Politique de confidentialité

1. Objet de la politique

La présente Politique de confidentialité a pour objet d’informer les utilisateurs du site tracepui.com et du service TracePUI sur les traitements de données personnelles susceptibles d’être réalisés dans le cadre de l’accès au site, des échanges avec l’éditeur et de l’utilisation du service.

TracePUI est une solution destinée à faciliter la traçabilité logistique des transports de produits de santé, notamment entre une pharmacie à usage intérieur, des chauffeurs et des services de soins.

TracePUI n’a pas vocation à collecter des données nominatives de patients. Les utilisateurs doivent s’abstenir de saisir dans l’application toute information permettant d’identifier directement ou indirectement un patient, sauf cadre contractuel spécifique validé avec l’établissement client et conforme aux exigences applicables.

2. Responsable de traitement

Pour le site public tracepui.com, le responsable de traitement est :

Pierre Sabatier

Personne physique

Adresse postale : [ADRESSE POSTALE COMPLÈTE À COMPLÉTER]

Email de contact : contact@tracepui.com

Email RGPD : rgpd@tracepui.com

Pour les traitements réalisés dans le cadre de l’utilisation de l’application TracePUI par un établissement client, l’établissement client demeure en principe responsable de traitement pour les données qu’il saisit, configure ou exploite dans l’application.

Dans ce cadre, TracePUI agit en qualité de sous-traitant au sens du RGPD, selon les instructions documentées de l’établissement client et conformément au contrat conclu avec celui-ci.

3. Délégué à la protection des données

Aucun délégué à la protection des données n’a été désigné à ce jour.

Pour toute demande relative à la protection des données personnelles, les personnes concernées peuvent écrire à :

rgpd@tracepui.com

4. Données personnelles susceptibles d’être collectées

Selon l’usage du site ou du service, les catégories de données suivantes peuvent être traitées :

Données de contact : - nom ; - prénom ; - adresse email ; - établissement ou organisation ; - fonction ; - contenu du message transmis via email ou formulaire.

Données professionnelles des utilisateurs : - nom ; - prénom ; - adresse email professionnelle ; - établissement ; - service ; - rôle ou profil utilisateur ; - droits d’accès ; - historique des actions réalisées dans l’application.

Données applicatives de traçabilité : - numéro de caisse ; - identifiant ou QR code de transport ; - service expéditeur ; - service destinataire ; - statut du transport ; - horodatages de prise en charge, dépôt, livraison ou retour ; - anomalies logistiques déclarées ; - commentaires ou observations non nominatives ; - identité professionnelle ou identifiant de l’utilisateur ayant réalisé une action.

Données techniques : - adresse IP ; - logs de connexion ; - type de navigateur ; - terminal utilisé ; - horodatages ; - événements de sécurité ; - informations nécessaires au diagnostic technique, à la maintenance et à la protection du service.

TracePUI ne demande pas la saisie de données nominatives de patients, telles que le nom, le prénom, la date de naissance, le numéro de séjour, l’IPP, le NIP, une prescription nominative ou toute autre information permettant d’identifier directement un patient.

5. Finalités des traitements

Les données personnelles peuvent être traitées pour les finalités suivantes :

- répondre aux demandes de contact ; - organiser une présentation ou une démonstration du service ; - gérer les échanges précontractuels et contractuels ; - créer et gérer les comptes utilisateurs ; - fournir l’accès au service TracePUI ; - permettre la traçabilité logistique des transports ; - sécuriser les accès ; - assurer la maintenance, la supervision et l’amélioration du service ; - détecter, prévenir et corriger les erreurs techniques ou incidents de sécurité ; - respecter les obligations légales, contractuelles ou réglementaires applicables.

6. Bases légales des traitements

Selon les cas, les traitements reposent sur les bases légales suivantes :

- l’exécution de mesures précontractuelles, notamment lorsqu’une personne contacte TracePUI pour obtenir des informations ou une démonstration ; - l’exécution d’un contrat, notamment pour fournir le service à un établissement client ; - l’intérêt légitime de l’éditeur à répondre aux demandes, sécuriser le site, améliorer le service et assurer son bon fonctionnement ; - le respect d’obligations légales, notamment en matière administrative, comptable ou de sécurité ; - le consentement de l’utilisateur lorsque celui-ci est requis, notamment pour certains cookies ou traceurs non essentiels.

