Politique de confidentialité

1. Qui est responsable de vos données

Selon la situation, c’est le cabinet médical ou Nexum Technologies qui décide de l’usage des données.

MedBot est un service de Nexum Technologies, société par actions simplifiée, 28 boulevard National, 13001 Marseille (RCS Marseille 921 532 453). Nous traitons les données personnelles conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.

Données des patients d’un cabinet. Lorsqu’un patient appelle un cabinet équipé de MedBot, lui écrit ou reçoit un message de sa part, le cabinet (le praticien ou la structure d’exercice) est responsable du traitement. Nexum Technologies agit en qualité de sous-traitant, uniquement sur ses instructions, dans le cadre du contrat de sous-traitance prévu à l’article 28 du RGPD.

Données des praticiens, du personnel et des visiteurs. Pour les comptes MedBot Pro, la relation commerciale avec les cabinets et la consultation du site, Nexum Technologies est responsable du traitement.

Contact. contact@nexum-technologies.fr, ou par courrier à Nexum Technologies, 28 boulevard National, 13001 Marseille. Délégué à la protection des données : [à confirmer], joignable à la même adresse en attendant.

2. Les données que nous traitons

Uniquement ce qui sert à répondre au patient et à faire fonctionner le cabinet.

Patients (pour le compte du cabinet)

• identité et coordonnées : nom, prénom, numéro de téléphone, et le cas échéant date de naissance ou adresse e-mail lorsque le cabinet en a besoin pour le rendez-vous ;
• rendez-vous : motif, praticien, date et heure, statut (confirmé, déplacé, annulé), informations pratiques envoyées ;
• appels : numéro appelant, date, durée, et selon la configuration du cabinet, l’enregistrement de l’appel et sa transcription ;
• messages vocaux : enregistrement, transcription et niveau d’importance attribué ;
• messages échangés sur WhatsApp, par SMS, par e-mail ou dans le chat connecté ;
• avec le parcours NexumPharma, à la demande du patient : transmission de son ordonnance à la pharmacie de son choix et suivi de la livraison.

Lorsque ces informations révèlent l’état de santé d’une personne (motif de consultation, examen demandé, contenu d’un message), ce sont des données de santé au sens de l’article 9 du RGPD. Elles bénéficient des protections décrites aux sections 5 et 7.

Praticiens et personnel du cabinet

• données de compte MedBot Pro : nom, adresse e-mail professionnelle, rôle, droits d’accès ;
• configuration du cabinet : horaires, motifs, règles de prise de rendez-vous, numéros de renvoi ;
• journaux d’activité : connexions, actions réalisées (validation d’un message, rappel d’un patient), à des fins de sécurité et de traçabilité ;
• données de facturation de l’abonnement : raison sociale, adresse, moyen de paiement (traité par notre prestataire de paiement, voir section 6).

Visiteurs du site

Le site vitrine ne demande aucune donnée pour être consulté. Il ne dépose aucun cookie, n’utilise aucun outil de mesure d’audience et ne charge aucun script tiers. Le formulaire de demande de démonstration n’envoie rien pour l’instant : rien de ce que vous y saisissez n’est transmis ni conservé. Les journaux techniques du serveur d’hébergement du site seront décrits ici lors de la mise en ligne [à confirmer].

3. Pourquoi nous les traitons, et sur quelle base

Chaque usage a une finalité précise et une base légale.

• Répondre aux appels et aux messages des patients, gérer les rendez-vous, envoyer les confirmations, rappels et informations pratiques : pour le compte du cabinet, qui en fixe la base légale (en général la mission de soins et l’exécution de mesures demandées par le patient ; article 9.2.h du RGPD pour les données de santé).
• Transcrire et classer les messages vocaux, préparer les réponses à valider : même finalité, pour le compte du cabinet.
• Campagnes de rappel et demandes d’avis : sur décision du cabinet, qui s’assure de leur base légale et du respect du droit d’opposition du patient.
• Fournir MedBot Pro, gérer les comptes et la sécurité : exécution du contrat avec le cabinet et intérêt légitime de Nexum Technologies à sécuriser le service.
• Facturer l’abonnement : exécution du contrat et obligations comptables.
• Améliorer le service : statistiques d’usage agrégées, sans données de santé identifiantes.

MedBot ne donne aucun avis médical et ne prend aucune décision médicale : toute question de santé est transmise à l’équipe du cabinet.

4. Qui peut y accéder

Le cabinet, et les seules personnes et prestataires qui en ont besoin.

