Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données traitées via TrichoSuite est Codelabs Studio S.L., numéro fiscal (CIF) B88708797, domicilié à Pasaje Federico García Lorca, 6, 3º E, 29130 Alhaurín de la Torre (Málaga). Pour les cliniques utilisant notre plateforme, la clinique agit en tant que responsable du traitement des données des patients, tandis que Codelabs Studio S.L. agit en tant que sous-traitant conformément à l'article 28 du RGPD. Un contrat de sous-traitance (DPA) est signé avec chaque clinique.

2. Types de données collectées

Nous collectons différentes catégories de données personnelles selon la relation avec la personne concernée :

• •Données du personnel de la clinique : nom, e-mail, numéro de téléphone, fonction professionnelle, identifiants de connexion et journaux d’activité.
• •Données d’identification des patients : nom, e-mail, téléphone, date de naissance, adresse et numéro d’identité nationale (lorsqu’il est exigé pour le dossier médical).
• •Données médicales (catégorie particulière) : classification Norwood/Ludwig, photos du cuir chevelu, scans 3D, antécédents médicaux, allergies, médicaments, dossiers chirurgicaux et documentation de suivi.
• •Données de communication : messages de chat avec le personnel de la clinique, conversations avec le chatbot IA, enregistrements de consultations vidéo (avec consentement).
• •Données techniques : adresses IP, type de navigateur, informations sur l’appareil, journaux d’accès et cookies à des fins de sécurité et d’analyse.

3. Traitement des données médicales

En tant que plateforme au service des cliniques de greffe capillaire, nous traitons des données de catégorie particulière (données de santé) en vertu de l’article 9, paragraphe 2, point h), du RGPD (traitement à des fins de soins de santé). Cela comprend :

• •Scans 3D LiDAR du cuir chevelu pour la planification et la documentation des traitements.
• •Dossiers photographiques pour la classification, la simulation et le suivi de l’évolution.
• •Mesures de la densité capillaire, analyse de la zone donneuse et calculs de greffons.
• •Dossiers chirurgicaux, y compris la technique (FUE, FUT, DHI), le nombre de greffons et les comptes rendus opératoires.
• •Antécédents médicaux, y compris les antécédents familiaux d’alopécie, les médicaments et les comorbidités.
• •Recommandations de traitement, ordonnances et notes de suivi.
• •Formulaires de consentement numériques avec signatures électroniques.

4. IA et traitement automatisé

TrichoSuite utilise l’intelligence artificielle pour améliorer les services cliniques. Nous sommes transparents sur la manière dont l’IA traite vos données :

• •Chatbot IA : notre assistant virtuel, propulsé par Claude (Anthropic), traite les demandes des patients, la prise de rendez-vous et les informations générales. Les conversations sont conservées pour améliorer la qualité du service et peuvent être examinées par des agents humains en cas d’escalade. Tout conseil médical personnel est toujours renvoyé à des professionnels qualifiés.
• •Classification Norwood/Ludwig : analyse par IA des photos du cuir chevelu pour suggérer une classification de la perte de cheveux. Les résultats sont toujours validés par des professionnels de santé.
• •Simulation 3D : prévisions générées par IA des résultats possibles après la greffe. Il s’agit uniquement d’aides visuelles et non de garanties médicales.
• •Scoring des prospects : analyse automatisée des interactions avec le chatbot pour prioriser le suivi par la clinique. Aucune décision produisant des effets juridiques n’est prise exclusivement par l’IA.
• •Base de connaissances RAG : récupération par IA dans les bases de connaissances fournies par la clinique pour répondre avec exactitude aux questions fréquentes.
• •Aucun profilage à des fins marketing : nous n’utilisons pas l’IA pour établir le profil des patients à des fins marketing ni pour vendre des données à des tiers.
• •Chat de démonstration de ce site : un assistant IA (Claude, d’Anthropic) qui répond sur TrichoSuite et la greffe de cheveux. Il n’utilise ni cookies ni stockage du navigateur et rien n’est envoyé tant que vous n’ouvrez pas le chat et n’écrivez pas. Vos messages (et votre nom ou e-mail, seulement si vous les saisissez) sont traités sur nos serveurs et par Anthropic pour générer la réponse, et conservés dans une clinique de démonstration fictive. Ne saisissez pas de données de santé.
• •Chat d'assistance de ce site (AgenteUno) : assistant d'intelligence artificielle qui répond aux questions sur TrichoSuite. Il fonctionne avec AgenteUno, un autre produit de Codelabs Studio, qui agit en tant que sous-traitant. Lorsque vous l'ouvrez et écrivez, le texte de vos messages, les réponses ainsi que la date et l'heure de la conversation sont conservés sur les serveurs d'AgenteUno. Pour générer les réponses, le texte est envoyé à Cerebras Systems Inc. (États-Unis), fournisseur du modèle de langage et sous-traitant ; ne figurant pas sur la liste du cadre de protection des données UE-États-Unis (DPF), le transfert repose sur les clauses contractuelles types (décision d'exécution (UE) 2021/914). Si vous parlez à voix haute, l'audio et sa transcription sont traités par Google LLC (Gemini Live, États-Unis), certifiée au titre du DPF. Les statistiques d'utilisation du chat ne sont mesurées que si vous acceptez la catégorie analytique de la bannière de cookies. N'écrivez pas de données de santé dans ce chat.

