Politique de confidentialité

1. Nos principes

Mokina traite des données concernant la santé. Ce sont des données sensibles au sens de l'article 9 du règlement général sur la protection des données (RGPD), et nous les traitons comme telles. Trois règles guident nos choix :

• Minimisation — nous ne collectons que ce qui sert directement au suivi de la rééducation.
• Cloisonnement — un pratiquant n'est visible que du praticien qui le suit, et réciproquement.
• Réversibilité — vous pouvez récupérer vos données et supprimer votre compte depuis l'application.

Nous ne vendons aucune donnée, nous n'en louons aucune, et nous ne pratiquons ni publicité ciblée ni profilage commercial.

2. Qui est responsable de vos données

Le responsable du traitement est dénomination sociale, forme juridique, dont le siège est situé adresse, immatriculée sous le numéro SIREN.

Délégué à la protection des données : nom ou « non désigné » — contact@mokina.app.

À vérifier — la désignation d'un délégué à la protection des données est obligatoire lorsque l'activité de base implique un traitement à grande échelle de données de santé (article 37 du RGPD). Compte tenu de la nature du service, cette obligation est probable et doit être examinée avec un conseil.

3. Répartition des rôles avec votre praticien

Deux acteurs interviennent dans le traitement de vos données, avec des rôles distincts au sens du RGPD :

• Votre praticien est responsable du traitement pour tout ce qui relève de la prise en charge : contenu des programmes, exercices prescrits, lecture de vos retours de douleur, vidéos réalisées en séance. C'est lui qui décide de ces traitements, dans le cadre de sa pratique professionnelle et de ses obligations déontologiques.
• Mokina agit en qualité de sous-traitant pour ces traitements : nous fournissons l'outil, nous n'exploitons pas le contenu de votre suivi à nos propres fins. Nous sommes en revanche responsables du traitement pour la gestion des comptes, la facturation, la sécurité et l'amélioration technique du service.

À valider juridiquement — cette répartition sous-traitant / responsable conjoint est la construction la plus courante, mais elle doit être confirmée et formalisée dans un contrat de sous-traitance conforme à l'article 28 du RGPD, annexé aux conditions applicables aux praticiens. Selon les arbitrages retenus, une responsabilité conjointe (article 26) pourrait être plus exacte.

4. Données collectées et finalités

À compléter — ce tableau doit être aligné sur les traitements réellement mis en œuvre dans l'application au moment de la publication, et repris dans le registre des activités de traitement prévu à l'article 30 du RGPD.

5. Données de santé et consentement

Les niveaux de douleur, les commentaires que vous laissez, les exercices qui vous sont prescrits et votre assiduité constituent des données concernant la santé. Leur traitement repose sur votre consentement explicite, recueilli séparément de l'acceptation des conditions générales d'utilisation.

Ce consentement est libre : vous pouvez le retirer à tout moment depuis l'application, sans conséquence sur votre prise en charge par votre praticien, qui dispose de ses propres moyens de suivi. Le retrait ne remet pas en cause la licéité des traitements effectués avant celui-ci.

Nous ne traitons vos données de santé à aucune autre fin que celles listées ci-dessus. Elles ne sont utilisées ni pour de la recherche, ni pour de la statistique nominative, ni pour entraîner un système automatisé, sauf consentement distinct et spécifique de votre part.

6. Photos et vidéos

L'application permet à votre praticien de filmer un geste en séance pour vous servir de référence à domicile. L'hébergement de ces médias fait l'objet d'un consentement explicite, distinct et optionnel, séparé des conditions générales d'utilisation. Vous pouvez refuser sans perdre l'accès au reste du service.

Ces médias sont accessibles au seul pratiquant concerné et au praticien prescripteur. Ils ne sont ni indexés, ni partagés, ni accessibles par une URL publique. Vous pouvez en demander la suppression à tout moment.

7. Destinataires et sous-traitants

Vos données ne sont communiquées qu'aux personnes qui en ont besoin : vous, votre praticien, et les membres de notre équipe habilités, dans la limite de leurs fonctions et sous engagement de confidentialité.

Nous faisons appel aux sous-traitants suivants :

Chaque sous-traitant est lié par un contrat conforme à l'article 28 du RGPD. Vos données peuvent en outre être communiquées aux autorités administratives ou judiciaires lorsqu'une obligation légale l'impose.

8. Hébergement et localisation

Les données de santé sont hébergées en France, chez un prestataire certifié Hébergeur de Données de Santé au titre de l'article L. 1111-8 du code de la santé publique. Le site vitrine, qui ne collecte aucune donnée de santé, est hébergé séparément.

