Politique de confidentialité

1. Qui est responsable de vos données ?

La présente politique décrit la manière dont Kyneocare (société par actions simplifiée à associé unique (SASU), 80 Galerie de la Chartreuse, 73000 Barberaz, 130 275 431 R.C.S. Chambéry) traite les données à caractère personnel pour lesquelles elle agit en responsable de traitement, au sens du règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et de la loi Informatique et Libertés modifiée. Sont concernées :

• les données des visiteurs du site et de l'application ;
• les données des prospects, c'est-à-dire les personnes qui créent un compte d'essai, utilisent la démonstration, ou nous demandent des informations ;
• les données des utilisateurs professionnels de l'application (praticiens, membres de leur cabinet) pour les traitements que Kyneocare réalise pour son propre compte (gestion de la relation commerciale, facturation, sécurité).

En revanche, pour les données de santé des patients saisies dans l'application par les praticiens, le responsable de traitement est le praticien (ou la structure de soins au sein de laquelle il exerce), et Kyneocare agit uniquement en sous-traitant, dans le cadre de l'accord de sous-traitance conforme à l'article 28 du RGPD, lié aux Conditions Générales d'Utilisation. Ces traitements sont décrits dans cet accord et ne sont pas couverts, en tant que tels, par la présente politique.

2. Quelles données traitons-nous ?

2.1. Données de connexion et de navigation : adresse IP, pages consultées, date et heure, données relatives au terminal (navigateur, système d'exploitation), cookies strictement nécessaires.

2.2. Données des prospects : lorsque vous créez un compte d'essai, utilisez la démonstration ou nous contactez, vos données d'identification (nom, prénom), vos coordonnées professionnelles (adresse e-mail, téléphone, cabinet, profession), ainsi que le contenu de votre demande et de nos échanges.

2.3. Données des utilisateurs professionnels : pour créer et gérer votre compte, y compris pendant la période d'essai, vos données d'identification (nom, prénom, profession), vos coordonnées professionnelles, vos données d'authentification (mot de passe haché, secret de l'authentification à deux facteurs), vos réglages de cabinet, et des données de connexion et d'usage de l'application (journaux de connexion, fonctionnalités utilisées). Votre acceptation des CGU et de la présente politique est horodatée et versionnée (version v2) à des fins de preuve.

3. Pour quelles finalités et sur quelles bases légales ?

3.1. Essai gratuit, demandes de contact et démonstration : création du compte d'essai, réponse à vos demandes, fonctionnement de la démonstration, suivi commercial. Base légale : l'exécution de mesures précontractuelles et de la période d'essai à votre demande, et notre intérêt légitime à répondre aux sollicitations et à développer notre activité (article 6 §1 b et f du RGPD).

3.2. Création et gestion des comptes : création, administration et sécurisation des comptes, gestion de la relation contractuelle. Base légale : l'exécution du contrat (article 6 §1 b du RGPD) lorsque le contrat est conclu avec vous, ou notre intérêt légitime à gérer la relation avec votre structure lorsque le contrat est conclu avec celle-ci (article 6 §1 f du RGPD).

3.3. Facturation et comptabilité : établissement des factures, suivi des paiements, tenue de la comptabilité. Base légale : l'obligation légale de tenir une comptabilité et de conserver les pièces justificatives (article 6 §1 c du RGPD).

3.4. Sécurité : prévenir et détecter les activités malveillantes ou frauduleuses (notamment la vérification anti-robot à l'inscription), gérer les incidents de sécurité. Base légale : notre intérêt légitime à assurer la sécurité de nos systèmes et de vos données (article 6 §1 f du RGPD).

3.5. Amélioration du Service : analyser de manière agrégée l'usage de l'application (compteurs d'utilisation des fonctionnalités par métier, sans aucune donnée de patient) afin d'en améliorer les fonctionnalités. Base légale : notre intérêt légitime à améliorer notre Service (article 6 §1 f du RGPD). Les données de santé des patients ne sont pas utilisées par Kyneocare à des fins d'amélioration du Service.

3.6. Prospection et communication : informations sur Kyneocare, actualités, invitations, enquêtes de satisfaction. Base légale : votre consentement lorsqu'il est requis, ou notre intérêt légitime à promouvoir nos services auprès de professionnels, dans le respect des règles applicables à la prospection entre professionnels (article 6 §1 f du RGPD). Vous pouvez à tout moment vous y opposer en utilisant le lien de désinscription présent dans nos messages ou en nous écrivant.

4. Qui a accès à vos données ?

4.1. Équipe de Kyneocare : dans la limite de leurs attributions (relation client et support, gestion commerciale, maintenance, sécurité et exploitation technique), et sous une obligation stricte de confidentialité.

4.2. Nos sous-traitants, qui agissent sur nos instructions et ne peuvent pas utiliser vos données pour d'autres finalités :

• OVH SAS (hébergement du site, de l'application et des fichiers), serveurs en France ;
• Mistral AI (aide à la rédaction, copilote, transcription de la dictée, lecture des PDF numérisés et recherche documentaire), traitement dans l'Union européenne ;
• Resend (envoi des e-mails de l'application), configuré sur sa région Union européenne ;
• Cloudflare (vérification anti-robot « Turnstile » sur le formulaire d'inscription), qui traite l'adresse IP et des données techniques du navigateur (voir l'article 6).

