Politique de confidentialité

Responsable du traitement : KALYDA, Société par actions simplifiée (SAS), RCS Romans 130 538 895, 8 rue Maurice Sibille, 26200 Montélimar, France, représentée par son Président, Marco Sedda. KALYDA est responsable du traitement des données des praticiens-clients (compte, facturation, support) et des professionnels contactés par prospection (voir la section « Prospection auprès des professionnels »). Pour les données de santé des patients saisies par le praticien, KALYDA agit en qualité de sous-traitant au sens de l'article 28 du RGPD : le praticien en est le responsable de traitement (voir CGU, Article 11). Contact pour vos données personnelles : contact@prismeclinical.com — KALYDA n'a pas désigné de délégué à la protection des données (DPO) : cette désignation n'est pas obligatoire pour sa situation, analyse documentée et réexaminée chaque année. Pour toute question relative au traitement de vos données personnelles, écrivez-nous à cette adresse.

Nous collectons uniquement les données nécessaires au fonctionnement du service : • Données d'identification : nom, prénom, e-mail, numéro de téléphone • Données professionnelles : numéro RPPS, spécialité, adresse du cabinet • Données patients : informations démographiques, résultats d'évaluations, observations cliniques • Données techniques : journaux de connexion, préférences d'utilisation Le prénom, le nom, l'adresse e-mail et un mot de passe sont nécessaires pour ouvrir un compte, et un moyen de paiement pour souscrire un abonnement : sans eux, le compte ou l'abonnement ne peut pas être ouvert. Le numéro RPPS et le numéro de téléphone sont facultatifs à l'inscription ; le téléphone sert seulement à vous appeler pendant votre essai ou pour le support. Pour les professionnels contactés par prospection, les données sont décrites dans la section « Prospection auprès des professionnels ».

Vos données sont utilisées exclusivement pour : • Permettre la gestion de vos patients et bilans • Générer des rapports d'évaluation cognitifs • Assurer le bon fonctionnement et la sécurité du service • Améliorer l'expérience utilisateur • Présenter Prisme à des psychologues et neuropsychologues (voir la section « Prospection auprès des professionnels ») Nous ne vendons jamais vos données à des tiers.

Chaque traitement repose sur une base légale au sens de l'article 6 du RGPD : • Fourniture du service et gestion du compte : exécution du contrat (Art. 6.1.b) • Données de santé des patients : traitées pour le compte du praticien (sous-traitance, Art. 28) — la licéité relève du praticien, qui retient la condition de l'article 9.2 applicable à sa situation (par exemple la prise en charge sanitaire, Art. 9.2.h, ou le consentement explicite du patient, Art. 9.2.a) • Facturation et comptabilité : obligation légale (Art. 6.1.c) • Sécurité, journaux techniques, prévention des abus : intérêt légitime (Art. 6.1.f) • Newsletter et liste d'attente : consentement, révocable à tout moment (Art. 6.1.a) • E-mails aux praticiens clients (cycle de vie de l'abonnement, annonces produit) : intérêt légitime (Art. 6.1.f), opposition possible à tout moment par le lien de désinscription • Prospection auprès des professionnels (e-mail de présentation de Prisme à des psychologues et neuropsychologues) : intérêt légitime (Art. 6.1.f), voir la section suivante

KALYDA peut adresser un premier e-mail de présentation de Prisme, suivi au plus d'une relance en l'absence de réponse ou d'opposition, à des psychologues et neuropsychologues dont l'adresse professionnelle est publiée sur leur site professionnel ou dans l'Annuaire Santé de l'Agence du numérique en santé (extraction en libre accès, data.gouv.fr, Licence Ouverte). Aucune plateforme de prise de rendez-vous n'est utilisée comme source. • Base légale : intérêt légitime (Art. 6.1.f), le message portant sur un outil lié à la profession du destinataire • Données : adresse e-mail professionnelle, ville, département, échelles d'évaluation mentionnées sur le site professionnel, page source et date de collecte ; civilité, nom et prénom lorsque la source les indique, pour identifier la personne et éviter les doublons. Le premier e-mail indique la page où l'adresse a été trouvée et la date de collecte • Conservation : 3 ans à compter de la collecte ou du dernier contact émanant de la personne. En cas d'opposition, seule l'adresse e-mail est conservée, dans une liste d'opposition, aussi longtemps que nécessaire pour ne plus la solliciter, y compris lors de collectes ultérieures • Destinataires et transferts : les e-mails partent de la messagerie Google Workspace de KALYDA (Google, États-Unis : EU-US Data Privacy Framework + clauses contractuelles types). Ils sont envoyés avec l'outil Mailmeteor (Mailmeteor SAS, France), qui héberge la liste d'envoi chez Google Cloud aux États-Unis (clauses contractuelles types). Les fonctions d'intelligence artificielle de Mailmeteor ne sont pas utilisées. Une copie des garanties encadrant ces transferts peut être obtenue à contact@prismeclinical.com • Aucun suivi : ces e-mails ne contiennent ni pixel de suivi des ouvertures ni lien de suivi des clics • Opposition à tout moment : répondez « stop », utilisez le lien de désinscription présent dans chaque e-mail, ou écrivez à contact@prismeclinical.com

