Politique de confidentialité et gestion des cookies

Dernière mise à jour : 31 juillet 2026

La présente politique explique comment BioPsychoSocial collecte, utilise, conserve et protège les données personnelles traitées au moyen du site biopsychosocial.fr et de la plateforme BioPsychoSocial.

Elle précise également le rôle respectif de BioPsychoSocial et des professionnels de santé lorsqu’un kinésithérapeute utilise la plateforme pour accompagner ses patients.

Elle complète les Mentions légales et les Conditions générales d’utilisation et de vente.

1. Identité et coordonnées de BioPsychoSocial

BioPsychoSocial est édité par :

Théo CAHARD EI
Entrepreneur individuel
SIREN : 912 365 764
SIRET : 912 365 764 00014
Adresse : 588 rue de l’Espoir, 76560 Routes, France
Email : contact@biopsychosocial.fr
Site : https://biopsychosocial.fr

Toute demande relative aux données personnelles peut être adressée à :

contact@biopsychosocial.fr

BioPsychoSocial n’a pas désigné de délégué à la protection des données à la date de la présente politique. L’absence de délégué ne prive pas les personnes concernées de leurs droits. Les demandes sont traitées directement par l’éditeur.

2. Champ d’application

La présente politique s’applique notamment :

• aux visiteurs du site public ;
• aux kinésithérapeutes inscrits ;
• aux étudiants en kinésithérapie inscrits ;
• aux patients invités par leur kinésithérapeute ;
• aux personnes contactant BioPsychoSocial ;
• aux personnes recevant des communications de BioPsychoSocial ;
• aux utilisateurs de la communauté ;
• aux personnes apparaissant volontairement sur la carte des kinés ;
• aux prospects et anciens utilisateurs ;
• aux personnes dont les données sont traitées dans le cadre de la sécurité, de la facturation ou de l’assistance.

Elle ne régit pas les traitements réalisés indépendamment par un professionnel de santé en dehors de BioPsychoSocial.

3. Définitions

Dans la présente politique :

Donnée personnelle désigne toute information se rapportant à une personne physique identifiée ou identifiable.

Donnée de santé désigne une donnée personnelle relative à la santé physique ou mentale d’une personne, y compris les informations révélant son état de santé ou sa prise en charge.

Traitement désigne toute opération réalisée sur des données personnelles, notamment leur collecte, enregistrement, consultation, modification, transmission, conservation ou suppression.

Responsable de traitement désigne la personne qui détermine les finalités et les moyens essentiels d’un traitement.

Sous-traitant désigne la personne qui traite des données pour le compte d’un responsable de traitement et sur ses instructions documentées.

Utilisateur professionnel désigne un kinésithérapeute ou, selon les fonctionnalités, un étudiant en kinésithérapie disposant d’un compte.

Patient désigne une personne invitée ou enregistrée par un kinésithérapeute afin d’accéder à un programme ou à des fonctionnalités de suivi.

4. Rôles respectifs concernant les données

4.1 Traitements pour lesquels BioPsychoSocial est responsable

BioPsychoSocial agit en qualité de responsable de traitement lorsqu’il détermine les raisons et les modalités essentielles de l’utilisation des données, notamment pour :

• la création et la gestion des comptes utilisateurs ;
• l’authentification ;
• la gestion des abonnements et des paiements ;
• la facturation ;
• la gestion de la période d’essai ;
• l’assistance et la relation avec les utilisateurs ;
• la gestion de la communauté ;
• la modération et le traitement des signalements ;
• la gestion des profils publics ;
• la carte facultative des kinés ;
• l’envoi des communications relatives au service ;
• l’envoi de communications commerciales lorsque cela est autorisé ;
• la sécurité de la plateforme ;
• la prévention des abus et des fraudes ;
• la gestion des journaux techniques ;
• l’amélioration générale du service à partir de données ne relevant pas d’un dossier patient identifiable ;
• la gestion des cookies et du consentement ;
• le respect des obligations légales ;
• l’établissement, l’exercice ou la défense de droits en justice.

4.2 Traitements de données patients réalisés pour le compte des kinésithérapeutes

Lorsqu’un kinésithérapeute saisit, importe, consulte ou utilise des données relatives à ses patients dans le cadre de sa propre prise en charge, il détermine en principe :

• pourquoi les données sont traitées ;
• quels patients sont concernés ;
• quelles informations sont nécessaires ;
• quels programmes sont prescrits ou transmis ;
• pendant combien de temps les informations doivent être conservées au regard de ses obligations ;
• quelles personnes sont autorisées à y accéder.

Pour ces traitements, le kinésithérapeute est en principe responsable de traitement et BioPsychoSocial intervient en qualité de prestataire technique traitant les données pour son compte.

Le professionnel doit notamment :

• disposer d’un fondement juridique valable ;
• informer ses patients ;
• respecter le secret professionnel ;
• limiter les données enregistrées à ce qui est nécessaire ;
• définir les personnes autorisées ;
• traiter les demandes de droits portant sur le dossier de soins ;
• respecter les durées de conservation applicables à son activité ;
• respecter ses obligations professionnelles, réglementaires et déontologiques ;
• utiliser une solution technique adaptée à la nature des données traitées.

Une documentation contractuelle relative au traitement de données pour le compte du professionnel doit compléter les présentes dispositions lorsque l’article 28 du RGPD est applicable.

4.3 Opérations propres à BioPsychoSocial sur les données techniques

Même lorsqu’une donnée métier est traitée pour le compte d’un kinésithérapeute, BioPsychoSocial peut agir en qualité de responsable de traitement pour certaines opérations distinctes nécessaires à :

• la sécurisation de la plateforme ;
• la détection d’un accès frauduleux ;
• la prévention d’une attaque ;
• la gestion des preuves techniques ;
• le respect d’une obligation légale ;
• la gestion d’un litige ;
• la protection de ses systèmes et de ses droits.

Ces opérations sont limitées aux informations nécessaires à ces finalités.

5. Catégories de données collectées

BioPsychoSocial peut traiter les catégories de données suivantes selon l’utilisation effective du service.

