# POLITIQUE DE CONFIDENTIALITÉ — COTELIA
**Version 1.0 — Entrée en vigueur le 22/04/2026**
## 1. Introduction
La présente Politique de confidentialité décrit comment Dyneoz LLC (ci-après « l'Éditeur » ou « nous ») collecte, utilise et protège les données personnelles dans le cadre du service Cotelia (ci-après « le Service »).
Cotelia est un logiciel destiné aux infirmiers libéraux français pour la cotation des actes NGAP, la gestion des ordonnances et la facturation.
## 2. Responsable et sous-traitance
Dans le cadre du RGPD :
- **L'Utilisateur (IDEL ou cabinet d'IDEL)** est **Responsable de traitement** pour les données de ses patients.
- **L'Éditeur** agit comme **Sous-traitant** conformément à l'accord détaillé dans le DPA (https://cotelia.app/dpa).
- Pour les données de l'Utilisateur lui-même (compte, facturation, utilisation du Service), l'Éditeur est Responsable de traitement.
### Coordonnées
- Responsable : Sofiane Mounib
- Email : communication@cotelia.app
- Adresse : 704 Wallace St
Suite 565
Clovis, NM 88101
Un Délégué à la Protection des Données (DPO) est DÉSIGNÉ : Sofiane Mounib.
## 3. Données collectées
### 3.1 Concernant l'Utilisateur (IDEL)
- Identité : nom, prénom, email, numéro RPPS
- Informations professionnelles : forme d'exercice, zone IK, numéro ADELI
- Informations de paiement : traitées directement par Stripe (nous ne stockons pas de données bancaires)
- Logs techniques : adresse IP, navigateur, date/heure de connexion
- Historique d'utilisation : cotations réalisées, patients créés, statistiques d'usage
### 3.2 Concernant les patients de l'Utilisateur
Ces données sont saisies par l'Utilisateur dans l'exercice de son activité :
- Identité : nom, prénom, date de naissance, sexe
- Numéro de sécurité sociale (NIR)
- Adresse, code d'accès au domicile
- Informations médicales : pathologies, flags médicaux (diabète, oncologie, soins palliatifs)
- Couverture sociale et ALD
- Ordonnances scannées (images)
- Historique des soins et facturation
## 4. Finalités du traitement
Les données sont traitées pour :
| Finalité | Base légale |
|---|---|
| Fourniture du service de cotation et de facturation | Exécution d'un contrat |
| Gestion du compte Utilisateur | Exécution d'un contrat |
| Facturation de l'abonnement | Exécution d'un contrat |
| Amélioration du Service et correction de bugs | Intérêt légitime |
| Réponse aux demandes de support | Exécution d'un contrat |
| Respect des obligations légales (archivage, comptabilité) | Obligation légale |
| Communication sur des évolutions du Service | Intérêt légitime |
**Les données des patients sont traitées uniquement pour permettre à l'Utilisateur d'exécuter son activité professionnelle.** Elles ne sont pas utilisées à d'autres fins (pas de prospection, pas d'analyse à des fins commerciales).
## 5. Sous-traitants et transferts de données
Pour fournir le Service, nous recourons aux sous-traitants techniques suivants :
| Sous-traitant | Rôle | Localisation | Garanties |
|---|---|---|---|
| **Clerk** | Authentification et gestion des sessions | États-Unis | Clauses Contractuelles Types UE, SOC 2 |
| **Neon** (PostgreSQL) | Base de données | Union européenne (Francfort) | DPA signé, chiffrement au repos, ISO 27001 |
| **UploadThing** | Stockage des images d'ordonnances | États-Unis | Clauses Contractuelles Types UE |
| **Anthropic** (Claude) | Analyse OCR des ordonnances | États-Unis | Clauses Contractuelles Types UE, pas de stockage au-delà du traitement, pas d'utilisation pour entraîner les modèles |
| **Mistral AI** | Reconnaissance optique | France | DPA signé, hébergement UE |
| **Google** (Gemini) | Reconnaissance optique (fallback) | États-Unis | Clauses Contractuelles Types UE |
| **Resend** | Envoi d'emails transactionnels | États-Unis | Clauses Contractuelles Types UE |
| **Stripe** | Traitement des paiements | États-Unis / Irlande | PCI-DSS, Clauses Contractuelles Types UE |
| **Hostinger** | Hébergement de l'application
**Transfert hors UE.** Certains sous-traitants étant situés aux États-Unis, les transferts de données sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne, complétées le cas échéant par des mesures techniques supplémentaires (chiffrement, anonymisation).
