Politique de confidentialité et de protection des données personnelles pour les Professionnels de santé

CURA est une solution numérique éditée par REZO LABS, permettant aux professionnels de santé et aux établissements de gérer leurs agendas, leurs rendez-vous et les communications associées avec leurs patients.

La présente politique explique comment les données personnelles sont recueillies, utilisées, communiquées, protégées et conservées dans le cadre des services professionnels de CURA, notamment accessibles à l’adresse rezocura-pro.com.

Elle concerne :

Ces personnes sont désignées dans la présente politique par « vous » ou « les Utilisateurs professionnels ».

Les traitements relatifs aux services destinés aux patients sont présentés dans la Politique de confidentialité et de protection des données personnelles pour les Patients, accessible à l’adresse suivante : https://rezocura.com/privacy-policy.

La présente politique est distincte de l’accord relatif au traitement des données personnelles, qui encadre les opérations effectuées par REZO LABS pour le compte de ses clients professionnels.

Une donnée personnelle est une information concernant une personne physique identifiée ou identifiable, directement ou indirectement.

Il peut s’agir notamment de votre nom, de votre adresse électronique, de votre profession, de votre numéro d’inscription professionnelle ou de certaines données de connexion.

Un traitement désigne une opération ou un ensemble d’opérations portant sur des données personnelles : collecte, enregistrement, organisation, consultation, utilisation, communication, conservation, modification ou suppression.

Pour les traitements dont elle détermine les finalités et les moyens, notamment la gestion des inscriptions, les vérifications professionnelles, l’administration de sa relation avec les utilisateurs et la sécurité de ses services, le responsable du traitement est :

Certaines données concernant les Utilisateurs professionnels sont également traitées pour les besoins de leur Établissement, notamment pour administrer leurs habilitations ou organiser l’activité. Les responsabilités respectives de l’Établissement et de REZO LABS dépendent du traitement concerné.

Les traitements de données personnelles réalisés dans le cadre de CURA sont soumis à la réglementation applicable, notamment :

En complément de ces obligations, REZO LABS s’appuie sur les bonnes pratiques internationalement reconnues en matière de protection des données personnelles et de sécurité de l’information, dans la mesure où elles sont pertinentes pour les traitements réalisés.

Ces bonnes pratiques ne se substituent pas aux exigences légales et réglementaires applicables.

Lorsqu’un traitement nécessite votre consentement, celui-ci est recueilli au moyen d’un dispositif adapté.

Les données traitées dépendent de votre rôle, des services utilisés et des vérifications nécessaires.

Nous pouvons traiter :

Nous pouvons traiter :

Selon votre profession, votre territoire d’exercice et les éléments déclarés, REZO LABS peut vous demander des justificatifs permettant de vérifier votre identité, vos qualifications, votre droit d’exercice, votre rattachement à un Établissement ou certaines expériences professionnelles.

Ces justificatifs peuvent notamment comprendre :

Les demandes sont limitées aux éléments nécessaires à la vérification concernée. Lorsqu’une attestation ou un extrait suffit, la transmission d’un document intégral n’est pas demandée. Avant leur transmission, vous êtes invité à masquer les informations sans rapport avec la vérification, notamment les rémunérations, coordonnées bancaires et données de tiers non nécessaires.

Aucun document contenant des informations permettant d’identifier des patients ne doit être transmis dans ce cadre. Vous ne devez pas transmettre de documents supplémentaires contenant des informations sans rapport avec la vérification.

REZO LABS précise les pièces attendues et les modalités sécurisées de transmission. Ces contrôles peuvent intervenir lors de l’inscription ou ultérieurement, afin de vérifier l’exactitude des informations déclarées et le maintien des conditions d’éligibilité.

Nous traitons les informations nécessaires à la création, à la gestion et à la sécurisation de votre compte, notamment :

Les mots de passe sont gérés par notre prestataire d’authentification, Supabase Auth, qui les conserve sous forme hachée : REZO LABS ne les voit ni ne les conserve en clair. Les codes à usage unique envoyés par SMS (connexion, réinitialisation du mot de passe) sont conservés sous forme de condensat et expirent après 5 à 10 minutes.

Nous traitons les informations nécessaires à votre page de réservation et à votre agenda, notamment :

Les données personnelles des patients présentes dans ces fonctionnalités relèvent également des dispositions de la section 10.

Lorsque cela est nécessaire, nous traitons :

Ces informations sont recueillies selon le statut du Client, son pays et les exigences de facturation applicables.

