Politique de confidentialité

Avis général et informations obligatoires

Le responsable du traitement des données dans cette application et sur ce site web est : physiopass.eu Friederike Dethleff Am Schellbruch 34 23568 Lübeck Le responsable du traitement décide seul ou conjointement avec d’autres des finalités et des moyens du traitement des données à caractère personnel (par exemple noms, coordonnées, etc.).

Révocation du consentement au traitement des données

Certaines opérations de traitement des données ne sont possibles qu’avec le consentement explicite de la personne concernée. Un consentement déjà accordé peut être révoqué à tout moment. Une notification informelle par e-mail suffit pour la révocation. La licéité du traitement des données effectué jusqu’à la révocation n’est pas affectée par celle-ci. Droit de réclamation auprès de l’autorité de contrôle compétente : la personne concernée dispose d’un droit de réclamation auprès de l’autorité de contrôle compétente en cas de violation de la réglementation en matière de protection des données. L’autorité de contrôle compétente en matière de protection des données est le délégué à la protection des données du Land dans lequel se trouve le siège de notre entreprise. Le lien suivant fournit une liste des délégués à la protection des données ainsi que leurs coordonnées : https://www.bfdi.bund.de/DE/Infothek/Anschriften_Links/anschriften_links-node.html.

Droits de la personne concernée (Art. 15–22 RGPD)

Dans le cadre des dispositions légales en vigueur, la personne concernée dispose des droits suivants concernant ses données personnelles : Droit d’accès (Art. 15 RGPD) : la personne concernée peut demander à tout moment des informations gratuites sur les données personnelles la concernant qui sont stockées, leur origine, les destinataires et la finalité du traitement. Droit de rectification (Art. 16 RGPD) : la personne concernée peut demander la correction de données inexactes ou la complétion des données personnelles la concernant stockées chez nous. Droit à l’effacement (Art. 17 RGPD) : la personne concernée peut demander la suppression des données personnelles la concernant qui sont stockées, sauf si le traitement est nécessaire à l’exercice du droit à la liberté d’expression, au respect d’une obligation légale ou pour des raisons d’intérêt public. Droit à la limitation du traitement (Art. 18 RGPD) : la personne concernée peut demander la limitation du traitement de ses données personnelles si elle conteste l’exactitude des données, si le traitement est illicite, si nous n’avons plus besoin des données ou si elle s’est opposée au traitement. Droit à la portabilité des données (Art. 20 RGPD) : la personne concernée a le droit d’obtenir que les données que nous traitons de manière automatisée sur la base de son consentement ou en exécution d’un contrat lui soient remises ou soient remises à un tiers dans un format lisible par machine. Droit d’opposition (Art. 21 RGPD) : si des données personnelles sont traitées sur la base d’intérêts légitimes conformément à l’Art. 6 (1) lit. f du RGPD, la personne concernée a le droit de s’opposer au traitement conformément à l’Art. 21 du RGPD, en invoquant des motifs liés à sa situation particulière. Prise de décision automatisée (Art. 22 RGPD) : Aucune prise de décision automatisée, y compris le profilage, n’a lieu qui produirait des effets juridiques à l’égard de la personne concernée ou l’affecterait de manière significative de façon similaire. À ce sujet, ainsi que pour toute autre question relative aux données à caractère personnel, la personne concernée peut nous contacter à tout moment aux coordonnées indiquées dans les mentions légales.

Chiffrement SSL/TLS

Pour des raisons de sécurité et afin de protéger la transmission de contenus confidentiels envoyés par les utilisateurs, notre application et notre site web utilisent un chiffrement SSL ou TLS. Les données transmises via cette application ou ce site web ne sont ainsi pas lisibles par des tiers. Une connexion chiffrée se reconnaît à la ligne d’adresse "https://" du navigateur et au symbole du cadenas dans la barre du navigateur.

Fichiers journaux du serveur

Le fournisseur du site web collecte et stocke automatiquement dans les fichiers journaux du serveur des informations que le navigateur de l’utilisateur nous transmet automatiquement. Il s’agit de : page visitée sur notre domaine, date et heure de la requête du serveur, type et version du navigateur, système d’exploitation utilisé, URL de référence, nom d’hôte de l’ordinateur accédant, adresse IP. Ces données ne sont pas fusionnées avec d’autres sources de données. La base juridique du traitement des données est l’Art. 6 (1) lit. b du RGPD, qui autorise le traitement des données pour l’exécution d’un contrat ou de mesures précontractuelles.

Formulaire de contact

Les données transmises par le formulaire de contact, y compris les coordonnées de l’utilisateur, sont conservées afin de pouvoir traiter la demande ou être disponibles pour des questions complémentaires. Ces données ne sont pas transmises sans le consentement de l’utilisateur. Le traitement des données saisies dans le formulaire de contact s’effectue exclusivement sur la base de ce consentement (Art. 6 (1) lit. a du RGPD). Un consentement déjà accordé peut être révoqué à tout moment. Une notification informelle par e-mail suffit pour la révocation. La licéité des opérations de traitement des données effectuées jusqu’à la révocation n’est pas affectée par celle-ci. Les données transmises via le formulaire de contact restent en notre possession jusqu’à ce que l’utilisateur nous demande de les supprimer, qu’il révoque son consentement au stockage ou qu’il n’y ait plus de nécessité de conserver les données. Les dispositions légales impératives — notamment les délais de conservation — ne sont pas affectées. Le message est transmis par e-mail à l’adresse de contact indiquée dans les mentions légales. L’acheminement est effectué par Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, États-Unis, en qualité de sous-traitant, exclusivement aux fins de la transmission de l’e-mail. Le transfert de données vers les États-Unis s’effectue sur la base de clauses contractuelles types (CCT) conformément à l’art. 46, § 2, let. c du RGPD. Plus d’informations : https://resend.com/legal/privacy-policy.

