu'à tout traitement à des fins de prospection.
• Droit à la portabilité : recevoir les données que vous nous avez fournies, dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement lorsque cela est techniquement possible.
• Droit de retirer votre consentement : retirer à tout moment votre consentement au traitement des données fondé sur celui-ci, notamment pour les données de santé, sans que ce retrait n'affecte la licéité du traitement antérieur.
• Droit de définir des directives post-mortem : définir des directives relatives à la conservation, à l'effacement et à la communication de vos données après votre décès, conformément à l'article 85 de la loi Informatique et Libertés.

12. Modalités d'exercice de vos droits

Vous pouvez exercer vos droits en adressant une demande à notre délégué à la protection des données à l'adresse [DPO_EMAIL], ou par courrier postal au siège social [ADRESSE_SIEGE]. Vous pouvez également écrire à [EMAIL_CONTACT].

Afin de garantir la confidentialité de vos données et d'éviter toute demande frauduleuse, nous pourrons être amenés à vous demander de justifier de votre identité par tout moyen approprié. Nous nous efforçons de répondre à toute demande dans un délai d'un (1) mois à compter de sa réception, délai qui peut être prolongé de deux (2) mois en cas de demande complexe ou de nombre élevé de demandes, auquel cas vous en serez informé.

13. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés ou que le traitement de vos données n'est pas conforme à la réglementation, vous avez le droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), autorité de contrôle française.

La CNIL peut être contactée par voie postale au 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur son site www.cnil.fr. Nous vous invitons toutefois à nous contacter au préalable afin que nous puissions répondre à vos préoccupations.

14. Données des mineurs

KINON est un outil destiné à des professionnels de santé et n'a pas vocation à être utilisé directement et de manière autonome par des mineurs. Lorsqu'un mineur fait l'objet d'une prise en charge par un kinésithérapeute, les données le concernant sont traitées sous la responsabilité du praticien, dans le respect des règles relatives à l'autorité parentale et au recueil du consentement.

Le consentement au traitement des données concernant la santé d'un mineur est, le cas échéant, recueilli auprès du ou des titulaires de l'autorité parentale, conformément à la réglementation applicable. Nous n'avons pas connaissance de collecter sciemment de données auprès de mineurs en dehors de ce cadre de prise en charge.

15. Cookies et traceurs

Nous utilisons des cookies et des technologies similaires pour assurer le fonctionnement du service, mémoriser vos préférences et, le cas échéant, mesurer l'audience. Les cookies strictement nécessaires au fonctionnement du service sont déposés sans recueil préalable de consentement ; les autres traceurs ne sont déposés qu'avec votre consentement.

Pour plus d'informations sur les cookies utilisés, leur finalité, leur durée de conservation et les moyens de les paramétrer, veuillez consulter notre politique relative aux cookies disponible à l'adresse /cookies.

16. Modifications de la présente politique

La présente politique de confidentialité peut être modifiée à tout moment afin de tenir compte des évolutions légales, réglementaires, jurisprudentielles ou techniques, ou des évolutions du service. La version applicable est celle en vigueur et publiée sur la plateforme à la date de votre consultation.

En cas de modification substantielle, notamment concernant les finalités des traitements ou les catégories de données collectées, nous vous en informerons par un moyen approprié, par exemple par une notification dans l'application ou par courrier électronique. La date de dernière mise à jour figure en tête de la présente politique.

17. Contact

Pour toute question relative à la présente politique de confidentialité ou au traitement de vos données à caractère personnel, vous pouvez contacter KINON à l'adresse [EMAIL_CONTACT], ou notre délégué à la protection des données à l'adresse [DPO_EMAIL].

Vous pouvez également nous écrire par courrier postal à l'adresse de notre siège social : [RAISON_SOCIALE], [ADRESSE_SIEGE].