Passer au contenu principal

Politique de confidentialité

Health Roadmap – Version 1.0 – © Roadmap Group – 2026

Introduction

Roadmap Group accorde une haute importance au respect de de la vie privée et des droits de chacun. De ce fait Roadmap Group s'engage à protéger les droits des personnes conformément au Règlement Général sur la Protection des Données (EU) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (« RGPD »), ainsi qu'aux législations nationales applicables en matière de protection des données.

La présente politique de confidentialité (la « Politique de confidentialité ») explique comment Roadmap Group utilise les données personnelles que nous recueillons auprès de vous lorsque vous utilisez notre application Health Roadmap. En utilisant nos services ou en communiquant avec nous à leur sujet, vous reconnaissez que vos données à caractère personnel seront traitées conformément à cette Politique de confidentialité, à tout autre avis de confidentialité et à toute mise à jour et modification à ces derniers.

Veuillez lire attentivement la présente Politique de confidentialité pour comprendre comment nous traitons vos données avant de commencer à utiliser notre application ou de communiquer avec nous.

Quelles données personnelles collectons-nous ?

Lorsque vous utilisez cette application, Roadmap Group collecte toute donnée à caractère personnel que vous nous fournissez, notamment les informations d'identification personnelles suivantes :

  • Pour la création du compte ; dans votre profil en tant qu'utilisateur :
    • Identifiant
  • Pour la gestion des comptes et des authentifications :
    • Données d'identification, données de connexion
  • Pour la gestion des services de l'application et leur développement, basés sur le traitement des questionnaires des patients :
    • Données sur les habitudes du patient :
      • Nom des Médecins
      • Compte-rendus
      • Texte libre
    • Données de suivi de santé :
      • Physiologiques
      • Info maladies
      • Info traumatismes
    • Données d'activité physique :
      • Physiques
      • Psychologiques
      • Niveau de douleurs
      • Niveau de Stress
      • Blessures
      • Texte libre
  • Pour les statistiques pour l'amélioration de l'application :
    • Données d'identification

Comment collectons-nous vos données personnelles ?

La plupart des données que nous collectons à votre sujet nous sont directement transmises par vous-même lors de votre utilisation de l'application, ou l'acteur de santé vous prenant en charge.

Comment utiliserons-nous vos données personnelles ?

Lorsque vous utiliserez l'application, Roadmap Group collectera et traitera vos données personnelles conformément à cet avis de confidentialité. Vos données à caractère personnel peuvent être utilisées aux fins suivantes :

  • Dans le cadre du service client, nous pourrons éventuellement utiliser vos données personnelles à des fins d'assistance technique.
  • Dans le cadre de la recherche et développement, nous pourrons utiliser vos données personnelles notamment dans le but d'améliorer notre application, nos services et notre expérience client, et également pour améliorer nos produits, services, activités, opérations et processus auprès de vous.

Qui sont nos partenaires sous-traitants dans le cadre du fonctionnement de notre application ?

La liste ci-dessous est rendue depuis le registre des flux sortants de la plateforme (le code qui contacte un service tiers est le même qui l'inscrit ici) :

  • OVHcloud SAS (France (UE)) — hébergement de la plateforme, de la base de données et du stockage des pièces jointes (volumes chiffrés)
  • Anthropic PBC (États-Unis) — analyse nutritionnelle de photos de repas (`app/api/nutrition/analyze`) et transport « api » du plan-agent (`lib/llm/client.ts`) — contexte pseudonymisé, garde d'égress d'identifiants avant chaque appel Transfert hors Union européenne encadré par : Clauses contractuelles types (module 3) via le DPA Anthropic — ruling 2 ; cible : Bedrock-EU (supprime le transfert).
  • Brevo (Sendinblue SAS) (France (UE)) — e-mails transactionnels (invitations, réinitialisation de mot de passe, alertes — `lib/email/sendPlatformEmail.ts`) et liste de contacts du formulaire `/contact` (`app/api/contact/route.ts`)
  • Open Wearables (composant auto-hébergé sur le même serveur ; il relaie vers les fournisseurs d’objets connectés activés par `OPEN_WEARABLES_ENABLED_PROVIDERS`) (France (UE) — conteneur de la pile OVH) — import des activités et mesures d'objets connectés que la personne a elle-même reliés (`lib/integrations/openWearables.ts`) — le composant tourne dans la pile OVH, aucune donnée ne quitte le serveur vers un tiers hors les fournisseurs choisis par la personne
  • Google LLC (YouTube, mode « confidentialité avancée ») (États-Unis) — lecture des vidéos de démonstration des exercices — `<iframe>` rendu APRÈS le clic de la personne (`components/video/ClickToLoadVideo.tsx`), sur le domaine « confidentialité avancée » qui ne dépose pas de cookie avant la lecture ; l'adresse IP part du navigateur au clic Transfert hors Union européenne encadré par : Décision d’adéquation UE–États-Unis (Data Privacy Framework) — certification de Google LLC à VÉRIFIER, sinon CCT ; chargement après clic (ruling 8).
  • Vimeo.com, Inc. (États-Unis) — lecture des vidéos d'exercice hébergées sur Vimeo (`components/coach/WorkoutTemplateDetailView.tsx`, `ProgrammeTab.tsx`, `ExerciseReviewSheet.tsx`) — l'adresse IP part du navigateur Transfert hors Union européenne encadré par : Décision d’adéquation UE–États-Unis (Data Privacy Framework) — certification de Vimeo à VÉRIFIER, sinon CCT.
  • Unsplash (Getty Images) (États-Unis / Canada) — portraits d'illustration de la page publique « Entreprises » (`components/landing/pages/EntreprisesPage.tsx`) — chargés par le navigateur du visiteur, aucune donnée de compte Transfert hors Union européenne encadré par : Décision d’adéquation UE–États-Unis (Data Privacy Framework) — certification d’Unsplash à VÉRIFIER, sinon retirer les portraits externes ; page publique sans compte.