Les paiements des packs de communications sont effectués hors de CURA (virement bancaire, mobile money, espèces, chèque ou autre moyen indiqué sur la commande). CURA ne traite aucune donnée de carte bancaire. Une preuve de paiement peut être transmise sous forme de lien sécurisé (https).

Nous traitons les informations communiquées dans le cadre de vos demandes, de la vérification de votre compte et de votre accompagnement, notamment les courriels, demandes de support, retours transmis depuis CURA, messages et éléments fournis lors d’entretiens, et demandes de démonstrations.

Les échanges peuvent intervenir par courrier électronique, téléphone ou au moyen des outils de communication de CURA.

L’utilisation de ces canaux ne signifie pas que les appels ou entretiens sont enregistrés. Tout éventuel enregistrement fait l’objet d’une information spécifique préalable et, lorsque nécessaire, du recueil de votre consentement.

Nous pouvons traiter les données nécessaires au fonctionnement et à la sécurité du service, notamment :

Les données peuvent être recueillies :

Lorsque vos données sont communiquées par un Établissement, celui-ci doit disposer d’un fondement approprié pour cette communication et vous fournir les informations relevant de sa responsabilité.

Nous utilisons les données pour les finalités suivantes :

Chaque traitement repose sur un fondement juridique approprié, déterminé selon sa finalité, la relation avec la personne concernée et la réglementation applicable.

Lorsque le RGPD s’applique, les fondements retenus peuvent être :

L’exécution d’un contrat conclu avec un Établissement ne constitue pas automatiquement le fondement des traitements concernant ses salariés ou collaborateurs.

Les informations obligatoires sont identifiées dans les formulaires ou précisées lors de nos demandes.

L’absence d’une information nécessaire peut empêcher :

Les autres informations sont facultatives. Leur absence peut limiter la présentation de votre profil ou certaines possibilités de personnalisation.

Les personnes autorisées au sein de REZO LABS accèdent aux données selon les besoins de leurs fonctions, notamment pour la vérification, le support, l’administration et la sécurité.

Certaines données sont accessibles au Client, aux Administrateurs et aux collaborateurs habilités de votre Établissement, dans les limites de leurs droits d’accès.

Pour les activités rattachées à leur Établissement, les Administrateurs peuvent notamment accéder :

Les autres membres habilités, notamment le personnel non soignant, peuvent accéder, selon les autorisations accordées :

Ces accès ne constituent pas un droit général de consultation de toutes les données patients. Le Client et les administrateurs doivent limiter les habilitations aux besoins de chaque fonction.

Les justificatifs transmis à REZO LABS pour la vérification professionnelle ne sont pas rendus accessibles aux membres de l’Établissement du seul fait de leur rôle.

Les informations publiées sur votre page de réservation sont accessibles aux patients et aux visiteurs dans les conditions prévues par le service.

Cette publication peut notamment concerner votre nom, votre profession, vos spécialités, votre photographie, vos lieux d’exercice, les prestations proposées et les créneaux ouverts à la réservation.

Les informations d’authentification et les justificatifs de vérification ne sont pas destinés à être publiés.

Nous faisons appel à des prestataires pour l’hébergement et certaines fonctionnalités de CURA, notamment :

Les données communiquées à ces prestataires sont limitées à celles nécessaires à leur intervention.

Des données peuvent être communiquées à des conseils, auditeurs ou autorités compétentes lorsque cette communication est nécessaire et autorisée, notamment pour respecter une obligation légale ou assurer la constatation, l’exercice ou la défense de droits en justice.

Seules les données strictement nécessaires à la finalité de la communication sont transmises.

Lorsque l’identification des personnes concernées n’est ni légalement requise ni nécessaire à cette finalité, les données sont anonymisées avant leur transmission.

Les données personnelles des patients peuvent être traitées dans CURA dans deux cadres distincts.

Lorsqu’un professionnel ou un Établissement utilise CURA pour créer et gérer ses fiches patients, organiser ses rendez-vous ou adresser les communications associées, REZO LABS traite les données pour son compte et selon ses instructions, dans les conditions et obligations respectives des parties définies par l’accord relatif au traitement des données personnelles intégré aux CGV ou annexé à celles-ci. Le professionnel ou l’Établissement concerné agit en qualité de responsable du traitement pour les opérations dont il détermine les finalités et les moyens essentiels. REZO LABS intervient alors en qualité de sous-traitant. Ce cadre peut s’appliquer que le patient dispose ou non d’un compte personnel CURA.

REZO LABS agit en qualité de responsable du traitement pour les opérations dont elle détermine elle-même les finalités et les moyens essentiels dans le cadre des services directement proposés aux patients. Il s’agit notamment de la création, de l’authentification et de l’administration du compte personnel CURA du patient. Ces traitements, ainsi que les droits des personnes concernées et leurs modalités d’exercice, sont décrits dans la Politique de confidentialité et de protection des données personnelles pour les Patients.

