Politique de confidentialité

La présente politique de confidentialité est établie conformément au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »), ainsi qu'aux exigences d'Apple relatives à la protection des données des utilisateurs (App Store Review Guidelines, art. 5.1).

Statut transitoire — à la date de rédaction, la société Feelao n'est pas encore immatriculée. La présente politique est publiée par Tristan Gauthier, Timothé Poilleux et Baptiste Guérif, agissant pour le compte de la société Feelao en cours de formation, selon la même logique transitoire que celle retenue pour les CGU et les mentions légales (reprise des actes à l'immatriculation, art. L. 210-6 du Code de commerce).

Nous utilisons vos données pour les finalités suivantes, et pour celles-ci uniquement :

• Fournir et faire fonctionner la Plateforme : création et gestion de votre compte, gestion du planning, prescription et consultation des contenus thérapeutiques.
• Assurer la sécurité de la Plateforme et la traçabilité des actions effectuées (journal d'audit).
• Vous adresser les communications nécessaires au fonctionnement du service : e-mail d'activation de compte, e-mail de réinitialisation de mot de passe.
• Répondre à vos demandes de contact ou de démonstration.
• Respecter nos obligations légales et réglementaires.

Conformément à l'article 22 et à l'article 13.2.f du RGPD, nous devons vous informer de l'existence éventuelle d'une décision individuelle automatisée, y compris de profilage, produisant des effets à votre égard.

• À ce jour, Feelao ne met en œuvre aucune décision individuelle automatisée ni aucun profilage. Toutes les décisions concernant votre suivi thérapeutique — choix des exercices, interprétation de votre progression — relèvent exclusivement de votre praticien.
• Évolution envisagée : notre feuille de route produit prévoit, dans une phase ultérieure, des fonctionnalités d'assistance par intelligence artificielle (par exemple des suggestions d'exercices soumises au praticien). Conformément au positionnement de la Plateforme comme outil de coordination — et non comme dispositif médical au sens du règlement MDR 2017/745 (voir Article 14) — toute suggestion générée par un système automatisé sera systématiquement soumise à la validation explicite de votre praticien avant toute transmission au patient : le praticien reste seul décisionnaire à chaque étape, et aucune suggestion ne vous sera adressée sans validation humaine préalable.
• Si cette fonctionnalité était mise en œuvre, la présente politique serait mise à jour avant son déploiement pour vous informer des données utilisées, de la logique générale du traitement et des conséquences pour vous, conformément à l'article 13.2.f du RGPD.

• Praticien : l'exécution du contrat vous liant à Feelao (CGU, puis CGV une fois le modèle tarifaire arrêté).
• Patient — identité et coordonnées (nom, prénom, e-mail) : l'exécution du contrat, dès l'ouverture du compte par votre praticien. Ces données ne comprennent aucune donnée de santé (voir Article 3.3).
• Patient — données de santé : votre consentement explicite et spécifique (art. 9.2.a du RGPD), recueilli par une case à cocher non précochée, dédiée spécifiquement à la collecte de vos données de santé et distincte de l'acceptation des CGU, au moment où vous validez l'ouverture de votre compte. Vos données de santé ne sont saisies par votre praticien qu'après cette validation.

Vous pouvez refuser de donner ce consentement sans que cela n'affecte la poursuite de votre suivi avec votre praticien, qui peut continuer à vous accompagner par ses moyens habituels, en dehors de la Plateforme. Vous pouvez retirer ce consentement à tout moment, aussi simplement que vous l'avez donné, en nous contactant (voir Article 16).

• Sécurité et prévention de la fraude : notre intérêt légitime à assurer le bon fonctionnement et la sécurité de la Plateforme.
• Obligations légales : lorsque la loi nous impose de conserver ou de transmettre certaines données (obligations comptables, réquisition judiciaire, etc.).

Vos données d'identité et de contact sont nécessaires à l'ouverture de votre compte : sans elles, nous ne pouvons pas créer votre espace patient. S'agissant des données de santé, votre consentement conditionne l'accès aux contenus qui vous sont personnellement prescrits sur la Plateforme ; à défaut, votre praticien peut continuer à vous accompagner par les moyens habituels de sa pratique, en dehors de la Plateforme.