5.1 Données d’identification

• prénom ;
• nom ;
• civilité éventuelle ;
• identifiant interne ;
• photographie de profil ;
• date de naissance lorsqu’elle est strictement nécessaire ;
• statut de professionnel, d’étudiant ou de patient ;
• justificatifs éventuellement nécessaires à la vérification d’un statut professionnel.

5.2 Coordonnées

• adresse électronique ;
• numéro de téléphone ;
• adresse postale lorsqu’elle est nécessaire à la facturation ou à la relation contractuelle ;
• ville ;
• pays ;
• coordonnées professionnelles rendues publiques par choix de l’utilisateur.

5.3 Données professionnelles

• profession ;
• statut d’étudiant ou de kinésithérapeute ;
• établissement de formation ;
• cabinet ou structure d’exercice ;
• spécialités ;
• diplômes ;
• formations ;
• années d’expérience ;
• langues parlées ;
• horaires ;
• disponibilités ;
• présentation professionnelle ;
• site internet ;
• réseaux sociaux ;
• numéro RPPS ou autre identifiant professionnel lorsqu’il est nécessaire à une vérification.

Le numéro RPPS n’est pas rendu public par défaut.

5.4 Données relatives au compte

• date de création ;
• type de compte ;
• préférences ;
• paramètres ;
• consentements ;
• invitations ;
• statut du compte ;
• dernière connexion ;
• historique des principales actions de sécurité ;
• acceptation des versions des documents contractuels.

Les mots de passe doivent être stockés sous une forme sécurisée et non directement lisible.

5.5 Données relatives aux abonnements et paiements

• offre choisie ;
• date de début ;
• période d’essai ;
• statut de l’abonnement ;
• historique de facturation ;
• montant ;
• devise ;
• référence de transaction ;
• statut du paiement ;
• éventuels remboursements ;
• données nécessaires aux obligations comptables.

Les données bancaires complètes ne doivent pas être enregistrées directement par BioPsychoSocial lorsque le paiement est traité par Stripe. Stripe traite les données nécessaires au paiement selon ses propres règles et obligations.

5.6 Données de formation et d’utilisation professionnelle

• formations consultées ;
• progression ;
• chapitres terminés ;
• favoris ;
• quiz ;
• résultats ;
• attestations éventuelles ;
• ressources consultées ;
• historique d’utilisation des fonctionnalités ;
• préférences de contenu.

5.7 Données de communauté

• publications ;
• commentaires ;
• réponses ;
• réactions ;
• favoris ;
• images ;
• fichiers ;
• messages entre professionnels ;
• signalements ;
• décisions de modération ;
• historique nécessaire à la gestion des abus.

La messagerie communautaire n’est pas destinée à transmettre des données identifiantes relatives aux patients.

5.8 Données de profil public et de carte

Lorsque le professionnel active volontairement sa visibilité, BioPsychoSocial peut afficher, selon ses choix :

• prénom ;
• nom ou initiale ;
• photographie ;
• titre professionnel ;
• ville ;
• zone géographique approximative ;
• spécialités ;
• présentation ;
• cabinet ;
• années d’expérience ;
• diplômes ;
• langues ;
• horaires ;
• disponibilités ;
• site internet ;
• réseaux sociaux ;
• adresse électronique professionnelle ;
• numéro de téléphone professionnel.

L’adresse exacte personnelle ou professionnelle ne doit pas être affichée sur la carte sans choix explicite et fonctionnalité spécifiquement prévue. Par défaut, seule une ville ou une position approximative est utilisée.

5.9 Données relatives aux patients

Selon les fonctionnalités utilisées par le professionnel, les données suivantes peuvent être enregistrées :

• prénom et nom ;
• coordonnées ;
• date de naissance ou âge ;
• identité du kinésithérapeute responsable ;
• objectifs de prise en charge ;
• pathologie ou motif de suivi ;
• bilans ;
• informations fonctionnelles ;
• notes cliniques ;
• programmes d’exercices ;
• exercices attribués ;
• consignes ;
• fréquence ;
• progression ;
• réalisation déclarée ;
• douleur ou difficulté éventuellement signalée ;
• réponses à des questionnaires ;
• commentaires ;
• documents associés ;
• données de connexion à l’espace patient ;
• échanges avec le professionnel dans les fonctionnalités prévues.

Ces informations peuvent constituer des données de santé sensibles.

Les autres kinésithérapeutes ne doivent pas pouvoir consulter les patients d’un professionnel, sauf autorisation explicite, justifiée et techniquement prévue, par exemple dans le cadre d’un cabinet, d’un remplacement ou d’une collaboration autorisée.

5.10 Données techniques et de sécurité

• adresse IP ;
• date et heure de connexion ;
• type d’appareil ;
• système d’exploitation ;
• navigateur ;
• langue ;
• identifiants techniques ;
• événements d’authentification ;
• journaux d’erreur ;
• actions sensibles ;
• tentatives de connexion ;
• données nécessaires à la prévention des abus ;
• données relatives au consentement aux cookies.

5.11 Données de contact et d’assistance

• contenu des demandes ;
• correspondances ;
• pièces jointes ;
• nature du problème ;
• historique des réponses ;
• informations techniques utiles à la résolution du problème ;
• appréciation éventuelle de la qualité de l’assistance.

5.12 Données de communication et de prospection

• inscription à une newsletter ;
• consentement ;
• date du consentement ;
• source de collecte ;
• campagnes envoyées ;
• ouvertures et clics lorsque ces mesures sont légalement autorisées et correctement configurées ;
• désabonnement ;
• préférences de communication.

L’inscription aux communications commerciales doit être distincte de l’acceptation des Conditions générales.

6. Origine des données

Les données peuvent provenir :

• directement de la personne concernée ;
• du kinésithérapeute qui crée ou invite un patient ;
• d’un utilisateur autorisé au sein d’une même organisation ;
• de l’utilisation de la plateforme ;
• du prestataire de paiement ;
• d’un prestataire d’authentification ;
• des outils techniques nécessaires à la sécurité ;
• d’un formulaire de contact ;
• d’une source professionnelle publique, uniquement lorsque son utilisation est licite et pertinente ;
• d’un autre utilisateur lors d’une publication, d’un message ou d’un signalement.

