Politique de confidentialité

NAVALON comme responsable du traitement. NAVALON détermine les finalités relatives au site imiora.fr, aux prospects, à la newsletter, aux comptes utilisateurs, à la facturation, au support, à la sécurité et au pilotage non clinique du service.

Le client comme responsable du traitement. Le praticien, le cabinet ou l'établissement décide pourquoi et comment les données de ses patients sont utilisées pour la gestion de sa patientèle et de ses documents. NAVALON traite alors ces données comme sous-traitant, sur instructions, conformément à l'accord de traitement des données.

NAVALON, SAS au capital de 100 €, SIREN 106 693 831, RCS Fort-de-France, siège au 1447 Route Départementale 14, 97212 Saint-Joseph. Contact protection des données : dpo@imiora.fr.

NAVALON peut traiter les catégories suivantes :

• données de navigation et de sécurité : adresse IP, horodatage, URL, agent utilisateur, journaux techniques ;
• mesure d'audience et attribution, après consentement : pages vues, clics, paramètres UTM, campagne et appareil ;
• newsletter : adresse électronique, date, source et preuve du consentement ;
• chat et support : coordonnées, contenu du message, pièces volontairement transmises et historique de résolution ;
• compte et organisation : identité, profession, RPPS le cas échéant, coordonnées, rôle, préférences et authentification ;
• commande et facturation : offre, sièges, adresse de facturation, statut de paiement, identifiants Stripe et factures. NAVALON ne reçoit pas le numéro complet de carte.

Le site vitrine n'est pas destiné à recevoir des données de patient. N'en transmettez pas par newsletter, chat ou e-mail de support ; utilisez les canaux sécurisés prévus dans l'application.

Selon les modules activés, le client peut confier à iMiora des données d'identification de patients, coordonnées, rendez-vous, notes, documents, enregistrements audio, transcriptions, informations de santé, prescriptions saisies, actes, devis et éléments de facturation. Les personnes concernées sont les patients, proches, correspondants, praticiens et personnels autorisés du client.

Le client choisit les bases juridiques des articles 6 et 9 du RGPD, délivre l'information aux personnes, fixe les habilitations et les durées, et répond en premier lieu aux demandes de ses patients. NAVALON ne réutilise pas ces données pour sa prospection, la publicité ni l'entraînement d'un modèle général.

Pour transcrire un audio, le service de reconnaissance reçoit le signal enregistré. Si une identité est prononcée, elle peut donc être présente dans ce flux. Pour la mise en forme textuelle, des identifiants directs peuvent être remplacés par des jetons avant traitement lorsque le flux le permet.

La pseudonymisation réduit le risque mais ne rend pas les données anonymes : un texte pseudonymisé demeure une donnée personnelle, et potentiellement une donnée de santé. La table de correspondance reste séparée du texte envoyé au service de mise en forme. Les modèles ne reçoivent pas les données afin de s'entraîner pour leur propre compte.

Ces traitements servent uniquement à transcrire, structurer et mettre en forme les éléments fournis. Ils ne doivent produire ni diagnostic, ni interprétation clinique, ni recommandation individualisée, ni décision automatisée ayant un effet sur la prise en charge.

NAVALON configure le stockage des données de santé dans l'Espace économique européen et sélectionne les services couverts par le périmètre contractuel requis. Certains fournisseurs internationaux peuvent néanmoins impliquer un accès, un support ou des données du site depuis un pays tiers.

Lorsque le transfert n'est pas couvert par une décision d'adéquation, notamment le cadre UE–États-Unis pour les entités certifiées, NAVALON s'appuie sur les clauses contractuelles types de la Commission européenne et, lorsque nécessaire, sur des mesures complémentaires. Des informations peuvent être demandées au contact protection des données.

Le site mémorise localement vos choix par finalité pendant six mois. Les paramètres de campagne peuvent être conservés en session afin de transmettre l'origine à une page iMiora ; ils disparaissent à la fermeture de la session et ne déclenchent pas, seuls, un envoi à un tiers.

Vercel Analytics et Google Analytics/Tag Manager relèvent de la mesure d'audience, Meta Pixel des campagnes, et Crisp de l'assistance par chat. Chaque finalité peut être choisie séparément. Le bouton « Tout refuser » est présenté au même niveau que « Tout accepter ». Le lien « Gérer mes cookies » en pied de page efface les choix et les traceurs connus, puis permet de décider à nouveau. Le refus n'empêche pas la navigation ni l'accès aux informations légales.

NAVALON applique une approche fondée sur les risques : contrôle d'accès et moindre privilège, authentification, chiffrement des communications, protection des données stockées, séparation des environnements, journalisation, sauvegardes, mises à jour et gestion d'incident. Aucun système ne peut garantir un risque nul.

Lorsqu'un incident concerne des données traitées pour un client, NAVALON l'informe sans retard injustifié avec les éléments disponibles afin qu'il puisse évaluer ses obligations de notification. NAVALON réalise ses propres notifications lorsque la loi lui en attribue la responsabilité.

Pour les données dont NAVALON est responsable, vous pouvez demander l'accès, la rectification, l'effacement, la limitation, la portabilité lorsqu'elle s'applique, retirer un consentement ou vous opposer à un traitement fondé sur l'intérêt légitime. Écrivez à dpo@imiora.fr en précisant votre demande. Une preuve d'identité n'est demandée qu'en cas de doute raisonnable.

Pour un dossier patient, contactez d'abord le praticien, cabinet ou établissement qui vous prend en charge : il est responsable du traitement. NAVALON l'assiste pour exécuter la demande mais ne décide pas à sa place des suites à donner.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur cnil.fr.