Chez Doclify, la protection de vos données personnelles et de celles de vos patients est notre priorité absolue. Cette politique de confidentialité détaille comment nous collectons, utilisons, stockons et protégeons vos informations conformément au Règlement Général sur la Protection des Données (RGPD) et à la législation française.

1. Responsable du traitement

Doclify SAS

SIRET : 94480765000014

Adresse : Rue Chaptal, 92300 Levallois-Perret, France

Email : contact@doclify.cloud

Téléphone : 01 59 13 36 78

Data Protection Officer (DPO) :

Email : dpo@doclify.cloud

2. Données collectées

2.1 Données des professionnels de santé (utilisateurs)

Informations d'identification : nom, prénom, email professionnel, numéro de téléphone
Informations professionnelles : spécialité médicale, numéro RPPS, adresse du cabinet
Informations de connexion : adresse IP, journaux de connexion, type d'appareil
Informations de facturation : adresse de facturation, mode de paiement (traité par notre prestataire sécurisé)
Données d'utilisation : statistiques d'utilisation de la plateforme, nombre de consultations enregistrées

2.2 Données médicales (patients)

Enregistrements audio de consultations médicales (temporaires)
Transcriptions textuelles des consultations
Résumés générés par IA
Métadonnées : date, durée, mots-clés
Informations patient (si saisies) : nom, prénom, date de naissance (optionnel)

Important : Les données médicales sont des données sensibles au sens du RGPD (Art. 9). Nous appliquons les mesures de sécurité les plus strictes pour les protéger.

3. Base légale et finalités du traitement

Finalité	Base légale
Fourniture du service de transcription	Exécution du contrat
Traitement des données de santé	Consentement explicite du patient + obligation légale (secret médical)
Amélioration du service	Intérêt légitime (données anonymisées)
Support technique	Exécution du contrat
Conformité légale et réglementaire	Obligation légale

4. Hébergement et localisation des données

4.1 Hébergement 100% français

Toutes vos données sont hébergées exclusivement en France, sur des serveurs sécurisés situés dans des datacenters certifiés ISO 27001.

Datacenter principal : Île-de-France
Datacenter de secours : Auvergne-Rhône-Alpes
Aucun transfert de données médicales hors de l'Union Européenne
Certification HDS (Hébergeur de Données de Santé) en cours

4.2 Sous-traitants

Nous travaillons uniquement avec des sous-traitants conformes RGPD et situés en Europe :

Hébergement : OVH Cloud (France) - Certification HDS
Paiements : Stripe (Irlande) - Certifié PCI-DSS niveau 1
Emails transactionnels : Brevo (France) - Conforme RGPD

Garantie : Aucune donnée médicale n'est jamais transmise à nos sous-traitants. Seules les données strictement nécessaires au service (emails, paiements) leur sont communiquées.

4.3 Synchronisation d'agenda (optionnelle)

Doclify permet à chaque professionnel de santé de synchroniser ses rendez-vous avec son agenda personnel Google, afin de les consulter depuis son téléphone.

Cette fonction est désactivée par défaut.

Elle ne s'active que sur action explicite du professionnel, qui autorise lui-même l'accès depuis son compte Google. Doclify n'active jamais cette synchronisation à sa place, et le professionnel peut la révoquer à tout moment, depuis Doclify comme depuis les paramètres de son compte Google.

Données transmises à Google lorsque la fonction est active :

Prénom du patient et initiale de son nom (exemple : « RDV — Julien B. »)
Date, heure et durée du rendez-vous
Identité du professionnel de santé, comme organisateur

Données qui ne sont jamais transmises :

Nom de famille complet du patient
Motif de consultation
Transcription, compte rendu et notes cliniques
Enregistrement audio
Toute autre donnée médicale

La description de l'événement d'agenda est systématiquement laissée vide. Aucune donnée clinique ne quitte l'infrastructure française de Doclify.

Destinataire : Google LLC, dont les serveurs peuvent se situer hors de l'Union Européenne. Ce transfert est encadré par les clauses contractuelles types de la Commission européenne et par le Data Privacy Framework auquel Google adhère.

Base légale : le consentement du professionnel de santé, responsable de traitement pour sa patientèle, au titre de l'article 6.1.a du RGPD. Il lui appartient d'informer ses patients de cette synchronisation.

Si la fonction n'est pas activée, aucune donnée n'est transmise à Google.

