Politique de confidentialité

1. Qui intervient ?

Pour l’annuaire, les demandes commerciales et les comptes CabIMed, le responsable du traitement est l’entité qui exploite CabIMed. Cette société est en cours de constitution : son identification complète (dénomination, numéro d’entreprise, siège) sera publiée dans les conditions d’utilisation et sur cette page dès sa constitution. Dans l’attente, le point de contact est indiqué ci-dessus.

Selon la fonction utilisée, un professionnel, CabIMed et un prestataire activé peuvent avoir des rôles différents. Le contrat et l’information affichée au moment de la collecte précisent ces rôles.

2. Données concernées

• identité et coordonnées : nom, prénom, e-mail, téléphone et, lorsque nécessaire, date de naissance ;
• données de compte et de sécurité : identifiants techniques, rôles, connexions et événements d’audit ;
• données de rendez-vous : professionnel, motif, date, statut et messages utiles à l’organisation ;
• informations professionnelles : qualification, spécialité, cabinet, horaires et contenu public consenti ;
• données techniques : journaux nécessaires à la sécurité, au diagnostic et au fonctionnement.

Seules les données nécessaires à la fonction demandée sont collectées. Aucune donnée de santé n’est placée dans une URL, un outil publicitaire ou un champ libre non prévu à cet effet.

3. Finalités et bases juridiques

• créer un compte, fournir l’agenda, traiter une réservation ou une demande : exécution du service demandé ou mesures précontractuelles ;
• organiser la prise en charge par le professionnel : bases applicables aux soins et aux obligations du professionnel, à confirmer selon le contexte ;
• protéger les comptes, prévenir la fraude et conserver des preuves techniques : intérêt légitime et obligations de sécurité ;
• publier une fiche professionnelle dans l’annuaire ou envoyer un recontact commercial facultatif : consentement lorsque celui-ci est requis ;
• respecter une obligation légale, répondre à une autorité compétente ou défendre un droit : obligation légale ou intérêt légitime selon le cas.

4. Destinataires et prestataires

Les données sont accessibles aux personnes autorisées du cabinet et de CabIMed selon leur rôle. Deux prestataires techniques seulement reçoivent des données, et uniquement pour les fonctions effectivement activées :

• OVHcloud (OVH SAS, société française, siège à Roubaix) — hébergement de la plateforme et des données, acheminement des courriels du service, ligne téléphonique et envoi de SMS lorsque ces canaux sont activés. Traitement en France.
• Mistral AI — assistance rédactionnelle et transcription, lorsque ces fonctions sont activées. Les données sont pseudonymisées avant tout envoi ; le prestataire n’en conserve aucune et ne s’en sert pas pour entraîner ses modèles. Traitement en Suède et en Norvège, donc dans l’Espace économique européen.

Le traitement a donc lieu dans l’Espace économique européen et aucun transfert vers un pays tiers n’est effectué. Si un professionnel choisit de relier son propre agenda ou sa propre messagerie à un service externe, cette relation relève de son contrat avec le fournisseur concerné.

5. Durées de conservation

Chaque catégorie a une durée déterminée :

• Compte patient — durée du compte. À sa suppression : effacement définitif s’il n’existe aucun historique, sinon anonymisation immédiate de l’identité.
• Éléments relevant du dossier de soins — selon les obligations de conservation qui s’imposent au professionnel de santé (en Belgique, trente ans pour le dossier médical). CabIMed ne les supprime pas de sa propre initiative.
• Compte professionnel — durée de la relation, puis suppression à l’issue du délai de récupération de trente jours.
• Messages vocaux et enregistrements d’appels — trente jours au maximum, le cabinet pouvant réduire ce délai jusqu’à un jour.
• Journal technique de téléphonie — trente jours.
• Jetons de connexion expirés — supprimés automatiquement toutes les six heures.
• Sauvegardes chiffrées — quatorze jours glissants.
• Journaux d’audit et de sécurité — trois ans, puis suppression automatique. Ils servent à prouver qui a accédé à un dossier : les effacer plus tôt priverait chacun de cette preuve.
• Demandes de contact et preuve du consentement au recontact — trois ans à compter du dernier échange.
• Données de facturation, le cas échéant — sept ans, conformément aux obligations comptables belges.

La suppression est appliquée à l’échéance, sous réserve des obligations légales, de la défense de droits, des délais techniques documentés de sauvegarde et des responsabilités propres du professionnel de santé.

6. Sécurité

CabIMed applique des contrôles d’accès, une séparation des rôles et des cabinets, la protection des communications, la limitation des tentatives, la journalisation d’événements sensibles et des procédures de sauvegarde et de restauration régulièrement éprouvées. Ces mesures sont décrites en détail dans l’annexe sécurité, qui fait partie des documents contractuels et engage CabIMed dans les termes qui y figurent. Aucun système ne peut garantir un risque nul.

7. Intelligence artificielle

Certaines fonctions peuvent être assistées par une intelligence artificielle : aide à la rédaction, transcription d’une dictée, tri de messages. Elles sont facultatives et désactivables.

Lorsqu’elles sont utilisées, les éléments qui permettraient d’identifier une personne — nom, adresse e-mail, numéro de téléphone, date de naissance — sont remplacés par des jetons opaques avant toute transmission. La correspondance entre ces jetons et les vraies valeurs existe le temps d’une seule requête et n’est jamais enregistrée ; le rétablissement se fait sur nos serveurs, pour l’affichage au professionnel.

Le prestataire utilisé traite les données dans l’Espace économique européen, n’en conserve aucune et ne s’en sert pas pour entraîner ses modèles. Un enregistrement vocal ne pouvant pas être pseudonymisé, la transcription n’est transmise qu’à un prestataire dont le traitement en Europe a été vérifié : toute autre destination est refusée et la fonction s’interrompt en le signalant.

Aucune décision produisant des effets juridiques ou vous affectant de manière significative n’est prise sur le seul fondement d’un traitement automatisé. Le professionnel de santé reste l’auteur de ses actes et de ses écrits.

8. Incidents de données

Un incident est évalué et traité selon sa nature et son risque. Lorsque le RGPD l’exige, le responsable du traitement notifie l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Les personnes concernées sont informées sans délai indu lorsqu’un risque élevé le requiert. CabIMed informe le responsable concerné conformément à son rôle et au contrat applicable.

9. Vos droits

Selon le traitement et les limites prévues par la loi, vous pouvez demander l’accès, la rectification, l’effacement, la limitation, l’opposition, la portabilité et le retrait d’un consentement. Le retrait n’affecte pas la licéité du traitement antérieur.

Pour exercer un droit, contactez d’abord le professionnel concerné pour les données de soins, ou CabIMed via la page de contact pour les données de plateforme. Une vérification raisonnable de l’identité peut être demandée. Vous pouvez également introduire une réclamation auprès de l’Autorité de protection des données.

10. Cookies et services externes

Seuls les cookies nécessaires au fonctionnement et à la sécurité sont utilisés, sans finalité publicitaire. Un service externe non indispensable, tel qu’une carte interactive, n’est chargé qu’après l’action ou le choix requis. Les seuls témoins déposés sont ceux de la session de connexion et de la sécurité ; aucun traceur publicitaire, aucune mesure d’audience tierce et aucune revente de données.

11. Évolution de cette politique

Chaque nouvelle version porte une date. Si une modification change substantiellement un traitement ou repose sur un nouveau consentement, l’utilisateur concerné reçoit l’information appropriée avant son entrée en vigueur.