Politique de confidentialité
Dernière mise à jour :
Ce que nous savons de vous, pourquoi, combien de temps, et qui d'autre le voit. Rien de ce qui suit n'est facultatif à lire : c'est le contrat que nous nous imposons.
En bref
- Votre dossier médical appartient à votre médecin, pas à la plateforme. Chaque praticien ne voit que ses propres patients : le cloisonnement est imposé par la base de données elle-même, pas seulement par l'application.
- La consultation vidéo n'est jamais enregistrée — ni l'image, ni le son. La salle est détruite à la fin de la consultation.
- Aucune donnée de santé n'est envoyée par SMS : ni motif, ni diagnostic, ni document. Un SMS ne contient qu'un rendez-vous, un code ou un lien.
- Nous ne vendons rien, ne profilons personne, et n'affichons aucune publicité. Le site ne dépose aucun traceur publicitaire.
- Vos données sont chiffrées au repos comme en transit, et hébergées en France chez un hébergeur certifié pour les données de santé.
Qui est responsable de vos données
Deux responsabilités coexistent, et il est important de ne pas les confondre.
- Votre médecin est responsable de votre dossier médical : motif, questionnaire de santé, compte rendu, ordonnances, documents que vous lui transmettez. Il en est le seul destinataire, il est tenu au secret médical.
- L'éditeur du site (Julien Gozlan, voir les mentions légales) est responsable du fonctionnement de la plateforme : votre compte, la prise de rendez-vous, le paiement, la sécurité et la traçabilité des accès.
Cette répartition est en cours de formalisation juridique entre les praticiens de la plateforme. Elle sera précisée ici dès qu'elle sera arrêtée.
Ce que nous collectons, et pourquoi
| Données | Pourquoi | Base légale |
|---|---|---|
| Numéro de mobile | Vous identifier sans mot de passe, vous envoyer les codes et les rappels | Exécution du contrat |
| Identité et coordonnées | Constituer votre dossier chez le médecin, établir vos documents | Exécution du contrat |
| Numéro de sécurité sociale (facultatif) | Établir la feuille de soins qui vous permet d'être remboursé. Sans lui, la consultation a lieu normalement, mais aucune feuille de soins n'est émise | Obligation légale et gestion des soins |
| Motif, questionnaire de santé, documents envoyés | Permettre au médecin de vous soigner | Article 9.2.h du RGPD — médecine préventive, diagnostic et soins |
| Compte rendu, ordonnances, documents émis | Votre dossier médical et votre suivi | Article 9.2.h du RGPD et obligations du médecin |
| Paiement | Encaisser les honoraires. Votre numéro de carte est saisi chez notre prestataire de paiement et ne transite jamais par nos serveurs | Exécution du contrat, obligations comptables |
| Journaux techniques et journal des accès | Sécurité : savoir qui a ouvert quel dossier, et détecter un accès anormal | Article 32 du RGPD — obligation de sécurité |
Qui d'autre y a accès
Votre dossier médical n'est accessible qu'à votre médecin. Les prestataires ci-dessous interviennent sur des parties précises du service, sous contrat, sans droit d'utiliser vos données à leurs propres fins.
| Prestataire | Rôle | Lieu | Garanties |
|---|---|---|---|
| DINUM / IGN — Base Adresse Nationale | Aide à la saisie de l'adresse postale | France | Service public gratuit (api-adresse.data.gouv.fr). Interrogé directement par votre navigateur pendant que vous tapez votre adresse ; aucun compte, aucun cookie, aucun traceur. Le champ reste libre : les adresses proposées ne sont qu'une commodité. |
| Amazon Web Services EMEA SARL | Hébergement du site, de la base de données et des documents | France (région Paris), Luxembourg pour le contrat | Certification HDS, chiffrement au repos et en transit |
| Stripe Payments Europe, Limited | Encaissement des honoraires et empreinte de carte bancaire | Irlande | Établissement de paiement agréé — Totodoc ne voit jamais votre numéro de carte, qui est saisi directement chez Stripe |
| OVH SAS | Envoi des SMS (code de connexion, confirmation, rappels) | France | Aucune donnée de santé n'est jamais placée dans un SMS |
| Pluot Communications, Inc. (Daily) | Transport du flux vidéo de la téléconsultation | États-Unis (société) — flux imposés en Union européenne (Francfort) par configuration | Aucun enregistrement : la vidéo et le son ne sont ni stockés ni conservés, la salle est détruite à la fin de la consultation |
| Telegram | Alerte immédiate du médecin lors d'une nouvelle demande — le message comporte votre nom et le motif indiqué | Hors Union européenne | Message limité au strict nécessaire pour que le médecin vous prenne en charge ; aucun compte rendu, aucun document |
Transferts hors de l'Union européenne
Deux prestataires relèvent de sociétés situées hors de l'Union européenne. Les transferts sont encadrés par les clauses contractuelles types de la Commission européenne, et réduits au minimum :
- la vidéo transite par une société américaine, mais les flux sont contraints par configuration à rester en Union européenne (Francfort), et ne sont jamais enregistrés ;
- l'alerte envoyée au médecin lorsqu'une consultation est demandée comporte votre nom et le motif que vous avez indiqué. Elle emprunte une messagerie non européenne. Ce point est assumé et documenté ; il sera revu.
