POLITIQUE DE CONFIDENTIALITÉ

Site THERA-CONNECT.COM - Août 2026

CARESOFTWARE SOLUTIONS - FZCO, société immatriculée au Emirats Arabes Unis sous le numéro 60676, dont le siège social est situé DSO IFZA - IFZA Properties - Dubaï Silicon Oasis, représentée par Monsieur Gilles KOSTRZEWA, agissant et ayant les pouvoirs nécessaires ;

Ci-après dénommée « THERACONNECT ».

ARTICLE 1 : PRÉAMBULE

La présente politique de confidentialité (ci-après la "Politique de Confidentialité") s'applique aux praticiens ayant souscrit un Abonnement sur le site www.thera-connect.com (ci-après le "Site"). Elle a pour but d'informer lesdits utilisateurs (collectivement dénommés les "Utilisateurs"), au sujet des éléments suivants :

• la manière dont sont collectées, traitées, utilisées, conservées et divulguées leurs données personnelles ;
• la durée pendant laquelle ces données à caractère personnel sont conservées ;
• les droits dont ils disposent concernant ces données ;
• la personne responsable du traitement des données à caractère personnel collectées et traitées ;
• les destinataires de ces données personnelles ; et
• la politique du Site en matière de cookies.

Les Utilisateurs acceptent sans réserve et inconditionnellement les termes de la présente Politique de Confidentialité qui complète les mentions légales ainsi que les conditions générales d'abonnement et d'utilisation du Site.

ARTICLE 2 : PRINCIPES RELATIFS À LA COLLECTE ET AU TRAITEMENT DES DONNÉES PERSONNELLES

Conformément à l'article 5 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après "RGPD"), les données à caractère personnel sont :

• Traitées de manière licite, loyale et transparente au regard de la personne concernée ;
• Collectées pour des finalités déterminées par l'article 3.1 des présentes Politique de Confidentialité (Finalités des données collectées), explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités ;
• Adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ;
• Exactes et, si nécessaire, tenues à jour ;
• Conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; et
• Traitées de façon à garantir une sécurité appropriée des données collectées, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées.

Conformément à l'article 6 du RGPD, le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

• La personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
• Le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ;
• Le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ;
• Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ;
• Le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ; et
• Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.

ARTICLE 3 : DONNÉES À CARACTÈRE PERSONNEL COLLECTÉES, TRAITÉES ET CONSERVÉES DANS LE CADRE DE LA NAVIGATION ET DE L'UTILISATION SUR LE SITE

Article 3.1 : Finalités des données collectées

La collecte et le traitement de ces données répondent aux finalités suivantes :

• Délivrer, maintenir et améliorer les services fournis sur le Site notamment en vertu des conditions générales d'abonnement et d'utilisation acceptées par les Utilisateurs du Site ;
• Communiquer avec les Utilisateurs notamment pour répondre aux questions et demandes de support et informer des actualités liées au Site ;
• Lutter contre la fraude en ligne ;
• Résoudre tout litige éventuel ou régler tout problème avec les Utilisateurs dans le cadre de l'utilisation des services fournis sur le Site ;
• Améliorer l'expérience des Utilisateurs sur le Site ;
• Présenter les services et fonctionnalités du Site aux Utilisateurs qui en font la demande.

Article 3.2 : Mode de collecte des données

Les données collectées doivent être valides, exactes et sincères pendant toute la durée de l'Abonnement. En cas de modification, l'Utilisateur doit en informer THERACONNECT dans les plus brefs délais.

Sont collectées les données suivantes pour la création d'un compte sur le Site :

• Nom
• Prénom
• Adresse e-mail
• Adresse professionnelle / personnelle
• Adresse de facturation
• Numéro de téléphone
• Numéro SIRET
• Nom du cabinet
• Code APE
• Numéro de TVA (si applicable)
• Ville
• Code postal

La création d'un tel compte est nécessaire pour la délivrance des services et notamment :

• la connexion au Site ;
• la souscription d'un abonnement ;
• l'identification de chaque utilisateur sur le Site ;
• l'utilisation de la Plateforme et notamment de ses fonctionnalités telles que la prise de rendez-vous par une utilisateur final, la gestion de l'agenda, etc.

D'autres données personnelles sont collectées lorsque vous effectuez les opérations suivantes sur le Site :

• les coordonnées des Utilisateurs qui remplissent le formulaire de demande de contact sont collectées à cette fin ;
• l'adresse email d'un Utilisateurs est collectée lors du téléchargement de toute documentation marketing ou expliquant ses services proposés sur le Site.

Elles sont conservées par le responsable du traitement dans des conditions raisonnables de sécurité.

