Politique de
Confidentialité

Avant-propos

MADISON PROJETS est une société par actions simplifiée. Elle conçoit et gère des sites internet et applications de conseil et d'accompagnement dans le domaine paramédical et du bien-être.

À cette fin, elle a créé et gère en tant qu’éditeur la solution numérique UMEOS. Celle-ci est destinée à créer, diffuser et proposer aux utilisateurs l’accès à des contenus pédagogiques et thérapeutiques, au suivi et à la communication d’exercices préparés par des Professionnels du sport et des Professionnels de santé, ainsi qu'à une messagerie sécurisée pour communiquer avec ces derniers. MADISON PROJETS assure l’ensemble des services dits « support » pour garantir le bon fonctionnement de cette solution numérique.

En outre, dans le cadre du déploiement de son offre, MADISON PROJETS s’appuie sur l’expérience et l'expertise de professionnels du sport et de professionnels de santé. Tous ces professionnels exercent librement et régulièrement leur profession, dans le cadre d’un contrat d’exercice ou d’abonnement aux Services UMEOS, en qualité de professionnels indépendants.

1. Présentation de la Société

La société MADISON PROJETS s’efforce d’accorder une importance primordiale au respect de la vie privée et à la confidentialité des données personnelles :

• De ses Utilisateurs (Particuliers, Patients, Professionnels du sport et Professionnels de santé),
• De ses Partenaires (Entreprises),
• Et de manière générale des utilisateurs de son application mobile et de ses plateformes web.

MADISON PROJETS, qu’elle agisse en qualité de responsable du traitement ou de sous-traitant, s’engage à traiter les données à caractère personnel dans le respect de la règlementation applicable telle qu’elle découle de la Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (LIL), du Règlement Général sur la Protection des Données (UE) 2016/679 du 27 avril 2016 (RGPD), et de l’article 226-16 du Code pénal.

La solution UMEOS est accessible par le biais d’une application mobile, éditée par MADISON PROJETS. Elle permet aux Utilisateurs, après la création d’un compte utilisateur, d’accéder de manière dématérialisée aux Services.

Les Services sont délivrés aux Particuliers par les Professionnels de santé et les Professionnels du sport (Utilisateurs Professionnels) ayant souscrit un contrat d’exercice ou d’abonnement aux Services avec MADISON PROJETS, dans le cadre d’échanges par écrit, de mise à disposition de contenus et de suivi des exercices communiqués sur l’Application et dans des conditions garantissant la sécurité et la confidentialité de leurs données.

La présente Politique de Confidentialité a pour objet d’informer les Utilisateurs des Services qu’ils soient des Particuliers, des Professionnels du sport ou des Professionnels de santé :

• Des modalités de mise en œuvre du traitement de données à caractère personnel les concernant dans le cadre de la solution UMEOS ;
• Des droits dont ils disposent sur leurs données à caractère personnel ;
• Des moyens mis en œuvre pour sécuriser les données à caractère sensible (données de santé) ;
• Des moyens mis en œuvre pour conserver les informations relatives à leur navigation au sein de l’Application.

Elle fait partie intégrante :

• Côté Utilisateurs, des Conditions Générales d’Utilisation des Services,
• Côté Professionnels du sport et Professionnels de santé, des Conditions Générales d’Utilisation et de leur convention d'abonnement.

2. Définitions

Application : la solution numérique UMEOS, disponible sur smartphone, tablette et ordinateur, éditée et exploitée par MADISON PROJETS et permettant d’accéder aux Services.

CNIL : Commission Nationale de l’Informatique et des Libertés (www.cnil.fr).

Donnée(s) : toutes les données informatiques traitées et hébergées dans le cadre du recours aux Services.

Donnée à caractère personnel : toute information relative à une personne physique susceptible d’être identifiée, directement ou indirectement (au sens de l'article 4 du RGPD).

Donnée de santé : donnée à caractère personnel relative à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne (article 4, 15 du RGPD).

Partenaire(s) : l’entreprise avec laquelle l’Utilisateur Particulier (salarié d’une entreprise) a conclu une convention susceptible de lui ouvrir droit au bénéfice des Services proposés par MADISON PROJETS.

Particuliers : toute personne physique, y compris un Patient ou un salarié d’une entreprise Partenaire, qui accède à l’Application et qui utilise l’Application dans le cadre d’un usage strictement privé, pouvant résider sur le territoire français ou étranger.

