Politique de confidentialité

1. Qui nous sommes & nos deux rôles

Clinika OS est exploité par Lopes2Tech, entreprise individuelle de Paulo Lopes, Riemenstrasse 1a, 8803 Rüschlikon, Suisse (« nous »). Notre rôle en matière de protection des données dépend des données :

Pour les données de compte, d'utilisateur et de facturation de la clinique, nous agissons comme responsable du traitement. Pour les données de patients et données cliniques qu'une clinique saisit dans la plateforme (rendez-vous, coordonnées, notes cliniques, admission, consentement, plans de traitement), la clinique est le responsable du traitement et nous n'agissons que comme sous-traitant, en les traitant uniquement selon les instructions documentées de la clinique au titre de notre Accord de traitement des données (voir ci-dessous).

Contact : hello@clinika-os.ch

2. Données que nous collectons

Nous collectons les catégories de données personnelles suivantes :

• Données de compte (responsable) : nom, e-mail, mot de passe (haché), nom de la clinique, rôle
• Données de clinique & facturation (responsable) : nom de la clinique, adresse, fuseau horaire, données d'abonnement et de paiement
• Données de patients / cliniques (sous-traitant pour la clinique) : identité et coordonnées du client, données de rendez-vous et — lorsque la clinique active ces fonctions — dossiers cliniques constituant des données de santé (catégorie particulière, voir §3)
• Données d'usage & de sécurité (responsable) : journaux d'accès, type de navigateur et d'appareil, journaux d'erreurs

3. Bases légales (y compris données de santé)

Lorsque nous sommes responsables, nous nous fondons sur l'exécution du contrat (art. 6, §1, b RGPD), les intérêts légitimes (art. 6, §1, f — sécurité, prévention de la fraude, amélioration du service), l'obligation légale (art. 6, §1, c) et le consentement (art. 6, §1, a) pour les cookies analytiques.

Les données de santé sont une catégorie particulière au titre de l'art. 9 RGPD, des données personnelles sensibles selon la LPD suisse révisée (revFADP) et sont en outre régies au Portugal par la Lei n.º 58/2019. Lorsque des données cliniques/de santé sont traitées, la clinique (en tant que responsable) est chargée de la condition de catégorie particulière — généralement l'art. 9, §2, h (gestion des soins sous la responsabilité d'un professionnel de santé) et/ou le consentement explicite du patient (art. 9, §2, a). Nous traitons ces données uniquement en tant que sous-traitant, sur instruction de la clinique.

4. Stockage et sécurité

Toutes les données de clinique et de patients sont stockées sur des serveurs situés en Suisse (Supabase, région de Zurich). Nous utilisons le chiffrement en transit (TLS 1.2+) et au repos (AES-256) et la sécurité au niveau des lignes pour isoler les données de chaque clinique. Lorsque des sous-traitants opèrent hors de Suisse/de l'EEE, les transferts sont couverts par des garanties appropriées — Clauses contractuelles types et, pour les fournisseurs américains certifiés, le cadre de protection des données UE–États-Unis (voir §7).

5. Conservation

Données de compte & facturation (nous sommes responsable) : conservées pendant la durée de l'abonnement plus la période exigée par la loi (jusqu'à 10 ans, p. ex. art. 958f CO). Données de patients / cliniques (la clinique est responsable) : la conservation est configurée et contrôlée par la clinique selon le droit qui lui est applicable — pour les cliniques portugaises, le droit portugais des dossiers cliniques et fiscal, et non le droit suisse. Nous conservons ces données tant que le compte est actif et les supprimons ou les restituons à la résiliation, conformément à notre Accord. Les journaux d'erreurs sont purgés après 30 jours.

6. Vos droits

Au titre du RGPD, de la LPD suisse révisée et — au Portugal — de la Lei n.º 58/2019, vous pouvez accéder, rectifier, effacer, limiter, porter et vous opposer, et retirer votre consentement. Pour les données de compte, contactez-nous. Pour les données de patients/cliniques, adressez la demande à la clinique (le responsable) ; nous l'assistons en tant que sous-traitant. Nous répondons sous 30 jours.

Contact : hello@clinika-os.ch

7. Sous-traitants

Nous recourons aux sous-traitants suivants au titre d'accords de traitement des données :

• Supabase (Zurich, Suisse) : base de données, authentification et stockage de fichiers
• Vercel : hébergement de l'application et CDN
• Stripe (États-Unis — Data Privacy Framework) : traitement des paiements
• Resend (États-Unis) : envoi d'e-mails transactionnels
• Twilio (États-Unis) : notifications de rendez-vous par SMS (lorsqu'une clinique active le SMS)
• Sentry (États-Unis) : surveillance des erreurs (anonymisée)
• Google Analytics / Vercel Analytics : analyse du site web uniquement (soumise au consentement / sans cookie)

Nous tenons une liste à jour des sous-traitants et informons les responsables de tout changement au titre de l'Accord.

8. Cookies

Les cookies strictement nécessaires (session et authentification sur la plateforme) ne peuvent être désactivés. Cookies analytiques (site web, avec consentement) : Google Analytics 4, déposés uniquement si vous acceptez via la bannière ; révocable à tout moment. Suivi de performance : Vercel Analytics — anonymisé, sans cookie.

9. Notification de violation de données

En cas de violation présentant un risque pour les personnes, nous notifions le PFPDT suisse et, le cas échéant, l'autorité compétente de l'UE/EEE (p. ex. la CNPD au Portugal) dans les 72 heures, et informons les personnes concernées en cas de risque élevé. En tant que sous-traitant, nous notifions la ou les clinique(s) concernée(s) sans retard injustifié. Nous tenons un registre interne des violations.

10. Autorités de contrôle, DPO & réclamations

Vous pouvez saisir votre autorité locale — en Suisse le PFPDT (www.edoeb.admin.ch) ; au Portugal la CNPD (www.cnpd.pt) ; ou votre autorité locale dans l'UE/EEE.

Nous réévaluons en continu la nécessité d'un délégué à la protection des données (DPO) ; comme nous traitons des données de santé pour le compte de cliniques, nous en désignerons un si et quand cela sera requis. Les cliniques restent responsables de leurs propres obligations de DPO.

11. Accord de traitement des données

Notre traitement des données de patients/cliniques pour le compte des cliniques est régi par notre Accord de traitement des données (art. 28 RGPD), qui fait partie des Conditions d'utilisation.

12. Modifications & contact

Les modifications importantes sont notifiées aux titulaires de compte au moins 14 jours à l'avance. Contact : hello@clinika-os.ch