Cookies et stockage local

L’application ne dépose aucun cookie. Les cookies sont une technologie du navigateur web et ne sont pas employés dans l’application. Aucun identifiant publicitaire ou de suivi du système d’exploitation (tel que l’IDFA sous iOS ou l’Advertising ID sous Android) n’est lu et aucun suivi entre terminaux n’a lieu. Le site web charge une balise de conversion Google Ads uniquement après un consentement exprès via la bannière d’information (Google Consent Mode v2). Jusque-là, ad_storage, ad_user_data, ad_personalization et analytics_storage restent réglés sur « denied » ; aucun cookie publicitaire n’est déposé. La fermeture de la bannière masque l’avis sans accorder ce consentement. Même sans consentement, le site web compte de manière agrégée combien de fois l’avis est accepté, refusé ou fermé et combien de fois un lien vers un store d’applications ou vers la console pour thérapeutes est cliqué. Pour cela, le navigateur envoie une requête propre à physiopass.eu qui contient uniquement le type d’événement et la langue de la page ; rien n’est enregistré sur l’appareil ni lu depuis celui-ci, la requête ne comporte aucun identifiant, et l’adresse IP, l’agent utilisateur et le référent ne sont ni lus ni enregistrés pour ce comptage. Le comptage n’est rattaché à aucune personne et sert uniquement à évaluer la portée et le taux de consentement du site web et de la publicité. L’hébergeur traite la requête techniquement comme toute autre requête de page (voir section 17). La bannière propose « Accepter » et « Refuser » avec la même importance ; le refus n’accorde rien. Les codes QR des stores sur le site web pointent vers des liens courts sur physiopass.eu (/go/ios, /go/android). Un scan est compté de manière anonyme et sans identifiant, puis redirigé vers le store avec une balise de campagne ; rien d’autre n’est lu ni enregistré. Le pixel de mesure OpenAI ne se charge lui aussi qu’après consentement et peut alors définir le cookie propriétaire __oppref pour attribuer un clic sur une publicité ChatGPT. Vercel Web Analytics ne se charge lui aussi qu’après consentement ; il s’agit d’un compteur de pages vues côté serveur, sans cookie, qui recueille des mesures pseudonymisées sur la page consultée, l’URL de provenance, la localisation approximative (pays/ville) ainsi que l’appareil, le système d’exploitation et le navigateur. L’espace de travail du cabinet sur app.physiopass.eu charge également Vercel Web Analytics uniquement après un consentement exprès via une option facultative dans l’espace de travail ; jusqu’alors le compteur n’est pas demandé. Ce consentement est stocké dans le stockage local de cette origine et ne s’applique pas à physiopass.eu, car les deux origines ne partagent pas le stockage local. Les paramètres de requête qui identifient un onglet, un programme, un exercice, un formulaire ou un objet similaire sont retirés avant l’envoi d’une vue de page.

Le site enregistre cinq entrées dans le stockage local (Web Storage) du navigateur. Ces données restent sur le terminal de l’utilisateur et ne sont transmises ni à nous ni à des tiers. physiopass_lang (localStorage, conservé jusqu’à sa suppression par l’utilisateur) enregistre la langue que l’utilisateur a expressément choisie via le sélecteur de langue ou un paramètre ?lang=, afin que le site s’affiche dans cette langue lors d’une visite ultérieure ; une langue uniquement détectée à partir des paramètres du navigateur n’est pas enregistrée. physiopass_lang_redirected (sessionStorage, supprimé à la fermeture de l’onglet du navigateur) indique qu’une redirection unique vers une version linguistique a déjà eu lieu dans cet onglet et empêche les redirections répétées. physiopass_consent (localStorage, conservé jusqu’à sa suppression par l’utilisateur) enregistre la date et l’heure de masquage de la bannière d’information, afin qu’elle ne soit pas affichée à chaque visite. physiopass_ads_consent (localStorage, conservé jusqu’à sa suppression par l’utilisateur) enregistre que la personne concernée a accepté la balise de conversion Google Ads et le pixel de mesure OpenAI, afin que la balise puisse être configurée lors d’une visite ultérieure. La simple fermeture de la bannière n’écrit pas cette entrée. physiopass_analytics_consent (localStorage, conservé jusqu’à sa suppression par l’utilisateur) enregistre que la personne concernée a accepté Vercel Web Analytics, afin que le compteur de pages vues puisse être chargé lors d’une visite ultérieure. La simple fermeture de la bannière n’écrit pas non plus cette entrée.