Patients : toute personne physique prise en charge par un Professionnel de santé via l’Application.

Professionnels du sport : professeur de sport justifiant d’un diplôme d’État ou toute personne physique justifiant de compétences de coaching dans le domaine du sport.

Professionnels de santé : tout professionnel de santé, au sens du Code de la santé publique, titulaire d’un contrat d’exercice ou d’abonnement aux Services conclu avec MADISON PROJETS.

Services : ensemble des fonctionnalités numériques proposées par l’Application UMEOS.

Utilisateurs : désigne collectivement ou individuellement les Particuliers, les Patients, les Professionnels du sport et les Professionnels de santé.

3. Responsable du Traitement et Sous-traitants

Au sens du RGPD :

• MADISON PROJETS SAS agit en qualité de Responsable du Traitement pour l'ensemble des données nécessaires à la gestion des comptes utilisateurs, à l'authentification, à la facturation des abonnements professionnels et au fonctionnement technique de la plateforme UMEOS.
• Les Professionnels de santé et du sport agissent en qualité de Responsables du Traitement pour les données de santé et les dossiers de suivi qu'ils constituent, recueillent et traitent dans l'exercice de leur art auprès de leurs patients.
• Dans le cadre du traitement de ces données de santé, MADISON PROJETS agit exclusivement en qualité de Sous-traitant technique, fournissant l'infrastructure logicielle sécurisée et assurant le stockage via son hébergeur certifié HDS sans accéder au contenu médical.

4.1 Description des Traitements de Données Personnelles des Utilisateurs Particuliers

Dans le cadre de la mise en œuvre des Services UMEOS, MADISON PROJETS traite, en qualité de responsable du traitement, les données personnelles de l’Utilisateur Particulier selon le tableau ci-après :

4.2 Données de Santé à Caractère Personnel (Hébergement HDS)

Lors de l’utilisation des Services en relation avec les Professionnels du sport et les Professionnels de santé, des données à caractère personnel relatives à la santé de l’Utilisateur Particulier peuvent être renseignées et transmises sous format numérique (ex. : limitations fonctionnelles, antécédents médicaux déclarés, bilans posturaux, évaluations de douleur, programmes de rééducation, échanges de messagerie médicale).

Ces données ont pour seule finalité de permettre aux professionnels de comprendre la situation clinique de l'Utilisateur et d'adapter rigoureusement les programmes d'exercices à ses capacités fonctionnelles.

Règles de conservation des données de santé :

• Base active : conservées tant que l’Utilisateur est rattaché à au moins un Professionnel actif dans l'application.
• Rupture de suivi : si l'Utilisateur n'est plus rattaché à aucun praticien ou en cas de demande expresse de suppression, les données de santé sont retirées de l'application mobile active.
• Archivage médical légal : le Professionnel de santé demeure légalement tenu de conserver le dossier médical de ses patients conformément aux délais de prescription légale fixés par le Code de la santé publique (en règle générale 20 ans à compter de la dernière consultation, ou jusqu'au 28e anniversaire du patient si celui-ci était mineur au moment de la prise en charge).

Non-accès par MADISON PROJETS : MADISON PROJETS s’interdit formellement tout accès en clair aux données de santé de l’Utilisateur Particulier. Celles-ci sont chiffrées en transit (TLS 1.3) et au repos au sein de l’infrastructure HDS.

4.3 Description des Traitements de Données des Utilisateurs Professionnels

MADISON PROJETS traite, en tant que responsable du traitement, les données à caractère personnel des Utilisateurs Professionnels (praticiens de santé et coachs sportifs) de la façon suivante :

5. Stockage et Hébergement des Données Collectées

Toutes les données informatiques gérées par MADISON PROJETS font l'objet d'un compartimentage rigoureux :

• Données de santé : hébergées sur le territoire français chez AZNetwork, société d'hébergement certifiée HDS (ISO 27001, HDS Certificat n° HDS-001) sur des serveurs dédiés hautement sécurisés.
• Données de compte, d'authentification et contenus statiques : hébergées au sein de l'Union Européenne via l'infrastructure Google Cloud Platform / Firebase (datacenter région europe-west / Paris ou Francfort), certifiée ISO 27001, SOC 2 et conforme au RGPD.
• Paiements et abonnements professionnels : traités de façon sécurisée par la plateforme Stripe Payments Europe, certifiée PCI-DSS Niveau 1 (aucune coordonnée bancaire complète n'est stockée par MADISON PROJETS).

