Politique de confidentialité

Responsable du traitement

Centre Activité Physique Adaptée, 140 Rte de Paris, 16160 Gond-Pontouvre, détermine les finalités et les moyens du traitement des données des patients. TMZN intervient en qualité de sous-traitant au sens de l'article 28 du RGPD, dans le cadre d'un contrat qui l'oblige à n'agir que sur instruction du centre.

Données collectées

Dans le cadre du suivi en activité physique adaptée, sont collectées :

• des données d'identité et de contact : nom, adresse postale, adresse email, numéro de téléphone, date de naissance ;
• des données de santé : antécédents, limitations et douleurs, freins à la pratique, objectifs, taille, médecin traitant et médecin spécialiste, mutuelle, ainsi que les indicateurs de suivi relevés au fil des séances ;
• des données d'usage : réservations de créneaux, présences et annulations, historique des paiements.

Finalités et bases légales

• Suivi de la pratique adaptée et sécurité du patient — les données de santé sont traitées sur le fondement du consentement explicite de la personne concernée (article 9.2.a du RGPD), recueilli à l'inscription.
• Gestion des inscriptions, des créneaux et de la facturation — exécution du contrat liant le patient au centre (article 6.1.b).
• Sécurité et bon fonctionnement du service — intérêt légitime du responsable de traitement (article 6.1.f).

Durée de conservation

Les données sont conservées 5 ans après la dernière séance.

Destinataires

Les données de santé ne sont accessibles qu'aux professionnels du centre assurant le suivi. Elles ne sont transmises à aucun autre destinataire. Les sous-traitants techniques suivants interviennent, chacun limité aux données strictement nécessaires :

• Scalingo SAS — hébergement du service et de la base de données, certifié Hébergeur de Données de Santé (HDS), en France. C'est le seul destinataire qui héberge des données de santé.
• Stripe — traitement des paiements. Reçoit les nom, adresse email et adresse postale ; aucune donnée de santé.
• Brevo — envoi des emails du service (invitation à définir son mot de passe, réinitialisation). Reçoit l'adresse email ; aucune donnée de santé.
• Odoo — gestion de la relation client. Reçoit les nom et adresse email ; aucune donnée de santé.
• Sentry — supervision des erreurs techniques. Les événements transmis sont nettoyés avant envoi : ni identifiant de patient, ni contenu de formulaire, ni cookie de session.

Cookies

Le service dépose un unique cookie, strictement nécessaire à votre authentification : il maintient votre session ouverte et disparaît à la déconnexion. Aucun cookie publicitaire ni de mesure d'audience n'est utilisé, ce qui n'appelle pas de recueil de consentement préalable.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition au traitement, ainsi que d'un droit à la portabilité de vos données. Le consentement au traitement de vos données de santé peut être retiré à tout moment, sans que cela ne remette en cause la licéité du traitement déjà effectué.

Ces droits s'exercent auprès de Centre Activité Physique Adaptée : contact@centreapa.fr

Vous pouvez également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), www.cnil.fr.

Sécurité

Les accès aux dossiers sont contrôlés côté serveur : un patient n'accède qu'à son propre dossier, et les fonctions d'administration sont réservées aux professionnels du centre. Les données sont hébergées chez un hébergeur certifié pour les données de santé, en France, et sauvegardées régulièrement.