Sur quel fondement juridique nous appuyons-nous pour collecter vos données personnelles ?

Nous traitons vos données personnelles conformément aux dispositions du RGPD et des législations applicables en matière de protection des données. Le traitement de vos données personnelles est justifié par les fondements juridiques suivants :

Il est nécessaire à l'exécution d'un contrat ou à l'exécution de mesures précontractuelles prises à votre demande. Lorsque vous nous sollicitez, la finalité du traitement de vos données personnelles découle principalement de ce service et nous traiterons vos informations en vue de pouvoir vous fournir le dit service, de vous assister et de répondre à vos demandes, ou d'évaluer si nous pouvons vous offrir un produit ou un service donné, et dans quelles conditions.

Comment conservons-nous vos données personnelles ?

Vos données personnelles seront conservées par nous-mêmes et nos fournisseurs de services, conformément aux lois sur la protection des données, dans la mesure nécessaire pour atteindre les objectifs de traitement définis dans le présent avis de confidentialité.

Qui recevra vos données personnelles ?

Nous communiquons vos données personnelles uniquement aux destinataires identifiés et dûment autorisés. Notamment :

  • Les autorités judiciaires ou financières, agences d'État ou organismes publics, sur demande de leur part et dans la limite de ce qui est autorisé par la loi
  • Les prestataires fournissant des services pour le compte de Roadmap Group.

Combien de temps vos données personnelles seront-elles conservées ?

Vos données personnelles sont conservées tant que votre compte est actif. Dès votre demande de suppression, vos données sont pseudonymisées en production (votre identité est retirée de chaque table et votre compte de connexion est supprimé) ; elles disparaissent des sauvegardes immuables sous 30 jours, durée de rétention de ces sauvegardes.

Deux journaux de sécurité échappent à cette règle, parce que la loi et la traçabilité des données de santé l'exigent : la piste d'audit technique (qui a modifié quelle donnée, sans votre identité en clair) est conservée 7 ans ; les journaux de connexion sont conservés 1 an.

Comment exercer vos droits sur vos données personnelles ?

Roadmap Group souhaite s'assurer que vous êtes pleinement conscient de vos droits en matière de protection des données. Tout utilisateur dispose des droits suivants :

  • Accès (Art. 15) : depuis l'application — « Télécharger mes données » dans le profil patient — profil full (ruling 4). Sur demande — GET /api/gdpr?patientId=… par un administrateur ; sur le profil pseudonymized le CHU identifie la personne. l'export refuse le 200 partiel (exportComplete: false → 500) et caviarde les secrets vivants
  • Rectification (Art. 16) : depuis l'application — modification de son profil — profil full. Sur demande — fiche patient côté professionnel, limitée aux patients gérés.
  • Effacement (Art. 17) : depuis l'application — « Supprimer mon compte » — page publique /suppression-compte. Sur demande — DELETE /api/gdpr?patientId=… — même fonction erasePatientData. pseudonymisation immédiate en production ; délai résiduel dans les sauvegardes immuables (PRIVACY_FACTS.erasureResidualDays) ; suppression Keycloak rapportée étape par étape (207 si incomplet)
  • Limitation (Art. 18) : Sur demande — désactivation du compte (patients.is_active = false) : la personne est exclue de tout traitement automatique (R-18.1).
  • Portabilité (Art. 20) : depuis l'application — même export que l’Art. 15 : JSON structuré, schemaVersion daté. Sur demande — idem.
  • Opposition (Art. 21) : depuis l'application — retrait du consentement à l’assistance IA ; retrait du consentement data_processing = suppression du compte. Sur demande — instruction du responsable de traitement : désactivation (Art. 18) ou effacement (Art. 17).
  • Décision automatisée (Art. 22) : Sur demande — aucune décision produisant des effets juridiques : les adaptations automatiques du plan sont des propositions conservatoires, réversibles par le professionnel (ruling 5). la liste des chemins automatiques est AUTO_MUTATIONS ci-dessous, rendue dans le doc 02 §4