Lorsqu’un kinésithérapeute renseigne les données d’un patient, il lui appartient de fournir à celui-ci les informations requises concernant le traitement de son dossier.

7. Finalités et bases juridiques

7.1 Création et gestion du compte

Finalités :

• créer le compte ;
• authentifier l’utilisateur ;
• fournir les fonctionnalités demandées ;
• gérer les paramètres ;
• assurer la relation contractuelle.

Base juridique :

• exécution du contrat ou mesures précontractuelles ;
• intérêt légitime pour certaines mesures de gestion et de sécurité.

7.2 Vérification du statut professionnel

Finalités :

• réserver certaines fonctionnalités aux personnes autorisées ;
• protéger la communauté ;
• prévenir les usurpations.

Base juridique :

• exécution du contrat ;
• intérêt légitime de BioPsychoSocial à sécuriser son service et ses utilisateurs.

7.3 Gestion de l’essai et des abonnements

Finalités :

• activer la période d’essai ;
• appliquer l’offre choisie ;
• gérer les renouvellements ;
• permettre la résiliation ;
• suivre les paiements ;
• traiter les demandes liées à l’abonnement.

Base juridique :

• exécution du contrat ;
• obligations légales comptables et fiscales.

7.4 Paiement et facturation

Finalités :

• traiter le paiement ;
• prévenir la fraude ;
• émettre les factures ;
• tenir la comptabilité ;
• gérer les impayés et remboursements.

Base juridique :

• exécution du contrat ;
• obligation légale ;
• intérêt légitime relatif à la prévention de la fraude et au recouvrement.

7.5 Fourniture des formations et ressources

Finalités :

• donner accès aux contenus ;
• enregistrer la progression ;
• proposer des contenus pertinents ;
• gérer les favoris et résultats.

Base juridique :

• exécution du contrat.

7.6 Gestion des programmes et espaces patients

Finalités déterminées par le kinésithérapeute :

• créer un dossier patient ;
• sélectionner et transmettre des exercices ;
• suivre la réalisation ;
• accompagner la prise en charge ;
• communiquer des consignes ;
• conserver les informations utiles au suivi professionnel.

Pour ces finalités, le kinésithérapeute détermine le fondement juridique applicable dans le cadre de sa prise en charge.

Les données de santé ne reposent pas nécessairement sur le consentement du patient lorsque leur traitement est nécessaire à la prise en charge par un professionnel soumis au secret professionnel. Le professionnel doit toutefois informer le patient et respecter les conditions prévues par la réglementation.

BioPsychoSocial traite ces données sur les instructions du professionnel, sous réserve de ses traitements propres strictement nécessaires à la sécurité et au respect de ses obligations.

7.7 Espace patient

Finalités :

• créer ou activer l’accès invité ;
• authentifier le patient ;
• lui présenter les programmes transmis ;
• recueillir les informations qu’il choisit de renseigner ;
• transmettre ces informations à son kinésithérapeute.

Bases juridiques :

• traitement réalisé dans le cadre de la prise en charge déterminée par le professionnel ;
• exécution des fonctionnalités demandées ;
• obligations et fondements applicables au professionnel de santé.

7.8 Communauté et messagerie professionnelle

Finalités :

• permettre les échanges ;
• afficher les publications ;
• permettre les commentaires ;
• gérer les favoris ;
• envoyer les messages ;
• modérer les contenus ;
• traiter les signalements.

Bases juridiques :

• exécution du contrat ;
• intérêt légitime à assurer la sécurité, la modération et la qualité des échanges ;
• obligation légale lorsqu’un contenu illicite est signalé.

7.9 Carte facultative des kinés

Finalités :

• afficher les professionnels ayant choisi d’y apparaître ;
• permettre leur découverte selon leur ville ou leurs informations publiques.

Base juridique :

• consentement de l’utilisateur.

Le consentement à apparaître sur la carte est facultatif, distinct, révocable et désactivé par défaut.

Le retrait du consentement entraîne le retrait de la carte dans un délai raisonnable, sous réserve du temps nécessaire à la mise à jour technique et à la suppression des caches.

7.10 Assistance

Finalités :

• répondre aux demandes ;
• diagnostiquer un dysfonctionnement ;
• résoudre un problème ;
• conserver l’historique utile.

Bases juridiques :

• exécution du contrat ;
• intérêt légitime à assurer l’assistance et améliorer le service.

L’utilisateur ne doit pas envoyer de données patients dans une demande d’assistance, sauf nécessité absolue et selon une procédure sécurisée spécialement prévue.

7.11 Communications relatives au service

Finalités :

• confirmer la création du compte ;
• envoyer un lien d’activation ;
• signaler une connexion ou une action de sécurité ;
• envoyer une facture ;
• informer d’une modification importante ;
• rappeler une échéance contractuelle ;
• assurer le fonctionnement du service.

Bases juridiques :

• exécution du contrat ;
• obligation légale ;
• intérêt légitime selon la nature du message.

Ces communications ne sont pas des communications commerciales facultatives.

7.12 Newsletter et communications commerciales

Finalités :

• présenter des contenus ;
• informer des nouveautés ;
• proposer des offres ;
• mesurer la performance des communications lorsque cela est légalement permis.

Bases juridiques :

• consentement lorsque celui-ci est requis ;
• intérêt légitime dans les hypothèses autorisées pour des services analogues adressés à des clients professionnels, avec possibilité d’opposition.

La case d’inscription marketing doit être distincte et décochée par défaut lorsqu’un consentement est requis.

Chaque communication commerciale comporte un moyen simple de se désabonner.

7.13 Sécurité et prévention des abus

Finalités :

• protéger les comptes ;
• détecter des accès inhabituels ;
• prévenir les attaques ;
• analyser les erreurs ;
• lutter contre le spam ;
• établir des preuves ;
• gérer les violations de données.

Bases juridiques :

• intérêt légitime de BioPsychoSocial et de ses utilisateurs ;
• obligations légales de sécurité.

