Vos données de santé, entre de bonnes mains.

Deux acteurs se partagent les responsabilités selon la nature des données :

• Le praticien qui vous envoie le questionnaire est responsable du traitement au sens de l'article 4-7 du RGPD, pour les données de santé collectées à travers vos réponses. Son identité vous est indiquée avant chaque questionnaire.
• Questiomed, édité par [À COMPLÉTER], agit en qualité de sous-traitant au sens de l'article 28 du RGPD. Il fournit la plateforme technique permettant au praticien d'exercer son activité, sans utiliser vos données pour son propre compte.

Pour toute question, vous pouvez contacter le DPO de Questiomed :dpo@questiomed.fr.

• Données d'identité (patient) — nom, prénom, date de naissance (renseignés par le praticien pour rattacher les réponses à votre dossier), email (facultatif, uniquement pour l'envoi du questionnaire).
• Données de santé — les réponses saisies volontairement, ainsi que les scores et interprétations calculés automatiquement à partir de ces réponses.
• Données de connexion / usage (praticien) — email, mot de passe haché, horodatage des accès, adresse IP de connexion, journal d'audit.
• Données de facturation (praticien) — raison sociale, adresse, historique de facturation. Les données bancaires ne sont ni collectées ni conservées par Questiomed : elles transitent par Stripe.
• Métadonnées techniques — date et heure de complétion, méthode d'envoi (email / lien / QR / consultation).

Aucune donnée patient n'est enrichie par des sources externes ou revendue à un tiers.

• Aide au diagnostic et au suivi médical par le praticien.
• Comparaison longitudinale de vos scores pour un même questionnaire dans le temps.
• Préparation et compte-rendu de consultation.
• Gestion du compte, facturation et support technique (praticien).
• Sécurité du Service : détection des tentatives de fraude et respect des obligations légales.
• Statistiques anonymisées à visée de recherche clinique, uniquement à l'initiative du praticien et sans que vous soyez identifiable.

• Art. 6-1-a et 9-2-a RGPD — votre consentement explicite, recueilli avant chaque questionnaire.
• Art. 9-2-h RGPD — traitement nécessaire à la médecine préventive, au diagnostic et à la prise en charge sanitaire.
• Art. 6-1-b RGPD — exécution du contrat pour les données praticien.
• Art. 6-1-c RGPD — obligation légale de conservation comptable / dossier médical.

Questiomed fait appel à des sous-traitants sélectionnés pour leurs garanties de sécurité et de conformité RGPD :

Aucun sous-traitant n'a accès aux données patients à des fins commerciales. Tous sont liés à Questiomed par un contrat conforme à l'article 28 du RGPD.

• Réponses aux questionnaires : conservées jusqu'à 20 ans à compter du dernier acte médical conformément à l'article R. 1112-7 du Code de la santé publique.
• Compte praticien : durée de l'abonnement, plus 3 ans après la dernière connexion, sauf demande de suppression anticipée.
• Factures : 10 ans (obligation comptable — Art. L. 123-22 du Code de commerce).
• Journal d'audit : 12 mois (recommandation CNIL — délibération 2018-303).
• Cookies : 13 mois maximum (session httpOnly renouvelée).

Les données sont hébergées en France chez un tiers certifié HDS. Aucun transfert de données de santé n'est réalisé hors Union européenne. Les rares sous-traitants dont la maison mère est située aux États-Unis (par exemple Anthropic pour la fonction d'analyse IA de documents Premium) opèrent sous clauses contractuelles types (Art. 46 RGPD) et ne reçoivent que des données strictement nécessaires, temporairement.

• Chiffrement en transit (HTTPS/TLS 1.2+).
• Chiffrement au repos des données de santé.
• Cookies de session HttpOnly Secure SameSite — jamais accessibles à JavaScript.
• Mots de passe praticiens hachés avec bcrypt + verrouillage anti-force brute (5 tentatives, verrouillage 15 min).
• Journal d'audit systématique des accès aux données patients.
• Sauvegardes chiffrées quotidiennes, avec plan de reprise d'activité testé.
• Revue de sécurité continue et procédure de notification d'incident conforme à l'article 33 du RGPD.

Questiomed utilise uniquement des cookies dits « strictement nécessaires » à l'authentification et au bon fonctionnement du Service. Ils ne nécessitent pas de consentement préalable (Art. 82 loi Informatique et Libertés).

• access_token / session_token — session d'authentification praticien (30 jours max, HttpOnly).

Aucun cookie publicitaire, analytique ou de mesure d'audience tiers n'est déposé.

Conformément aux articles 15 à 22 du RGPD, vous disposez :

• d'un droit d'accès à vos données ;
• d'un droit de rectification ;
• d'un droit d'effacement (« droit à l'oubli ») ;
• d'un droit de limitation du traitement ;
• d'un droit à la portabilité de vos données ;
• d'un droit d'opposition pour motif légitime ;
• d'un droit de retirer votre consentement à tout moment, sans que cela ne remette en cause la licéité du traitement antérieur ;
• d'un droit de définir des directives post-mortem quant au devenir de vos données.

Pour exercer ces droits, contactez en premier lieu votre praticien : il dispose dans son interface d'outils dédiés d'anonymisation et de suppression. À défaut de réponse, adressez votre demande au DPO :dpo@questiomed.fr, accompagnée d'un justificatif d'identité. Un délai maximal d'un (1) mois s'applique pour la réponse.

En cas de désaccord persistant, vous pouvez saisir la Commission Nationale de l'Informatique et des Libertés (CNIL) :

3 place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07
Téléphone : 01 53 73 22 22
Web : cnil.fr

Toute évolution substantielle de la présente politique sera notifiée aux utilisateurs au moins trente (30) jours à l'avance par email et via l'application. La date de dernière mise à jour figure au bas de cette page.