6. Accès aux Informations et Destinataires

Les données personnelles collectées au sein d'UMEOS ne sont transmises qu'aux destinataires strictement habilités dans la mesure indispensable à l'exécution de leurs missions :

1. Le Professionnel de santé ou du sport désigné et validé par l'Utilisateur Particulier, pour assurer son accompagnement personnalisé.
2. Le personnel technique habilité de MADISON PROJETS, soumis à une stricte obligation de confidentialité, exclusivement pour assurer le support technique et la maintenance préventive de l'infrastructure (sans accès aux données de santé).
3. Les sous-traitants techniques contractuels (hébergeur HDS AZNetwork, fournisseur d'infrastructure cloud, notifications push Apple APNs / Firebase Cloud Messaging) strictement encadrés par les clauses de l'article 28 du RGPD.

Absence totale de revente : MADISON PROJETS ne commercialise, ne loue, ni ne cède aucune donnée personnelle ou médicale à quelque tiers que ce soit (courtiers en données, régies publicitaires, laboratoires, etc.).

7. Utilisation de Traceurs, Cookies et Identifiants Mobiles

Afin de garantir le bon fonctionnement et la sécurité de l’Application, seuls des traceurs techniques indispensables sont déposés ou lus sur votre terminal. L’Application n’intègre aucun traceur publicitaire ni outil de mesure d’audience tiers.

7.1 Catégories de traceurs utilisés

• Traceurs strictement nécessaires au fonctionnement (exemptés de consentement) : indispensables pour assurer l'authentification sécurisée (tokens de session Firebase Auth / JWT), le maintien de la connexion sans ressaisie continue du mot de passe et l'acheminement des notifications push (Apple APNs / Firebase Cloud Messaging) ;
• Traceurs de mesure d'audience et publicitaires : aucun outil d'analyse tiers (pas de Google Analytics, pas de SDK publicitaire type Facebook ou Google AdMob, pas d'identifiant publicitaire IDFA ou GAID collecté).

7.2 Vos choix concernant le dépôt et la lecture des traceurs (Bandeau de consentement)

Lors de votre première ouverture de l'Application, un bandeau d'information vous demande d'accepter ou de refuser l'utilisation de tout ou partie des Traceurs nécessitant un consentement préalable.

Vos choix ne sont pas définitifs et peuvent être modifiés ou retirés à tout moment :

• Depuis l'Application : vous pouvez personnaliser ou retirer vos autorisations à tout moment en vous rendant dans la rubrique « Profil » > « Réglages » de l’Application ;
• Depuis les paramètres de votre terminal : vous pouvez également gérer les autorisations système (notamment les notifications) directement dans les paramètres de votre système d'exploitation mobile (iOS ou Android).

8. Droits des Utilisateurs sur leurs Données

Conformément au RGPD et à la Loi Informatique et Libertés, chaque Utilisateur dispose des droits suivants :

• Droit d'accès (Art. 15 RGPD) : obtenir la confirmation que des données le concernant sont traitées et en recevoir une copie complète ;
• Droit de rectification (Art. 16 RGPD) : faire modifier sans délai les données inexactes ou incomplètes directement depuis son profil ou sur demande ;
• Droit à l'effacement (« droit à l'oubli » - Art. 17 RGPD) : obtenir la suppression de ses données personnelles sous réserve des obligations légales d'archivage médical incombant aux professionnels de santé ;
• Droit à la limitation du traitement (Art. 18 RGPD) : demander le gel temporaire du traitement de certaines données ;
• Droit à la portabilité (Art. 20 RGPD) : recevoir ses données dans un format structuré, couramment utilisé et lisible par machine ;
• Droit d'opposition (Art. 21 RGPD) : s'opposer à tout moment aux traitements fondés sur l'intérêt légitime ;
• Directives post-mortem (Art. 85 LIL) : définir des directives relatives à la conservation, à l'effacement et à la communication de ses données après son décès.