Décisions automatisées (Art. 22). Aucune décision produisant des effets juridiques à votre égard n'est prise de façon entièrement automatisée. Les adaptations automatiques de votre plan d'activité (9 chemins, par exemple relocalisation automatique d’une séance manquée (règle R2)) sont des propositions exécutées à titre conservatoire : votre professionnel les voit, peut les annuler (annulation depuis le panneau du plan (entrée REVERTED du ledger de décisions)) et conserve la décision finale.

Nous disposons d'un délai d'un mois pour répondre à une éventuelle demande de votre part.

Personnes âgées de moins de 16 ans

L'inscription est refusée avant 16 ans révolus, âge du consentement autonome retenu par la loi française (Art. 8 du RGPD et article 45 de la loi Informatique et Libertés). En dessous de cet âge, vous ne pourrez exercer vos droits sur vos données personnelles auprès de nous que par l'intermédiaire d'un de vos parents ou une personne titulaire de la responsabilité parentale. Vous devez par conséquent vous assurer d'avoir l'autorisation de la part de vos parents ou une personne titulaire de la responsabilité parentale avant de confirmer la création de votre compte.

Modifications apportées à notre Politique de confidentialité

Roadmap Group révise régulièrement sa Politique de confidentialité et publie ses éventuelles modifications. La présente Politique de confidentialité a été mise à jour en date du 2 septembre 2026.

Comment nous contacter?

Pour toute question sur la Politique de confidentialité de Roadmap Group, sur les données que nous détenons à votre sujet, ou si vous souhaitez exercer l'un de vos droits sur vos données personnelles, n'hésitez pas à contacter votre délégué à la protection des données :

Par e-mail à l'adresse : dpo@healthroadmap.fr (pour une question technique sans rapport avec vos droits, écrivez plutôt à support@healthroadmap.fr)

Ou par courrier à l'adresse : Roadmap Group – À l'attention du Délégué à la Protection des Données. 60 rue François 1er, 75008 Paris, France.

Contacter l'autorité compétente

Si vous souhaitez déposer une réclamation, ou si vous n'êtes pas satisfait de la réponse que Roadmap Group vous a donnée, vous pouvez vous adresser à l'autorité nationale compétente de contrôle de la protection des données. Si vous estimez, après avoir contacté Roadmap Group, que vos droits « Informatique et Libertés » ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL, via le téléservice Besoin d'aide https://www.cnil.fr/cnil-direct?visiteur=part&cnilContactSourceURI=plainte ou de plainte en ligne https://www.cnil.fr/fr/plaintes ou également par courrier postal en écrivant à : CNIL – 3 Place de Fontenoy – TSA 80715 – 75334 PARIS CEDEX 07 – FRANCE.

Gestion des cookies

Quand vous arrivez sur le site de l'application Health Roadmap, nous ne faisons aucun usage des cookies, notamment des cookies de session, tant que vous n'êtes pas inscrit en tant qu'utilisateur.

Lorsque vous êtes inscrit en tant qu'utilisateur de l'application Health Roadmap, nous utilisons les cookies suivants :

  • at — jeton d'accès de la session (authentification) (strictement nécessaire, posé par le serveur).
  • rt — jeton de rafraîchissement de la session (authentification) (strictement nécessaire, posé par le serveur).
  • healthroadmap_calendar_focus — préférence du filtre du calendrier professionnel (mode et identifiants sélectionnés, aucun nom, aucune donnée de santé) (préférence d'interface, posé par votre navigateur).

Aucun cookie de mesure d'audience ni de ciblage publicitaire n'est déposé, et aucun script de suivi tiers n'est chargé. Ces cookies sont exemptés de consentement (ils sont strictement nécessaires au service que vous demandez ou mémorisent une préférence d'affichage) ; les refuser revient à ne pas pouvoir rester connecté.

Vidéos de démonstration. Les vidéos d'exercices sont hébergées par des tiers listés dans la section « partenaires sous-traitants » (YouTube, Vimeo). Elles ne sont chargées qu'après votre clic sur « Charger la vidéo » ; avant ce clic, aucune requête ne part vers ces services. YouTube est appelé sur son domaine sans cookie (« youtube-nocookie »).