Combien de temps nous les gardons
| Données | Durée | Fondement |
|---|---|---|
| Dossier médical (compte rendu, ordonnances, questionnaire) | 20 ans à compter de la dernière consultation | Article R.1112-7 du code de la santé publique |
| Pièces comptables et justificatifs de paiement | 10 ans | Article L.123-22 du code de commerce |
| Compte patient et coordonnées | Jusqu'à votre demande de suppression, et au plus 3 ans après votre dernière consultation | Durée de gestion |
| Codes de connexion à usage unique | 10 minutes | Durée technique |
| Journal des accès aux dossiers | 3 ans | Traçabilité — obligation de sécurité, art. 32 RGPD |
Un dossier médical ne peut pas être effacé à la demande : la loi impose de le conserver. Vous pouvez en revanche demander la suppression de votre compte et de vos coordonnées.
Comment nous les protégeons
- Hébergement en France, chez un hébergeur certifié pour les données de santé.
- Chiffrement des données sensibles au repos, et de toutes les communications en transit.
- Cloisonnement entre praticiens imposé par la base de données elle-même : un médecin ne peut pas lire le dossier d'un patient qui n'est pas le sien, même en cas d'erreur de programmation.
- Connexion par code à usage unique valable dix minutes, sans mot de passe à retenir ni à se faire voler.
- Journal des accès inaltérable : chaque entrée reprend l'empreinte de la précédente, si bien qu'une ligne retirée se verrait immédiatement.
- Aucun enregistrement de la consultation vidéo.
Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données, dans les limites rappelées ci-dessus pour le dossier médical.
La suppression de votre compte est possible directement depuis votre espace patient (bouton « Supprimer mon compte ») : elle coupe la connexion, les SMS et les e-mails. Vos dossiers médicaux restent conservés par vos praticiens, qui en sont responsables et que la loi oblige à les conserver (art. R.1112-7 du Code de la santé publique) ; adressez-vous à eux pour les droits portant sur ces dossiers.
- Pour vos données médicales, adressez-vous à votre médecin : c'est lui qui les détient. Vos documents sont par ailleurs téléchargeables à tout moment depuis votre espace patient.
- Pour votre compte et vos coordonnées, écrivez à contact@totodoc.fr.
Nous répondons dans un délai d'un mois. Une pièce d'identité peut vous être demandée si un doute existe sur votre identité — c'est une protection, pas un obstacle.
Délégué à la protection des données
La désignation d'un délégué à la protection des données est en cours. En attendant, écrivez à contact@totodoc.fr : vos demandes sont traitées dans le délai d'un mois prévu par le RGPD.
Réclamation
Si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.
Cookies
Ce site ne dépose que les cookies strictement nécessaires à son fonctionnement : celui qui maintient votre session le temps de votre visite, et celui qui protège les formulaires contre les envois frauduleux. Ils ne servent ni à la mesure d'audience, ni à la publicité, ni au profilage.
Ces cookies-là ne demandent pas votre consentement : sans eux, le site ne fonctionne pas. Nous n'en déposons aucun autre. Si cela devait changer, un consentement vous serait demandé, refusable aussi facilement qu'acceptable.
Une question sur cette page ? Écrivez à contact@totodoc.fr.