Lorsqu’un Patient crée un compte CURA, les informations des fiches qui lui sont rattachées auprès des différents professionnels et Établissements sont regroupées dans son espace personnel, notamment ses rendez-vous, leur historique et leur facturation. Les notes internes des professionnels et de leurs collaborateurs n’y sont pas affichées.

Ce rapprochement repose sur une vérification de l’identité du titulaire et de ses droits d’accès. REZO LABS est responsable des traitements de gestion du compte et de regroupement dont elle détermine les finalités et les moyens essentiels, sans modifier les responsabilités propres de chaque professionnel ou Établissement.

L’absence d’affichage d’une information ne l’exclut pas nécessairement du droit d’accès. Les demandes concernant les traitements effectués pour le compte d’un professionnel ou d’un Établissement sont traitées avec celui-ci, conformément à la réglementation applicable.

Certaines fonctionnalités permettent de connecter CURA à Google Calendar, Google Meet ou Zoom.

Ces connexions sont activées par un Utilisateur habilité, selon les autorisations présentées lors du parcours de connexion.

Les données échangées dépendent du service choisi et des fonctionnalités utilisées.

Lorsque vous activez la synchronisation avec Google Calendar, les rendez-vous concernés sont copiés dans l’agenda Google connecté.

Les informations transmises comprennent le nom du patient, son numéro de téléphone et la prestation réservée. Elles peuvent révéler des informations relatives à la santé selon leur contenu et leur contexte.

CURA conserve les jetons d’accès nécessaires à cette synchronisation tant que la connexion est maintenue.

Vous devez veiller aux paramètres de partage de l’agenda connecté. Les personnes autorisées à le consulter peuvent avoir accès aux informations qui y sont synchronisées.

Lorsque vous connectez votre compte Zoom, CURA traite votre identifiant utilisateur Zoom, votre adresse électronique et les jetons d’accès nécessaires au fonctionnement de l’intégration.

Une réunion est créée pour les rendez-vous à distance concernés et son lien est enregistré dans le rendez-vous CURA.

Lorsqu’aucun compte Zoom n’est connecté, un lien Google Meet peut être créé au moyen de Google Calendar, si les autorisations nécessaires sont disponibles.

Le titre de la réunion de visioconférence ne contient pas d’information sur le patient. Cette règle concernant le titre ne signifie pas que les autres données transmises à Google Calendar sont dépourvues d’informations sur le patient.

Les jetons d’accès détenus par CURA sont supprimés lorsque vous déconnectez le service concerné.

Le retrait de l’application depuis votre compte Zoom déclenche également le traitement de la déconnexion et la suppression des données de connexion correspondantes détenues par CURA.

La déconnexion ne supprime pas nécessairement les événements, réunions ou informations déjà enregistrés auprès du service tiers.

Les traitements réalisés par Google et Zoom sont également soumis à leurs politiques de confidentialité respectives.

REZO LABS est établie en Côte d’Ivoire. Les données personnelles peuvent être hébergées, traitées ou consultées dans différents pays, selon l’organisation des services et les prestataires utilisés.

Les données sont hébergées principalement dans l’Union européenne : la base de données de production à Stockholm (Suède, chez Supabase), l’environnement de test à Paris, l’interface web à Francfort (Vercel) et les courriels chez Resend en Irlande. Les SMS sont envoyés depuis un service de messagerie Twilio hébergé en Irlande.

Les transferts internationaux doivent respecter la réglementation applicable, notamment la loi ivoirienne n° 2013-450 du 19 juin 2013 et, lorsque ses conditions d’application sont réunies, le RGPD.

Pour obtenir des informations sur les pays concernés, les destinataires et les mesures encadrant ces transferts, vous pouvez contacter REZO LABS à contact@teamrezo.com.

Lorsqu’un droit d’obtenir une copie des garanties pertinentes est prévu par la réglementation applicable, vous pouvez également en faire la demande à cette adresse.

Les données sont conservées pendant une durée adaptée à leur finalité, puis supprimées, anonymisées ou placées en archivage restreint lorsqu’une conservation demeure justifiée.

La conservation du résultat d’un contrôle n’implique pas nécessairement celle d’une copie intégrale du justificatif pendant la même durée.

La fermeture de votre compte n’entraîne pas la suppression immédiate des données dont la conservation reste nécessaire pour respecter une obligation légale ou gérer un litige.

REZO LABS met en œuvre des mesures techniques et organisationnelles adaptées aux risques et à ses obligations.