7.14 Respect des obligations légales et gestion des litiges

Finalités :

• respecter les obligations comptables, fiscales et judiciaires ;
• répondre aux demandes légalement fondées ;
• conserver les preuves nécessaires ;
• établir, exercer ou défendre des droits.

Bases juridiques :

• obligation légale ;
• intérêt légitime à défendre les droits de BioPsychoSocial.

7.15 Mesure d’audience

Finalités :

• comprendre l’utilisation du site ;
• mesurer les visites ;
• détecter les pages les plus consultées ;
• améliorer l’ergonomie.

Base juridique :

• consentement lorsque l’outil ou sa configuration n’est pas strictement exempté ;
• le cas échéant, exemption de consentement uniquement si toutes les conditions réglementaires sont réellement réunies.

Aucun outil de mesure d’audience soumis au consentement ne doit fonctionner avant le choix positif de l’utilisateur.

7.16 Publicité et mesure des conversions

Finalités :

• mesurer les campagnes ;
• attribuer une conversion ;
• créer des audiences ;
• personnaliser une publicité ;
• limiter la répétition d’annonces.

Base juridique :

• consentement préalable.

Ces traceurs doivent rester entièrement désactivés tant que l’utilisateur ne les a pas acceptés.

8. Caractère obligatoire ou facultatif des données

Les champs obligatoires sont identifiés comme tels dans les formulaires.

Certaines données sont nécessaires pour :

• créer un compte ;
• vérifier une identité ;
• fournir une fonctionnalité ;
• traiter un paiement ;
• répondre à une demande ;
• respecter une obligation légale.

L’absence de ces informations peut empêcher la création du compte ou la fourniture de la fonctionnalité concernée.

Les informations de profil public, l’inscription à la newsletter, l’apparition sur la carte et les cookies facultatifs restent optionnels.

Un professionnel doit limiter les données patients à celles qui sont pertinentes et nécessaires à sa prise en charge.

9. Destinataires des données

Selon leur nature et leur finalité, les données peuvent être accessibles :

• à la personne concernée ;
• au kinésithérapeute responsable de son patient ;
• aux membres expressément autorisés d’une même organisation ;
• aux personnes autorisées de BioPsychoSocial dans la stricte limite de leurs missions ;
• aux prestataires techniques nécessaires au fonctionnement du service ;
• au prestataire de paiement ;
• aux prestataires de messagerie électronique ;
• aux conseils professionnels de BioPsychoSocial soumis à une obligation de confidentialité ;
• aux autorités légalement habilitées ;
• à un acquéreur ou successeur éventuel, dans le respect de la réglementation et après information lorsqu’elle est requise.

Les dossiers patients ne sont pas visibles par l’ensemble de la communauté.

Un kinésithérapeute ne doit pas pouvoir consulter les dossiers suivis par un autre kinésithérapeute sans autorisation explicite et justifiée.

Les données ne sont pas vendues.

Les données patients ne sont pas utilisées pour diffuser des publicités ciblées.

10. Prestataires et sous-traitants

BioPsychoSocial peut recourir à des prestataires pour :

• l’hébergement ;
• le déploiement ;
• la base de données ;
• l’authentification ;
• le stockage ;
• l’envoi d’e-mails ;
• le paiement ;
• la sécurité ;
• la maintenance ;
• l’assistance ;
• la mesure d’audience ;
• la gestion du consentement.

À la date de la présente politique, le service utilise notamment ou peut utiliser selon la configuration réelle :

Lovable

Rôle :

• développement assisté ;
• déploiement et infrastructure technique selon la configuration du projet.

Seules les informations correspondant à l’utilisation réelle doivent être affichées.

Hostinger

Rôle :

• enregistrement et gestion du nom de domaine.

Le fait que le domaine soit enregistré chez Hostinger ne signifie pas nécessairement que les données applicatives y sont hébergées.

Stripe

Rôle :

• traitement des paiements ;
• gestion des abonnements ;
• prévention de la fraude ;
• émission ou mise à disposition de documents liés à la facturation selon la configuration.

Les données de carte bancaire complètes sont traitées par Stripe et ne doivent pas être enregistrées directement dans les bases de BioPsychoSocial.

Prestataire de base de données et d’authentification

Le nom du prestataire réellement utilisé doit être affiché dans la présente section uniquement après vérification dans la configuration technique.

Ne pas afficher « Supabase » ou le nom d’un autre prestataire uniquement sur la base d’une supposition.

Prestataire d’envoi d’e-mails

Le nom du prestataire effectivement utilisé doit être ajouté après vérification.

Ne pas afficher simultanément Brevo et Mailchimp comme s’ils étaient tous deux actifs si ce n’est pas le cas.

Outils d’analyse et de publicité

Google Analytics, Google Ads, Meta Pixel ou tout autre outil ne doivent être mentionnés comme actifs que s’ils sont réellement installés.

S’ils sont installés, leurs traceurs soumis au consentement doivent être bloqués avant acceptation.

BioPsychoSocial sélectionne des prestataires présentant des garanties appropriées et encadre les traitements réalisés pour son compte lorsque cela est nécessaire.

Une liste actualisée des principaux prestataires peut être obtenue en écrivant à contact@biopsychosocial.fr.

11. Données de santé et hébergement

Certaines fonctionnalités de BioPsychoSocial peuvent permettre à un professionnel d’enregistrer des informations constituant des données de santé.

L’accès limité aux seuls kinésithérapeutes autorisés constitue une mesure importante de confidentialité, mais ne résume pas à lui seul l’ensemble des obligations applicables à l’hébergement et à la sécurité de ces données.

BioPsychoSocial ne déclare pas être certifié HDS.

BioPsychoSocial ne déclare pas qu’un prestataire est certifié HDS tant que :

• son identité exacte n’a pas été vérifiée ;
• le certificat n’a pas été obtenu ;
• sa validité n’a pas été contrôlée ;
• le périmètre du certificat n’a pas été rapproché des activités réellement utilisées ;
• la chaîne de sous-traitance et les lieux d’hébergement n’ont pas été identifiés.