Les mesures ci-dessous concernent les données hébergées dans l'application Prisme. Les prestataires et transferts propres aux données de prospection sont décrits dans la section « Prospection auprès des professionnels ». Vos données sont protégées par : • Chiffrement en transit (HTTPS/TLS) et au repos : disques de la base de données chiffrés (AES, clé de 256 bits), sauvegardes chiffrées par l'hébergeur • Sauvegardes réalisées par l'hébergeur HDS en France, dans le périmètre de sa certification : sauvegardes quotidiennes conservées 7 jours, hebdomadaires 8 semaines et mensuelles 12 mois • Authentification sécurisée avec tokens JWT • Isolation des données par praticien (Row Level Security) • Hébergement en France chez Scalingo, hébergeur certifié HDS (Hébergement de Données de Santé), sur l'infrastructure de son sous-traitant 3DS Outscale • Attestation HDS de l'hébergeur disponible sur demande à contact@prismeclinical.com Durées de conservation par type de données : • Données de compte (nom, e-mail, RPPS) : pendant l'abonnement, puis jusqu'à 12 mois après la fin de l'abonnement ou de l'essai (l'accès à l'export est conservé, cf. CGV art. 5), avec un e-mail d'avertissement au moins 30 jours avant la suppression ; suppression immédiate lors de la suppression du compte (libre-service depuis votre profil ou sur demande), hors données soumises à une obligation légale de conservation (facturation, journaux) • Données patients (identité, coordonnées) : pendant l'abonnement, puis jusqu'à 12 mois après sa fin ou celle de l'essai ; supprimées plus tôt sur demande ou à la suppression du compte • Données cliniques (évaluations, bilans, rapports) : pendant l'abonnement, puis jusqu'à 12 mois après sa fin ou celle de l'essai ; supprimées plus tôt sur demande ou à la suppression du compte — le praticien est responsable de sa propre conservation conformément aux obligations légales, déontologiques et probatoires qui lui sont applicables. Pour exercer vos droits RGPD sans connexion à votre compte, écrivez à contact@prismeclinical.com. • Journaux d'audit (accès, modifications) : 3 ans (traçabilité et sécurité des données de santé) • Données de connexion (logs techniques) : 12 mois (sécurité du service) • Données de facturation : 10 ans (obligation comptable, Art. L.123-22 Code de commerce) • Sauvegardes : une donnée effacée (à votre demande ou à la clôture du compte) disparaît immédiatement de l'application, mais peut subsister dans les sauvegardes chiffrées de l'hébergeur : jusqu'à 12 mois pour les sauvegardes automatiques (rotation quotidienne, hebdomadaire et mensuelle) ; les sauvegardes manuelles, déclenchées ponctuellement avant une opération sensible, font l'objet d'une demande de suppression auprès de l'hébergeur au plus tard 30 jours après cette opération. Après toute restauration, les effacements de dossiers patients et de comptes intervenus depuis la sauvegarde sont réappliqués, d'après un registre tenu hors de la base de données principale, dans une base distincte chez notre hébergeur certifié HDS en France. Ces sauvegardes ne servent qu'à restaurer le service après un incident. En fin de contrat avec l'hébergeur, l'ensemble des données est effacé au plus tard 30 jours après la phase de réversibilité. • Cookies et stockage local essentiels : session, 30 jours pour l'appareil de confiance, et jusqu'à leur effacement pour vos choix d'interface (voir la politique cookies) • Effacement d'un dossier patient (droit à l'effacement) : identité, coordonnées, évaluations, scores et rapports du patient sont supprimés ; seule subsiste la trace de l'effacement (date, auteur et motif éventuel), sans donnée d'identité du patient.