7. Destinataires des données

Les données personnelles sont accessibles uniquement aux personnes et prestataires habilités, dans la limite de ce qui est nécessaire à leurs missions.

Peuvent notamment être destinataires des données :

- l’éditeur du site ; - les utilisateurs habilités au sein de l’établissement client ; - les prestataires techniques nécessaires au fonctionnement, à l’hébergement, à la sécurité ou à l’envoi d’emails ; - les autorités administratives ou judiciaires lorsque la loi l’exige.

8. Sous-traitants et prestataires techniques

TracePUI peut recourir aux prestataires techniques suivants :

Cloudflare : - hébergement du site public via Cloudflare Pages ; - gestion DNS ; - diffusion du site ; - cache ; - sécurité réseau ; - protection contre certains abus ; - traitement possible d’adresses IP, de logs techniques, de métadonnées de trafic et d’événements de sécurité.

Supabase : - base de données ; - authentification ; - backend applicatif ; - traitement possible de comptes utilisateurs, données applicatives et données techniques.

Resend : - envoi d’emails transactionnels ; - traitement possible d’adresses email, de contenus d’emails techniques et de métadonnées d’envoi.

Microsoft / Outlook / Hotmail : - réception et gestion des emails redirigés depuis les adresses publiques de contact ; - traitement possible des noms, adresses email, contenus de messages et pièces jointes transmis volontairement par les utilisateurs.

La liste des sous-traitants peut évoluer en fonction des besoins techniques, de sécurité, d’hébergement ou de fonctionnement du service.

9. Transferts hors Union européenne

Certains prestataires techniques utilisés par TracePUI peuvent être établis en dehors de l’Union européenne ou faire intervenir des sous-traitants situés hors de l’Union européenne.

Lorsque de tels transferts sont nécessaires, TracePUI veille à ce qu’ils soient encadrés par des garanties appropriées conformément à la réglementation applicable, notamment par des clauses contractuelles types de la Commission européenne ou tout autre mécanisme reconnu par le RGPD.

L’utilisateur est informé que certaines données techniques liées à l’accès au site, ainsi que certaines données transmises volontairement par email, peuvent être traitées par des prestataires situés ou opérant hors de l’Union européenne.

10. Durées de conservation

Les données personnelles sont conservées pendant une durée limitée, proportionnée à la finalité du traitement.

Les durées appliquées sont les suivantes :

Demandes de contact : Les données sont conservées pendant une durée maximale de 3 ans après le dernier contact avec la personne concernée.

Prospects non clients : Les données sont conservées pendant une durée maximale de 3 ans à compter de leur collecte ou du dernier contact émanant du prospect.

Comptes utilisateurs : Les données sont conservées pendant la durée du contrat conclu avec l’établissement client, puis supprimées ou anonymisées dans un délai maximal de 90 jours après la fin du contrat, sauf instruction contraire de l’établissement ou obligation légale applicable.

Données applicatives de traçabilité : Les données sont conservées pendant la durée du contrat conclu avec l’établissement client. À la fin du contrat, un export peut être demandé par l’établissement. Sauf obligation légale contraire ou instruction spécifique de l’établissement, les données sont supprimées ou anonymisées dans un délai maximal de 90 jours après la fin effective du contrat.

Sauvegardes techniques : Les sauvegardes techniques résiduelles peuvent être conservées pendant une durée maximale de 180 jours avant suppression définitive, uniquement à des fins de sécurité, de continuité de service et de restauration.

Journaux techniques et de sécurité : Les logs techniques et de sécurité sont conservés pendant une durée maximale de 12 mois, sauf nécessité de conservation plus longue en cas d’incident, de fraude, de contentieux ou d’obligation légale.

Données de facturation : Lorsque des données de facturation sont traitées, elles peuvent être conservées pendant 10 ans afin de respecter les obligations comptables applicables.