L’utilisation en production de fonctionnalités impliquant l’hébergement de données de santé doit être précédée de la vérification des exigences applicables, notamment lorsque ces données sont hébergées pour le compte de professionnels de santé.

Cette transparence ne dispense ni BioPsychoSocial ni les professionnels utilisateurs de leurs obligations respectives.

12. Cloisonnement et confidentialité des dossiers patients

La plateforme doit appliquer des règles d’accès permettant notamment que :

• chaque patient soit rattaché à un professionnel ou à une organisation autorisée ;
• un professionnel ne puisse consulter que les patients dont il assure le suivi ou auxquels il est expressément autorisé ;
• un patient ne puisse consulter que son propre espace ;
• les membres de la communauté n’aient aucun accès aux dossiers patients ;
• les profils publics n’exposent aucune donnée patient ;
• les données patients ne soient pas indexées par les moteurs de recherche ;
• les liens d’invitation soient protégés et limités ;
• les actions sensibles soient authentifiées ;
• les accès techniques exceptionnels soient limités, justifiés et tracés.

Les utilisateurs sont tenus de protéger leurs identifiants et de ne pas partager leurs comptes.

13. Accès par BioPsychoSocial et assistance technique

BioPsychoSocial n’a pas vocation à consulter librement le contenu des dossiers patients.

Un accès exceptionnel peut être nécessaire notamment :

• pour résoudre un incident signalé ;
• pour restaurer un service ;
• pour analyser une faille de sécurité ;
• pour respecter une obligation légale ;
• pour prévenir un risque grave ;
• pour établir ou défendre des droits.

Un tel accès doit être :

• limité aux personnes autorisées ;
• proportionné ;
• justifié ;
• réalisé pendant la durée nécessaire ;
• soumis à la confidentialité ;
• tracé lorsque la nature du système le permet.

Lorsque le diagnostic peut être effectué sans consulter les données métier, cette solution doit être privilégiée.

14. Sécurité des données

BioPsychoSocial met en œuvre ou doit mettre en œuvre des mesures techniques et organisationnelles adaptées aux risques, notamment :

• contrôle des accès ;
• authentification ;
• mots de passe sécurisés ;
• gestion des rôles ;
• cloisonnement des données ;
• chiffrement des communications ;
• sauvegardes ;
• mises à jour ;
• journalisation des événements sensibles ;
• surveillance des erreurs ;
• limitation des accès administratifs ;
• procédures de révocation des accès ;
• protection contre les accès automatisés abusifs ;
• gestion des incidents ;
• suppression ou anonymisation lorsque cela est requis ;
• encadrement des prestataires.

Aucune méthode ne garantit une sécurité absolue. BioPsychoSocial adapte ses mesures en fonction de l’évolution des risques et des fonctionnalités.

L’utilisateur doit notamment :

• choisir un mot de passe robuste ;
• ne pas réutiliser un mot de passe compromis ;
• protéger son appareil ;
• se déconnecter d’un appareil partagé ;
• contrôler les personnes autorisées dans son organisation ;
• signaler immédiatement toute suspicion d’accès non autorisé ;
• ne pas transmettre des données sensibles par un canal non prévu.

15. Violation de données

Une violation de données peut correspondre à une destruction, une perte, une altération, une divulgation non autorisée ou un accès non autorisé à des données personnelles.

En cas d’incident, BioPsychoSocial analyse notamment :

• la nature des données ;
• les personnes concernées ;
• les conséquences possibles ;
• les mesures correctives ;
• le niveau de risque ;
• les obligations de notification.

Lorsque la réglementation l’exige, l’autorité compétente et les personnes concernées sont informées dans les conditions et délais applicables.

Lorsqu’une violation concerne des données traitées pour le compte d’un kinésithérapeute, BioPsychoSocial l’informe dans les meilleurs délais raisonnables afin qu’il puisse respecter ses propres obligations.

Toute suspicion peut être signalée à :

contact@biopsychosocial.fr

16. Transferts de données hors de l’Espace économique européen

Certains prestataires peuvent être établis ou traiter des données en dehors de l’Espace économique européen.

Lorsqu’un transfert international est réalisé, BioPsychoSocial doit vérifier qu’il repose sur un mécanisme juridique approprié, notamment :

• une décision d’adéquation ;
• le cadre de protection reconnu applicable ;
• des clauses contractuelles types ;
• des règles d’entreprise contraignantes ;
• une dérogation prévue par la réglementation dans les cas limités où elle est applicable.

Des mesures complémentaires peuvent être mises en place lorsque cela est nécessaire au regard du pays, des données et des risques.

La localisation d’une société aux États-Unis ne signifie pas automatiquement que toutes les données sont hébergées aux États-Unis. La région de traitement effectivement utilisée doit être vérifiée dans la configuration de chaque prestataire.

Les informations relatives aux garanties applicables peuvent être demandées à contact@biopsychosocial.fr.

17. Durées de conservation

Les données ne sont pas conservées plus longtemps que nécessaire au regard de leur finalité, sous réserve des obligations légales, des prescriptions et de la défense de droits.

Les durées suivantes constituent les règles générales appliquées ou à appliquer par BioPsychoSocial.

17.1 Compte actif

Les données du compte sont conservées pendant la durée d’utilisation du service.

17.2 Compte professionnel supprimé

Après suppression du compte, les données sont supprimées ou anonymisées dans un délai raisonnable, généralement inférieur à trois mois, sauf :

• obligation légale ;
• factures à conserver ;
• litige ;
• impayé ;
• preuve nécessaire ;
• demande d’une autorité ;
• sauvegarde temporaire ;
• gestion des dossiers patients placés sous la responsabilité du professionnel.

La suppression d’un compte professionnel ne doit pas provoquer une suppression incontrôlée de données patients devant être restituées, exportées ou conservées selon les instructions du responsable de traitement.

17.3 Données patients

La durée de conservation des données patients est déterminée en premier lieu par le kinésithérapeute responsable de traitement, selon :

• la finalité du suivi ;
• ses obligations professionnelles ;
• les règles relatives au dossier patient ;
• les délais de prescription ;
• les besoins de preuve ;
• la situation du patient.