L’espace de travail du cabinet (app.physiopass.eu) stocke, sur sa propre origine, trois entrées dans le stockage local du navigateur. Ces données restent sur l’appareil de l’utilisateur et ne sont transmises ni à nous ni à des tiers. physiopass_analytics_consent (localStorage, conservé jusqu’à suppression par l’utilisateur) n’est écrit que si la personne concernée accepte Vercel Web Analytics sur l’espace de travail, afin que le compteur de vues de page puisse être chargé lors d’une visite ultérieure. Tant que cette entrée n’existe pas, le compteur n’est pas chargé. physiopass_recent_shares (localStorage, conservé jusqu’à suppression par l’utilisateur) enregistre, pour chaque personne connectée, les programmes partagés le plus récemment depuis l’espace de travail et le moment du partage, afin qu’ils puissent être partagés à nouveau. physiopass_share_default (localStorage, conservé jusqu’à suppression par l’utilisateur) enregistre, pour chaque personne connectée, le mode de partage utilisé en dernier (code QR, PDF, lien ou la feuille de partage de l’appareil), afin que ce mode soit présélectionné la fois suivante. Un consentement donné sur physiopass.eu ne s’applique pas à app.physiopass.eu, et inversement. Le seul lien est la mesure de la connexion : après une connexion, la console charge dans un cadre masqué une page vide de physiopass.eu. Aucune donnée du compte ne lui est transmise. Cette page applique le consentement accordé sur physiopass.eu : si le consentement publicitaire y a été accordé, elle signale à Google Ads qu'une connexion a eu lieu ; sinon, elle incrémente uniquement le comptage anonyme décrit dans cette section. En outre, la console thérapeute dépose un unique cookie propre, physiopass_ui_locale, uniquement lorsque l'utilisateur choisit une langue sur la page de connexion ou dans la console. Il conserve le code de la langue choisie pendant un an, afin que la console s'affiche dans cette langue lors de la visite suivante, y compris avant la connexion. Le navigateur l'envoie à notre serveur avec les requêtes de page ; il ne contient aucun identifiant et n'est pas transmis à des tiers. Une langue simplement détectée n'est pas enregistrée : pour choisir la langue initiale, la console lit les paramètres de langue du navigateur ainsi que le pays que l'hébergeur déduit de l'adresse IP et transmet dans un en-tête de requête ; ni l'un ni l'autre n'est conservé à cette fin.

L’application enregistre des données dans l’espace protégé de l’application sur le terminal. Ces données restent sur le terminal et ne sont accessibles qu’à l’application. Il s’agit précisément : (a) de la session de connexion, c’est-à-dire les jetons d’accès et de renouvellement émis par Supabase Auth, afin que l’utilisateur reste connecté après la fermeture de l’application ; (b) des réglages de l’application et de l’état de l’interface, à savoir la langue sélectionnée, le réglage du son et de la lecture automatique, les réglages des rappels d’entraînement (activés oui/non, heure, jours de la semaine), les filtres et vues de liste utilisés en dernier ainsi que l’indication des messages ponctuels déjà affichés ; (c) de l’état d’un entraînement en cours, c’est-à-dire les identifiants des exercices qu’il contient, la position actuelle et le nom du plan d’entraînement, afin qu’un entraînement interrompu puisse être repris ; (d) d’un cache de médias dans lequel les images et vidéos d’exercices déjà téléchargées sont stockées temporairement afin de réduire les temps de chargement et la consommation de données ; (e) des caches locaux des services utilisés (voir les sections 10, 11 et 13), tels que les rapports d’erreur non encore transmis et le dernier état d’abonnement connu ; et (f) d’une file d’attente des entraînements non enregistrés : si l’enregistrement d’un entraînement terminé dans la base de données échoue, l’entrée est conservée localement et retransmise ultérieurement. Chaque entrée se compose d’un identifiant de l’entraînement, des identifiants des exercices effectués, de l’identifiant et du nom du plan d’entraînement lorsque l’entraînement a été lancé à partir d’un plan, de l’endroit de l’application depuis lequel il a été lancé, de son heure de début ainsi que de l’identifiant d’utilisateur enregistré au début de l’entraînement. Une entrée est supprimée dès que l’entraînement a été enregistré avec succès et, en tout état de cause, au plus tard 30 jours après son heure de début. Les entrées ne sont pas supprimées lors de la déconnexion et peuvent donc rester présentes sur un terminal partagé lors d’une connexion ultérieure. En outre, (g) une copie hors ligne des contenus de l’utilisateur : pour que l’application puisse afficher quelque chose sans connexion internet, elle conserve sur l’appareil une copie des contenus du compte chargés en dernier, à savoir les exercices et programmes propres avec leurs textes, les favoris et les éléments récemment utilisés, un extrait du catalogue d’exercices ainsi que les résumés quotidiens d’activité affichés sur l’écran d’accueil (date, minutes et évaluation de l’humeur). Chaque liste est limitée à 50 entrées, les fichiers sont protégés par la protection des données de l’appareil, exclus des sauvegardes de l’appareil et remplacés à chaque nouveau chargement des contenus. La copie est supprimée lors de la déconnexion, lors de la suppression du compte et à toute autre fin de la session de connexion.

Les entrées de stockage strictement nécessaires, tant sur le site web que dans l’application, sont indispensables à la fourniture du service numérique expressément demandé par l’utilisateur et ne requièrent donc pas de consentement, conformément au § 25 al. 2 n° 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz ; dénommé TTDSG jusqu’au 14 mai 2024). L’avis affiché sur le site web recueille le consentement pour la balise de conversion Google Ads, le pixel de mesure OpenAI et Vercel Web Analytics conformément au § 25 al. 1 TDDDG et à l’Art. 6 (1) lit. a du RGPD si la personne concernée accepte. La fermeture de la bannière n’accorde pas ce consentement. Sur l’espace de travail du cabinet, Vercel Web Analytics n’est chargé qu’après un opt-in de la personne concernée (navigation ou Ma pratique) au titre du § 25 al. 1 TDDDG et de l’art. 6 (1) lit. a du RGPD ; jusqu’alors aucun compteur de pages n’est demandé. Ce consentement peut être retiré à tout moment sous Ma pratique. L’analyse produit dans l’application constitue une exception supplémentaire : la fonction d’analyse est désactivée au démarrage de l’application et n’est activée qu’après un consentement exprès ; ce consentement est recueilli conformément au § 25 al. 1 TDDDG et à l’Art. 6 (1) lit. a du RGPD et peut être retiré à tout moment dans les réglages de l’application (voir la section 11).