5. Sécurité et chiffrement

5.1 Mesures de sécurité techniques

Chiffrement en transit : TLS 1.3 minimum pour toutes les communications
Chiffrement au repos : AES-256 pour les données stockées
Chiffrement mobile : XChaCha20-Poly1305 avant upload depuis l'application
Base de données : PostgreSQL avec Transparent Data Encryption (TDE)
Authentification : OAuth2/OIDC avec JWT, 2FA optionnel
Certificate pinning : Protection contre les attaques man-in-the-middle

5.2 Mesures organisationnelles

Accès aux données limité au strict nécessaire (principe du moindre privilège)
Authentification forte obligatoire pour tous les employés
Logs d'audit immutables pour toutes les actions sensibles
Analyses de sécurité trimestrielles par organisme tiers indépendant
Plan de continuité d'activité (PCA) et plan de reprise d'activité (PRA)
Formation annuelle de l'équipe aux bonnes pratiques de sécurité

5.3 Suppression automatique des audios

Les fichiers audio sont automatiquement et définitivement supprimés dans les 24 heures suivant la transcription réussie. Seules les transcriptions textuelles sont conservées.

6. Vos droits RGPD

Conformément au RGPD, vous disposez des droits suivants :

6.1 Droit d'accès (Art. 15)

Vous pouvez obtenir une copie de toutes vos données personnelles. Délai de réponse : 1 mois maximum.

6.2 Droit de rectification (Art. 16)

Vous pouvez corriger vos données inexactes ou incomplètes directement depuis votre interface Doclify.

6.3 Droit à l'effacement / Droit à l'oubli (Art. 17)

Vous pouvez demander la suppression complète de vos données. Nous procédons à la suppression sous 30 jours.

6.4 Droit à la limitation du traitement (Art. 18)

Vous pouvez demander la limitation du traitement de vos données dans certains cas.

6.5 Droit à la portabilité (Art. 20)

Vous pouvez récupérer vos données dans un format structuré (JSON, CSV, PDF) et les transférer à un autre prestataire.

6.6 Droit d'opposition (Art. 21)

Vous pouvez vous opposer au traitement de vos données à des fins de marketing ou d'analyse (données anonymisées).

6.7 Droit de retirer votre consentement

Vous pouvez retirer votre consentement à tout moment, sans affecter la licéité du traitement antérieur.

Comment exercer vos droits ?

Pour exercer l'un de ces droits, contactez notre DPO :

Email : dpo@doclify.cloud
Courrier : Doclify SAS - DPO, Rue Chaptal, 92300 Levallois-Perret

Joignez une copie de votre pièce d'identité pour vérification.

Droit de réclamation

Vous avez le droit d'introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) :

CNIL - 3 Place de Fontenoy, 75007 Paris
Téléphone : +33 1 53 73 22 22
Site web : www.cnil.fr

7. Durée de conservation des données

Type de données	Durée de conservation
Fichiers audio	24 heures maximum après traitement
Transcriptions et résumés	365 jours par défaut (paramétrable)
Données de compte utilisateur	Durée de l'abonnement + 30 jours
Données de facturation	10 ans (obligation légale)
Logs d'audit	3 ans (sécurité et conformité)

Au-delà de ces durées, les données sont automatiquement et définitivement supprimées de nos systèmes, y compris des sauvegardes.

8. Cookies et technologies similaires

8.1 Cookies essentiels (obligatoires)

Nécessaires au fonctionnement du site et de l'application :

Session d'authentification (JWT)
Préférences de langue
Sécurité (CSRF protection)

8.2 Cookies analytiques (optionnels)

Avec votre consentement, pour améliorer le service :

Statistiques d'utilisation anonymisées (outil auto-hébergé, pas Google Analytics)
Durée : 13 mois maximum

Vous pouvez gérer vos préférences de cookies à tout moment depuis les paramètres de votre compte.

9. Transferts de données hors UE

Aucune donnée médicale ne quitte l'Union Européenne.

L'hébergement, le traitement par intelligence artificielle, le stockage et les sauvegardes sont intégralement réalisés sur le territoire français. Les enregistrements audio, transcriptions, comptes rendus et données cliniques ne sont jamais transmis à un prestataire situé hors de l'Union Européenne.

Une seule exception, à l'initiative du professionnel de santé : s'il active la synchronisation d'agenda décrite en section 4.3, les seuls prénom, initiale du nom du patient et horaire du rendez-vous sont transmis à Google LLC. Cette fonction est désactivée par défaut et révocable à tout moment.

Hors cette synchronisation optionnelle, nous ne faisons appel à aucun service cloud américain (AWS, Google Cloud, Azure) ou chinois.

10. Notifications de violation de données

En cas de violation de données personnelles susceptible de présenter un risque pour vos droits et libertés, nous nous engageons à :

Notifier la CNIL dans les 72 heures suivant la découverte de la violation
Vous informer directement si la violation présente un risque élevé
Documenter tous les incidents dans notre registre des violations
Prendre immédiatement des mesures correctives

11. Modifications de la politique

Nous pouvons mettre à jour cette politique de confidentialité pour refléter les évolutions de nos pratiques ou de la législation.

En cas de modification substantielle, nous vous en informerons par email au moins 30 jours avant l'entrée en vigueur des changements.

Date de dernière mise à jour : 05 décembre 2025

12. Contact

Pour toute question concernant cette politique de confidentialité ou le traitement de vos données :

Data Protection Officer (DPO)