Politique de confidentialité application Iphone

1. Préambule

La présente politique de confidentialité a pour objet d’informer les utilisateurs et les personnes concernées sur les engagements pris en matière de protection des données à caractère personnel dans le cadre de l’espace « Timkl » (la « Solution »), conformément au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée (loi « Informatique et Libertés »).

2. Responsable du traitement

Le responsable du traitement des données collectées via la Solution est : Timkl, société par actions simplifiée au capital de 800 000 euros, dont le siège social est situé Zone de Pré Millet, 565 rue Aristide Bergès, 38330 Montbonnot-Saint-Martin, immatriculée au RCS de Grenoble sous le numéro 848 743 027, représentée par Monsieur Philippe Montaner.
Contact en matière de protection des données : dpo.timkl@timkl.fr

3. Sous-traitant et hébergement technique

La conception et l’exploitation technique de la Solution sont assurées par la société Hypokrat (SAS au capital de 15 000 €, siège social 80 rue La Condamine, 75017 Paris, RCS Paris 921 769 881), qui agit en qualité de sous-traitant au sens de l’article 28 du RGPD, pour le compte et sur instructions documentées de Timkl.
Délégué à la protection des données (DPO) de la société Hypokrat : Monsieur Arnaud
Santini — arnaud@hypokr.at.
Hypokrat s’engage par contrat à ne traiter les données que sur instruction du responsable de traitement, à garantir la confidentialité, à mettre en œuvre des mesures de sécurité appropriées et à assister le responsable de traitement dans le respect de ses obligations.
Pour l’hébergement, la société Hypokrat recourt à Amazon Web Services (AWS) — Amazon Web Services EMEA SARL (38 avenue John F. Kennedy, L-1855 Luxembourg) — en qualité de sous-traitant ultérieur, sur une infrastructure certifiée Hébergeur de Données de Santé (HDS) — certificat Bureau Veritas n° FR094220, valable jusqu’au 12 janvier 2028 — localisée au sein de l’Union européenne (région AWS Europe, Paris). Ce recours est encadré contractuellement conformément à l’article 28 du RGPD et à l’accord de traitement des données (DPA) d’AWS.

4. Finalités des traitements

Les données à caractère personnel sont collectées et traitées pour les finalités suivantes :
• Gestion des comptes utilisateurs (administrateurs, infirmières, infirmiers libéraux, pharmaciens, prescripteurs, logisticiens, techniciens, etc.) ;
• Gestion des dossiers patients dans le cadre de la prise en charge à domicile ou en établissement ;
• Communication entre les professionnels de santé ;
• Traçabilité des interventions et gestion logistique ;
• Sécurité de la Solution et amélioration continue du service.

5. Données collectées

Selon le profil de l’utilisateur et son rôle dans la Solution, les données collectées peuvent inclure :
• Données d’identification : nom, prénom, adresse email, fonction ;
• Données professionnelles : numéro RPPS, rôle, service ;
• Données de connexion : date, heure, adresse IP, journaux d’accès ;
• Données de santé des patients : traitements, observations, prescriptions et données
associées à la prise en charge.
Les données de santé sont traitées avec un haut niveau de sécurité et au sein d’un hébergement certifié HDS (Hébergeur de Données de Santé).

6. Base légale des traitements

Les traitements reposent, selon les cas, sur les bases légales suivantes :
• l’exécution d’un contrat ou de mesures précontractuelles, pour l’accès et l’utilisation de la Solution ;
• le respect d’obligations légales, notamment en matière de santé, de traçabilité et de conservation des dossiers ;
• l’intérêt légitime du responsable de traitement, pour assurer la sécurité de la Solution et son amélioration continue ;
• le consentement de la personne concernée, pour les traitements qui le requièrent (le consentement pouvant alors être retiré à tout moment).

Le traitement des données de santé est mis en œuvre dans les conditions de l’article 9 du RGPD, notamment aux fins de prise en charge sanitaire et de gestion des soins.

7. Destinataires des données

Les données sont accessibles, dans la limite de leurs habilitations et du besoin d’en connaître, aux personnels habilités de Timkl et aux professionnels de santé intervenant dans la prise en charge. Elles peuvent également être traitées par les sous-traitants de l’Éditeur, dont la société Hypokrat, ainsi que, le cas échéant, par les organismes destinataires prévus par la réglementation. Aucune donnée n’est cédée ou louée à des tiers à des fins commerciales.