• Le personnel habilité de Feelao, dans le cadre précis de l'administration technique de la Plateforme, peut accéder aux données nécessaires à son bon fonctionnement et à son support. Chaque accès est tracé dans notre journal d'audit (audit_logs).
• Votre praticien, pour les données que vous lui transmettez ou qu'il vous prescrit dans le cadre du suivi thérapeutique.
• Nos hébergeurs et prestataires techniques :
  • Rezel, association loi 1901 de Télécom Paris, pour l'infrastructure générale d'hébergement (SIREN 402 647 101, siège au 19 Place Marguerite Perey, 91120 Palaiseau).
  • Firebase / Google Cloud France SARL (8 Rue de Londres, 75009 Paris — SIREN 881721583) pour la partie technique incluant les données patients.
  • Resend, pour l'envoi des e-mails transactionnels (activation de compte, réinitialisation de mot de passe) — traite votre nom et votre adresse e-mail.

Notre base de données (Firestore) est hébergée dans la région Google Cloud Paris (europe-west9). Le module d'authentification (Firebase Authentication) et Resend fonctionnent quant à eux sur l'infrastructure globale de leurs éditeurs respectifs, situés aux États-Unis — voir Article 8 pour le détail de ces transferts et de leur encadrement.

Aucune donnée de patient réel ne transite à ce jour sur cette infrastructure : la Plateforme est actuellement utilisée en mode test et démonstration, le temps de finaliser un hébergement conforme à la réglementation applicable à l'hébergement de données de santé (HDS, Code de la santé publique, art. L.1111-8).

En dehors des cas ci-dessus, nous ne partageons, ne vendons ni ne louons vos données à aucun autre tiers, en particulier à des fins publicitaires.

• Notre base de données patients (Firestore) est hébergée dans la région europe-west9 (Paris), auprès de Google Cloud France SARL : à ce stade, aucun transfert hors UE n'est identifié pour cette donnée.
• Firebase Authentication (comptes, mots de passe) fonctionne par défaut sur l'infrastructure globale de Google (États-Unis), sans option de régionalisation européenne à ce jour — contrairement à Firestore. Un transfert hors UE existe donc bien pour cette donnée.
• Ce transfert est encadré par les Data Processing and Security Terms de Google, qui s'appuient sur les clauses contractuelles types (SCC) de la Commission européenne et, le cas échéant, le cadre d'adéquation UE-États-Unis (Data Privacy Framework).
• Resend (envoi des e-mails transactionnels) stocke également ses données aux États-Unis : un transfert hors UE existe donc pour votre nom et votre adresse e-mail lors de l'envoi de ces e-mails, encadré par le contrat de sous-traitance (DPA) de Resend, qui intègre une clause contractuelle type (SCC).

Feelao n'a pas vocation à se substituer au praticien comme dépositaire de long terme du dossier patient : c'est à lui qu'il revient d'extraire, s'il le souhaite, les données de ses patients à l'issue d'un cycle de suivi, pour ses propres besoins de conservation.

• Décision retenue : les données d'un compte Patient sont conservées activement tant que le compte est actif, puis pendant 1 an après la clôture du compte ou la fin du cycle de consultation — délai jugé suffisant pour permettre au praticien d'extraire les données de ses patients. Passé ce délai, les données sont supprimées ou anonymisées, sous réserve des obligations légales de conservation qui s'imposeraient à nous.

Les données des autres profils sont conservées selon des durées différentes :

• Praticien : conservées pendant toute la durée de la relation contractuelle avec Feelao, puis supprimées ou anonymisées dans l'année suivant la clôture du compte, sous réserve des durées de conservation légales applicables aux documents comptables et contractuels (jusqu'à 10 ans pour certains documents commerciaux, art. L.123-22 du Code de commerce).
• Visiteur (formulaire de contact) : conservées 3 ans à compter du dernier contact si aucune relation contractuelle ne s'engage, conformément aux recommandations usuelles de la CNIL pour la gestion de la relation commerciale.