Le stockage local du navigateur peut être consulté et effacé dans tout navigateur moderne (paramètres, effacer les données de navigation ou les données de site). Si ces entrées sont supprimées ou bloquées, le site reste pleinement utilisable ; la langue doit alors être choisie à nouveau et l’avis réapparaît. Dans l’application, l’état d’un entraînement est supprimé une fois celui-ci terminé ou abandonné, et la session de connexion ainsi que la copie hors ligne des contenus sont supprimées lors de la déconnexion. Toutes les autres données stockées localement sont supprimées lorsque l’application est désinstallée ou que son stockage est vidé via les réglages système du terminal ; le cache de médias est en outre limité en taille et purgé périodiquement. Si ces données sont supprimées, l’application reste pleinement utilisable ; l’utilisateur doit alors se reconnecter et paramétrer à nouveau ses préférences.

Le fournisseur de la balise de conversion est Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande (voir également la section 14). Informations complémentaires : https://policies.google.com/privacy Le fournisseur du pixel de mesure OpenAI est OpenAI, Inc., États-Unis. Le transfert de données vers les États-Unis repose sur le cadre UE-États-Unis de protection des données et, lorsque cela est nécessaire, sur les clauses contractuelles types (CCT). Informations complémentaires : https://openai.com/policies/privacy-policy/ Le fournisseur de Vercel Web Analytics est Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, États-Unis. Le transfert de données vers les États-Unis repose sur les clauses contractuelles types (CCT) et sur la certification de Vercel au titre du cadre UE-États-Unis de protection des données (DPF). Informations complémentaires : https://vercel.com/legal/privacy-policy

Supabase (base de données, authentification, stockage)

Notre application utilise Supabase comme infrastructure backend. Le fournisseur est Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992 (infrastructure exploitée sur Amazon Web Services, AWS). Finalité : Supabase est utilisé pour l’authentification des utilisateurs (connexion par e-mail/mot de passe et connexion via un compte Google ou Apple, voir la section 14), le stockage des données (profils, exercices, activités, programmes d’entraînement, invitations) et le stockage de fichiers (vidéos, images). Données traitées : adresse e-mail, nom, rôle de l’utilisateur, programmes d’exercices, historique d’entraînement, fichiers multimédias téléchargés et, lorsque l’utilisateur a donné un consentement explicite, un score de douleur enregistré pour une activité. Base juridique : Art. 6 (1) lit. b du RGPD (exécution du contrat — le traitement est nécessaire pour fournir les fonctionnalités de l’application) pour les données de compte, d’exercices, d’activité et de médias. Un score de douleur est une donnée de santé au sens de l’Art. 9 du RGPD et n’est stocké que sur la base de l’Art. 9 (2) lit. a du RGPD (consentement explicite). Avant l’enregistrement d’un score de douleur, l’application affiche une feuille de consentement au moment de la saisie. L’utilisateur peut autoriser le stockage ou le refuser. Le refus n’enregistre rien ; les entraînements et les programmes continuent de fonctionner. Le consentement peut être retiré à tout moment dans Réglages → Confidentialité ; le retrait supprime les scores de douleur stockés. Les scores de douleur déjà stockés avant ce consentement restent masqués et ne sont pas traités tant que l’utilisateur ne les autorise pas ou ne les supprime pas. Si l’utilisateur ne répond pas, ces scores antérieurs sont supprimés à une date fixe, 90 jours après l’activation de la fonction. Le score de douleur n’est pas partagé avec le thérapeute. Localisation des données : UE (Francfort, Allemagne, AWS eu-central-1). Plus d’informations : https://supabase.com/privacy.

xAI / Grok API (Assistant IA « Jana »)

Notre application propose un assistant de kinésithérapie alimenté par l’IA appelé « Jana ». Le fournisseur est SpaceXAI LLC (« xAI »), une société établie aux États-Unis. Finalité : Répondre aux questions de santé de l’utilisateur à l’aide du modèle d’IA « Grok » de xAI. Données traitées : Seuls le texte de la question et un identifiant technique pseudonyme (sans nom ni adresse e-mail), qui permet à xAI d’attribuer une utilisation abusive de son service, sont transmis à l’API xAI, et seulement après que l’utilisateur a donné un consentement explicite sur une feuille affichée au moment de la question, avec l’avis de l’assistant. Physiopass ne stocke ni la question ni la réponse : le texte est conservé en mémoire uniquement pendant que cette feuille est ouverte, puis il est écarté. Pour ces requêtes, Physiopass utilise le mode de conservation zéro des données (Zero Data Retention) de xAI : xAI ne traite la question et la réponse que de manière transitoire afin de générer la réponse et les supprime dès que la réponse a été transmise, et en tout état de cause au plus tard une heure après le traitement de la requête. xAI ne conserve aucun journal, aucune sauvegarde ni aucune autre copie de ces données, y compris pour des raisons de sécurité ou des motifs légaux. xAI n’utilise pas les données soumises via l’API pour entraîner ses modèles. Le refus bloque toute question en texte libre adressée à Jana. Le consentement peut être retiré à tout moment dans Réglages → Confidentialité ; le retrait arrête les questions futures. Base juridique : Art. 9 (2) lit. a du RGPD (consentement explicite) pour la question de santé, avec l’Art. 6 (1) lit. a du RGPD pour le traitement associé. Transfert vers un pays tiers : Les données sont transférées vers les États-Unis et peuvent également être traitées dans d’autres pays où xAI et ses sous-traitants exercent leurs activités. Le transfert s’effectue sur la base de Clauses Contractuelles Types (CCT) conformément à l’Art. 46 (2) lit. c du RGPD, qui font partie de l’accord de traitement des données (Data Processing Addendum) de xAI. Plus d’informations : https://x.ai/legal/data-processing-addendum.

