Politique de confidentialité

La présente politique décrit comment l'application MyOsteo collecte, utilise, protège et conserve les données personnelles, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi n°78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »). MyOsteo traitant des données de santé, elle applique également le référentiel d'Hébergement de Données de Santé (HDS) et les dispositions du Code de la santé publique.

1. Qui sommes-nous ?

L'application MyOsteo est éditée par :

2. À qui s'adresse l'application et double rôle de MyOsteo

MyOsteo est une application réservée aux praticiens ostéopathes, accessible sur mobile (iOS, Android) et sur le web (app.myosteo-app.fr). Les patients n'ont pas d'accès direct à l'application : leurs données sont saisies et gérées par leur ostéopathe dans le cadre du suivi de soins.

Au sens du RGPD, MyOsteo intervient à deux titres distincts :

• Responsable de traitement pour les données des praticiens (compte, profil, authentification, journaux de sécurité, emails techniques).
• Sous-traitant (article 28 RGPD) pour les données des patients. Le responsable de traitement de ces données est le praticien ostéopathe lui-même, professionnel de santé indépendant, qui détermine les finalités et les moyens du suivi de ses patients et reste tenu au secret médical.

3. Quelles données sont traitées ?

3.1 Données des praticiens (MyOsteo responsable de traitement)

• Identité professionnelle : prénom, nom, titre (Ostéopathe D.O., Dr), adresse email.
• Données d'authentification : mot de passe haché (bcrypt), jetons de session (JWT), codes de vérification à usage unique.
• Données de facturation : formule souscrite, statut et historique de l'abonnement, factures. Les coordonnées bancaires sont saisies directement auprès du prestataire de paiement Stripe et ne sont jamais transmises à MyOsteo.
• Données techniques et de journalisation : adresse IP de connexion, horodatages, actions réalisées dans l'application (piste d'audit).

3.2 Données des patients (MyOsteo sous-traitant pour le compte du praticien)

• Données d'identification : prénom, nom, date de naissance, email et téléphone (facultatifs), profession, statut marital, activités sportives.
• Données de santé (catégorie particulière, article 9 RGPD) : antécédents médicaux, pathologies, médicaments, allergies, chirurgies, blessures, antécédents familiaux ; comptes rendus de consultations ostéopathiques (motif, niveaux de douleur et de stress, qualité du sommeil, zones anatomiques, tests orthopédiques et ostéopathiques, traitement réalisé, recommandations, notes cliniques) ; documents médicaux téléversés (ordonnances, imageries, comptes rendus).
• Donnée d'information du patient : horodatage attestant que le praticien a informé le patient du traitement de ses données (articles 13 et 14 du RGPD).
• Données de facturation : notes d'honoraires émises par le praticien (identité du patient, adresse postale le cas échéant, email, date de naissance, date et nature de la prestation, montant). Chaque note d'honoraires est un instantané immuable, conservé à des fins comptables, et peut être transmise par email au patient à la demande du praticien.

4. Pourquoi ces données sont-elles traitées (finalités et bases légales) ?

5. Intelligence artificielle

MyOsteo propose au praticien une aide à la formulation de recommandations cliniques via le service Mistral AI (société française, Paris — traitement réalisé sur des serveurs situés dans l'Union européenne). Avant toute transmission, les données sont pseudonymisées : les nom, prénom, date de naissance, email et téléphone du patient ne sont jamais transmis. Seules les informations cliniques strictement nécessaires (symptômes, zones anatomiques, niveau de douleur, antécédents pertinents, âge calculé) sont utilisées. Les données transmises via l'API ne sont pas réutilisées pour l'entraînement des modèles.

Ce traitement est fondé sur l'article 9(2)(h) du RGPD (prise en charge sanitaire), combiné à l'article 6(1)(f) (intérêt légitime du praticien dans l'aide à sa pratique). Les suggestions produites sont fournies au praticien à titre indicatif : aucune décision produisant des effets juridiques ou affectant significativement le patient n'est prise de manière entièrement automatisée (article 22 du RGPD) ; chaque suggestion est soumise au jugement professionnel du praticien, qui demeure seul décisionnaire.

6. Qui a accès aux données (destinataires et sous-traitants) ?

Les données ne sont jamais vendues ni utilisées à des fins publicitaires. Par défaut, le dossier d'un patient n'est accessible qu'au praticien qui en est le référent ; chaque praticien est isolé des autres, sauf partage explicite décrit au point 6.2. Les données peuvent par ailleurs être traitées, dans la stricte mesure nécessaire au fonctionnement du service, par les sous-traitants listés au point 6.1.

