Politique de Confidentialité - Alma

Version 2.0 Date d'entrée en vigueur : 23 novembre 2025 Dernière mise à jour : 23 novembre 2025

1. IDENTITÉ DU RESPONSABLE DE TRAITEMENT

Nom de l'entité : Alma Siège social : [Adresse à compléter] Email : privacy@psy.app Délégué à la Protection des Données (DPO) : dpo@psy.app

Alma est une plateforme numérique de soutien psychologique basée sur les thérapies cognitivo-comportementales (TCC) et la thérapie d'acceptation et d'engagement (ACT).

2. DONNÉES PERSONNELLES COLLECTÉES

2.1 Données collectées directement

Pour les PATIENTS :

Pour les THÉRAPEUTES :

2.2 Données générées automatiquement

3. FINALITÉS ET BASES LÉGALES DU TRAITEMENT

Finalité Base légale (RGPD) Données concernées
Fourniture du service thérapeutique Consentement explicite (Art. 9.2.a) Toutes données de santé
Détection et prévention des crises Intérêt vital de la personne (Art. 9.2.c) Messages, niveau de risque
Suivi thérapeutique par le professionnel Consentement explicite (Art. 9.2.a) Historique des séances, données cliniques
Amélioration du service (recherche) Consentement spécifique (Art. 9.2.a) Données pseudonymisées uniquement
Conformité légale et sécurité Obligation légale (Art. 6.1.c) Journaux d'audit, traçabilité
Authentification et accès Exécution du contrat (Art. 6.1.b) Identifiants, JWT tokens

Important : Le traitement de données de santé (catégorie particulière au sens de l'article 9 du RGPD) nécessite votre consentement explicite, qui vous sera demandé lors de votre première connexion. Vous pouvez retirer ce consentement à tout moment.

4. DESTINATAIRES DES DONNÉES

4.1 Accès interne

4.2 Sous-traitants (Processeurs de données)

OVH (France) - Hébergement

OpenAI (États-Unis) - Intelligence Artificielle

4.3 Aucune vente de données

Nous ne vendons JAMAIS vos données à des tiers. Aucune donnée n'est partagée à des fins publicitaires ou commerciales.

5. DURÉE DE CONSERVATION

Type de données Durée de conservation Base légale
Données de santé (séances actives) Durée de la prise en charge + 3 ans Obligation légale médicale (Code de la santé publique L.1111-7)
Données de santé (compte inactif) 3 ans après dernière connexion, puis anonymisation Minimisation des données (RGPD Art. 5.1.e)
Données d'authentification Durée du compte + 1 an Sécurité et traçabilité
Journaux d'audit 3 ans Obligation légale (HDS)
Consentements Durée du compte + 3 ans Preuve du consentement (RGPD Art. 7.1)
Données de recherche Indéfiniment (pseudonymisées) Intérêt scientifique (RGPD Art. 89)

Suppression automatique

Un processus automatisé vérifie mensuellement les comptes inactifs depuis plus de 3 ans et procède à : 1. Anonymisation des données cliniques (suppression des identifiants) 2. Conservation des statistiques agrégées uniquement 3. Notification du thérapeute

6. VOS DROITS (RGPD)

Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants :

6.1 Droit d'accès (Art. 15)

Obtenez une copie de toutes vos données personnelles. Comment : Email à privacy@psy.app ou bouton "Exporter mes données" dans l'application

6.2 Droit de rectification (Art. 16)

Corrigez des données inexactes ou incomplètes. Comment : Via l'application ou demande à votre thérapeute

6.3 Droit à l'effacement / "droit à l'oubli" (Art. 17)

Demandez la suppression de vos données (sauf obligations légales). Délai : Sous 30 jours Procédure : Demande écrite à privacy@psy.app avec justificatif d'identité Exceptions : - Conservation obligatoire pour conformité légale (3 ans) - Données nécessaires pour constater/exercer/défendre droits en justice

6.4 Droit à la portabilité (Art. 20)

Récupérez vos données dans un format structuré (JSON/CSV). Comment : Bouton "Exporter mes données" (export JSON)

6.5 Droit d'opposition (Art. 21)

Opposez-vous au traitement de vos données (sauf base légale impérative). Applicable à : Recherche, statistiques anonymisées

6.6 Droit à la limitation du traitement (Art. 18)

Demandez le gel temporaire du traitement (en cas de contestation).