Article 3.3. Durée de conservation des données à caractère personnel

Les données à caractère personnel des Utilisateurs sont conservées par THERACONNECT pour une durée limitée :

• pour les données collectées dans le cadre de l'Abonnement au Site, c'est à dire liées à la relation contractuelle entre THERACONNECT et le praticien Utilisateur : elles sont conservées pendant toute la durée du contrat d'Abonnement, et seront supprimées ou anonymisées à la fin de la relation contractuelle;
• Pour les données relatives à la facturation et la comptabilité : elles sont conservées pour une durée de dix (10) ans après la clôture de l'exercice comptable auquel elles correspondent, dans le respect de l'article L.123-22 du Code de Commerce;
• pour les données liées à la prospection commerciale : elles sont conservées pendant trois (3) ans après la fin de la relation commerciale, soit le terme de l'Abonnement.

ARTICLE 3.4 : DONNÉES UTILISATEUR GOOGLE (GOOGLE CALENDAR)

Dans le cadre de l’utilisation de certaines fonctionnalités de THERACONNECT, l’Utilisateur peut connecter son compte Google afin de synchroniser son agenda via l’API Google Calendar.

Cette connexion est réalisée uniquement après consentement explicite de l’Utilisateur via le système d’autorisation sécurisé de Google (OAuth 2.0).

Article 3.4.1 Données Google auxquelles THERACONNECT peut accéder

Selon les autorisations accordées par l’Utilisateur lors de la connexion Google, THERACONNECT peut accéder aux informations suivantes issues de Google Calendar :

la liste des calendriers accessibles par l’Utilisateur ;

les événements de calendrier (date, heure, durée, titre, description si renseignée) ;

les informations de disponibilité (créneaux occupés/libres) ;

les identifiants techniques des événements (Event ID) nécessaires à leur synchronisation ;

éventuellement les informations de participants si elles sont incluses dans l’événement.

Les autorisations demandées par THERACONNECT sont notamment :

https://www.googleapis.com/auth/calendar.readonly

https://www.googleapis.com/auth/calendar.events

Article 3.4.2 Finalités d’utilisation des données Google

Les données issues de Google Calendar sont utilisées uniquement pour les finalités suivantes :

permettre à l’Utilisateur de visualiser ses disponibilités dans THERACONNECT ;

permettre la synchronisation entre THERACONNECT et Google Calendar ;

permettre la création, modification ou suppression d’événements dans Google Calendar lorsque l’Utilisateur utilise les fonctionnalités de planification proposées par THERACONNECT ;

éviter les conflits de rendez-vous (double réservation).

THERACONNECT n’utilise pas ces données à des fins publicitaires, marketing ou de profilage.

Article 3.4.3 Stockage et conservation des données Google

THERACONNECT ne conserve pas l’intégralité du contenu de l’agenda Google de l’Utilisateur de manière permanente.

Certaines informations techniques peuvent être stockées afin d’assurer le bon fonctionnement de la synchronisation, notamment :

identifiants d’événements (Event ID) ;

métadonnées de synchronisation (date/heure de synchronisation, statut).

Les jetons d’accès (tokens OAuth) sont conservés de manière sécurisée uniquement pour permettre la connexion et la synchronisation tant que l’Utilisateur maintient son autorisation active.

Les données traitées dans le cadre de l’utilisation de THERACONNECT sont hébergées en France sur une infrastructure sécurisée fournie par Scalingo (certifiée RGPD et HDS).

L’Utilisateur peut à tout moment révoquer cet accès (voir article 3.4.6).

Article 3.4.4 Partage / divulgation des données Google à des tiers

THERACONNECT ne vend, ne loue et ne partage en aucun cas les données issues de Google Calendar à des tiers à des fins commerciales.

Les données issues de Google Calendar ne sont communiquées à aucun tiers, sauf :

lorsque cela est strictement nécessaire au fonctionnement technique du service (ex. hébergement et infrastructure) ;

en cas d’obligation légale ou de demande émanant d’une autorité compétente.

Article 3.4.5 Sécurité des données Google

THERACONNECT met en œuvre des mesures techniques et organisationnelles appropriées afin de protéger les données issues des services Google contre tout accès non autorisé, altération, divulgation ou destruction.

Les accès aux données Google sont strictement limités aux fonctionnalités nécessaires au fonctionnement du service.

Article 3.4.6 Révocation de l’accès Google

L’Utilisateur peut à tout moment retirer l’autorisation accordée à THERACONNECT :

depuis son compte Google via la page : https://myaccount.google.com/permissions

ou en contactant THERACONNECT à l’adresse : support@thera-connect.com

La révocation de l’accès entraîne l’arrêt de la synchronisation avec Google Calendar.

