Politique de confidentialité
Dernière mise à jour : 24 juillet 2026 — Version 1.1
Le Cabinet HYVIA Santé attache la plus grande importance à la confidentialité de vos données personnelles et au respect du secret médical (Article L.1110-4 du Code de la Santé Publique).
Ce document décrit la manière dont vos données sont collectées, utilisées et protégées, conformément au Règlement Général sur la Protection des Données (RGPD), à la Loi Informatique et Libertés, et au référentiel HDS de l'Agence du Numérique en Santé.
1. Responsable de traitement
Le responsable du traitement de vos données personnelles est :
- TG INVEST SAS et les SELARL médicales associées
- 37 rue de l'Hôpital Militaire, 59000 Lille
- Email : direction@hyvia-sante.fr
Délégué à la Protection des Données (DPO) : en cours de désignation (cabinet externe spécialisé santé). Coordonnées affichées dès finalisation.
2. Données collectées et finalités
| Type de traitement | Données concernées | Finalité | Base légale |
|---|---|---|---|
| Suivi médical | Identité, NIR, antécédents, motifs, ordonnances, biologie, imagerie | Consultation, soins, suivi | Art. 9.2.h RGPD (médecine préventive et soins) |
| Prise de rendez-vous (sync Doctolib) | Identité, motifs, RDV, agenda médecin référent | Centralisation gestion agenda | Art. 9.2.h + exécution contrat de soins |
| Pré-qualification téléphonique IA (HYVIA Call) | Audio appel, transcript, intent, identité (lookup tel) | Faciliter prise de RDV, orientation urgences | Art. 6.1.f intérêt légitime + Art. 9.2.h |
| Assistant vocal Zuri (réception d'appels) | Enregistrement de l'appel, transcription, identité déclarée, numéro appelant, motif d'appel et état de santé décrit par l'appelant | Répondre aux appels quand le secrétariat est indisponible, prendre le message et le motif, prendre ou modifier un rendez-vous, orienter vers la bonne personne | Art. 6.1.b (mesures prises à votre demande) + Art. 9.2.h (soins, par des professionnels tenus au secret) |
| Pré-admission en ligne | Identité, NIR, mutuelle, caisse, adresse, documents | Constitution dossier en amont consultation | Consentement (Art. 6.1.a et Art. 9.2.a) |
| Imagerie médicale (PACS) | Examens DICOM, comptes-rendus radiologiques | Lecture, archivage, partage avec médecins | Art. 9.2.h |
| Facturation | Acte, montant, mode paiement, identité | Honoraires, comptabilité | Obligation légale (Art. 6.1.c) |
3. Destinataires
Personnes habilitées en interne (équipe de soins, Art. L1110-12 CSP) :
- Médecins du cabinet HYVIA
- Secrétaires médicales
- Assistantes médicales
- Infirmières
- Direction (accès limité aux données nécessaires à la gestion)
Sous-traitants techniques agissant sur instruction du Cabinet HYVIA, encadrés par contrats de sous-traitance (Article 28 RGPD) :
- AZ Network (aznetwork.eu) — hébergement infogéré de la plateforme et sauvegardes (datacenters en France métropolitaine, hébergeur certifié HDS)
- Doctolib — gestion agenda en ligne (France, HDS)
- Amazon Web Services — inférence d'IA générative via Bedrock, région Paris
eu-west-3(France, certifié HDS) - Twilio — acheminement téléphonique des appels (région européenne, Irlande)
- Deepgram — transcription de la parole en texte, sur son point d'entrée européen, avec exclusion de l'utilisation de vos données pour l'amélioration de leurs modèles
- Microsoft Azure — synthèse de la voix, uniquement en secours : la voix de Zuri est produite par un logiciel installé sur le serveur français lui-même, et le texte qu'elle prononce ne sort pas de cet hébergement
- Infomaniak — stockage documents et messagerie (Suisse, KDrive Health HDS-équivalent)
- Pennylane — comptabilité (France)
Pour toute information complémentaire sur ces sous-traitants, écrivez à direction@hyvia-sante.fr.
4. Durée de conservation
- Dossier médical : 20 ans après le dernier acte (Article L1142-28 du Code de la Santé Publique)
- Documents comptables / facturation : 10 ans (Code de commerce L123-22)
- Enregistrement sonore des appels à Zuri : 7 jours, puis suppression automatique. Il ne sert qu'à contrôler que Zuri a bien compris et bien parlé.
- Transcription écrite de l'appel : 12 mois
- Message transmis au secrétariat : 24 mois. Ce qui est versé à votre dossier médical suit la durée du dossier (20 ans).
