Politique de confidentialité

1. Qui fait quoi ?

Le praticien détermine pourquoi et comment les données de ses patients sont utilisées : il est responsable du traitement. DocTime traite ces données uniquement pour fournir le service et agit comme sous-traitant. Pour les données du compte et de la relation commerciale, l’éditeur de DocTime est responsable du traitement.

2. Données traitées

• Compte du praticien : adresse e-mail, nom affiché, langue et paramètres.
• Facturation de l’abonnement : nom légal, raison sociale éventuelle, adresse, pays, numéro d’entreprise et numéro de TVA lorsqu’ils sont applicables.
• Patients : identité, coordonnées, référence et informations administratives.
• Soins : rendez-vous, notes cliniques, antécédents, allergies, traitements et documents ajoutés par le praticien.
• Finances : tarifs, montants, statut et moyen de paiement, reçus.
• Données techniques nécessaires à la connexion, la sécurité et au fonctionnement du service.
• Google Calendar, uniquement si le praticien l’active : identité limitée selon le réglage choisi, date, heure, durée et lieu du rendez-vous.

3. Finalités et bases juridiques

DocTime utilise les données du compte pour fournir le service, sécuriser l’accès, assister le praticien et gérer la relation contractuelle. Le praticien reste responsable de déterminer les bases juridiques applicables aux dossiers de ses patients, notamment au titre des articles 6 et 9 du RGPD. DocTime ne réutilise pas les données médicales pour la publicité.

4. Destinataires et utilisateurs autorisés

Les données sont accessibles au praticien connecté et aux prestataires techniques strictement nécessaires au service. Lorsque le praticien active le mode cabinet, il peut créer des comptes nominatifs pour son secrétariat ou son comptable. Le secrétariat accède uniquement aux données administratives des patients et aux rendez-vous, sans données cliniques ni financières. Le comptable accède uniquement aux montants, paiements, reçus et références administratives nécessaires, sans coordonnées ni données cliniques des patients. Chaque accès peut être révoqué par le praticien et fait l’objet d’une journalisation.

La liste et le rôle des prestataires techniques figurent sur la page Sous-traitants. Google Calendar est facultatif et peut être déconnecté à tout moment.

5. Localisation et transferts

La base principale est configurée dans l’Union européenne. Certains services Firebase, Google Cloud ou Google Calendar peuvent toutefois traiter des données hors de l’Espace économique européen. Les mécanismes contractuels applicables de Google et les mesures de minimisation sont documentés dans l’accord de sous-traitance.

6. Conservation et départ

DocTime n’applique aucune purge automatique aux dossiers d’un compte actif. Le praticien peut créer une archive complète de ses données et demander la fermeture depuis ses préférences. La fermeture devient définitive après un délai d’annulation de 14 jours ; DocTime supprime alors le compte, les données actives, les documents et les connexions externes. Les archives temporaires sont supprimées après 24 heures. Les délais techniques d’effacement des sauvegardes seront précisés dans l’accord de sous-traitance.

Le praticien reste responsable de la conservation et du transfert des dossiers patients après son départ. La loi belge relative à la qualité de la pratique des soins de santé prévoit une conservation pendant minimum 30 ans et maximum 50 ans à compter du dernier contact avec le patient.

7. Sécurité

Les échanges et les données stockées sont chiffrés par Firebase. Les données sont isolées par compte au moyen de règles d’accès appliquées à la base et au stockage. La vérification de l’adresse e-mail est obligatoire et une authentification à deux facteurs peut être activée. Le praticien doit protéger ses identifiants, verrouiller ses appareils et signaler immédiatement tout accès suspect.

8. Vos droits et contact

Les patients exercent leurs droits auprès de leur praticien. Les utilisateurs de DocTime peuvent demander l’accès, la rectification, l’export ou, lorsque la loi le permet, la suppression de leurs données auprès de l’éditeur à contact@scandalook.com. Le droit à l’effacement n’est pas absolu lorsqu’une conservation est nécessaire au respect d’une obligation légale. Une réclamation peut également être introduite auprès de l’Autorité de protection des données belge.