Saisie vocale : Le champ de la question peut être rempli par dictée. L’application utilise alors la reconnaissance vocale du système d’exploitation (Apple Speech sous iOS, le module de reconnaissance vocale de l’appareil sous Android), qui convertit le signal du microphone en texte. Lorsque la langue et l’appareil le permettent, la reconnaissance s’effectue sur l’appareil ; sinon, le fournisseur du système d’exploitation (Apple, Google ou le fabricant de l’appareil) peut traiter l’audio sur ses serveurs selon ses propres conditions de confidentialité. Physiopass ne reçoit ni ne stocke aucun audio et n’en transmet aucun à xAI : seul le texte reconnu apparaît dans le champ de la question et il n’est transmis à xAI que lorsque l’utilisateur envoie la question, sous réserve du consentement décrit ci-dessus. La dictée nécessite l’autorisation du microphone et, sous iOS, celle de la reconnaissance vocale ; toutes deux peuvent être retirées à tout moment dans les réglages de l’appareil, et la question peut toujours être saisie au clavier.

La même saisie vocale est également disponible dans les champs de texte servant à créer et à modifier des exercices et des programmes (nom, commentaire et étapes de l’exercice). La reconnaissance fonctionne comme décrit ci-dessus. Le texte reconnu apparaît dans le champ concerné et n’est enregistré dans la base de données de Physiopass, comme un texte saisi au clavier, que lorsque l’utilisateur enregistre l’exercice ou le programme ; il n’est pas transmis à xAI. Ici non plus, Physiopass ne reçoit ni ne conserve aucun enregistrement audio.

Suggestions d'exercices et images : après une réponse, la personne utilisatrice peut demander à Jana d'en tirer des suggestions d'exercices. Pour cela, le texte de cette réponse (et non la question de la personne utilisatrice) est transmis à xAI dans les mêmes conditions que ci-dessus (consentement, identifiant technique pseudonyme, Zero Data Retention) et renvoyé sous forme de suggestion structurée, que Physiopass vérifie avant de l'afficher. Rien n'est enregistré tant que la personne utilisatrice ne l'ajoute pas. Pour les personnes disposant d'un abonnement Pro, une image d'un exercice peut en outre être générée : seuls le nom, la position de départ et les premières étapes de cet exercice sont transmis au modèle d'images de xAI, sans nom, adresse e-mail ni autre identifiant de la personne utilisatrice, et xAI ne les traite que pour générer l'image. L'image est stockée dans la base de données de Physiopass comme une image importée, jusqu'à ce que la personne utilisatrice la supprime ou supprime son compte. Pour appliquer les limites quotidiennes, Physiopass enregistre pour chaque requête uniquement le type, le nombre de tokens et l'heure, sans contenu, jusqu'à la suppression du compte. Base juridique : art. 6, par. 1, point b), RGPD pour l'image ; les suggestions reposent sur le consentement décrit ci-dessus.

Sentry (rapports d’erreurs et de plantages)

Physiopass utilise Sentry pour détecter et résoudre les erreurs dans son application mobile et sa console pour thérapeutes (app.physiopass.eu). Le fournisseur est Functional Software, Inc. (Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, États-Unis. Finalité : détection d’erreurs, rapports de plantages et amélioration de la stabilité des applications. Données traitées : dans l’application mobile, informations sur l’appareil (modèle, système d’exploitation, version de l’application) ; dans la console pour thérapeutes, informations sur le navigateur, le système d’exploitation et la version de la console ; dans les deux applications, journaux d’erreurs (stack traces) et fils d’événements techniques assainis (breadcrumbs) précédant immédiatement l’erreur. Les captures d’écran et le replay de session (enregistrements d’écran) sont désactivés dans les deux applications ; aucun contenu d’écran, identifiant d’utilisateur, donnée de santé, contenu de programme ou d’utilisateur, corps de requête ou paramètre d’URL identifiant n’est transmis à Sentry. Ces données sont utilisées exclusivement pour le débogage et sont automatiquement supprimées au bout de 90 jours. Base juridique : Art. 6 (1) lit. f du RGPD (intérêt légitime à la stabilité et à la sécurité des applications). Transfert vers un pays tiers : Le transfert de données vers les États-Unis s’effectue sur la base de Clauses Contractuelles Types (CCT) et de la certification de Sentry dans le cadre du EU-US Data Privacy Framework (DPF). Plus d’informations : https://sentry.io/privacy/.

PostHog (analyse produit)

Nous utilisons PostHog pour analyser l’utilisation de l’application. Le fournisseur est PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, États-Unis. Les données sont traitées sur des serveurs de l’UE (eu.i.posthog.com, situés à Francfort, Allemagne). Finalité : Comprendre l’utilisation de l’application pour améliorer les fonctionnalités et l’expérience utilisateur. Données traitées : identifiant utilisateur pseudonymisé, rôle de l’utilisateur, version de l’application, plateforme, vues d’écran, interactions avec les éléments de l’interface. Aucune donnée de santé n’est collectée. Base juridique : Art. 6 (1) lit. a du RGPD (consentement explicite — le consentement de l’utilisateur est demandé lors de l’intégration). Le consentement peut être révoqué à tout moment dans les paramètres de l’application. Transfert vers un pays tiers : Aucun transfert vers un pays tiers n’a lieu — les données restent sur des serveurs de l’UE à Francfort. Durée de conservation : 12 mois. Plus d’informations : https://posthog.com/privacy.