6.1 Sous-traitants techniques

6.2 Partage entre praticiens d'un même cabinet

MyOsteo permet à plusieurs praticiens d'exercer au sein d'un même cabinet et, dans ce cadre, de partager l'accès à un dossier patient afin d'assurer la continuité des soins (remplacement, suivi conjoint, prise en charge en l'absence du référent). Ce partage est strictement encadré :

• Le patient appartient toujours à son praticien référent, qui demeure le responsable de traitement de ses données.
• Le partage résulte d'une autorisation explicite et délibérée du référent ; il n'a jamais lieu automatiquement.
• Il est limité aux praticiens membres actifs d'un même cabinet que le référent.
• Chaque partage est motivé, daté (date de début et, le cas échéant, date de fin) et peut être révoqué à tout moment par le référent.
• Le praticien référent est tenu d'informer le patient du partage de son dossier, en sa qualité de responsable de traitement.
• Le praticien bénéficiaire dispose de droits restreints : il peut consulter le dossier et créer ou compléter des consultations, mais ne peut ni supprimer le dossier, ni modifier l'identité du patient, ni le repartager, ni l'exporter.
• Toute opération de partage, de consultation et de révocation est journalisée dans la piste d'audit (HDS).

En dehors d'un tel partage explicite, aucun praticien ne peut accéder au dossier d'un patient dont il n'est pas le référent.

7. Hébergement des données de santé (HDS)

Les données de santé sont hébergées en France, dans l'Union européenne, par un hébergeur certifié Hébergeur de Données de Santé (HDS) conformément à l'article L.1111-8 du Code de la santé publique.

L'hébergeur est Scalingo SAS, titulaire du certificat HDS n° 38436 délivré par le LNE au titre du référentiel HDS 2.0, valable jusqu'au 11 septembre 2028. Ce certificat couvre les six activités d'hébergement prévues par l'article R.1111-9 du Code de la santé publique :

1. mise à disposition et maintien en condition opérationnelle des sites physiques ;
2. mise à disposition et maintien en condition opérationnelle de l'infrastructure matérielle ;
3. mise à disposition et maintien en condition opérationnelle de l'infrastructure virtuelle ;
4. mise à disposition et maintien en condition opérationnelle de la plateforme d'hébergement d'applications ;
5. administration et exploitation du système d'information contenant les données de santé ;
6. sauvegarde externalisée des données de santé.

Scalingo SAS s'appuie pour les activités 1 et 2 sur 3DS Outscale SAS (filiale de Dassault Systèmes), également certifiée HDS — certificat n° 36741-4, LNE. Ni Scalingo ni Outscale ne sont soumis à une législation extra-communautaire susceptible d'entraîner un accès aux données depuis un pays tiers.

Conformément à l'annexe d'hébergement de données de santé conclue avec Scalingo, l'hébergeur n'accède pas aux données de santé. Si un accès devait s'avérer nécessaire, notamment dans le cadre d'une intervention de support, il ne pourrait avoir lieu que par l'intermédiaire d'un professionnel de santé désigné, lequel accéderait seul aux données concernées.

7.1 Sécurité des données de santé

• Chiffrement au repos : les données de santé — identité, date de naissance, coordonnées, contenu des consultations, antécédents médicaux, motifs de rendez-vous, documents déposés et leur intitulé — sont chiffrées en base au moyen de l'algorithme AES-256-GCM. Une copie de la base serait inexploitable sans la clé de chiffrement, laquelle n'est pas conservée par l'hébergeur.
• Exception assumée — les notes d'honoraires. Le contenu d'une note d'honoraires déjà émise (identité, date, nature de la prestation, montant) est conservé en clair. Il s'agit d'un document comptable à valeur légale, qui doit demeurer reproductible à l'identique pendant dix ans, y compris en cas de perte de la clé de chiffrement. Ces données restent protégées par le cloisonnement, la journalisation et les mesures d'hébergement décrites ci-dessus.
• Chiffrement en transit : toutes les communications sont protégées par TLS.
• Cloisonnement : chaque praticien est isolé des autres ; l'accès à un dossier n'est possible qu'au référent ou à un confrère bénéficiant d'un partage actif (point 6.2).
• Journalisation : chaque accès, création, modification, suppression, export et téléchargement de document est enregistré dans une piste d'audit conservée à des fins de traçabilité.
• Sauvegardes : sauvegardes automatisées et restauration à un instant donné, assurées par l'hébergeur dans le cadre de son plan de continuité et de reprise d'activité.
• Contrôle des documents déposés : les fichiers sont restreints aux formats PDF, JPEG, PNG et WebP, leur cohérence est vérifiée, et les documents porteurs de contenu actif sont refusés.

