Politique de confidentialité

1. Préambule

Daylegate est une application de pilotage de cabinet (gestion de patients, dossiers, agenda, documents, finances) destinée aux professionnels de santé et à leurs équipes. Elle est disponible sur le web et sur iOS, et s'appuie sur un backend unique hébergé en France.

La présente politique explique quelles données sont traitées dans le cadre de l'utilisation de Daylegate, à quelles fins, où elles sont hébergées, combien de temps elles sont conservées, et quels sont vos droits. Elle s'applique aux utilisateurs de l'application (professionnels, membres d'un cabinet) ainsi qu'aux personnes dont les données sont saisies dans l'application (patients, clients).

2. Responsable de traitement et rôles

L'éditeur de Daylegate est [À COMPLÉTER : raison sociale], [À COMPLÉTER : forme juridique] immatriculée sous le numéro [À COMPLÉTER : SIRET / RCS], dont le siège est situé [À COMPLÉTER : adresse] (ci-après « Daylegate »).

Dans le cadre de l'usage professionnel de l'application :

• Le professionnel / cabinet utilisateur est responsable de traitement des données de ses patients ou clients qu'il saisit dans l'application. Il en détermine les finalités et garantit disposer d'une base légale pour les traiter.
• Daylegate agit en qualité de sous-traitant (au sens de l'article 28 du RGPD) : il héberge et traite ces données uniquement sur instruction du professionnel, dans le cadre d'un contrat de sous-traitance (DPA) mis à disposition sur demande.
• Pour les données du compte utilisateur (identité de connexion, paramètres, journaux de sécurité), Daylegate agit en qualité de responsable de traitement.

3. Données traitées

Selon votre usage, l'application peut traiter :

• Données de compte : nom, prénom, adresse e-mail professionnelle, mot de passe (stocké sous forme hachée), rôle et appartenance à un espace de travail, second facteur d'authentification (MFA/TOTP).
• Données de santé et données patients (saisies par le professionnel) : identité du patient, dossier clinique, photographies, documents, analyses, plans de traitement, échéanciers et informations de facturation. Ces données constituent des données de santé à caractère personnel.
• Données financières du cabinet : transactions, factures, devis, et, si vous activez l'agrégation bancaire, données de comptes professionnels.
• Données techniques : journaux de connexion et d'audit (horodatage, action, identifiant utilisateur), nécessaires à la sécurité et à la traçabilité.

Daylegate ne pratique aucun profilage publicitaire, ne vend aucune donnée et n'utilise aucun traceur publicitaire tiers.

4. Finalités et bases légales

• Fournir le service (gestion du cabinet, des dossiers et des documents) — exécution du contrat.
• Garantir la sécurité, la traçabilité et prévenir les abus — intérêt légitime et obligation légale.
• Traiter les données de santé — réalisé pour le compte du professionnel, sur le fondement de l'article 9.2 du RGPD (prise en charge sanitaire) et sous sa responsabilité.
• Répondre à vos demandes de support — intérêt légitime.

5. Hébergement et localisation des données

Les données sont hébergées en France, au sein de l'Union européenne, chez des prestataires disposant de la certification Hébergeur de Données de Santé (HDS) :

• Base de données et application : hébergement certifié HDS, région française (Scalingo — Outscale, osc-fr1).
• Fichiers et documents (photos, PDF, pièces jointes) : stockage chiffré sur Amazon Web Services, région Paris (eu-west-3).

Aucune donnée de santé n'est transférée en dehors de l'Union européenne.

6. Sous-traitants ultérieurs

Daylegate fait appel à des prestataires techniques agissant sous contrat et soumis à des obligations de confidentialité et de sécurité :

• Scalingo (France) — hébergement de l'application et de la base de données (HDS).
• Amazon Web Services (région UE, Paris) — stockage des fichiers (HDS).
• [À COMPLÉTER si activé : Mistral AI] — reconnaissance optique de documents (OCR), uniquement pour les fonctionnalités d'import assisté.
• [À COMPLÉTER si activé : Powens] — agrégation bancaire, uniquement si vous connectez un compte professionnel.

La liste à jour des sous-traitants est disponible sur demande à l'adresse indiquée au paragraphe 11.

7. Sécurité

• Chiffrement des échanges (HTTPS/TLS) et des fichiers stockés.
• Authentification par jeton (JWT), mots de passe hachés (bcrypt), double authentification (MFA/TOTP) disponible.
• Cloisonnement strict des données par espace de travail (multi-tenant).
• Journaux d'audit sur les actions sensibles (connexion, permissions, finance).
• Suppression réversible (« soft-delete ») des données métier pour prévenir les pertes accidentelles.

8. Durée de conservation

Les données de compte sont conservées pendant la durée de la relation contractuelle, puis supprimées ou anonymisées. Les données de santé saisies par le professionnel sont conservées conformément aux durées légales applicables à son activité (notamment les délais de conservation du dossier patient), sous sa responsabilité. Les journaux d'audit sont conservés [À COMPLÉTER : durée, ex. 12 mois] à des fins de sécurité.

9. Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de définir des directives relatives à leur sort après votre décès.

Si vous êtes un patient, ces droits s'exercent en principe auprès du professionnel responsable qui gère votre dossier. Pour toute autre demande, vous pouvez nous contacter (paragraphe 11). Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).

10. Données concernant des mineurs

L'application est destinée à un usage professionnel par des adultes. Certaines données de patients mineurs (par exemple en orthodontie) peuvent y être saisies par le professionnel, sous sa responsabilité et avec le consentement du représentant légal lorsqu'il est requis.

11. Contact

Pour toute question relative à vos données ou à cette politique, ou pour exercer vos droits :

• E-mail : contact@daylegate.com
• Délégué à la protection des données (DPO) : [À COMPLÉTER : nom / e-mail du DPO si désigné]

12. Modifications

Cette politique peut être mise à jour pour refléter une évolution du service ou de la réglementation. La date de dernière mise à jour figure en haut de page.