- Journal d'activité de l'appel en direct (affichage temps réel côté secrétariat) : 7 jours
- Enregistrement d'arrivée en borne d'accueil : effacement de la file d'attente sous 2 heures, puis suppression définitive en base sous 30 jours
- Logs d'audit accès dossier : 6 ans (référentiel HDS / ANS)
- Données candidats RH : 2 ans après dernier contact si pas d'embauche
5. Vos droits
Conformément aux articles 12 à 22 du RGPD, vous disposez des droits suivants concernant vos données :
- Droit d'accès (Art. 15) — connaître les données vous concernant
- Droit de rectification (Art. 16) — corriger des informations inexactes
- Droit à l'effacement (Art. 17) — sauf obligation légale de conservation médicale
- Droit à la limitation (Art. 18) — suspendre certains traitements
- Droit à la portabilité (Art. 20) — recevoir vos données dans un format structuré
- Droit d'opposition (Art. 21) — pour traitements à base d'intérêt légitime
- Droit de retirer votre consentement (Art. 7) — quand le traitement est basé sur consentement
- Droit de définir des directives sur vos données après votre décès (Loi I&L Art. 85)
Comment exercer vos droits ?
- Email : direction@hyvia-sante.fr
- Courrier : HYVIA Santé — Service DPO, 37 rue de l'Hôpital Militaire, 59000 Lille
- Délai de réponse : 1 mois (extensible 2 mois si demande complexe)
- Pièce d'identité requise pour vérification (joindre copie recto/verso)
En cas de désaccord, vous pouvez introduire une réclamation auprès de la CNIL : cnil.fr/fr/plaintes
6. Sécurité
Mesures techniques et organisationnelles mises en place pour protéger vos données (Article 32 RGPD) :
- Chiffrement au repos (base PostgreSQL hébergée en France, AES-256) et en transit (HTTPS / TLS 1.3)
- Authentification forte des soignants (fournisseur d'identité Keycloak opéré par le cabinet, MFA en cours de généralisation)
- Cloisonnement des accès par rôle et par établissement
- Journal d'audit des accès aux dossiers patients (en cours de déploiement)
- Sauvegardes régulières chiffrées
- Formation et engagement de confidentialité signés par tous les salariés
- Procédure de gestion des violations de données (notification CNIL sous 72h)
- Hébergement HDS certifié pour les données de santé
7. Transferts hors Union Européenne
Vos données médicales sont hébergées en France, sur une infrastructure dédiée opérée par AZ Network, hébergeur certifié HDS (datacenters en France métropolitaine). Le cabinet n'utilise plus de service d'hébergement Google Cloud / Firebase depuis le 23 juillet 2026.
Certains services techniques peuvent impliquer des transferts encadrés :
- Twilio — acheminement des appels, région européenne (Irlande)
- Deepgram — transcription de la parole, point d'entrée européen, contrat de sous-traitance signé prévoyant la résidence des données dans l'Espace économique européen
- Microsoft Azure (région France) — synthèse de la voix, en secours uniquement
- Infomaniak (Suisse) — décision d'adéquation européenne
Aucun transfert n'est effectué vers un pays sans garanties appropriées.
8. Cookies et traceurs
Le site hyvia-sante.fr utilise uniquement des cookies techniques nécessaires à son fonctionnement (authentification, session). Aucun cookie publicitaire ou analytique tiers n'est déposé sans votre consentement.
Vous pouvez configurer votre navigateur pour bloquer les cookies, mais certaines fonctionnalités (connexion à votre espace) pourraient ne plus fonctionner.
9. Décisions automatisées et IA
Zuri, notre assistante téléphonique. Lorsque vous appelez et que le secrétariat n'est pas disponible, votre appel peut être pris par Zuri, une assistante vocale qui fonctionne par intelligence artificielle. Elle vous le dit dès la première phrase, et vous prévient que l'appel est enregistré.
Vous pouvez demander une personne à tout moment : dites simplement « secrétaire », « humain » ou « personne », et Zuri vous met en relation ou fait rappeler.
Zuri ne pose aucun diagnostic et ne donne aucun avis médical. Elle prend votre message, peut fixer ou déplacer un rendez-vous, et transmet au secrétariat. En cas d'urgence vitale, elle vous oriente vers le 15 (SAMU) et reste en ligne avec vous. Aucune décision vous concernant n'est prise par la machine seule : un membre de l'équipe reprend la main.
Ce que vous dites est transmis au modèle d'intelligence artificielle tel quel, sans anonymisation — votre nom et votre motif d'appel en font partie, car ils sont nécessaires pour vous répondre et pour transmettre votre message. Ce traitement a lieu en France, sur la région Paris d'Amazon Web Services, hébergeur certifié pour les données de santé.
10. Modification de la politique
La présente politique peut être mise à jour pour refléter des évolutions légales ou techniques. La date de mise à jour est indiquée en haut de la page.
Pour toute modification substantielle, une information sera affichée sur la page d'accueil et envoyée par email aux patients enregistrés.
11. Contact
Pour toute question relative à cette politique ou à vos données :
- Email : direction@hyvia-sante.fr
- Courrier : HYVIA Santé — Service DPO, 37 rue de l'Hôpital Militaire, 59000 Lille