Politique de Confidentialité

La société DEUX MENHIRS, Société par Actions Simplifiée au capital de 5 000 euros, dont le siège social est situé 18, rue Jules Simon 35000 RENNES, ci-après dénommée « l'Éditeur » ou « nous », accorde une grande importance à la protection des données personnelles de ses utilisateurs. La présente Politique de Confidentialité a pour objectif de vous informer de manière transparente sur la collecte, l'utilisation, le stockage et la protection de vos données personnelles dans le cadre de l'utilisation du logiciel iOdin, conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés.

Le responsable du traitement des données personnelles est : DEUX MENHIRS Société par Actions Simplifiée Siège social : 18, rue Jules Simon 35000 RENNES Email du Délégué à la Protection des Données : dpo@iodin.app Pour toute question relative à la protection de vos données personnelles ou pour exercer vos droits, vous pouvez nous contacter à l'adresse : dpo@iodin.app

2.1. Données d'identification et de compte Lors de la création de votre compte, nous collectons les données suivantes : • Nom et prénom • Adresse email • Établissement d'exercice • Spécialité médicale 2.2. Données de connexion et d'utilisation Nous collectons automatiquement certaines données techniques lors de votre utilisation du service : • Adresse IP • Données de navigation (pages consultées, durée de visite, parcours utilisateur) • Logs de connexion (date et heure de connexion, actions effectuées) • Type de navigateur et système d'exploitation • Données d'utilisation du service (nombre de comptes-rendus générés, fonctionnalités utilisées) 2.3. Données de paiement Les données de paiement (coordonnées bancaires) sont collectées et traitées directement par notre prestataire de paiement Stripe. Nous ne conservons aucune donnée bancaire sur nos serveurs. Seules les informations de facturation (montant, date, statut) sont conservées dans notre système. 2.4. Données médicales Les données médicales saisies pour la génération de comptes-rendus sont traitées de manière totalement anonyme. Aucune donnée de santé identifiable n'est conservée par l'Éditeur. Les données sont anonymisées avant tout traitement et transmission aux services tiers.

Vos données personnelles sont collectées et traitées pour les finalités suivantes : 3.1. Gestion du compte et fourniture du service • Création et gestion de votre compte utilisateur • Authentification et sécurisation de l'accès au service • Fourniture des fonctionnalités du logiciel iOdin • Personnalisation de votre expérience utilisateur Base légale : exécution du contrat (CGV). 3.2. Gestion administrative et financière • Traitement des paiements et facturation • Gestion des réclamations et du support client • Respect des obligations comptables et fiscales Base légale : exécution du contrat et obligations légales. 3.3. Amélioration du service • Analyse de l'utilisation du service (données anonymisées) • Amélioration des fonctionnalités et performances du logiciel • Développement de nouvelles fonctionnalités Base légale : intérêt légitime (amélioration continue du service). 3.4. Sécurité et prévention des fraudes • Détection et prévention des utilisations frauduleuses ou abusives • Sécurisation des accès et des transactions • Conservation des logs pour la sécurité du système Base légale : intérêt légitime (sécurité du service et des utilisateurs). 3.5. Communications transactionnelles • Envoi d'emails de création de compte • Réinitialisation de mot de passe • Notifications importantes relatives au service • Envoi de factures Base légale : exécution du contrat. Nous ne procédons à aucune prospection commerciale par email.

Vos données personnelles sont destinées aux catégories de destinataires suivantes : 4.1. Personnel autorisé Les données sont accessibles uniquement au personnel habilité de DEUX MENHIRS dans le cadre de leurs fonctions (support technique, administration, facturation). 4.2. Prestataires de services (sous-traitants) Hébergement et infrastructure technique : • Vercel (hébergement frontend) • Render (hébergement base de données) - Certifié ISO 27001 Services d'intelligence artificielle (traitement de données anonymisées uniquement) : • API Claude (Anthropic) • API OpenAI • API Speechmatics • API Deepgram Paiement : • Stripe (traitement sécurisé des paiements) Emails transactionnels : • Brevo (envoi d'emails de création de compte et réinitialisation de mot de passe) Tous ces prestataires sont sélectionnés avec soin et s'engagent à respecter la confidentialité et la sécurité de vos données conformément au RGPD. 4.3. Autorités légales Vos données peuvent être communiquées aux autorités compétentes sur réquisition judiciaire ou administrative, dans le cadre de nos obligations légales.

