La protection de vos données personnelles est une priorité pour OsteoPulse. La présente politique décrit les données que nous collectons, les finalités de leur traitement, vos droits et les mesures de sécurité mises en œuvre, en conformité avec le Règlement Général sur la Protection des Données (RGPD) et la loi Informatique et Libertés.
1. Responsable du traitement
Le responsable du traitement des données personnelles collectées sur OsteoPulse est :
- Abdellah AMRAOUI, entrepreneur individuel
- 80 rue Rouget de Lisle, 92000 Nanterre, France
- SIRET : 833 122 336
- Email : contact@osteopulse.fr
2. Données collectées
2.1 Données du praticien (utilisateur)
- Identité : nom, prénom, email, mot de passe (haché)
- Informations professionnelles : numéro ADELI/RPPS, SIRET, profession, spécialités
- Coordonnées : adresse du cabinet, téléphone professionnel
- Données de facturation et de paiement (traitées par Stripe, jamais stockées chez nous)
- Logs techniques : adresse IP, navigateur, dates de connexion
- Origine de l'inscription : paramètres de campagne présents dans l'adresse utilisée pour arriver sur le site (paramètres utm, identifiant de clic publicitaire) et nom de domaine du site référent, enregistrés une seule fois au moment de la création du compte pour mesurer l'efficacité de nos campagnes. Base légale : intérêt légitime
- Parrainage : code utilisé à l'inscription et cabinet parrain. Le parrain voit uniquement le prénom et l'initiale du nom de son filleul, la date d'inscription et le statut du parrainage
2.2 Données des patients (saisies par le praticien)
- Identité : nom, prénom, date de naissance, genre
- Coordonnées : adresse, téléphone, email
- Données de santé : motifs de consultation, antécédents, traitements pratiqués
- Données de facturation : factures émises, mode de paiement, statut
Note importante : les données patients sont saisies et contrôlées par le praticien lui-même, qui en est le responsable de traitement principal. OsteoPulse agit en qualité de sous-traitant au sens du RGPD pour ces données.
2.3 Données de prospection (professionnels non inscrits)
Pour faire connaître OsteoPulse aux ostéopathes, nous traitons des coordonnées professionnelles issues de sources publiques : l'Annuaire Santé (extraction en libre accès de l'Agence du Numérique en Santé, Licence Ouverte) et le site internet du cabinet lorsque celui-ci en publie une adresse de contact. Données traitées : civilité, nom, prénom, adresse du cabinet, téléphone et email professionnels, site internet. Base légale : intérêt légitime (prospection commerciale entre professionnels, en rapport avec l'activité du destinataire). Ces données sont conservées au plus 12 mois après le dernier contact sans réponse, puis supprimées. Vous pouvez vous opposer à tout moment, sans motif, en répondant à l'un de nos messages ou en écrivant à contact@osteopulse.fr : votre demande est enregistrée dans un registre d'opposition et vous ne serez plus contacté.
3. Finalités du traitement
Vos données sont traitées pour les finalités suivantes :
- Fournir le service de gestion de cabinet (compte utilisateur, dossiers patients, facturation)
- Traiter les abonnements et paiements
- Permettre les encaissements patients via Stripe Connect
- Assurer la sécurité du Service et prévenir les fraudes
- Envoyer les emails transactionnels (confirmation de paiement, factures, notifications)
- Améliorer le Service via des statistiques d'usage anonymisées
- Répondre aux obligations légales, comptables et fiscales
4. Base légale
Les bases légales de nos traitements sont :
- Exécution du contrat : compte utilisateur, fourniture du Service, facturation
- Intérêt légitime : sécurité du Service, prévention de la fraude, amélioration du produit
- Obligation légale : conservation des factures (10 ans), réponse à une réquisition judiciaire
- Consentement : pour l'envoi de communications marketing (newsletter)
5. Destinataires des données
Vos données sont accessibles à :
- L'éditeur d'OsteoPulse (Abdellah AMRAOUI) et toute personne autorisée par lui
- Stripe (paiements) — sous-traitant certifié PCI-DSS niveau 1, conforme RGPD
- Supabase (hébergement base de données) — serveurs en Union européenne (Francfort)
- Vercel (hébergement application) — sous accord de traitement RGPD
- Resend (envoi d'emails transactionnels) — conforme RGPD
- Les autorités judiciaires ou administratives, sur réquisition
Vos données ne sont jamais vendues à des tiers, ni utilisées à des fins commerciales par les sous-traitants.