5. Base juridique du traitement

Nous traitons les données personnelles sur les bases juridiques suivantes, définies à l’article 6 du RGPD :

• •Exécution du contrat (art. 6, par. 1, point b) : traitement nécessaire pour fournir aux cliniques les services de la plateforme TrichoSuite.
• •Obligation légale (art. 6, par. 1, point c) : respect des exigences fiscales, comptables et de documentation en matière de santé.
• •Intérêt légitime (art. 6, par. 1, point f) : sécurité de la plateforme, prévention de la fraude, amélioration du service et analyses anonymisées.
• •Consentement explicite (art. 6, par. 1, point a, et art. 9, par. 2, point a) : pour les simulations par IA, les interactions avec le chatbot, les communications marketing et certains cas de partage de données.
• •Prestation de soins de santé (art. 9, par. 2, point h) : traitement des données de santé nécessaire au traitement médical, sous la responsabilité de professionnels de santé.

6. Utilisation de vos données

Vos données sont utilisées aux fins suivantes :

• •Fournir et maintenir la plateforme TrichoSuite et toutes ses fonctionnalités.
• •Gestion des patients, prise de rendez-vous et tenue des dossiers médicaux.
• •Analyses par IA, notamment classification capillaire, simulations et réponses du chatbot.
• •Génération de rapports, de propositions de traitement et de documents de suivi.
• •Communication des mises à jour du service, des alertes de sécurité et des notifications système.
• •Amélioration de la plateforme grâce à des analyses anonymisées et à des modèles d’utilisation.
• •Respect des exigences légales et réglementaires.
• •Support client et assistance technique.

7. Partage des données et tiers

Nous ne partageons des données que lorsque c’est nécessaire pour fournir nos services, toujours dans le cadre de contrats de sous-traitance stricts :

• •Infrastructure : Hetzner (serveurs, centre de données en Allemagne) et Cloudflare R2 (stockage des images et documents), tous deux dans l’Union européenne.
• •Services d’IA : Anthropic (Claude) pour le chatbot et OpenAI pour les embeddings, dans le cadre du cadre de protection des données UE-États-Unis.
• •Services d’e-mail : Resend pour les e-mails transactionnels, avec un traitement conforme au RGPD.
• •Traitement des paiements : Stripe pour la facturation des abonnements, conforme à PCI-DSS.
• •Analyses : PostHog pour des analyses produit respectueuses de la vie privée, avec des données stockées dans l’UE.
• •Suivi des erreurs : Sentry pour la surveillance de la stabilité de l’application.
• •Chat d'assistance : AgenteUno (sous-traitant), Cerebras Systems Inc. (modèle de langage, clauses contractuelles types) et Google LLC (voix avec Gemini Live, cadre de protection des données UE-États-Unis).
• •Nous ne vendons jamais de données personnelles à des tiers. Avec votre consentement explicite à la catégorie de cookies marketing/publicité, nous partageons des données de navigation limitées avec Meta Platforms, Inc., uniquement pour la mesure de la publicité.

8. Transferts internationaux de données

Certains de nos prestataires sont établis hors de l’UE/EEE. Pour ces transferts, nous veillons à ce que des garanties appropriées soient en place : clauses contractuelles types (CCT) approuvées par la Commission européenne, ou participation au cadre de protection des données UE-États-Unis. Vous pouvez demander une copie des garanties applicables en contactant notre DPO. Les données médicales des patients sont principalement stockées dans des centres de données de l’UE.

9. Conservation des données

Nous conservons les données pendant la durée minimale nécessaire pour atteindre nos finalités et respecter nos obligations légales :

• •Données du compte de la clinique : conservées pendant la durée de l’abonnement, puis 5 ans pour des raisons de conformité légale.
• •Dossiers médicaux des patients : 15 ans minimum, conformément à la réglementation espagnole en matière de santé (Ley 41/2002).
• •Scans 3D et photos : conservés dans le dossier médical, sauf si leur suppression est expressément demandée et juridiquement autorisée.
• •Conversations avec le chatbot : 3 ans pour la qualité du service et la résolution des litiges, puis anonymisation.
• •Documents de consentement signés : conservés indéfiniment ou selon les exigences de la réglementation médicale applicable.
• •Données d’analyse : anonymisées dans les 26 mois suivant leur collecte.
• •Journaux de sécurité : 1 an, à des fins de sécurité et de prévention de la fraude.

