La présente politique décrit comment l'application MyOsteo collecte, utilise, protège et conserve les données personnelles, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi n°78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »). MyOsteo traitant des données de santé, elle applique également le référentiel d'Hébergement de Données de Santé (HDS) et les dispositions du Code de la santé publique.
L'application MyOsteo est éditée par :
| Éditeur | NEGO-DATA — entreprise individuelle |
|---|---|
| Représentant | Gautier Marchal |
| Adresse | 6 square Gauguin, 92500 Rueil-Malmaison, France |
| SIRET | 978 011 526 00016 |
| Contact (protection des données) | service-clients@myosteo-app.fr |
| Délégué à la protection des données (DPO) | Non désigné — désignation non obligatoire au sens de l'article 37 RGPD pour une entreprise individuelle de cette taille. Toute question relative à la protection des données peut être adressée à service-clients@myosteo-app.fr. |
MyOsteo est une application réservée aux praticiens ostéopathes. Les patients n'ont pas d'accès direct à l'application : leurs données sont saisies et gérées par leur ostéopathe dans le cadre du suivi de soins.
Au sens du RGPD, MyOsteo intervient à deux titres distincts :
| Finalité | Base légale (RGPD) |
|---|---|
| Création et gestion du compte praticien, authentification sécurisée | Art. 6(1)(b) — exécution du contrat de service |
| Envoi d'emails techniques (code de vérification, réinitialisation de mot de passe) | Art. 6(1)(b) et Art. 6(1)(f) — intérêt légitime (sécurité du compte) |
| Journalisation des accès et piste d'audit | Art. 6(1)(c) — obligation légale (référentiel HDS, art. 32 RGPD) |
| Gestion des dossiers patients et des consultations | Art. 9(2)(h) — soins de santé, combiné à l'art. R. 1112-7 CSP (tenue du dossier) |
| Assistance clinique par intelligence artificielle (recommandations) | Art. 9(2)(a) — consentement explicite du patient, recueilli par le praticien |
MyOsteo propose au praticien une aide à la formulation de recommandations cliniques via le service Mistral AI (société française, Paris — traitement réalisé sur des serveurs situés dans l'Union européenne). Avant toute transmission, les données sont pseudonymisées : les nom, prénom, date de naissance, email et téléphone du patient ne sont jamais transmis. Seules les informations cliniques strictement nécessaires (symptômes, zones anatomiques, niveau de douleur, antécédents pertinents, âge calculé) sont utilisées. Les données transmises via l'API ne sont pas réutilisées pour l'entraînement des modèles.
Les données ne sont jamais vendues ni utilisées à des fins publicitaires. Par défaut, le dossier d'un patient n'est accessible qu'au praticien qui en est le référent ; chaque praticien est isolé des autres, sauf partage explicite décrit au point 6.2. Les données peuvent par ailleurs être traitées, dans la stricte mesure nécessaire au fonctionnement du service, par les sous-traitants listés au point 6.1.
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| OVHcloud SAS | Hébergement de l'infrastructure, de la base de données et des fichiers (hébergeur de données de santé) | Roubaix, France (UE) |
| Mistral AI SAS | Service d'intelligence artificielle (recommandations cliniques sur données pseudonymisées) | Paris, France (UE) |
| Brevo SAS | Acheminement des emails techniques (sans aucune donnée de santé) | Paris, France (UE) |
MyOsteo permet à plusieurs praticiens d'exercer au sein d'un même cabinet et, dans ce cadre, de partager l'accès à un dossier patient afin d'assurer la continuité des soins (remplacement, suivi conjoint, prise en charge en l'absence du référent). Ce partage est strictement encadré :
En dehors d'un tel partage explicite, aucun praticien ne peut accéder au dossier d'un patient dont il n'est pas le référent.
Les données de santé sont hébergées en France, dans l'Union européenne, par un hébergeur certifié Hébergeur de Données de Santé (HDS) conformément à l'article L.1111-8 du Code de la santé publique.
Aucun transfert de données hors de l'Union européenne n'est réalisé. L'ensemble des sous-traitants traite les données sur des serveurs situés dans l'UE (France).
| Donnée | Durée de conservation |
|---|---|
| Dossiers patients et données de santé (antécédents, consultations, documents) | 20 ans à compter de la dernière consultation (art. R. 1112-7 CSP) |
| Compte praticien | Durée du contrat, puis 3 ans après résiliation (prescription triennale) |
| Codes de vérification à usage unique | Expiration après 15 minutes, jamais conservés en clair |
| Journaux de sécurité (audit) | 1 an glissant |
Conformément au RGPD, toute personne dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de ses données.
Délai de réponse : un mois maximum. En cas de difficulté, toute personne peut introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) : www.cnil.fr.
L'application mobile MyOsteo n'utilise aucun cookie publicitaire ni traceur à des fins de mesure d'audience ou de marketing. Seuls des éléments de stockage strictement nécessaires au fonctionnement (jeton de session sécurisé) sont utilisés.
En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, NEGO-DATA notifie la CNIL dans les 72 heures (art. 33 RGPD) et informe, le cas échéant, les praticiens concernés afin qu'ils puissent en informer leurs patients.
La présente politique peut être mise à jour pour refléter une évolution légale, technique ou fonctionnelle. La date de dernière mise à jour figure en tête de page. En cas de modification substantielle, les praticiens utilisateurs en sont informés.
Pour toute question relative à la présente politique ou à vos données personnelles : service-clients@myosteo-app.fr — NEGO-DATA, 6 square Gauguin, 92500 Rueil-Malmaison, France.