Article 3.4.7 Conformité à la politique Google API Services User Data Policy

THERACONNECT s’engage à respecter la Google API Services User Data Policy, incluant les exigences relatives à l’utilisation limitée des données ("Limited Use").

Les données obtenues via les API Google sont utilisées uniquement pour fournir ou améliorer les fonctionnalités visibles par l’Utilisateur au sein de THERACONNECT, conformément aux autorisations accordées.

Article 3.4.8 Absence d’utilisation à des fins d’entraînement

Les données obtenues via les API Google (Google Calendar) ne sont en aucun cas utilisées pour entraîner des modèles d’intelligence artificielle, de machine learning ou tout système algorithmique externe à THERACONNECT.

ARTICLE 4 : RESPONSABLE DU TRAITEMENT DES DONNÉES

Le responsable du traitement des données à caractère personnel est THERACONNECT, représentée par Gilles KOSTRZEWA agissant en sa qualité de dirigeant. Il peut être contacté de la manière suivante :

• Par courrier à l'adresse : CARESOFTWARE SOLUTIONS - FZCO, DSO IFZA - IFZA Properties - Dubaï Silicon Oasis, Emirats Arabes Unis ;
• Par téléphone au : +33 (0)6 63 99 41 45
• Par mail : support@thera-connect.com

Il conserve dans son système informatique et dans des conditions raisonnables de sécurité l'ensemble des données pour la durée indiquée à l'Article 3.3 de la présente Politique de confidentialité.

ARTICLE 5 : LES DROITS DE L'UTILISATEUR EN MATIÈRE DE COLLECTE ET DE TRAITEMENT DES DONNÉES

Tout Utilisateur concerné par le traitement de ses données personnelles peut se prévaloir des droits suivants, en application du RGPD et de la loi 78-17 du 6 janvier 1978 dites "Loi Informatique et Liberté" :

• Droit d'accès, de rectification et droit à l'effacement des données (décrits respectivement aux articles 15, 16 et 17 du RGPD) ;
• Droit à la portabilité des données (article 20 du RGPD) ;
• Droit à la limitation (article 18 du RGPD) et à l'opposition du traitement des données (article 21 du RGPD) ;
• Droit de ne pas faire l'objet d'une décision fondée exclusivement sur un procédé automatisé ;
• Droit de déterminer le sort des données après la mort ; et
• Droit de saisir l'autorité de contrôle compétente (article 77 du RGPD).

Pour que le responsable de traitement puisse faire droit à sa demande, l'Utilisateur lui communique par mail support@thera-connect.com certaines informations telles que ses noms et prénoms, son adresse mail ou son numéro d'abonné, afin de lui permettre d'être identifié. Il lui indique les droits qu'il entend invoquer.

Le responsable du traitement est tenu de répondre à l'Utilisateur dans un délai de trente (30) jours à compter de la réception de son mail.

Il est rappelé que l'exercice de certains droits par l'Utilisateur pourra entraîner l'interruption des Services proposés par THERACONNECT et la résiliation de l'Abonnement.

Consultez le site cnil.fr pour plus d'informations sur vos droits.

ARTICLE 6 : POLITIQUE DE COOKIES

Lorsque l'Utilisateur utilise le Site, THERACONNECT peut stocker et/ou accéder à des informations sur son appareil via des cookies ou des technologies similaires pour traiter des données à caractère personnel.

Le présent article vise à expliquer ce que sont les cookies, lesquels sont utilisés sur le Site, et comment l'Utilisateur peut les gérer via le bandeau de consentement.

Les traceurs de mesure d'audience et de publicité (Google Analytics, Google Ads, Meta Pixel) ne sont jamais déposés avant le recueil du consentement, et ne sont pas chargés dans l'espace praticien, l'administration, le portail patient ni les pages embarquées (données de santé). Ils ne concernent que le site public (vitrine, inscription, contenus marketing).

Article 6.1 : Que sont les cookies ?

Un cookie est un petit fichier stocké par un serveur dans le terminal (ordinateur, téléphone, etc.) d'un utilisateur et associé à un domaine web.

Il peut être déposé et/ou lu, par exemple lors de la consultation d'un site web, d'une application mobile, ou encore de l'installation ou de l'utilisation d'un logiciel et ce, quel que soit le type de terminal utilisé.

Ce fichier est automatiquement renvoyé lors de contacts ultérieurs avec le même domaine.