9. Transferts hors Union européenne

Nos traitements sont conçus pour rester dans l'Union européenne. Deux exceptions concernent le seul site vitrine :

• Google reCAPTCHA et Google Fonts peuvent entraîner un transfert de votre adresse IP vers Google LLC aux États-Unis. Ces transferts s'appuient sur les clauses contractuelles types de la Commission européenne et sur le cadre de protection des données UE–États-Unis.
• L'hébergement du site vitrine est assuré depuis la Suisse, pays reconnu comme offrant un niveau de protection adéquat par décision de la Commission européenne.

Décision à prendre — le chargement des polices depuis les serveurs de Google transmet l'adresse IP des visiteurs à un tiers dès l'ouverture de la page. La CNIL recommande d'héberger les polices sur son propre serveur, ce qui supprime purement et simplement ce transfert. La même question se pose pour reCAPTCHA, qui peut être désactivé côté Brevo.

10. Durées de conservation

À l'issue de ces durées, les données sont supprimées ou anonymisées de manière irréversible.

11. Le site vitrine : traceurs et formulaire

Absence de mesure d'audience

Le site mokina.app ne dépose aucun cookie de mesure d'audience, aucun cookie publicitaire et aucun traceur à des fins de profilage commercial. Aucune bannière de consentement n'est nécessaire à ce titre.

Google reCAPTCHA

Le formulaire d'inscription à la liste d'attente est protégé par reCAPTCHA v3, fourni par Google. Ce service analyse le comportement de navigation afin d'attribuer un score distinguant un humain d'un robot. Il collecte notamment l'adresse IP, des informations sur le navigateur et les interactions avec la page, et peut déposer des cookies relevant du domaine de Google.

Ce traitement repose sur notre intérêt légitime à protéger le formulaire des soumissions automatisées. L'utilisation des données par Google est régie par sa politique de confidentialité et ses conditions d'utilisation.

Polices de caractères

Les polices Comfortaa et Noto Sans sont chargées depuis les serveurs de Google, ce qui transmet votre adresse IP à ce tiers lors de l'affichage de la page.

Liste d'attente

L'adresse que vous déposez dans le formulaire est transmise à Brevo et utilisée pour un unique objet : vous prévenir de la disponibilité de l'application. Elle n'est pas cédée, et chaque envoi comporte un lien de désinscription.

12. Sécurité

Nous mettons en œuvre les mesures suivantes :

• chiffrement des échanges en transit (TLS) et des données au repos ;
• mots de passe stockés sous forme de condensats à sens unique ;
• cloisonnement des accès par rôle, journalisation des accès aux données de santé ;
• sauvegardes régulières et procédure de restauration testée ;
• habilitations nominatives et engagements de confidentialité pour l'équipe.

À compléter — cette liste doit refléter les mesures effectivement en place et cohérentes avec l'analyse d'impact relative à la protection des données (AIPD), obligatoire pour un traitement de données de santé à grande échelle au titre de l'article 35 du RGPD.

13. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Accès — obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Rectification — faire corriger une donnée inexacte ou incomplète.
• Effacement — obtenir la suppression de vos données, dans les limites de nos obligations légales de conservation.
• Limitation — demander le gel d'un traitement le temps d'une vérification.
• Portabilité — recevoir vos données dans un format structuré et lisible par machine.
• Opposition — vous opposer à un traitement fondé sur notre intérêt légitime.
• Retrait du consentement — à tout moment, pour les traitements qui en dépendent.
• Directives post mortem — définir le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

Vous pouvez exercer ces droits depuis l'application, ou en écrivant à contact@mokina.app. Nous répondons dans un délai d'un mois, prorogeable de deux mois en cas de demande complexe. Une preuve d'identité peut vous être demandée en cas de doute raisonnable.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.

14. Mineurs et personnes protégées

L'application peut être utilisée par un mineur dans le cadre d'une prise en charge. Dans ce cas, le consentement est recueilli auprès du titulaire de l'autorité parentale, et l'information est délivrée dans des termes adaptés à l'âge de l'utilisateur. Des dispositions équivalentes s'appliquent aux majeurs protégés.

À compléter — préciser l'âge minimal retenu et les modalités concrètes de recueil du consentement parental dans l'application.

15. En cas de violation de données

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour vos droits et libertés, nous notifions la CNIL dans les 72 heures suivant la prise de connaissance de l'incident. Lorsque le risque est élevé, nous vous en informons directement et dans les meilleurs délais, en précisant la nature de la violation, ses conséquences probables et les mesures prises.

16. Modifications de cette politique

Cette politique peut évoluer. La date de dernière mise à jour figure en tête de page. En cas de modification substantielle, notamment d'une finalité ou d'une base légale, nous vous en informons par un moyen adapté avant son entrée en vigueur, et recueillons à nouveau votre consentement lorsque celui-ci est requis.

17. Nous contacter

Pour toute question relative à cette politique ou à l'exercice de vos droits : contact@mokina.app, ou par courrier à adresse postale.