• Accès à la Plateforme protégé par authentification et contrôlé par rôle (Administrateur / Praticien / Patient).
• Suppression logique (soft delete) des rendez-vous, notes et contenus, permettant de préserver l'historique sans exposer de données obsolètes en usage courant.
• Journal d'audit des actions effectuées sur la Plateforme (utilisateur, action, ressource concernée, horodatage).
• En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à notifier la CNIL dans un délai de 72 heures et à vous en informer sans délai injustifié, conformément aux articles 33 et 34 du RGPD.

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès : obtenir la confirmation que vos données sont traitées et en obtenir une copie.
• Droit de rectification : faire corriger des données inexactes ou incomplètes.
• Droit à l'effacement : demander la suppression de vos données, dans les limites prévues par la loi.
• Droit à la limitation du traitement.
• Droit d'opposition, pour les traitements fondés sur notre intérêt légitime.
• Droit à la portabilité de vos données.
• Droit de retirer votre consentement à tout moment, lorsque le traitement en dépend, sans remettre en cause la licéité du traitement effectué avant ce retrait.

Pour exercer ces droits, contactez-nous à l'adresse contact@feelao.fr, ou depuis le formulaire de contact accessible sur notre site vitrine feelao.fr. Vous pouvez notamment y demander la suppression de vos données. Vous disposez également du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — www.cnil.fr.

À ce jour, la Plateforme n'utilise aucun outil d'analyse d'audience ni de publicité, et ne dépose donc aucun cookie ou traceur nécessitant votre consentement.

• La connexion à votre compte peut nécessiter le dépôt d'un cookie ou d'un mécanisme technique équivalent (par exemple un jeton de session), strictement nécessaire au fonctionnement du service. Qu'il soit ou non activé selon l'implémentation technique retenue, ce type de traceur est exempté de consentement.

Si cela évoluait, tout dépôt de traceur non strictement nécessaire au fonctionnement du site nécessiterait votre consentement préalable, recueilli via un bandeau dédié, conformément à l'article 82 de la loi Informatique et Libertés et aux recommandations de la CNIL.

La Plateforme n'est, à ce jour, pas ouverte aux patients de moins de 15 ans. Ce seuil correspond au régime RGPD générique de consentement numérique. Il est en conséquence interdit aux praticiens partenaires d'ouvrir un compte Patient au nom d'une personne de moins de 15 ans, ou de renseigner sur la Plateforme des données relatives à une telle personne. Cette interdiction figure dans les conditions auxquelles chaque praticien souscrit lors de son inscription. Si un compte venait néanmoins à être créé en violation de cette règle, il serait supprimé et les données associées effacées dès que Feelao en aurait connaissance ; toute personne peut nous signaler une telle situation (voir Article 16).

Feelao est un outil de coordination et de support administratif entre le praticien et son patient. La Plateforme ne prend aucune décision clinique, ne formule aucun diagnostic et ne se substitue pas au jugement du professionnel de santé, qui reste seul décisionnaire des soins. Ce positionnement vise à maintenir la Plateforme hors du champ des dispositifs médicaux au sens du règlement européen MDR 2017/745.

Nous pouvons être amenés à modifier la présente politique de confidentialité, notamment pour refléter une évolution de la Plateforme ou de la réglementation applicable. Toute modification substantielle vous sera notifiée par les moyens appropriés (e-mail ou notification sur la Plateforme).

Pour toute question relative à la présente politique de confidentialité ou au traitement de vos données, vous pouvez nous contacter à l'adresse contact@feelao.fr.

Feelao n'a pas désigné de délégué à la protection des données (DPO). Cette désignation n'est obligatoire, au titre de l'article 37 du RGPD, que pour les traitements à grande échelle de données sensibles ou de suivi systématique — un seuil qui n'est pas atteint au stade actuel de la Plateforme. Ce point sera réévalué à mesure de la croissance du nombre de praticiens et de patients actifs. En l'absence de DPO, toute question relative à vos données peut être adressée à l'adresse ci-dessus.