Pour en savoir plus sur les cookies veuillez consulter le site de la CNIL : https://www.cnil.fr/fr/definition/cookie

Article 6.2 : Typologie de cookies utilisés

6.2.1. Cookies strictement nécessaires (exemptés de consentement)

THERACONNECT dépose des cookies dits « techniques » indispensables à la fourniture du service demandé par l'Utilisateur. Ils ne peuvent pas être désactivés depuis le bandeau. Ils permettent notamment :

• d'assurer l'authentification et la session sécurisée (authjs.session-token / __Secure-authjs.session-token) ;
• de mémoriser le choix de consentement aux cookies. Ce choix est conservé dans le stockage local du navigateur (tc_cookie_consent) et dans un cookie tc_consent déposé sur le domaine .thera-connect.com (durée : 6 mois, conformément à la recommandation de la CNIL). Ce cookie ne contient que deux indicateurs — « mesure d'audience acceptée » et « publicité acceptée » — et aucune donnée personnelle. Il est nécessaire pour que le choix exprimé sur le site vitrine soit respecté sur le sous-domaine de l'application, et pour que nos serveurs puissent vérifier ce choix avant toute transmission de mesure ;
• d'attribuer une inscription à un parrain lorsque l'Utilisateur a suivi un lien de parrainage ?ref= (cookie thera_affiliate_code, durée 30 jours). Ce cookie est limité à cette finalité ; il n'est pas utilisé pour de la publicité ciblée.

Le refus des cookies non essentiels n'empêche pas la navigation ni l'utilisation de l'espace praticien.

6.2.2. Cookies de mesure d'audience (Google Analytics 4)

Sous réserve du consentement de l'Utilisateur (catégorie « Analytiques »), THERACONNECT utilise Google Analytics 4 (identifiant G-KPR6GR649T), opéré par Google Ireland Limited.

Ces cookies (_ga, _ga_*, _gid) permettent de mesurer l'audience du site public (pages vues, provenance) afin d'améliorer les contenus. Les données sont agrégées. Durée maximale : 13 mois, conformément aux recommandations de la CNIL.

L'Utilisateur peut refuser ces cookies. Dans ce cas, THERACONNECT ne mesure pas sa visite via Google Analytics.

6.2.3. Cookies publicitaires (Google Ads et Meta Pixel)

Sous réserve du consentement de l'Utilisateur (catégorie « Publicité »), distincte de la mesure d'audience :

• Google Ads (identifiant AW-18124702156), Google Ireland Limited — mesure des campagnes et, le cas échéant, reciblage (_gcl_*) ;
• Meta Pixel (identifiant 1767020201217797, Meta Platforms Ireland Limited) — mesure des campagnes publicitaires sur Facebook / Instagram (_fbp, _fbc). Le pixel n'est chargé qu'après fbq('consent', 'grant'). Aucune donnée de santé ni aucune page de l'espace praticien n'est transmise à Meta.

Ces cookies ne sont pas déposés en cas de refus. L'Utilisateur verra alors des publicités moins ciblées.

Aucun pixel « noscript » (image de suivi sans JavaScript) n'est utilisé, afin de ne pas contourner le bandeau de consentement.

6.2.4. Transmission depuis nos serveurs à Meta (« API Conversions »)

Sous réserve du même consentement publicitaire, et uniquement s'il a été donné, THERACONNECT transmet également certains événements à Meta depuis ses propres serveurs, au moyen de l'API Conversions de Meta. Cette transmission double celle du pixel : elle permet de mesurer les campagnes lorsque le navigateur de l'Utilisateur bloque les scripts publicitaires. Chaque événement porte un identifiant partagé avec le pixel, afin que Meta ne le comptabilise qu'une seule fois.

Les événements concernés sont : la consultation d'une page du site public, le début puis la validation d'une inscription, le démarrage d'un essai gratuit et la souscription d'un abonnement payant.

Les données transmises sont l'adresse e-mail, le numéro de téléphone, le prénom, le nom et l'identifiant de compte de l'Utilisateur — hachés en SHA-256 avant l'envoi, jamais transmis en clair — ainsi que les identifiants publicitaires _fbp et _fbc, l'adresse IP et le user-agent, que Meta exige en clair.

Ne sont jamais transmises : les données des clients des praticiens, quelles qu'elles soient, ni aucune adresse de page de l'espace praticien, de l'administration, du portail patient ou des pages embarquées. Le consentement est revérifié côté serveur avant chaque envoi ; en son absence, aucune donnée ne quitte nos serveurs.

Les événements liés à l'abonnement surviennent après le paiement, hors de toute session de navigation. Pour eux, le consentement recueilli au moment de la souscription ainsi que les identifiants _fbp et _fbc sont conservés dans les métadonnées de l'abonnement chez notre prestataire de paiement (Stripe), à la seule fin de vérifier ce consentement au moment de l'envoi.