• Le cabinet : les membres habilités de l’équipe, depuis MedBot Pro, selon les droits que le cabinet leur attribue.
• Nexum Technologies : les membres de l’équipe qui assurent le fonctionnement, le support et la sécurité du service, dans la limite de ce qui est nécessaire, avec un accès tracé.
• Les sous-traitants listés par catégories à la section 6.
• Les tiers choisis par le patient ou le cabinet : l’agenda du cabinet (par exemple Doctolib) lorsque le cabinet le connecte ; la pharmacie choisie par le patient dans le parcours NexumPharma.

Aucune donnée n’est vendue, louée ou utilisée à des fins publicitaires.

5. Données de santé : hébergement certifié HDS

Les données de santé restent chez un hébergeur certifié HDS.

Les données de santé traitées par MedBot sont hébergées chez un hébergeur certifié HDS (Hébergeur de Données de Santé), conformément à l’article L. 1111-8 du Code de la santé publique. Nom de l’hébergeur : [à confirmer].

L’accès à ces données est réservé aux personnes habilitées, authentifié et journalisé. Les échanges sont chiffrés en transit.

6. Sous-traitants

Des prestataires spécialisés, choisis pour leurs garanties, sous contrat.

Pour fournir le service, Nexum Technologies fait appel aux catégories de sous-traitants suivantes. Chacun est lié par un contrat qui reprend les obligations de l’article 28 du RGPD. La liste nominative est communiquée à chaque cabinet avec son contrat, et le cabinet est informé de tout changement.

• Hébergement des données de santé : hébergeur certifié HDS.
• Téléphonie : opérateur de téléphonie et de lignes SIP qui achemine les appels vers MedBot.
• Messageries : WhatsApp Business (Meta), fournisseurs d’envoi de SMS et d’e-mails.
• Transcription et traitement automatique du langage : services de reconnaissance vocale et d’intelligence artificielle utilisés pour comprendre la demande, transcrire et classer les messages.
• Paiement : prestataire de paiement pour l’abonnement des cabinets (carte bancaire, prélèvement SEPA) ; il ne traite aucune donnée de patient.
• Connecteurs d’agenda : agendas utilisés par le cabinet, comme Doctolib, à la demande du cabinet.

Transferts hors de l’Union européenne. Lorsqu’un sous-traitant traite des données hors de l’Union européenne, le transfert est encadré par les garanties prévues par le RGPD, notamment les clauses contractuelles types de la Commission européenne ou une décision d’adéquation.

7. Sécurité

Des mesures techniques et organisationnelles proportionnées au caractère sensible des données.

• hébergement certifié HDS pour les données de santé ;
• chiffrement des échanges en transit (HTTPS / TLS) ;
• comptes nominatifs, droits d’accès par rôle, journalisation des accès et des actions ;
• configuration sécurisée des lignes et des renvois d’appels ;
• accès de l’équipe Nexum limité au strict nécessaire et tracé ;
• procédure de gestion des incidents : en cas de violation de données, le cabinet est informé dans les délais prévus par le contrat de sous-traitance, pour lui permettre de notifier la CNIL et, le cas échéant, les personnes concernées.

8. Durées de conservation

Rien n’est gardé plus longtemps que nécessaire.

• Données des patients : durées définies avec chaque cabinet dans le contrat de sous-traitance, selon ses besoins et ses obligations ; à la fin du contrat, elles sont restituées au cabinet ou supprimées, selon son choix.
• Enregistrements et transcriptions d’appels, messages vocaux : durée fixée avec le cabinet [à confirmer].
• Comptes MedBot Pro : pendant la durée du contrat, puis supprimés.
• Journaux de sécurité : durée limitée nécessaire à la sécurité du service [à confirmer].
• Données de facturation : dix ans, au titre des obligations comptables (article L. 123-22 du Code de commerce).

9. Vos droits

Accès, rectification, effacement, limitation, opposition, portabilité, directives après décès.

Vous disposez, dans les conditions prévues par le RGPD, des droits suivants : accès à vos données, rectification, effacement, limitation du traitement, opposition, portabilité, et du droit de définir des directives relatives au sort de vos données après votre décès.

Vous êtes patient d’un cabinet. Adressez-vous d’abord à votre cabinet, responsable du traitement. Vous pouvez aussi écrire à contact@nexum-technologies.fr : nous transmettons votre demande au cabinet et l’aidons à y répondre.

Vous êtes praticien, membre d’un cabinet ou visiteur. Écrivez à contact@nexum-technologies.fr ou à Nexum Technologies, 28 boulevard National, 13001 Marseille. Nous répondons dans un délai d’un mois, prolongeable de deux mois si la demande est complexe ; une preuve d’identité peut être demandée en cas de doute raisonnable.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr).

10. Mise à jour de cette politique

La date en haut de page indique la dernière version.

Cette politique peut évoluer, notamment lors de la mise en ligne du site et de l’ajout de nouvelles fonctionnalités. La date de dernière mise à jour figure en haut de la page ; en cas de changement important, les cabinets clients en sont informés.