BioPsychoSocial conserve ces données selon les instructions documentées du professionnel et les mécanismes contractuels applicables.

À la fin du service, une procédure doit permettre, selon la situation :

• l’export ;
• la restitution ;
• la suppression ;
• l’anonymisation ;
• ou la conservation temporaire strictement nécessaire à une migration.

Aucune durée unique arbitraire ne doit être appliquée aux dossiers patients sans tenir compte des obligations du professionnel.

17.4 Factures et données comptables

Les factures et pièces comptables sont conservées pendant dix ans à compter de la clôture de l’exercice concerné, sauf durée différente imposée par la réglementation.

17.5 Données de paiement

Les données directement conservées par BioPsychoSocial sont limitées aux références et informations nécessaires à la gestion du paiement, aux obligations légales et à la preuve de la transaction.

Les données de carte sont traitées par le prestataire de paiement selon ses propres durées et obligations.

17.6 Prospects

Les données relatives à un prospect peuvent être conservées pendant trois ans à compter du dernier contact actif émanant du prospect ou de la collecte, sauf opposition ou règle différente applicable.

17.7 Newsletter

Les données sont conservées jusqu’au désabonnement ou au retrait du consentement, puis placées sur une liste d’opposition lorsque cela est nécessaire pour respecter le choix de la personne.

17.8 Demandes d’assistance

Les demandes sont conservées pendant le temps nécessaire à leur traitement, puis pendant une durée raisonnable permettant le suivi, l’amélioration de l’assistance et la défense des droits.

Une durée de trois ans après la clôture de la demande peut être appliquée, sauf nécessité particulière ou contenu sensible devant être supprimé plus tôt.

17.9 Communauté

Les publications restent accessibles tant qu’elles ne sont pas supprimées par leur auteur, par BioPsychoSocial ou à la suite de la suppression du compte, sous réserve :

• des réponses d’autres utilisateurs ;
• de l’anonymisation de l’auteur ;
• des besoins de modération ;
• des preuves relatives à un signalement ;
• des obligations légales.

Les messages privés sont conservés pendant la durée du compte et pendant une durée limitée après sa suppression, sauf suppression anticipée, signalement, obligation légale ou nécessité probatoire.

17.10 Journaux techniques

Les journaux ordinaires de sécurité sont généralement conservés entre six et douze mois.

Certains événements peuvent être conservés plus longtemps lorsqu’ils sont nécessaires à l’analyse d’un incident, à la preuve d’un abus ou à la défense de droits.

17.11 Consentements

La preuve d’un consentement ou d’un retrait peut être conservée pendant la durée nécessaire à la démonstration du respect des obligations et des délais de prescription applicables.

17.12 Cookies

La durée de vie de chaque cookie est précisée dans le centre de préférences.

Le choix de consentement ne doit pas être conservé indéfiniment. Une nouvelle demande peut être présentée à intervalles appropriés, notamment après une modification significative ou à l’expiration de la durée de validité retenue.

18. Sauvegardes

Des copies temporaires peuvent subsister dans des sauvegardes sécurisées après une demande de suppression.

Elles ne doivent pas être utilisées pour un usage courant et sont supprimées ou écrasées selon le cycle de sauvegarde applicable.

Lorsqu’une restauration est nécessaire, les suppressions intervenues doivent être réappliquées dans la mesure techniquement possible.

19. Absence de vente et utilisation commerciale des données

BioPsychoSocial ne vend pas les données personnelles de ses utilisateurs ou de leurs patients.

Les données patients ne sont pas utilisées :

• pour établir des profils publicitaires ;
• pour créer des audiences marketing ;
• pour vendre des services à des tiers ;
• pour démarcher directement les patients ;
• pour entraîner un modèle d’intelligence artificielle à des fins commerciales sans base juridique, information et encadrement appropriés.

Une publication réalisée dans la communauté ne peut pas être réutilisée comme publicité ou témoignage commercial sans autorisation distincte de son auteur.

20. Décisions automatisées et intelligence artificielle

BioPsychoSocial ne prend pas, à la date de la présente politique, de décision produisant un effet juridique ou affectant significativement une personne sur le seul fondement d’un traitement automatisé.

La plateforme ne doit pas affirmer qu’une intelligence artificielle établit un diagnostic médical.

Toute future fonctionnalité d’intelligence artificielle traitant des données personnelles ou de santé devra faire l’objet, avant sa mise en service :

• d’une définition précise des finalités ;
• d’une analyse des bases juridiques ;
• d’une information spécifique ;
• d’une analyse de sécurité ;
• d’une vérification des prestataires ;
• d’une analyse d’impact lorsque celle-ci est requise ;
• d’un contrôle humain adapté ;
• d’une mise à jour de la présente politique.

Les données patients ne doivent pas être envoyées à un fournisseur d’intelligence artificielle généraliste sans cadre juridique, contractuel et technique approprié.

21. Droits des personnes

Selon les conditions prévues par la réglementation, une personne peut exercer les droits suivants.

21.1 Droit d’accès

Obtenir la confirmation qu’une donnée est traitée et recevoir une copie des données la concernant.

21.2 Droit de rectification

Faire corriger des données inexactes ou compléter des données incomplètes.

21.3 Droit à l’effacement

Demander la suppression de données lorsque les conditions légales sont réunies.

Ce droit n’est pas absolu, notamment lorsqu’une conservation est nécessaire au respect d’une obligation légale, à la prise en charge, à la preuve ou à la défense de droits.

21.4 Droit à la limitation

Demander la suspension temporaire de certaines utilisations dans les cas prévus par la réglementation.

21.5 Droit d’opposition

S’opposer, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’intérêt légitime.

La personne peut s’opposer à tout moment à la prospection commerciale.

21.6 Droit à la portabilité

Recevoir les données fournies dans un format structuré, couramment utilisé et lisible par machine lorsque le traitement repose sur le consentement ou le contrat et est effectué à l’aide de procédés automatisés.

21.7 Retrait du consentement

Retirer un consentement à tout moment, sans remettre en cause la licéité du traitement réalisé avant ce retrait.