Statistiques d’utilisation des programmes d’entraînement partagés

Les thérapeutes peuvent partager des programmes d’entraînement avec leurs utilisateurs par code QR, lien, PDF ou via la feuille de partage de l’appareil. Afin que le thérapeute puisse voir si un programme qu’il a partagé est utilisé et, si nécessaire, adapter la thérapie, nous établissons des statistiques hebdomadaires pour chaque programme partagé et les affichons dans le compte thérapeute à partir duquel il a été partagé. Chaque partage d’un programme (par exemple un code QR ou un lien) est considéré, pour ces statistiques, comme un programme partagé distinct.

Ce qui est compté. Pour chaque programme partagé, nous comptons : (1) le nombre de fois où il a été ouvert dans l’application ou consulté via son lien web ; (2) le nombre de fois où il a été importé dans l’application ou remis à un destinataire ; et (3) pour les entraînements lancés à partir de ce programme dans l’application, y compris lorsque l’application est utilisée sans compte, le nombre de séances commencées, le nombre de séances terminées et le nombre d’exercices effectués.

Modalités du comptage. Le comptage a lieu exclusivement sur nos serveurs. Les ouvertures et les consultations web sont comptées lorsque le programme est demandé à nos serveurs pour être affiché. Les nombres de séances et d’exercices sont déduits des enregistrements d’entraînement que l’application sauvegarde déjà pour fournir l’historique d’entraînement. Aucune donnée supplémentaire n’est envoyée depuis l’appareil de l’utilisateur pour ces statistiques, et aucune information n’est stockée sur l’appareil de l’utilisateur ni lue à partir de celui-ci à cette fin. Les compteurs contiennent uniquement le programme partagé, la semaine calendaire et le type d’événement. Ils ne contiennent ni nom, ni adresse e-mail, ni identifiant d’utilisateur ou de compte, ni identifiant d’appareil, ni adresse IP, ni aucun autre identifiant.

Protection contre l’identification des personnes. Les statistiques sont affichées uniquement par semaines calendaires fixes. Toute valeur comprise entre 0 et 4 est affichée sous la forme « <5 » au lieu du nombre exact, et tout total incluant une telle valeur n’est affiché que comme valeur minimale (par exemple « ≥12 »). Les nombres de séances et d’exercices d’un programme partagé ne sont affichés qu’une fois que ce programme partagé a été remis à au moins cinq destinataires différents. Pour vérifier ce seuil, nos serveurs comptent le nombre de destinataires différents ; seul ce nombre est utilisé et il n’est pas affiché. Ces règles sont appliquées sur nos serveurs avant qu’un chiffre ne quitte nos systèmes, et elles s’appliquent de la même manière à l’export sous forme de fichier CSV.

Destinataires. Les statistiques sont uniquement mises à la disposition du compte thérapeute à partir duquel le programme a été partagé. Elles ne sont pas communiquées aux employeurs, aux assureurs santé ni à d’autres tiers, et ne sont pas utilisées à des fins publicitaires. Les données sont stockées chez notre hébergeur Supabase (voir la section 8), qui agit en tant que sous-traitant pour notre compte.

Base juridique. Art. 6 (1) lit. f du RGPD. Notre intérêt légitime, ainsi que celui du thérapeute, consiste à permettre au thérapeute de voir si un programme qu’il a partagé est utilisé, afin qu’il puisse accompagner et adapter la thérapie, sans divulguer les données d’entraînement d’aucune personne en particulier. Dans la mesure où les nombres de séances et d’exercices sont déduits d’enregistrements d’entraînement stockés à l’origine pour fournir l’historique d’entraînement (Art. 6 (1) lit. b du RGPD), ce traitement ultérieur est compatible avec la finalité initiale au sens de l’Art. 6 (4) du RGPD : il concerne le même service et le programme fourni par le thérapeute, et seuls des nombres agrégés et masqués, sans identifiants, sont produits.

Droit d’opposition. La personne concernée peut s’opposer à tout moment à ce traitement (Art. 21 du RGPD). Le moyen le plus simple est l’option « M’exclure des statistiques d’utilisation » dans les paramètres de l’application, qui fonctionne également sans compte. À partir de ce moment, ses entraînements ne sont plus pris en compte dans ces statistiques. Elle peut également s’opposer par e-mail à l’adresse de contact indiquée dans les mentions légales ; si l’application est utilisée sans compte, il se peut que nous ne puissions pas identifier ses données à partir d’un seul e-mail (Art. 11 (2) du RGPD), c’est pourquoi il convient, dans ce cas, d’utiliser l’option de l’application. Lorsqu’un compte est supprimé, ses entraînements ne sont plus comptés. Les chiffres déjà établis ne contiennent aucun identifiant et ne peuvent plus lui être attribués (Art. 11 du RGPD).

Durée de conservation. Les compteurs hebdomadaires sont supprimés au bout de 12 mois. Les enregistrements d’entraînement sous-jacents sont conservés conformément à la section 16 (Durées de conservation des données).

RevenueCat (gestion des abonnements intégrés à l’application)