Les échanges avec CURA sont protégés par HTTPS. Les accès aux données sont organisés selon les rôles et les habilitations.

Les jetons d’accès Zoom bénéficient d’un chiffrement au repos.

Les jetons d’accès Google sont conservés dans la base de données de CURA et ne sont utilisés que par le service de synchronisation. Ils sont chiffrés au repos. Les sauvegardes quotidiennes de la base de données sont assurées par l’hébergeur (offre Supabase Pro), avec une conservation de 7 jours. En cas de violation de données personnelles, REZO LABS en informe l’autorité de protection compétente dans les délais légaux (72 heures lorsque le RGPD s’applique) et, lorsque le risque est élevé, les personnes concernées.

Vous contribuez à la protection des données en :

Ces obligations ne dispensent pas REZO LABS de ses propres responsabilités.

Pour signaler un incident : contact@teamrezo.com.

CURA utilise le stockage de session du navigateur (sessionStorage) pour deux éléments de l’interface. La session de connexion est gérée au moyen de cookies strictement nécessaires au fonctionnement du service.

Les informations enregistrées, leurs finalités et leurs règles de conservation sont les suivantes :

Vous pouvez effacer les données du stockage du navigateur au moyen de ses paramètres. Cette suppression peut nécessiter une nouvelle connexion ou entraîner la perte de paramètres enregistrés.

L’effacement du stockage du navigateur ne supprime pas les données conservées sur les serveurs de CURA et ne vaut pas fermeture du compte.

Lorsque la réglementation applicable exige un consentement préalable pour une opération de lecture ou d’écriture, celui-ci est recueilli avant l’opération concernée. Les opérations strictement nécessaires au service demandé sont traitées selon les exemptions applicables.

Dans les conditions et limites prévues par la réglementation applicable, vous pouvez notamment demander :

Lorsqu’un traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans affecter la licéité des opérations réalisées avant ce retrait.

Lorsque le RGPD s’applique, vous pouvez notamment vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l’intérêt légitime, dans les conditions prévues par ce règlement.

Lorsque vos données sont traitées à des fins de prospection directe, vous pouvez vous opposer à cette utilisation à tout moment.

Ces droits ne sont pas absolus. Certaines données peuvent notamment devoir être conservées pour satisfaire une obligation légale ou permettre la constatation, l’exercice ou la défense de droits en justice.

Pour toute question relative à vos données personnelles ou pour exercer vos droits, vous pouvez contacter :

Angélique Catcha-Picard — Interlocutrice protection des données

Adresse électronique : a.catcha-picard@teamrezo.com

Objet recommandé : « CURA PRO: Protection des données et Exercice des droits »

Vous pouvez également écrire par courrier électronique à contact@teamrezo.com.

L’objet recommandé facilite l’orientation de votre demande. Son absence n’empêche pas son traitement.

Précisez le compte ou le contexte concerné et la nature de votre demande, sans transmettre de données patients inutiles.

En cas de doute raisonnable sur votre identité, nous pouvons solliciter les informations complémentaires nécessaires pour la vérifier. Une copie de pièce d’identité n’est pas demandée systématiquement.

Les demandes sont traitées dans les délais prévus par la réglementation applicable.

Lorsque le RGPD s’applique, nous vous informons des suites données à votre demande dans les meilleurs délais et, en principe, dans un délai d’un mois à compter de sa réception. Ce délai peut être prolongé de deux mois en raison de la complexité ou du nombre des demandes. Vous êtes alors informé de cette prolongation et de ses motifs dans le premier mois.

Si votre demande concerne un traitement effectué pour le compte de votre Établissement, nous la transmettons au responsable du traitement concerné et l’assistons selon les modalités applicables.

Vous pouvez contacter REZO LABS pour toute question ou difficulté concernant vos données personnelles.

Vous disposez également du droit d’adresser une réclamation à l’autorité de protection des données compétente, sans être tenu de nous contacter au préalable.

En Côte d’Ivoire, vous pouvez vous rapprocher de l’ARTCI, en sa qualité d’autorité de protection des données personnelles.

Lorsque le RGPD s’applique, vous pouvez notamment saisir l’autorité de contrôle de l’État membre de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation alléguée.

La présente politique peut être mise à jour pour tenir compte des évolutions des services, des traitements ou de la réglementation.

La version publiée indique sa date de mise à jour. Les modifications importantes sont portées à votre connaissance par un moyen approprié.

Lorsqu’une évolution nécessite une information complémentaire ou un nouveau consentement, les démarches correspondantes sont effectuées avant le traitement concerné.