L'Utilisateur peut retirer son consentement à tout moment (article 6.3) : la transmission cesse immédiatement.

Article 6.3 : Gestion des consentements

Le consentement est recueilli via le bandeau affiché lors de la première visite, avec trois choix de même niveau : Tout refuser, Personnaliser, Tout accepter.

L'Utilisateur peut modifier son choix à tout moment, gratuitement, via le lien « Gérer les cookies » en pied de page du Site. Le retrait du consentement arrête le chargement des scripts concernés, envoie une instruction de révocation aux outils (Google Consent Mode / Meta Consent), et supprime les cookies first-party de mesure et de publicité encore présents sur le domaine.

Le blocage des cookies techniques via le navigateur peut réduire l'accès à certains Services (connexion notamment). Le refus des cookies analytiques et publicitaires n'a pas cet effet.

Il est précisé à l'Utilisateur que s'il accède au Site depuis différents appareils, il doit enregistrer ses préférences sur chaque navigateur.

ARTICLE 7 : CONDITIONS DE MODIFICATION DE LA POLITIQUE DE CONFIDENTIALITÉ

THERACONNECT se réserve le droit de pouvoir modifier la présente Politique de Confidentialité à tout moment afin d'assurer aux Utilisateurs du Site sa conformité avec le droit en vigueur.

L'Utilisateur est invité à prendre connaissance de cette Politique de Confidentialité à chaque fois qu'il utilise les Services, sans qu'il soit nécessaire de l'en prévenir formellement.

ARTICLE 8 : DESTINATAIRES DES DONNÉES / SOUS-TRAITANTS

Les données personnelles collectées via le Site sont destinées uniquement à THERACONNECT.

Elles peuvent toutefois être accessibles à certains prestataires techniques agissant en tant que sous-traitants, uniquement lorsque cela est nécessaire au fonctionnement du Site et à la fourniture des services.

Les sous-traitants actuellement utilisés sont notamment :

Scalingo SAS, prestataire d’hébergement et d’infrastructure (hébergement en France, certifié HDS n°38436), permettant l’hébergement de l’application, de la base de données et des sauvegardes de cette base ;

Amazon Web Services EMEA SARL, stockage des fichiers (documents, photos, audio) sur Amazon S3 en région Europe (Paris), chiffrement au repos, région couverte par la certification HDS d’AWS ;

Resend, prestataire d’envoi d’emails transactionnels, permettant l’envoi de communications nécessaires au service (emails de confirmation, notifications, etc.) ;

Telnyx, prestataire d’envoi de SMS transactionnels, permettant l’envoi de notifications par SMS lorsque cette fonctionnalité est activée ;

Stripe, prestataire de paiement des abonnements Thera-Connect (données de facturation du praticien) ;

Google Ireland Limited, pour la synchronisation de l'agenda du praticien via Google Calendar lorsque celui-ci a connecté son compte Google (voir article 3.4) ;

OpenAI Ireland Ltd, pour les fonctionnalités d'intelligence artificielle utilisées à la demande du praticien (génération de questionnaires d'anamnèse, assistant conversationnel, transcription vocale le cas échéant). La base de données patients n'est pas hébergée chez OpenAI.

Vercel Inc. n’est pas utilisé pour l’hébergement de la production ni des données de santé. Cette plateforme sert uniquement à l’environnement de développement / préproduction.

En outre, pour le site public uniquement et après consentement de l'internaute (voir article 6), THERACONNECT, en qualité de responsable de traitement de ses propres visiteurs, peut transmettre des données de navigation à :

Google Ireland Limited — Google Analytics 4 et Google Ads ;

Meta Platforms Ireland Limited — Meta Pixel (mesure des campagnes Facebook / Instagram). Aucune donnée de santé, aucun identifiant patient et aucune page de l'espace praticien n'est transmise à Meta ou à Google Ads.

Ces outils marketing ne sont pas des sous-traitants du Client au titre de l'accord de sous-traitance : ils ne traitent pas les dossiers patients.

Le Prestataire CARESOFTWARE SOLUTIONS - FZCO est établi aux Émirats arabes unis. Un accès distant de support ou d’administration depuis les EAU par du personnel autorisé est possible, sans hébergement de la base de données de santé hors de France / de l’Union européenne.

Ces prestataires sont contractuellement tenus à une obligation stricte de confidentialité et de sécurité et ne peuvent utiliser les données que sur instruction de THERACONNECT.

En aucun cas les données personnelles des Utilisateurs ne sont vendues ou cédées à des tiers.