Nous utilisons RevenueCat pour traiter et gérer les abonnements intégrés à l’application. Le fournisseur est RevenueCat, Inc., 1032 E Brandon Blvd #3003, Brandon, FL 33511, États-Unis. Finalité : Gestion des abonnements intégrés, validation des achats auprès de l’App Store ou de Google Play et synchronisation du statut des droits d’accès (entitlements) entre les appareils de l’utilisateur. Données traitées : identifiant utilisateur pseudonymisé (App User ID ; il correspond à l’identifiant du compte Physiopass de l’utilisateur mais ne contient lui-même aucune donnée en clair), identifiants d’appareil et de boutique attribués par la plateforme, statut d’achat et d’abonnement (produit, début, expiration, renouvellement, résiliation, remboursement) ainsi que le pays du compte de la boutique. L’adresse e-mail, le nom et les données de santé ne sont pas transmis à RevenueCat. Les données de paiement (p. ex. données de carte) sont traitées exclusivement par Apple ou Google ; ni nous ni RevenueCat ne les recevons. RevenueCat nous retransmet les événements d’abonnement via une interface afin que nous puissions maintenir à jour le statut d’abonnement dans le compte de l’utilisateur. Le SDK est initialisé au démarrage de l’application afin qu’un abonnement existant puisse être reconnu sur tous les appareils de l’utilisateur. Base juridique : Art. 6 (1) lit. b du RGPD (exécution d’un contrat — le traitement est nécessaire pour fournir et facturer les fonctionnalités payantes et pour restaurer les achats). Transfert vers un pays tiers : Le transfert de données vers les États-Unis a lieu sur la base des Clauses Contractuelles Types (CCT) conformément à l’Art. 46 (2) lit. c du RGPD ; il n’existe pas de certification au titre de l’EU-US Data Privacy Framework (DPF). Conservation : les données d’abonnement et d’achat dans notre base de données jusqu’à la suppression du compte ; chez RevenueCat, pendant la durée de la relation contractuelle conformément au contrat de sous-traitance. Plus d’informations : https://www.revenuecat.com/privacy.

Connexion avec Google ou Apple

L’application propose la connexion via un compte Google ou Apple. Son utilisation est facultative ; la connexion par e-mail et mot de passe reste entièrement disponible. Si l’utilisateur choisit cette option, le système d’exploitation ouvre une fenêtre de connexion appartenant au fournisseur concerné ; les identifiants du compte du fournisseur y sont saisis exclusivement et ne nous parviennent à aucun moment. Les fournisseurs sont Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande, et Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irlande. Ces fournisseurs traitent l’opération de connexion en tant que responsables de traitement indépendants et non en tant que sous-traitants agissant pour notre compte ; ils apprennent à cette occasion que l’utilisateur s’est connecté à Physiopass, ainsi que le moment et l’appareil de la connexion. Données reçues : après une connexion réussie, nous recevons du fournisseur un identifiant permanent du compte du fournisseur, l’adresse e-mail et, lorsque le fournisseur les transmet, le prénom et le nom. Ces données sont associées au compte Physiopass et conservées comme les autres données du compte conformément à la section 8. Aucune autre donnée du compte du fournisseur, en particulier les contacts, les agendas ou les contenus enregistrés, n’est demandée ni transmise. Si l’utilisateur choisit l’option « Masquer mon adresse e-mail » d’Apple, Apple transmet une adresse de redirection générée par le fournisseur (@privaterelay.appleid.com) au lieu de l’adresse e-mail personnelle ; cette adresse constitue l’adresse e-mail du compte et est traitée comme telle. Base juridique : Art. 6, § 1, point b du RGPD (exécution d’un contrat — le traitement est nécessaire à la création et à l’utilisation du compte). Transfert vers un pays tiers : les parties contractantes sont les sociétés irlandaises mentionnées ci-dessus ; dans la mesure où les fournisseurs transfèrent des données vers les États-Unis, ils s’appuient sur les Clauses Contractuelles Types conformément à l’Art. 46, § 2, point c du RGPD ainsi que sur leur certification au titre de l’EU-US Data Privacy Framework. Conservation : le lien avec le compte du fournisseur subsiste jusqu’à la suppression du compte Physiopass. Informations complémentaires : https://policies.google.com/privacy et https://www.apple.com/legal/privacy.

Polices de caractères

Notre site web utilise la police Inter pour les titres et certains éléments de texte mis en avant, hébergée localement sur notre serveur web (auto-hébergement). Le corps de texte est affiché avec la police système déjà présente sur l’appareil de l’utilisateur ; aucun fichier de police n’est téléchargé à cette fin. Notre application utilise également la police système de l’appareil ; la police Lato intégrée localement dans l’application sert uniquement à la génération de fichiers PDF (export d’exercices). En aucun cas une connexion à des serveurs de polices externes (tels que Google Fonts) n’est établie. Par conséquent, aucune donnée n’est transmise à des tiers dans le cadre du chargement des polices.

Durées de conservation des données

Nous conservons les données personnelles uniquement aussi longtemps que nécessaire aux fins respectives : Données du compte utilisateur (e-mail, nom, rôle) : jusqu’à la suppression du compte. Données d’exercices et d’entraînement : jusqu’à la suppression du compte. Données d’activité : jusqu’à la suppression du compte. Scores de douleur : jusqu’à ce que l’utilisateur retire le consentement dans Réglages → Confidentialité, ce qui les supprime, ou jusqu’à la suppression du compte. Les scores de douleur stockés avant le consentement et restés sans réponse sont supprimés à la date fixe, 90 jours après l’activation de la fonction. Traces de consentement (la finalité, le fait qu’elle a été autorisée, la version de l’avis et le moment) : jusqu’à la suppression du compte. Données d’erreurs Sentry : 90 jours (suppression automatique). Données analytiques PostHog : 12 mois (serveurs UE). Statistiques d’utilisation des programmes d’entraînement partagés : 12 mois. Données d’abonnement et d’achat (RevenueCat) : jusqu’à la suppression du compte ; chez RevenueCat, pendant la durée de la relation contractuelle. Questions IA (xAI) : Physiopass ne stocke pas le texte de la question ; xAI le supprime dès que la réponse a été transmise (Zero Data Retention). Entrées techniques de journal pour Jana (modèle et nombre de jetons, sans la question ni la réponse) : 13 mois, et lors de la suppression du compte. Fichiers journaux du serveur : 7 jours. Données du formulaire de contact : jusqu’à la réalisation de la finalité ou jusqu’à la demande de suppression de l’utilisateur. Suppression du compte : l’utilisateur peut supprimer entièrement son compte et toutes les données associées à tout moment directement dans l’application, via la fonction « Supprimer le compte ». La suppression prend effet immédiatement et de manière irréversible : le compte et toutes les données associées (profil, exercices, programmes, données d’activité et de progression, ainsi que les images et vidéos téléversées) sont définitivement supprimés de nos systèmes et ne peuvent pas être restaurés. La suppression peut également être demandée à tout moment de manière informelle par e-mail. Les éventuelles obligations légales de conservation impératives restent inchangées.