11. Archivage et suppression en fin de contrat

À la fin du contrat conclu avec un établissement client, l’établissement peut demander l’export des données le concernant.

Sauf obligation légale contraire ou instruction documentée de l’établissement client, TracePUI procède ensuite à la suppression ou à l’anonymisation des données applicatives dans un délai maximal de 90 jours.

Les sauvegardes techniques résiduelles peuvent subsister pendant une durée maximale de 180 jours avant suppression définitive, sans utilisation active, uniquement à des fins de sécurité, de continuité d’activité et de restauration.

12. Sécurité

TracePUI met en œuvre des mesures techniques et organisationnelles destinées à protéger les données personnelles contre l’accès non autorisé, la perte, l’altération, la divulgation ou la destruction.

Ces mesures peuvent notamment inclure :

- contrôle des accès ; - authentification des utilisateurs ; - limitation des droits selon les rôles ; - journalisation des actions ; - protection des communications ; - sauvegardes techniques ; - supervision du service ; - séparation des environnements ; - mise à jour des composants techniques ; - recours à des prestataires techniques spécialisés.

13. Données de santé et données patient

TracePUI est conçu comme un outil de traçabilité logistique des transports de produits de santé.

TracePUI n’a pas vocation à collecter, héberger ou traiter des données nominatives de patients.

Les utilisateurs doivent éviter de saisir toute donnée permettant d’identifier directement ou indirectement un patient, notamment :

- nom du patient ; - prénom du patient ; - date de naissance ; - numéro de séjour ; - IPP ; - NIP ; - prescription nominative ; - document de soin nominatif ; - photo ou pièce jointe contenant une information patient.

Si un établissement client souhaite utiliser TracePUI dans un contexte impliquant des données de santé à caractère personnel, ce traitement devra faire l’objet d’un cadre contractuel spécifique, d’une analyse de conformité dédiée et, le cas échéant, d’un hébergement conforme aux exigences applicables aux données de santé.

14. Droits des personnes

Conformément à la réglementation applicable, les personnes concernées peuvent disposer des droits suivants :

- droit d’accès ; - droit de rectification ; - droit d’effacement ; - droit à la limitation du traitement ; - droit d’opposition ; - droit à la portabilité, lorsque ce droit est applicable ; - droit de retirer leur consentement lorsque le traitement repose sur le consentement.

Pour exercer ces droits, les personnes concernées peuvent écrire à :

rgpd@tracepui.com

La demande doit préciser le droit exercé, l’identité de la personne concernée et les éléments permettant de traiter la demande.

Lorsque TracePUI agit comme sous-traitant pour le compte d’un établissement client, les demandes relatives aux données traitées dans l’application peuvent être transmises à l’établissement concerné, responsable de traitement.

Les personnes concernées disposent également du droit d’introduire une réclamation auprès de la CNIL.

15. Cookies et traceurs

Le site tracepui.com peut utiliser des cookies ou traceurs nécessaires à son fonctionnement, à sa sécurité ou à la fourniture du service demandé par l’utilisateur.

À ce jour, le site n’utilise pas de cookies publicitaires.

Si un outil de mesure d’audience, de support client, de chat, de prospection ou de marketing est ajouté ultérieurement, la présente Politique de confidentialité sera mise à jour.

Lorsque le consentement de l’utilisateur est requis, un mécanisme permettant d’accepter, de refuser et de gérer les cookies sera mis en place.

16. Messagerie et redirection des emails

Les adresses email publiques contact@tracepui.com et rgpd@tracepui.com peuvent être redirigées vers une boîte de messagerie utilisée par l’éditeur pour traiter les demandes.

Les personnes qui écrivent à ces adresses sont informées que leurs messages, coordonnées et éventuelles pièces jointes peuvent être traités par le service de messagerie utilisé pour recevoir et gérer ces emails.

Il est recommandé de ne transmettre par email aucune donnée sensible, donnée de santé nominative ou information patient.

17. Modification de la Politique de confidentialité

La présente Politique de confidentialité peut être modifiée afin de tenir compte des évolutions du service, des prestataires utilisés, de la réglementation ou des traitements réalisés.

La date de dernière mise à jour est indiquée en haut de la présente page.