6. Durée de conservation
| Type de donnée | Durée de conservation |
|---|---|
| Compte utilisateur actif | Tant que l'abonnement est en cours |
| Compte utilisateur inactif | 3 ans après dernière connexion |
| Dossiers patients (côté praticien) | 20 ans après dernière consultation (obligation légale santé) |
| Factures et données comptables | 10 ans (obligation légale comptable) |
| Logs techniques | 12 mois |
| Données marketing (newsletter) | Jusqu'au retrait du consentement |
7. Vos droits
Conformément au RGPD, vous disposez des droits suivants sur vos données :
- Droit d'accès : obtenir une copie de vos données
- Droit de rectification : corriger des données inexactes
- Droit à l'effacement (« droit à l'oubli »), sous réserve des obligations légales
- Droit à la limitation du traitement
- Droit à la portabilité : récupérer vos données dans un format ouvert (CSV, Excel — déjà disponible dans votre espace utilisateur)
- Droit d'opposition au traitement (notamment marketing)
- Droit de retirer votre consentement à tout moment
Pour exercer ces droits, contactez-nous à contact@osteopulse.fr. Une réponse vous sera apportée dans un délai maximum d'un mois.
En cas de désaccord persistant, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés).
8. Sécurité des données
Nous mettons en œuvre des mesures techniques et organisationnelles adaptées :
- Chiffrement des connexions (HTTPS / TLS)
- Chiffrement des données au repos sur la base de données
- Hachage des mots de passe (algorithme bcrypt)
- Sauvegardes chiffrées automatiques quotidiennes
- Accès restreint aux données par authentification forte
- Hébergement sur des serveurs européens (Supabase, Vercel)
9. Cookies
OsteoPulse utilise les cookies strictement nécessaires au fonctionnement du Service :
- Cookies d'authentification : pour maintenir votre session connectée
- Cookies de préférence : pour mémoriser votre thème clair/sombre
Nous n'utilisons aucun cookie publicitaire ni cookie de tracking tiers (Facebook Pixel, Google Analytics, etc.). Aucun bandeau de consentement n'est donc requis pour ces cookies fonctionnels essentiels.
Mesure d'audience : nous utilisons Vercel Web Analytics pour connaître le nombre de visites et les pages consultées. Cet outil ne dépose aucun cookie, ne crée aucun identifiant permettant de vous suivre d'un site à l'autre ou d'une visite à l'autre, et les données restent strictement statistiques. Il relève à ce titre des traitements de mesure d'audience exemptés de consentement au sens des lignes directrices de la CNIL.
Si nous activions à l'avenir un outil d'analyse déposant des cookies, un bandeau de consentement serait mis en place conformément à la réglementation.
10. Transferts hors UE
Certains de nos sous-traitants (Vercel, Stripe) sont basés aux États-Unis. Les transferts de données vers ces pays sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le cadre EU-US Data Privacy Framework.
La base de données principale, qui contient les données patients, est hébergée par Supabase sur des serveurs situés en Union européenne (Francfort, Allemagne).
11. Modification de la présente politique
Cette politique peut être mise à jour à tout moment. Toute modification substantielle sera notifiée aux utilisateurs par email au moins 30 jours avant son entrée en vigueur.
12. Contact
Pour toute question sur vos données personnelles ou cette politique, contactez-nous à contact@osteopulse.fr.