Modalités d'exercice de vos droits :

Pour exercer ces droits, l'Utilisateur peut s'adresser au Délégué à la Protection des Données (DPO) de MADISON PROJETS :

• Par courrier électronique : contact@umeos.fr
• Par courrier postal : SAS MADISON PROJETS — DPO UMEOS, 21 rue des Roguets, 59178 Millonfosse, France

Une réponse vous sera apportée dans un délai maximum d’un mois à compter de la réception de la demande (pouvant être prolongé de deux mois en cas de complexité particulière).

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous avez le droit d'introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : 3 Place de Fontenoy - TSA 80715 - 75334 PARIS CEDEX 07 (www.cnil.fr).

9. Mesures de Sécurité Déployées

MADISON PROJETS met en œuvre des mesures techniques, logiques et organisationnelles rigoureuses pour préserver l'intégrité, la disponibilité et la confidentialité des données :

9.1 Authentification et Gestion des Accès

• Mots de passe hachés à l'état de l'art (algorithmes robustes avec salage cryptographique individuel, jamais stockés en clair) ;
• Gestion des sessions par jetons éphémères révocables (tokens JWT sécurisés) ;
• Réinitialisation sécurisée : en cas d'oubli ou de renouvellement du mot de passe, un e-mail contenant un lien sécurisé de réinitialisation est envoyé à l'Utilisateur lui permettant de définir lui-même son nouveau mot de passe conformément aux recommandations de la CNIL ;
• Cloisonnement étanche des accès : les patients n'accèdent qu'aux données partagées par leurs praticiens attitrés, et réciproquement.

9.2 Sécurité Réseau, Chiffrement et HDS

• Chiffrement en transit : toutes les communications entre l'application mobile, le back-office et les serveurs sont systématiquement chiffrées via TLS 1.3 (HTTPS / WSS) ;
• Chiffrement au repos : les bases de données et fichiers de santé sont chiffrés sur disque au sein des serveurs certifiés HDS ;
• Pare-feu applicatifs (WAF), journalisation des accès et surveillance continue contre les tentatives d'intrusion et dénis de service (DDoS).

9.3 Bonnes Pratiques Recommandées à l'Utilisateur

La sécurité des données repose également sur la vigilance de chaque Utilisateur :

• Choisir un mot de passe robuste et unique (contenant au moins 8 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux) ;
• Ne jamais divulguer ses identifiants à des tiers ;
• Activer le verrouillage de son smartphone ou terminal par code, empreinte biométrique ou Face ID ;
• Signaler sans délai à contact@umeos.fr toute suspicion d'accès non autorisé à son compte.

10. Transferts de Données Hors de l'Union Européenne

Principe de localisation européenne : l'ensemble des données de santé à caractère personnel est stocké et traité exclusivement sur le territoire français au sein des infrastructures certifiées HDS d'AZNetwork.

Pour les services d'infrastructure auxiliaires (tels que l'envoi de notifications push ou l'authentification Google/Apple optionnelle), les sous-traitants techniques mobilisés hébergent leurs données dans l'Union Européenne. Dans l'éventualité résiduelle d'un transfert vers un pays tiers, celui-ci est strictement encadré par :

• Une décision d'adéquation de la Commission Européenne (ex. le cadre de protection des données UE-États-Unis / Data Privacy Framework) ;
• Ou la signature préalable de Clauses Contractuelles Types (CCT) approuvées par la Commission Européenne, assorties de mesures de sécurité techniques complémentaires.

11. Modification de la Politique de Confidentialité

MADISON PROJETS se réserve le droit d’adapter et de modifier à tout moment la présente Politique de Confidentialité, notamment pour tenir compte des évolutions législatives, réglementaires, jurisprudentielles ou techniques.

Les Utilisateurs seront informés de toute mise à jour substantielle par une mention explicite au sein de l'Application ou par courrier électronique préalablement à son entrée en vigueur. La poursuite de l'utilisation des Services après notification vaut acceptation de la politique mise à jour.

12. Liste des Sous-traitants Habilités de MADISON PROJETS

Conformément à l’article 28 du RGPD, voici la liste exhaustive des principaux sous-traitants techniques intervenant dans la fourniture de la solution UMEOS :

Contact et Réclamations

Pour toute interrogation relative à la présente Politique de Confidentialité ou pour tout signalement relatif à vos données personnelles :