21.8 Directives après le décès

Définir, dans les conditions prévues par le droit français, des directives relatives à la conservation, à l’effacement et à la communication de ses données après son décès.

21.9 Réclamation auprès de la CNIL

Une personne peut introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés si elle estime que ses droits ne sont pas respectés.

Site de la CNIL : https://www.cnil.fr

22. Exercice des droits

Les demandes peuvent être envoyées à :

contact@biopsychosocial.fr

ou par courrier à :

Théo CAHARD EI
588 rue de l’Espoir
76560 Routes
France

La demande doit préciser :

• l’identité de la personne ;
• l’objet du droit exercé ;
• les informations permettant de retrouver le compte ou les données ;
• le cas échéant, le professionnel concerné.

Une pièce d’identité n’est demandée qu’en cas de doute raisonnable sur l’identité et uniquement dans la mesure nécessaire.

BioPsychoSocial répond en principe dans un délai d’un mois. Ce délai peut être prolongé de deux mois lorsque la demande est complexe ou nombreuse. La personne est alors informée de la prolongation et de ses raisons.

Une demande manifestement infondée ou excessive peut être refusée ou donner lieu à des frais raisonnables dans les conditions prévues par la réglementation.

23. Demandes concernant un dossier patient

Lorsqu’une demande concerne les données enregistrées par un kinésithérapeute dans le cadre de sa prise en charge, elle doit en priorité être adressée à ce professionnel, qui est en principe responsable du traitement de son dossier.

BioPsychoSocial peut :

• transmettre la demande au professionnel concerné ;
• aider techniquement le professionnel à y répondre ;
• effectuer une extraction, rectification ou suppression sur ses instructions ;
• protéger temporairement les données pendant l’examen de la demande.

BioPsychoSocial peut traiter directement les parties de la demande qui concernent ses propres traitements, par exemple :

• les identifiants du compte patient ;
• les journaux de sécurité propres au service ;
• les consentements relatifs aux cookies ;
• les communications envoyées directement par BioPsychoSocial.

24. Données des mineurs

La création autonome d’un compte professionnel et la souscription d’un abonnement sont réservées aux personnes âgées d’au moins dix-huit ans.

Un patient mineur peut éventuellement accéder à un espace patient lorsque :

• la fonctionnalité est effectivement proposée ;
• l’invitation est réalisée dans le cadre de sa prise en charge ;
• le professionnel respecte ses obligations ;
• le représentant légal est informé ou intervient lorsque cela est requis ;
• les droits et l’intérêt du mineur sont respectés.

La plateforme ne doit pas utiliser les données d’un mineur à des fins publicitaires.

En cas de doute sur une inscription irrégulière, BioPsychoSocial peut suspendre le compte et demander les informations nécessaires à la vérification.

25. Profil public et carte des kinés

L’apparition sur la carte est facultative.

La case correspondante doit être :

• distincte ;
• compréhensible ;
• décochée par défaut ;
• modifiable à tout moment.

L’utilisateur choisit les informations qu’il souhaite rendre publiques.

Le système doit enregistrer au minimum :

• le statut du consentement ;
• la date ;
• la version du texte présenté ;
• la date du retrait éventuel.

La désactivation de la visibilité ne supprime pas nécessairement les données privées du profil, mais empêche leur affichage public selon les paramètres choisis.

L’utilisateur est responsable de l’exactitude des informations professionnelles qu’il rend publiques.

26. Communications électroniques

26.1 Communications nécessaires

BioPsychoSocial peut envoyer sans inscription facultative les messages nécessaires :

• à l’activation du compte ;
• à la sécurité ;
• au paiement ;
• à la facturation ;
• au fonctionnement des fonctionnalités ;
• aux modifications contractuelles ;
• à la gestion de l’abonnement ;
• à l’assistance.

L’utilisateur ne peut pas refuser les messages indispensables tout en continuant à utiliser la fonctionnalité correspondante.

26.2 Communications commerciales

Les communications commerciales sont gérées séparément.

Lorsque le consentement est requis :

• la case est décochée par défaut ;
• l’acceptation des Conditions générales ne vaut pas consentement marketing ;
• la preuve du choix est conservée ;
• le désabonnement est accessible dans chaque message ;
• le retrait est gratuit.

26.3 Pixels dans les courriers électroniques

Tout pixel ou mécanisme permettant de mesurer l’ouverture, la consultation ou l’interaction avec un courrier électronique doit être utilisé uniquement après analyse de sa nécessité, de sa base juridique et des règles applicables.

Il ne doit pas être installé ou activé par défaut uniquement parce qu’un prestataire le propose.

27. Cookies et technologies similaires

Un cookie est un fichier ou identifiant susceptible d’être enregistré ou lu sur un appareil lors de la consultation d’un service.

Des technologies comparables peuvent être utilisées, notamment :

• stockage local ;
• pixels ;
• balises ;
• identifiants publicitaires ;
• scripts ;
• SDK ;
• empreintes techniques lorsque leur utilisation est licite.

28. Catégories de cookies

28.1 Cookies strictement nécessaires

Ces cookies permettent notamment :

• l’authentification ;
• la conservation d’une session ;
• la sécurité ;
• la prévention des attaques ;
• la répartition technique de charge ;
• la mémorisation du choix de consentement ;
• l’accès au panier ou à l’abonnement ;
• la fourniture d’une fonctionnalité demandée.

Ils peuvent être déposés sans consentement lorsqu’ils sont strictement nécessaires.

Ils ne doivent pas être détournés à des fins publicitaires ou d’analyse non nécessaire.

28.2 Cookies de préférences

Ils permettent de mémoriser certains choix non indispensables, par exemple :

• affichage ;
• langue ;
• personnalisation ;
• préférences d’interface.

Lorsqu’ils ne sont pas strictement nécessaires à une demande de l’utilisateur, ils sont soumis à son choix.

28.3 Cookies de mesure d’audience

Ils peuvent permettre de mesurer :

• le nombre de visites ;
• les pages vues ;
• les parcours ;
• les erreurs ;
• les performances.

