Ce que vous avez de plus privé mérite le traitement le plus sérieux

Données du compte : adresse électronique, mot de passe chiffré, nom et prénom si vous les donnez, code postal, pays de résidence, langue et, seulement si vous voulez le donner, un téléphone. Le code postal est demandé parce que le service n'est ouvert qu'aux résidents en Espagne ; le téléphone ne sert à rien de ce que fait l'application et vous pouvez le laisser vide.

À quoi vous sert Hemora : lors de la mise en route, vous choisissez une situation dans une liste (un suivi long, un historique réparti entre le public et le privé, le dossier d'un proche, et ainsi de suite). Cela sert à savoir pour qui nous construisons ceci, et ce n'est pas croisé avec votre dossier. **Aucune des options ne nomme une maladie, un traitement ni un état de santé** : elles décrivent la forme du dossier ou la situation administrative, et c'est délibéré. Si vous choisissez « autre », un champ libre de deux mots apparaît, et l'écran demande expressément de ne pas y écrire de données de santé.

Données de santé : les documents que vous déposez et ce qui en est extrait, dates, centres, valeurs mesurées, résumés, ainsi que ce que vous notez dans votre profil médical : date de naissance, sexe, taille, poids, groupe sanguin, allergies, traitements et antécédents.

Données techniques : journal des connexions et des actions sur votre compte, avec l'adresse IP tronquée à ses trois premiers groupes. Nous n'utilisons ni cookies de mesure ni cookies publicitaires.

Mesure d'audience : nous comptons combien de fois chaque écran est ouvert, par jour et par langue, dans notre propre base de données. Ce compteur ne conserve ni adresse IP, ni identifiant, ni cookie : il n'y a aucun moyen de savoir qui a visité quoi, seulement à quel point chaque écran est utilisé.

Pour vous fournir le service, conserver, lire et ordonner votre dossier, sur la base du consentement explicite que vous donnez à l'inscription (article 9.2.a du RGPD, s'agissant de données de santé) et de l'exécution du contrat (article 6.1.b).

Pour la lecture automatique par IA, sur la base d'un consentement distinct que vous pouvez retirer à tout moment. Si vous le retirez, nous cessons d'envoyer des documents au fournisseur du modèle ; votre dossier continue de fonctionner et vous pourrez saisir les données à la main.

Pour la sécurité du service, détecter les tentatives d'accès, éviter les abus, sur la base de notre intérêt légitime (article 6.1.f).

Il n'y a aucune décision automatisée produisant des effets juridiques, ni profilage à des fins commerciales. Nous ne vendons ni ne cédons aucune donnée à des fins publicitaires, et il n'y a pas d'exception à cela.

À l'inscription, une case distincte et facultative autorise l'utilisation de vos données de santé sous forme anonymisée et agrégée, dans deux buts : améliorer le service, et contribuer à la recherche en santé, y compris avec des tiers qui font de la recherche, publics ou privés.

Si vous la cochez, ce qui sort d'ici ne porte ni votre nom, ni votre adresse, ni votre téléphone, ni vos documents : ce sont des valeurs et des dates agrégées avec celles d'autres personnes, de sorte qu'aucune conclusion ne puisse vous désigner. Si vous ne la cochez pas, rien ne change : le service fonctionne pareil et vous avez exactement la même chose.

C'est un consentement à part, et il se retire depuis les Réglages à tout moment, d'un seul interrupteur. Au retrait, nous cessons d'inclure vos données dans tout nouvel ensemble ; ce qui a déjà été agrégé et anonymisé ne peut pas être défait, parce qu'on ne peut plus savoir lesquelles étaient les vôtres, et c'est précisément ce qui le rend anonyme.

Il n'y a jamais de publicité, ni de vente de données identifiables, et cela ne souffre aucune exception et ne dépend d'aucune case.

Nous les nommons un par un, parce que « un prestataire » n'est pas une réponse : qui lit ceci a le droit de savoir entre quelles mains passe son dossier.

**Hébergement de l'application** : Vercel. **Base de données** : Neon, sur des serveurs situés à Francfort (Allemagne). **Fichiers** : le stockage d'objets de Vercel, européen. Le tout chiffré avant de sortir de notre processus.

**Lecture des documents** : Mistral AI, société française dont l'infrastructure est dans l'Union européenne. Elle reçoit le texte du document pour le classer et en extraire les valeurs ; elle ne reçoit ni votre nom ni votre adresse électronique. Nous avons désactivé dans notre compte l'utilisation de ces données pour améliorer ou entraîner ses modèles. Rien ne lui est envoyé si vous n'avez pas coché la case correspondante, et nous cessons de lui envoyer quoi que ce soit le jour où vous la retirez.

Dit jusqu'au bout, parce que c'est une durée de conservation et qu'elle vous revient : dans les conditions standard de son API, Mistral garde ce qui lui est envoyé et ce qu'elle renvoie pendant trente jours, dans l'Union européenne, pour détecter les abus, puis l'efface. Rien de tout cela ne sert à l'entraînement. Nous avons demandé la formule sans aucune conservation, et cette page dira que nous l'avons le jour où nous l'aurons, pas avant.

**Courrier** : Mailjet, dont le siège est en France, qui reçoit uniquement votre adresse et le contenu du message que nous vous envoyons.

**Paiements** : Stripe, si vous vous abonnez. Elle reçoit votre adresse électronique et vos données de facturation ; jamais aucune de vos données de santé. Votre carte ne passe à aucun moment par nos serveurs.

Avec chacun d'eux, il existe un contrat de sous-traitance conforme à l'article 28 du RGPD.

Dit avec précision, parce que cela compte : **vos données sont stockées et traitées dans l'Union européenne**, mais certains de ces fournisseurs sont des sociétés dont la maison mère est aux États-Unis. Leur personnel de support peut, exceptionnellement et pour résoudre un incident technique, y accéder depuis l'extérieur de l'Espace économique européen. Cet accès est un transfert au sens du RGPD, et il est couvert par les clauses contractuelles types de la Commission européenne (article 46) ou par le cadre de protection des données UE et États-Unis. Nous préférons l'écrire ainsi plutôt que de promettre qu'il n'existe pas.

Chaque fichier et le texte qui en est extrait sont conservés chiffrés en AES-256-GCM. La clé n'est pas conservée avec les données.

Les mots de passe sont conservés dérivés avec scrypt, jamais en clair. Les identifiants de session ne sont conservés que sous forme d'empreinte, de sorte qu'une copie de la base ne permet d'entrer dans aucun compte.

L'accès technique aux données d'un utilisateur est journalisé et n'a lieu qu'à la demande de la personne concernée, pour résoudre un incident.

Tant que votre compte est ouvert. Lorsque vous demandez la fermeture, nous vous proposons l'export complet de votre dossier dans la même étape, puis nous détruisons le contenu.

Du journal des connexions, nous conservons douze mois, pour la sécurité. De la preuve du consentement, nous conservons le délai nécessaire pour pouvoir le démontrer en cas de réclamation. Et un compte qui ne confirme jamais son adresse est effacé en entier au bout de trente jours : sans confirmation on ne peut pas entrer, ce n'est donc pas un compte endormi mais un compte impossible, et le garder ne servirait à rien.