Conformément à l'article 28 du RGPD, nous faisons appel aux sous-traitants suivants pour le fonctionnement du service : • Scalingo (Scalingo SAS) — Hébergement de l'application et de la base de données, hébergeur certifié HDS ; infrastructure physique fournie par son sous-traitant 3DS Outscale, certifié HDS — France. Les composants d'authentification et d'API (logiciels open source issus de Supabase) y sont exécutés par nos soins : Supabase Inc. n'a aucun accès aux données • Stripe (Stripe Payments Europe Ltd, Irlande) — Traitement des paiements, certifié PCI-DSS — Union européenne ; transferts possibles vers sa maison mère Stripe Inc. aux États-Unis (EU-US Data Privacy Framework + clauses contractuelles types) • Resend (Resend Inc.) — Envoi des e-mails transactionnels, des e-mails de partage adressés par les praticiens aux destinataires qu'ils choisissent (message neutre, sans nom du patient), des invitations de parrainage envoyées à la demande d'un praticien (adresse du confrère invité, dont seule une forme hachée est gardée, 90 jours au plus) et des alertes internes de l'équipe PRISME (adresse e-mail masquée ou référence technique) — États-Unis (EU-US Data Privacy Framework + clauses contractuelles types) — aucune donnée de santé • Sentry (Functional Software Inc.) — Monitoring des erreurs, données pseudonymisées (identifiant du compte et e-mail haché, jamais l'e-mail en clair) — données hébergées dans l'Union européenne (Francfort) ; société américaine (EU-US Data Privacy Framework + clauses contractuelles types) • Klaviyo (Klaviyo Inc.) — E-mails liés à votre abonnement (bienvenue, fin d'essai) et e-mails marketing ; aucune adresse de confrère invité (les invitations de parrainage partent par Resend) — États-Unis (EU-US Data Privacy Framework + clauses contractuelles types). Votre profil Klaviyo est effacé à la suppression de votre compte • Cloudflare (Cloudflare Inc.) — Hébergement des pages du site et de l'application (fichiers statiques), proxy/CDN, protection DDoS et vérification anti-robot (Turnstile) (adresses IP des visiteurs) — États-Unis (EU-US Data Privacy Framework + clauses contractuelles types). L'API et la base hébergeant les données de santé sont hors proxy Cloudflare (DNS-only) : aucune donnée de santé n'y transite. • Google Workspace (Google Ireland Ltd) — Messagerie de contact@prismeclinical.com (support, demandes relatives à vos données) — Union européenne ; transferts possibles vers Google LLC aux États-Unis (EU-US Data Privacy Framework + clauses contractuelles types). N'y envoyez pas de données de patients. • Plausible Analytics (Plausible Insights OÜ, Estonie) — Mesure d'audience anonyme des pages publiques du site, sans cookie ni stockage sur votre appareil ; l'adresse des pages de l'application n'est jamais transmise : une visite commencée sur le site public qui entre dans l'application y est seulement comptée sous le libellé générique « /app » (voir la politique cookies) — Union européenne (serveurs en Allemagne) • Mailmeteor (Mailmeteor SAS) — Envoi des e-mails de prospection auprès des professionnels (voir la section « Prospection auprès des professionnels ») — France ; liste d'envoi hébergée chez Google Cloud aux États-Unis (clauses contractuelles types) Chaque sous-traitant s'engage contractuellement à traiter vos données conformément au RGPD ; une copie des garanties encadrant les transferts hors de l'Union européenne peut être obtenue à contact@prismeclinical.com. Les données de santé résident exclusivement sur l'infrastructure hébergée en France chez Scalingo ; aucune donnée de santé n'est transmise par PRISME aux autres sous-traitants (Stripe, Resend, Sentry, Klaviyo, Cloudflare, Google, Plausible, Mailmeteor).

Conformément au RGPD, vous disposez des droits suivants : • Droit d'accès : obtenir une copie de vos données • Droit de rectification : corriger vos informations • Droit à l'effacement : supprimer votre compte et données • Droit à la portabilité : exporter vos données, lorsque ses conditions légales sont réunies (traitement fondé sur le contrat ou le consentement) • Droit à la limitation : demander le gel temporaire d'un traitement, par exemple le temps de vérifier une donnée contestée • Droit d'opposition : vous opposer au traitement • Droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr) si vous estimez que le traitement de vos données n'est pas conforme au RGPD Exercez ces droits depuis votre profil ou contactez-nous.

Depuis votre page de profil, vous pouvez : • Exporter vos données en format JSON (patients, bilans, profil) • Supprimer votre compte et toutes les données associées La suppression est définitive et irréversible.