8. Durées de conservation

Les données sont conservées pour des durées conformes aux finalités poursuivies et aux recommandations de la CNIL :
• Données des comptes utilisateurs : 3 ans à compter de la dernière connexion ;
• Données de connexion / journaux : durée conforme aux obligations applicables (à titre indicatif, 6 à 12 mois) ;
• Données de santé des patients : selon les obligations légales en vigueur (par exemple jusqu’à 20 ans pour certains dossiers médicaux).
À l’issue de ces durées, les données sont supprimées ou archivées dans des conditions sécurisées.

9. Sécurité des données

Des mesures techniques et organisationnelles rigoureuses sont mises en œuvre afin de garantir la confidentialité, l’intégrité, la disponibilité et la traçabilité des données, notamment :
• chiffrement des données (en transit et au repos) ;
• gestion des accès restreints selon les rôles (principe du moindre privilège) ;
• journalisation des accès et des actions ;
• hébergement certifié HDS.

10. Transferts de données hors de
l’Union européenne

Les données sont hébergées au sein de l’Union européenne (région AWS Europe, Paris) et aucun transfert vers un pays tiers n’est prévu dans le cadre du fonctionnement courant de la Solution. Amazon Web Services appartenant à un groupe dont la société mère est établie aux États-Unis, des garanties appropriées au sens du chapitre V du RGPD — notamment les clauses contractuelles types de la Commission européenne et des mesures techniques complémentaires telles que le chiffrement des données — sont mises en place afin d’encadrer tout accès éventuel depuis un pays tiers.

11. Cookies et traceurs

La Solution peut recourir à des cookies et traceurs strictement nécessaires à son fonctionnement et à sa sécurité, qui ne requièrent pas de consentement. Tout traceur non essentiel ne serait déposé qu’après recueil du consentement de l’utilisateur, qui peut le retirer à tout moment.

12. Application mobile Timkl IDE (iOS).

● Appareil photo et photothèque : utilisés uniquement à l’initiative de l’utilisateur, pour photographier des documents (ordonnances, cartes mutuelle) et scanner des codes- barres. Les photos sont envoyées au dossier du patient dans la Solution.
● Lecture de codes-barres : la lecture est réalisée sur l’appareil par un composant fourni par Google (ML Kit). Aucune image ni aucun code scanné n’est transmis à Google. Ce composant envoie à Google, de façon chiffrée, des statistiques techniques de fonctionnement : modèle et version de l’appareil, identifiant propre à l’installation de l’application, temps de traitement, codes d’erreur. Elles servent au diagnostic et à l’amélioration du composant.
● Face ID : la reconnaissance faciale est réalisée par l’appareil (iOS). Aucune donnée biométrique n’est transmise ni conservée par la Solution. Une clé de connexion est stockée dans l’espace sécurisé de l’appareil.
● Notifications : l’application pourra envoyer des notifications (ordonnances à traiter, messages). Pour cela, un identifiant technique de l’appareil, fourni par Apple, est rattaché au compte de l’utilisateur. Il est supprimé à la déconnexion et ne sert qu’à l’envoi des notifications. Les notifications transitent par le service d’Apple (Apple Push Notification service). Leur contenu ne comporte ni nom de patient ni donnée de santé.
● Pistage : l’application ne réalise aucun suivi publicitaire ni aucune mesure d’audience.

13. Droits des personnes concernées

Conformément à la réglementation, chaque personne concernée dispose des droits suivants : droit d’accès, de rectification et d’effacement ; droit à la limitation et à l’opposition ; droit à la portabilité ; droit de retirer son consentement à tout moment ; droit de définir des directives relatives au sort de ses données après son décès.

Ces droits s’exercent auprès du responsable de traitement à l’adresse : dpo.timkl@timkl.fr.
S’agissant des données de santé des patients, l’exercice des droits s’effectue dans le cadre de la relation de soins et peut être encadré par les dispositions spécifiques applicables aux dossiers médicaux.
Après avoir contacté le responsable de traitement, toute personne peut introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

14. Mise à jour de la présente politique

La présente politique de confidentialité peut être mise à jour à tout moment afin de tenir compte des évolutions légales, réglementaires ou techniques. Les personnes concernées sont informées de toute modification significative.

Version 2.0 — 16 octobre 2026.