5.1. Principe d'hébergement dans l'UE Vos données personnelles sont principalement hébergées sur des serveurs situés dans l'Union Européenne. 5.2. Transferts via les prestataires tiers Des transferts de données hors de l'Union Européenne peuvent avoir lieu via nos prestataires de services (API d'intelligence artificielle, services de paiement, emails transactionnels) selon leurs politiques respectives. Ces transferts sont encadrés par des garanties appropriées conformément au RGPD : • Clauses contractuelles types approuvées par la Commission européenne • Décisions d'adéquation de la Commission européenne • Certifications et mécanismes de conformité des prestataires 5.3. Données médicales anonymisées Les données médicales transmises aux API d'intelligence artificielle sont préalablement anonymisées et ne permettent donc pas l'identification des patients ou des utilisateurs.

Vos données personnelles sont conservées pour des durées différentes selon leur nature et leur finalité : 6.1. Données de compte Les données de votre compte (nom, prénom, email, établissement, spécialité) sont conservées pendant toute la durée de votre abonnement et sont supprimées immédiatement après la résiliation de votre compte. 6.2. Données de facturation Les données de facturation (factures, historique de paiement) sont conservées pendant 10 ans à compter de la clôture de l'exercice comptable, conformément aux obligations légales comptables et fiscales. 6.3. Logs de connexion et de sécurité Les logs de connexion et d'activité sont conservés pendant 12 mois à des fins de sécurité et de détection des fraudes. 6.4. Cookies Les cookies de session sont conservés pendant 24 heures maximum. 6.5. Données médicales Les données médicales saisies pour la génération de comptes-rendus ne sont pas conservées par l'Éditeur car elles sont traitées de manière totalement anonyme. 6.6. Contenu utilisateur Les modèles personnalisés et templates créés par l'utilisateur sont conservés sans limitation de durée tant que le compte reste actif. Ils sont supprimés immédiatement après la résiliation du compte.

Nous mettons en œuvre toutes les mesures techniques et organisationnelles appropriées pour garantir la sécurité et la confidentialité de vos données personnelles. 7.1. Mesures techniques • Chiffrement HTTPS/TLS pour toutes les transmissions de données • Cryptage des données au repos en base de données (algorithme AES-256-CBC avec vecteur d'initialisation aléatoire unique) • Hachage sécurisé des mots de passe (bcrypt) • Hébergement chez un prestataire certifié ISO 27001 (Render) • Surveillance et journalisation des accès • Systèmes de détection et de prévention des intrusions 7.2. Mesures organisationnelles • Accès aux données strictement limité au personnel habilité • Politique de mots de passe robuste • Sensibilisation du personnel à la protection des données • Procédures de gestion des incidents de sécurité 7.3. Notification de violation de données En cas de violation de données personnelles susceptible d'engendrer un risque élevé pour vos droits et libertés, nous vous notifierons dans un délai de 72 heures suivant la découverte de la violation, conformément aux exigences du RGPD.

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants concernant vos données personnelles : 8.1. Droit d'accès Vous avez le droit d'obtenir la confirmation que des données vous concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, d'accéder à ces données ainsi qu'aux informations concernant leur traitement. 8.2. Droit de rectification Vous avez le droit d'obtenir la rectification de vos données personnelles lorsqu'elles sont inexactes ou incomplètes. Vous pouvez également modifier directement vos informations depuis votre espace personnel. 8.3. Droit à l'effacement (droit à l'oubli) Vous avez le droit d'obtenir l'effacement de vos données personnelles dans les cas prévus par le RGPD. Vous pouvez supprimer votre compte à tout moment depuis votre interface utilisateur, ce qui entraînera la suppression immédiate de vos données personnelles, à l'exception des données de facturation conservées pour obligations légales. 8.4. Droit à la limitation du traitement Vous avez le droit d'obtenir la limitation du traitement de vos données dans certaines circonstances définies par le RGPD. 8.5. Droit à la portabilité Vous avez le droit de recevoir vos données personnelles dans un format structuré, couramment utilisé et lisible par machine (JSON) et de les transmettre à un autre responsable de traitement. 8.6. Droit d'opposition Vous avez le droit de vous opposer au traitement de vos données personnelles pour des raisons tenant à votre situation particulière, lorsque le traitement est fondé sur l'intérêt légitime. 8.7. Droit de retirer votre consentement Lorsque le traitement est fondé sur votre consentement, vous avez le droit de le retirer à tout moment, sans que cela ne remette en cause la licéité du traitement effectué avant le retrait. 8.8. Droit de définir des directives post-mortem Vous avez le droit de définir des directives relatives à la conservation, à l'effacement et à la communication de vos données personnelles après votre décès. 8.9. Exercice de vos droits Pour exercer vos droits, vous pouvez : • Accéder à votre espace personnel pour modifier vos informations ou supprimer votre compte • Nous contacter par email à l'adresse : dpo@iodin.app Nous nous engageons à répondre à votre demande dans un délai d'un mois à compter de sa réception. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes. 8.10. Droit de réclamation Si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD, vous disposez du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : www.cnil.fr