6.7 Droit de retirer votre consentement (Art. 7.3)

Retirez votre consentement à tout moment (arrêt du service). Comment : Paramètres > Consentements > Révoquer

6.8 Droit de définir des directives post-mortem (Art. 40 ter Loi Informatique et Libertés)

Définissez le sort de vos données après votre décès. Comment : Email à privacy@psy.app

6.9 Droit d'introduire une réclamation (Art. 77)

Si vous estimez que vos droits ne sont pas respectés : CNIL (France) : 3 Place de Fontenoy, 75007 Paris Téléservice : https://www.cnil.fr/fr/plaintes

Délais de réponse

7. SÉCURITÉ DES DONNÉES

7.1 Mesures techniques

Chiffrement

Contrôle d'accès

Protection réseau

7.2 Mesures organisationnelles

7.3 Notification de violation

En cas de violation de données (fuite, accès non autorisé), nous nous engageons à : 1. Notification CNIL : Sous 72 heures (Art. 33 RGPD) 2. Notification utilisateurs : Sous 72 heures si risque élevé (Art. 34 RGPD) 3. Mesures correctives : Analyse de l'incident, correction de la faille, renforcement

Contact urgence : security@psy.app

8. TRANSFERTS INTERNATIONAUX

Transfert vers les États-Unis (OpenAI)

9. COOKIES ET TECHNOLOGIES SIMILAIRES

9.1 Cookies utilisés

Alma n'utilise PAS de cookies de suivi ou publicitaires.

Seuls des éléments de stockage local sont utilisés :

Type Nom Finalité Durée Base légale
JWT Token Stockage local navigateur/app Authentification 24h Strictement nécessaire (Art. 6.1.b)
Préférences UI localStorage Langue, thème, paramètres Permanent (jusqu'à suppression app) Consentement implicite

9.2 Pas de tracker tiers

Si vous souhaitez supprimer les données locales : - Web : Vider le cache navigateur - Mobile : Désinstaller l'application

10. DROITS SPÉCIFIQUES DES MINEURS

Protection renforcée (Art. 8 RGPD)

11. ANALYSE D'IMPACT (AIPD)

Conformément à l'article 35 du RGPD, une Analyse d'Impact relative à la Protection des Données (AIPD) a été réalisée pour Alma en raison du traitement de données de santé à grande échelle.

Résultats : - Risques identifiés : Accès non autorisé, fuite de données, profilage abusif - Mesures d'atténuation : Chiffrement, audit, limitation d'accès, pseudonymisation - Risque résiduel : Faible - Avis DPO : Favorable avec recommandations appliquées

Document complet disponible sur demande à dpo@psy.app.

12. REGISTRE DES ACTIVITÉS DE TRAITEMENT

Conformément à l'article 30 du RGPD, Alma tient un registre des activités de traitement documentant : - Finalités de chaque traitement - Catégories de données - Catégories de destinataires - Durées de conservation - Mesures de sécurité

Document disponible sur demande à dpo@psy.app.

13. MODIFICATIONS DE LA POLITIQUE

Notification des changements

Acceptation des modifications

Votre utilisation continue du service après notification vaut acceptation des modifications. Si vous refusez, vous pouvez demander la suppression de votre compte.

14. CONTACT ET RÉCLAMATIONS

Contact général

Email : privacy@psy.app Réponse sous : 5 jours ouvrés

Délégué à la Protection des Données (DPO)

Email : dpo@psy.app Rôle : Conseiller et contrôler la conformité RGPD

Autorité de contrôle

CNIL (Commission Nationale de l'Informatique et des Libertés) Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 Téléphone : +33 1 53 73 22 22 Site web : https://www.cnil.fr Formulaire plainte : https://www.cnil.fr/fr/plaintes

15. ENGAGEMENT DE TRANSPARENCE

Alma s'engage à : - ✅ Ne jamais vendre vos données - ✅ Respecter scrupuleusement le secret médical - ✅ Limiter l'accès aux données au strict nécessaire - ✅ Vous informer de tout changement substantiel - ✅ Répondre à vos demandes sous 30 jours - ✅ Notifier toute violation sous 72 heures - ✅ Maintenir la certification HDS (en cours)

16. GLOSSAIRE

Dernière révision : 23 novembre 2025 Version : 2.0 Document contrôlé par : DPO Alma

Pour toute question relative à cette politique : privacy@psy.app