4.3. Données de santé des patients : Kyneocare et ses sous-traitants techniques (hébergeur et prestataire d'intelligence artificielle) interviennent en qualité de sous-traitants des praticiens. Les sous-traitants ultérieurs et leurs obligations sont décrits dans l'accord de sous-traitance.

Vos données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales.

5. Recours à l'intelligence artificielle

Certaines fonctionnalités de l'application recourent à l'intelligence artificielle pour proposer une aide à la rédaction ou à la structuration de comptes rendus cliniques. Les données transmises au prestataire d'IA sont limitées à ce qui est nécessaire pour générer les contenus demandés par le praticien. Un masquage partiel est appliqué aux textes selon le traitement (nom et prénom connus du patient, certains identifiants) ; il ne garantit pas l'anonymisation et ne détecte pas tous les noms de tiers, adresses ou dates. Les fichiers audio de la dictée et les PDF soumis à la lecture automatique (OCR) sont transmis avant ce masquage textuel ; les PDF volumineux transitent par le service de fichiers du prestataire, puis leur suppression est demandée et vérifiée. La recherche documentaire transmet au prestataire les documents de référence et un contexte de recherche masqué pour en calculer des représentations numériques (embeddings) ; le corpus partagé est réservé aux références documentaires, sans dossier patient. L'historique des échanges avec l'assistant est conservé dans l'application pour assurer la continuité du dossier ; il ne sert pas à entraîner le modèle. Le modèle ne prend aucune décision autonome : il propose des suggestions, le praticien restant seul décisionnaire quant au contenu final des documents. Le prestataire d'IA n'est pas autorisé à réutiliser les données pour entraîner ses modèles, ni pour d'autres clients, ni pour des finalités propres, conformément aux engagements contractuels conclus avec Kyneocare.

6. Transferts hors de l'Union européenne

Vos données sont traitées dans l'Union européenne, à une exception près : la vérification anti-robot du formulaire d'inscription (Cloudflare Turnstile) est susceptible de traiter votre adresse IP et des données techniques de votre navigateur hors de l'Union européenne. Ce transfert est encadré par les garanties prévues au chapitre V du RGPD (clauses contractuelles types de la Commission européenne). Aucune donnée de santé n'est concernée.

Pour les données de santé des patients traitées pour le compte des praticiens, Kyneocare et ses sous-traitants techniques traitent les données au sein de l'Union européenne. En cas de projet de transfert hors de l'Union, un mécanisme conforme au chapitre V du RGPD serait mis en place et les praticiens en seraient informés dans le cadre de l'accord de sous-traitance.

7. Combien de temps conservons-nous vos données ?

• Prospects : 3 ans à compter du dernier contact émanant de votre part, sauf opposition de votre part.
• Comptes utilisateurs : pendant toute la durée de la relation contractuelle, puis archivage pendant 3 ans à compter de sa fin, à des fins de preuve en cas de contentieux.
• Données de facturation : 10 ans à compter de la clôture de l'exercice, conformément aux obligations comptables et fiscales.
• Données de navigation et journaux techniques : jusqu'à 12 mois à compter de leur enregistrement, pour des besoins de sécurité, de maintenance et de traçabilité.

Pour les données de santé des patients, les durées de conservation sont déterminées par les praticiens, en tant que responsables de traitement. Kyneocare conserve ces données pour la durée de la relation contractuelle et les supprime ou anonymise à l'issue de celle-ci, dans les conditions prévues par l'accord de sous-traitance.

8. Vos droits et comment les exercer

Conformément au RGPD, vous disposez, dans les conditions et limites prévues par les textes, des droits d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, de retrait de votre consentement à tout moment, et du droit de définir des directives relatives au sort de vos données après votre décès.

8.1. Pour les données dont Kyneocare est responsable de traitement, écrivez-nous à contact@kyneocare.com ou par courrier postal à Kyneocare, 80 Galerie de la Chartreuse, 73000 Barberaz, en joignant si nécessaire tout document permettant de vérifier votre identité.

8.2. Pour les données de santé des patients, les droits s'exercent en principe auprès du praticien, responsable de traitement. Kyneocare, en tant que sous-traitant, l'assiste pour répondre à ces demandes.

8.3. Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).

9. Cookies

L'application n'utilise que des cookies strictement nécessaires à son fonctionnement (maintien de la session de connexion et sécurité). Elle ne dépose aucun cookie publicitaire ni de mesure d'audience ; c'est pourquoi aucun bandeau de consentement n'est affiché.

10. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données, notamment : le chiffrement des échanges, une authentification à deux facteurs obligatoire pour l'accès à l'application, la gestion des habilitations et le cloisonnement des données par praticien, la journalisation des accès et des actions significatives, et des procédures de gestion des incidents de sécurité.

Pendant la bêta, le Service est hébergé par OVH SAS, en France, sur une infrastructure qui n'est pas certifiée « Hébergeur de données de santé » (article L.1111-8 du code de la santé publique). La saisie de données de santé réelles y est donc interdite : seules des données fictives sont autorisées. Avant toute ouverture aux données réelles, les données de santé seront hébergées chez un hébergeur certifié HDS, en France, et le présent document sera mis à jour en conséquence.

11. Modification de la présente politique

Nous pouvons être amenés à modifier la présente politique, notamment pour tenir compte de l'évolution de nos traitements, de la réglementation ou de la doctrine des autorités de contrôle. En cas de modification substantielle, nous vous en informerons par tout moyen approprié et, lorsque la loi l'exige, nous recueillerons à nouveau votre consentement. La version en vigueur est celle accessible en ligne à la date de votre consultation.