Sous-traitants et délégué à la protection des données

Les sous-traitants suivants sont utilisés pour fournir nos services : Supabase Inc. (base de données, authentification, stockage) — UE (Francfort), AWS eu-central-1. SpaceXAI LLC / xAI (assistant IA) — États-Unis et autres pays, Clauses Contractuelles Types (CCT). Functional Software, Inc. / Sentry (rapports d’erreurs) — États-Unis, CCT + EU-US DPF. PostHog, Inc. (analyse produit) — UE (Francfort), pas de transfert vers un pays tiers. RevenueCat, Inc. (gestion des abonnements intégrés) — États-Unis, Clauses Contractuelles Types (CCT). Apple Inc. / Google LLC (distribution de l’app via App Store / Google Play) — États-Unis, politiques de confidentialité propres aux plateformes. Google Ireland Limited et Apple Distribution International Ltd. (connexion via un compte Google ou Apple, voir la section 14) — Irlande ; à cet égard ces fournisseurs agissent en tant que responsables de traitement indépendants et non en tant que sous-traitants. Plus Five Five, Inc. / Resend (acheminement des e-mails du formulaire de contact) — États-Unis, clauses contractuelles types (CCT). Vercel Inc. (Vercel Web Analytics) — États-Unis, Clauses Contractuelles Types (CCT) + EU-US DPF. Délégué à la protection des données : La désignation d’un délégué à la protection des données n’est pas obligatoire pour notre exploitation conformément à l’Art. 37 du RGPD. Pour toute question relative à la protection des données, il convient de s’adresser au responsable indiqué à la section 1.

Listes d’attente pour les cabinets (console du thérapeute)

La console du thérapeute (app.physiopass.eu) propose aux cabinets activés une liste d’attente pour les patients qui attendent un rendez-vous libéré. Le cabinet qui tient la liste (le titulaire de la liste) est responsable des données de patients qui y sont enregistrées. Physiopass traite ces données pour son compte en tant que sous-traitant (art. 28 RGPD) sur la base d’un contrat de sous-traitance. La base juridique du côté du cabinet est la relation de soins (art. 6, par. 1, point b, et art. 9, par. 2, point h, RGPD).

Données enregistrées. Par entrée : nom, ordonnance, nombre de séances, urgence, période et conditions horaires souhaitées, préférences de thérapeute, numéros de téléphone, notes ainsi que rendez-vous déjà convenus ou attribués via la liste. Il est également enregistré quel membre a créé et modifié en dernier une entrée. Les données sont hébergées chez Supabase (UE, Francfort, voir section 8). Seuls les membres de la liste concernée y ont accès.

Partage de la liste. Le titulaire peut inviter des collègues par e-mail. L’adresse e-mail de la personne invitée est conservée jusqu’à l’acceptation, le retrait ou l’expiration de l’invitation (14 jours) et envoyée via le service d’e-mail Resend. Elle est ensuite supprimée. Les membres d’une liste voient le nom et l’adresse e-mail des autres membres.

Dictée. Lors de la dictée, l’enregistrement n’est transmis qu’après avoir appuyé sur le bouton d’enregistrement et uniquement pour cette action, à notre serveur puis à xAI (États-Unis, voir section 9) pour transcription et analyse. xAI traite les données sans les conserver (Zero Data Retention). Physiopass ne conserve ni l’enregistrement ni la transcription. Afin de limiter l’utilisation, seul un enregistrement de comptage avec l’heure, la durée, la taille du fichier et le résultat (sans contenu) est conservé par dictée. Les modifications proposées ne sont appliquées à l’entrée qu’après confirmation de l’utilisateur.

Calendrier du cabinet. Les cabinets dont la console est en allemand peuvent tenir un calendrier de rendez-vous à côté de la liste. Sont enregistrés un répertoire commun des patients (nom, numéros de téléphone, note), les rendez-vous (patient, thérapeute, début et fin, soin, statut et, le cas échéant, motif de l’annulation), les séries de rendez-vous, les absences des thérapeutes ainsi que des informations issues des prescriptions médicales de soins (date d’émission, urgence, soins, unités de traitement, fréquence, groupe diagnostique, code CIM-10, visite à domicile, rapport de thérapie, organisme payeur). Le groupe diagnostique et le code CIM-10 sont des données de santé (art. 9 RGPD). La responsabilité, la base juridique, le lieu de stockage et l’accès sont ceux décrits ci-dessus. Les rendez-vous passés sont conservés sans limite, sauf si le titulaire de la liste fixe une durée plus courte (en mois) dans les réglages du calendrier ; les rendez-vous terminés depuis plus longtemps que cette durée sont alors supprimés automatiquement chaque jour.

Conservation. Les entrées archivées sont supprimées automatiquement 360 jours après leur archivage ; chaque entrée peut être supprimée à tout moment. Si le compte du titulaire est supprimé, toute la liste, avec toutes ses entrées, ses rendez-vous et ses invitations, est supprimée et les autres membres perdent l’accès. Si le compte d’un membre est supprimé, son accès prend fin ; les entrées qu’il a créées restent dans la liste.

Dernière mise à jour : octobre 2026