9.1. Définition Un cookie est un petit fichier texte déposé sur votre terminal (ordinateur, tablette, smartphone) lors de la visite d'un site web. 9.2. Cookies utilisés Nous utilisons les catégories de cookies suivantes : • Cookies de session : permettent de maintenir votre connexion active pendant votre navigation (durée : 24 heures maximum) • Cookies de sécurité : protègent votre compte contre les accès non autorisés et les attaques CSRF Ces cookies sont indispensables au fonctionnement du service et ne nécessitent pas votre consentement préalable conformément aux recommandations de la CNIL. 9.3. Cookies de mesure d'audience (soumis à consentement) Avec votre consentement préalable, recueilli via le bandeau cookies, nous utilisons l'outil de mesure d'audience PostHog, hébergé exclusivement dans l'Union Européenne (PostHog EU). Données collectées : identifiant utilisateur technique pseudonymisé, pages consultées, actions d'usage du service (ex. génération d'un compte-rendu), type de navigateur et d'appareil. Aucun nom, aucune adresse email, aucune adresse IP conservée et aucune donnée de santé ne sont collectés via cet outil. Finalité : comprendre l'utilisation du service afin de l'améliorer. Base légale : votre consentement (article 6.1.a du RGPD). Durée de conservation : les cookies et traceurs de mesure d'audience sont conservés 13 mois maximum, conformément aux recommandations de la CNIL ; les données statistiques associées sont conservées 25 mois maximum. Retrait du consentement : vous pouvez retirer votre consentement à tout moment, sans que cela n'affecte l'accès au service, en nous contactant à dpo@iodin.app ou en supprimant les cookies de votre navigateur. Le refus de la mesure d'audience est aussi simple que son acceptation (bouton « Essentiels uniquement » du bandeau). Nous n'utilisons pas : • De cookies publicitaires ou marketing • De cookies de réseaux sociaux • De revente ou partage de ces données avec des tiers à des fins commerciales 9.4. Sous-traitant de mesure d'audience La mesure d'audience est opérée par PostHog Inc. via son infrastructure européenne (données hébergées dans l'Union Européenne), agissant en qualité de sous-traitant au sens du RGPD, dans le cadre d'un accord de traitement des données (DPA). Les données sont pseudonymisées et ne font l'objet d'aucun transfert hors Union Européenne. 9.5. Gestion des cookies Vous pouvez à tout moment paramétrer votre navigateur pour refuser les cookies. Toutefois, la désactivation des cookies strictement nécessaires empêchera l'utilisation normale du service.

10.1. Principe d'anonymisation totale Toutes les données médicales saisies dans le logiciel iOdin pour la génération de comptes-rendus sont traitées de manière totalement anonyme. Aucune donnée de santé à caractère personnel identifiable n'est conservée par l'Éditeur. 10.2. Processus d'anonymisation Les données sont anonymisées avant tout traitement et avant toute transmission aux API d'intelligence artificielle. Le processus d'anonymisation supprime ou masque tous les éléments permettant l'identification directe ou indirecte des patients (nom, prénom, date de naissance, numéro de sécurité sociale, etc.). 10.3. Absence d'hébergement de données de santé Du fait de l'anonymisation totale des données médicales, le logiciel iOdin n'est pas considéré comme hébergeant des données de santé à caractère personnel et n'est donc pas soumis à la certification HDS (Hébergeur de Données de Santé). 10.4. Responsabilité de l'utilisateur L'utilisateur demeure seul responsable du respect du secret médical et de la confidentialité des données patients dans le cadre de son activité professionnelle. Il appartient à l'utilisateur de s'assurer que les comptes-rendus exportés sont manipulés et conservés dans le respect des obligations légales et déontologiques qui lui incombent.

Nous n'effectuons aucun profilage de nos utilisateurs et aucune décision automatisée produisant des effets juridiques ou affectant de manière significative nos utilisateurs n'est prise sur la base de leurs données personnelles.

Nous nous réservons le droit de modifier la présente Politique de Confidentialité à tout moment pour refléter les évolutions du service, de la législation ou de nos pratiques en matière de protection des données. En cas de modification substantielle, nous vous informerons par email ou par notification sur le site au moins 30 jours avant l'entrée en vigueur des changements. Nous vous invitons à consulter régulièrement cette page pour prendre connaissance des éventuelles modifications. La date de dernière mise à jour est indiquée en bas de ce document.

Pour toute question relative à la présente Politique de Confidentialité ou à la protection de vos données personnelles, vous pouvez nous contacter : Par email : dpo@iodin.app Par courrier : DEUX MENHIRS - 18 rue Jules Simon, 35000 Rennes, France