**Phase bêta et HDS.** Pendant la phase bêta, l'hébergement n'est pas certifié HDS au sens de l'article L.1111-8 du Code de la santé publique. L'Éditeur travaille activement à la migration vers un hébergeur certifié HDS. L'Utilisateur en est informé lors de l'inscription et en accepte expressément les conséquences. L'avancée est publiée sur <<<URL_APP>>>/beta-status.
## 6. Durée de conservation
| Type de donnée | Durée |
|---|---|
| Compte Utilisateur actif | Durée du contrat |
| Compte Utilisateur résilié | 30 jours après résiliation puis suppression |
| Données de facturation de l'abonnement | 10 ans (obligations comptables) |
| Données patients et ordonnances | 10 ans après la fin de la prise en charge (article R.1112-7 CSP) |
| Logs techniques | 12 mois |
| Emails de support | 3 ans après résolution |
## 7. Droits des personnes concernées
Conformément au RGPD, toute personne dispose des droits suivants :
- Droit d'accès à ses données
- Droit de rectification
- Droit à l'effacement (« droit à l'oubli »)
- Droit à la limitation du traitement
- Droit à la portabilité
- Droit d'opposition
- Droit de retirer son consentement
- Droit de définir des directives post-mortem
### Exercice des droits
**Pour l'Utilisateur** : via les paramètres de compte ou en écrivant à communication@cotelia.app.
**Pour un patient** : la demande doit être adressée à l'Utilisateur (IDEL), qui est son interlocuteur en tant que Responsable de traitement. L'Éditeur apporte son concours technique à l'IDEL dans un délai raisonnable.
### Réclamation CNIL
Toute personne estimant que ses droits ne sont pas respectés peut introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), www.cnil.fr.
## 8. Sécurité
L'Éditeur met en œuvre les mesures techniques et organisationnelles suivantes :
- Chiffrement TLS 1.2+ pour toutes les communications
- Chiffrement au repos des bases de données
- Authentification forte via Clerk
- Audit de sécurité régulier
- Tests automatisés (plus de 849 tests à la date de publication)
- Sauvegardes automatiques quotidiennes
- Journal d'audit des opérations sensibles
- Limitation des accès selon le principe du moindre privilège
**Notification de violation.** En cas de violation de données susceptible de créer un risque pour les personnes concernées, l'Éditeur notifiera la CNIL dans les 72 heures et informera les personnes concernées dans les meilleurs délais.
## 9. Cookies
Le Service utilise uniquement des cookies techniques nécessaires à son fonctionnement :
- Cookies de session (authentification Clerk)
- Cookies de préférences (affichage, choix d'onglets)
**Aucun cookie de traçage publicitaire, aucun cookie de profilage.** L'ajout d'un outil de mesure d'audience (Matomo ou équivalent, en hébergement autonome) est prévu dans une prochaine version, avec configuration respectueuse du RGPD (anonymisation IP, pas de cookies de suivi, ou consentement préalable si nécessaire).
## 10. Modifications
Cette Politique peut être mise à jour pour refléter les évolutions légales ou techniques. Les modifications substantielles sont notifiées aux Utilisateurs par email et/ou notification dans le Service, au moins 30 jours avant leur entrée en vigueur.
## 11. Contact
Pour toute question : communication@cotelia.app