10. Mesures de sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles complètes pour protéger vos données :

• •Chiffrement : toutes les données sont chiffrées en transit (TLS 1.3) et au repos (AES-256).
• •Contrôle d’accès : contrôle d’accès basé sur les rôles (RBAC) selon le principe du moindre privilège.
• •Authentification : authentification multifacteur (MFA) et prise en charge de WebAuthn/passkey.
• •Journalisation d’audit : journalisation complète de tous les accès et de toutes les modifications des données.
• •Sécurité de l’infrastructure : fournisseurs cloud conformes à SOC 2, évaluations de sécurité régulières et tests d’intrusion.
• •Formation du personnel : formations régulières à la confidentialité et à la sécurité pour tous les membres de l’équipe.
• •Réponse aux incidents : procédures documentées de réponse aux incidents avec notification des violations sous 72 heures.
• •Sauvegarde des données : sauvegardes chiffrées avec géo-redondance et procédures de restauration testées.

11. Cookies et suivi

Nous utilisons des cookies et des technologies similaires pour les fonctions essentielles, les préférences des utilisateurs et des analyses anonymisées. Les cookies essentiels sont nécessaires à la sécurité et ne peuvent pas être désactivés. Les cookies fonctionnels, d’analyse et publicitaires nécessitent votre consentement, que vous pouvez gérer à tout moment via la bannière de paramètres des cookies. Les cookies publicitaires (Meta Pixel) ne sont déposés que si vous acceptez la catégorie marketing. Pour plus de détails, consultez notre politique relative aux cookies, accessible depuis le pied de page.

12. Vos droits

En vertu du RGPD et de la LOPDGDD, vous disposez des droits suivants concernant vos données personnelles :

• •Droit d’accès (art. 15) : obtenir la confirmation et une copie des données que nous détenons à votre sujet.
• •Droit de rectification (art. 16) : faire corriger les données personnelles inexactes ou incomplètes.
• •Droit à l’effacement (art. 17) : demander la suppression de vos données, sous réserve des obligations légales de conservation.
• •Droit à la limitation (art. 18) : limiter la manière dont nous traitons vos données dans certaines circonstances.
• •Droit à la portabilité des données (art. 20) : recevoir vos données dans un format structuré et lisible par machine.
• •Droit d’opposition (art. 21) : vous opposer au traitement fondé sur l’intérêt légitime ou à des fins de prospection directe.
• •Droit de retirer son consentement : retirer à tout moment un consentement donné, sans affecter les traitements antérieurs.
• •Droits relatifs aux décisions automatisées (art. 22) : ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques.
• •Pour exercer ces droits, contactez privacy@trichosuite.com. Nous répondrons dans un délai de 30 jours. Pour les données médicales détenues par les cliniques, veuillez contacter directement la clinique, qui est le responsable du traitement.

13. Confidentialité des enfants

TrichoSuite est une plateforme B2B destinée aux professionnels de santé. Nous ne collectons pas sciemment de données auprès de personnes de moins de 16 ans. Si une clinique traite des patients de moins de 18 ans, le consentement parental est requis pour le traitement de leurs données. Si vous pensez que nous avons collecté par inadvertance des données d’un mineur sans consentement approprié, veuillez nous contacter immédiatement.

14. Modifications de cette politique

Nous pouvons mettre à jour cette politique de confidentialité pour refléter l’évolution de nos pratiques ou des exigences légales. Les modifications substantielles seront notifiées par e-mail aux utilisateurs inscrits au moins 30 jours avant leur entrée en vigueur. La date de « Dernière mise à jour » en haut de cette politique indique sa dernière révision. L’utilisation continue de la plateforme après l’entrée en vigueur des modifications vaut acceptation de la politique mise à jour.

15. Coordonnées

Pour toute question relative à la confidentialité, toute demande concernant vos données ou pour exercer vos droits, veuillez contacter notre équipe de protection des données à privacy@trichosuite.com.

16. Autorité de contrôle

Si vous estimez que vos droits en matière de protection des données ont été violés, vous avez le droit d’introduire une réclamation auprès de l’autorité de contrôle de protection des données de votre pays. Les résidents de l’UE peuvent contacter leur autorité nationale de protection des données.