Ils sont soumis au consentement sauf si l’outil et sa configuration répondent réellement à toutes les conditions d’une exemption applicable.

Par prudence, tout outil tiers d’analyse doit être classé comme facultatif tant que son exemption n’a pas été vérifiée et documentée.

28.4 Cookies publicitaires

Ils peuvent servir à :

• mesurer une campagne ;
• attribuer une conversion ;
• personnaliser des annonces ;
• créer une audience ;
• suivre un utilisateur entre plusieurs services.

Ils sont soumis au consentement préalable.

28.5 Cookies de contenus tiers

L’intégration d’une vidéo, d’une carte, d’un réseau social ou d’un autre contenu tiers peut entraîner le dépôt de traceurs.

Le contenu concerné doit rester bloqué ou présenté avec une solution respectueuse du consentement tant que les traceurs facultatifs n’ont pas été acceptés.

29. Outils susceptibles d’être ajoutés

BioPsychoSocial pourra ultérieurement utiliser notamment :

• Google Analytics ;
• Google Ads ;
• Meta Pixel ;
• Microsoft Clarity ;
• Hotjar ;
• LinkedIn Insight Tag ;
• un outil de gestion du consentement ;
• un autre outil comparable.

Le simple fait qu’un outil soit envisagé ne signifie pas qu’il est actuellement actif.

La liste publique des cookies doit être générée ou actualisée à partir des outils réellement installés.

Aucun outil facultatif ne doit être activé tant que :

• il n’est pas déclaré dans le centre de préférences ;
• sa finalité n’est pas expliquée ;
• sa durée n’est pas indiquée ;
• son fournisseur n’est pas identifié ;
• le consentement requis n’a pas été obtenu.

30. Modalités du consentement aux cookies

Lors de la première visite, la bannière doit proposer trois choix de même niveau :

Tout accepter

Tout refuser

Personnaliser

Les boutons « Tout accepter » et « Tout refuser » doivent avoir :

• une visibilité comparable ;
• une taille comparable ;
• un niveau de facilité comparable ;
• un nombre de clics comparable.

Aucune case facultative ne doit être activée par défaut.

L’absence de réponse ne vaut pas consentement.

La fermeture de la bannière sans choix ne vaut pas consentement.

La poursuite de la navigation ne vaut pas consentement.

Tant qu’aucun consentement n’est donné :

• seuls les cookies strictement nécessaires peuvent être activés ;
• les scripts d’analyse soumis au consentement restent bloqués ;
• les scripts publicitaires restent bloqués ;
• les contenus tiers concernés restent bloqués.

31. Centre de préférences

Un centre de préférences doit être accessible :

• depuis la bannière ;
• depuis un lien permanent « Gérer mes cookies » dans le footer ;
• depuis la présente politique.

Il doit permettre de :

• connaître les catégories utilisées ;
• consulter les fournisseurs ;
• consulter les finalités ;
• consulter les durées ;
• accepter ou refuser chaque catégorie facultative ;
• tout accepter ;
• tout refuser ;
• modifier un choix ;
• retirer un consentement.

Le retrait doit être aussi simple que le consentement.

Une modification doit prendre effet immédiatement pour les futurs traitements.

Lorsque cela est techniquement possible, les cookies déjà déposés et devenus inutiles doivent être supprimés.

32. Preuve du consentement

Le système doit conserver les informations nécessaires à la preuve du choix, notamment :

• identifiant de consentement ;
• catégories acceptées et refusées ;
• date et heure ;
• version de la bannière ;
• version de la liste des fournisseurs ;
• mode de collecte ;
• date du retrait ou de la modification.

La preuve doit rester proportionnée et ne pas devenir elle-même un outil de suivi publicitaire.

33. Durée du choix relatif aux cookies

Le consentement ou le refus est conservé pendant une durée limitée.

Une durée de six mois doit être utilisée par défaut pour le choix global, sauf justification et règle plus appropriée.

Une nouvelle demande peut être présentée avant l’expiration en cas de :

• ajout d’une nouvelle finalité ;
• ajout d’un nouveau partenaire important ;
• modification significative du traitement ;
• perte de la preuve du choix ;
• changement réglementaire.

Le refus doit être mémorisé pendant une durée comparable à l’acceptation.

34. Liste des cookies

Le centre de préférences doit afficher une liste mise à jour contenant, pour chaque cookie ou traceur réellement présent :

• nom ;
• fournisseur ;
• catégorie ;
• finalité ;
• domaine ;
• durée ;
• caractère strictement nécessaire ou facultatif ;
• lien vers les informations du fournisseur lorsque pertinent.

Ne pas créer une liste fictive.

Les cookies techniques internes effectivement détectés doivent être documentés avec leur véritable nom.

Les cookies Stripe, d’authentification, de base de données ou d’hébergement ne doivent être attribués à un fournisseur qu’après vérification technique.

35. Paramètres du navigateur

L’utilisateur peut également supprimer ou bloquer des cookies depuis son navigateur.

Le blocage de cookies strictement nécessaires peut empêcher certaines fonctionnalités, notamment :

• la connexion ;
• la conservation de session ;
• la sécurité ;
• le paiement ;
• l’enregistrement de préférences indispensables.

Le réglage du navigateur ne remplace pas le centre de préférences proposé par BioPsychoSocial.

36. Mise à jour de la politique

La présente politique peut être modifiée notamment en cas :

• d’évolution du service ;
• d’ajout d’une fonctionnalité ;
• de changement de prestataire ;
• d’installation d’un traceur ;
• d’évolution juridique ;
• de modification des durées de conservation ;
• de nouveau traitement de données.

La date de mise à jour est affichée en haut de la page.

En cas de modification importante, une information spécifique peut être affichée dans la plateforme ou envoyée aux utilisateurs concernés.

L’historique des versions importantes doit pouvoir être conservé à des fins de preuve.

37. Contact

Pour toute question concernant la présente politique ou l’utilisation des données personnelles :

BioPsychoSocial
Théo CAHARD EI
588 rue de l’Espoir
76560 Routes
France
Email : contact@biopsychosocial.fr
Site : https://biopsychosocial.fr