8. Transferts hors de l'Union européenne

Aucune donnée de santé ni aucune donnée relative aux patients n'est transférée hors de l'Union européenne. Scalingo, 3DS Outscale, Mistral AI et Sweego traitent les données sur des serveurs situés dans l'UE (France).

Seules les données de facturation du praticien confiées à Stripe Payments Europe, Ltd. (nom, adresse email, historique d'abonnement et de paiement) peuvent être transférées aux États-Unis, vers Stripe, LLC. Ce transfert est encadré par le cadre de protection des données UE–États-Unis (EU-U.S. Data Privacy Framework), auquel Stripe, LLC a adhéré, ainsi que par les clauses contractuelles types de la Commission européenne prévues par l'accord de traitement des données de Stripe.

9. Combien de temps les données sont-elles conservées ?

10. Comment les données sont-elles protégées ?

• Chiffrement en transit : toutes les communications sont protégées par HTTPS/TLS (HSTS activé).
• Chiffrement au repos : les données de santé (antécédents et consultations) sont chiffrées par algorithme AES-256-GCM avant stockage en base.
• Authentification : mots de passe hachés (bcrypt), jetons JWT à durée limitée avec révocation.
• Isolation par défaut : un praticien n'accède qu'aux dossiers dont il est le référent ; l'accès d'un autre praticien suppose un partage explicite et encadré au sein d'un même cabinet (voir point 6.2).
• Limitation des tentatives (rate-limiting) et en-têtes de sécurité HTTP.
• Journalisation de tous les accès aux données de santé (piste d'audit HDS).

11. Vos droits

Conformément au RGPD, toute personne dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de ses données. Lorsqu'un traitement repose sur le consentement, celui-ci peut être retiré à tout moment, sans remettre en cause la licéité du traitement antérieur au retrait. Chacun peut en outre définir des directives relatives au sort de ses données après son décès (article 85 de la loi Informatique et Libertés).

Lors de la création du compte praticien, les champs marqués comme obligatoires (identité, email, mot de passe) sont nécessaires à la fourniture du service ; les autres champs (numéro RPPS notamment) sont facultatifs. Dans le dossier patient, seuls les prénom et nom sont obligatoires.

• Praticiens : ces droits s'exercent directement auprès de NEGO-DATA, à service-clients@myosteo-app.fr. Un export de l'ensemble des données est par ailleurs disponible depuis l'application (droit à la portabilité).
• Patients : MyOsteo n'étant pas en relation directe avec les patients, ces droits s'exercent auprès de l'ostéopathe traitant, qui est le responsable de traitement de leurs données et le détenteur du dossier médical. MyOsteo prête assistance au praticien pour répondre à ces demandes.

Délai de réponse : un mois maximum. En cas de difficulté, toute personne peut introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) : www.cnil.fr.

12. Cookies et traceurs

Ni l'application mobile, ni l'application web (app.myosteo-app.fr), ni le site vitrine (myosteo-app.fr) n'utilisent de cookie publicitaire ou de traceur à des fins de mesure d'audience ou de marketing.

• Application mobile : seuls des éléments de stockage strictement nécessaires au fonctionnement (jeton de session conservé dans le trousseau sécurisé du terminal) sont utilisés.
• Application web : un unique cookie de session (HttpOnly, Secure, SameSite=Strict) est déposé pour maintenir l'authentification. Strictement nécessaire à la fourniture du service, il est exempté de consentement au sens de l'article 82 de la loi Informatique et Libertés et des lignes directrices de la CNIL. Aucune donnée de santé n'est conservée localement dans le navigateur.
• Site vitrine : aucun cookie n'est déposé.

13. Violation de données

En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, NEGO-DATA notifie la CNIL dans les 72 heures (art. 33 RGPD) et informe, le cas échéant, les praticiens concernés afin qu'ils puissent en informer leurs patients.

14. Modifications de la présente politique

La présente politique peut être mise à jour pour refléter une évolution légale, technique ou fonctionnelle. La date de dernière mise à jour figure en tête de page. En cas de modification substantielle, les praticiens utilisateurs en sont informés.

15. Contact

Pour toute question relative à la présente politique ou à vos données personnelles : service-clients@myosteo-app.fr — NEGO-DATA, 6 square Gauguin, 92500 Rueil-Malmaison, France.

NEGO-DATA — MyOsteo · 6 square Gauguin, 92500 Rueil-Malmaison · service-clients@myosteo-app.fr
Politique de confidentialité v1.1 — mise à jour le 21 octobre 2026