1Qui sommes-nous ?
Obilys est un service édité par la société SARL Innov et Conseil, immatriculée au RCS de Libourne sous le n° 981 070 675.
Siège social : 71 rue de Montaudon, 33500 Libourne, France
Contact : contact@obilys.org
Rôles au sens du RGPD
En sa qualité de professionnel de santé, l'orthophoniste utilisateur d'Obilys est responsable du traitement des données de ses patients. L'Éditeur agit à cet égard en qualité de sous-traitant, dans les conditions définies par l'accord de sous-traitance conclu entre les parties.
L'Éditeur est responsable du traitement pour les données relatives au compte de l'orthophoniste lui-même (identification, données professionnelles, facturation). Le représentant est Alexis DAPOIGNY, Gérant.
2Quelles données collectons-nous ?
2.1 Données du compte professionnel
- Données d'identification : nom, prénom, adresse email professionnelle
- Données professionnelles : numéro ADELI, adresse du cabinet, téléphone professionnel
- Données de personnalisation : logo du cabinet, en-tête de documents, préférences de mise en page
- Données de paiement : gérées exclusivement par Stripe (nous ne stockons jamais vos numéros de carte)
2.2 Données des patients
- Données d'identification du patient : nom, prénom, date de naissance, coordonnées
- Données de santé : observations cliniques, résultats d'épreuves, scores, anamnèse, conclusions
Ces données de santé sont saisies par vous, orthophoniste, dans le cadre de votre exercice professionnel. Vous êtes responsable du traitement de ces données au regard de vos obligations déontologiques et du secret professionnel ; Obilys intervient en qualité de sous-traitant.
2.3 Données techniques
- Cookies : cookies nécessaires à l'authentification (toujours actifs) et, sous réserve de votre consentement, un traceur publicitaire Meta (Pixel) pour mesurer l'efficacité de nos publicités.
- Logs de connexion : horodatage des connexions pour la sécurité du service.
3Pourquoi collectons-nous ces données ?
- Fourniture du service Obilys (base légale : exécution du contrat)
- Gestion de l'abonnement et facturation (base légale : exécution du contrat)
- Assistance IA à la rédaction (base légale : exécution du contrat)
- Sécurité et prévention des fraudes (base légale : intérêt légitime)
- Support client (base légale : exécution du contrat)
4L'utilisation de l'Intelligence Artificielle
Obilys propose une fonctionnalité d'assistance à la rédaction par IA (reformulation des observations cliniques), réservée à la formule Obilys Complet.
La pseudonymisation avant envoi. Les textes soumis à la reformulation sont pseudonymisés avant tout envoi : les noms et prénoms, dates, adresses e-mail, numéros de téléphone et numéros de sécurité sociale sont automatiquement détectés et remplacés par des marqueurs neutres. Seul le contenu clinique pseudonymisé est transmis à l'API Claude (Anthropic).
- Les valeurs originales sont restaurées dans le résultat retourné : l'orthophoniste voit toujours les vrais noms dans son interface. La correspondance ne quitte jamais nos serveurs.
- Anthropic n'utilise pas les données envoyées via son API pour entraîner ses modèles.
- Cette fonctionnalité est optionnelle : vous pouvez rédiger vos bilans sans jamais utiliser l'IA, et la formule Obilys Essentiel n'y donne pas accès.
- Seules les observations cliniques que vous choisissez de reformuler sont transmises, jamais l'intégralité du dossier.
Import de bilans existants. Lorsque vous importez un bilan Word pour en créer une trame réutilisable, le document est pseudonymisé avant traitement et l'identité n'est jamais restaurée : seuls les éléments réutilisables (catégorie, préconisations, objectifs, conclusion type) sont conservés. L'identité, les dates, les coordonnées et les scores ne sont pas conservés.
Un contrat de sous-traitance (DPA) conforme au RGPD, incluant les Clauses Contractuelles Types (CCT), est en vigueur avec Anthropic.
5Où sont stockées vos données ?
| Prestataire | Usage | Localisation | Garanties |
|---|
| Supabase (AWS) | Hébergement base de données | UE — Frankfurt | DPA signé, chiffrement AES-256 |
| IONOS | Hébergement serveur web | Allemagne | Hébergement UE |
| Stripe | Paiement sécurisé | UE / États-Unis | PCI-DSS, DPA + CCT |
| Anthropic (Claude) | IA reformulation (optionnel) | États-Unis | DPA signé + CCT, données pseudonymisées |
| Resend | Emails transactionnels | États-Unis | DPA signé + CCT |
| OpenAI (Whisper) | Transcription vocale (optionnel) | États-Unis | DPA + CCT |
Des contrats de sous-traitance (DPA) conformes au RGPD, incluant les Clauses Contractuelles Types (CCT) de la Commission européenne, sont en vigueur avec l'ensemble de nos prestataires traitant des données hors UE.
Une migration vers un hébergeur certifié HDS (Hébergeur de Données de Santé), en France, est en cours. En attendant, les mesures suivantes sont actives : pseudonymisation avant envoi à l'IA, chiffrement AES-256 des données au repos, isolation des données par utilisateur (Row Level Security).
6Comment protégeons-nous vos données ?
- Chiffrement HTTPS : toutes les communications sont chiffrées (TLS 1.2+).
- Isolation des données : chaque orthophoniste ne peut accéder qu'à ses propres données grâce au Row Level Security (RLS).
- Pseudonymisation : les données identifiantes sont remplacées par des marqueurs neutres avant tout traitement par l'IA.
- Authentification sécurisée : mots de passe hashés, protection contre les attaques par force brute.
- Traceur publicitaire : un Pixel Meta est chargé uniquement si vous y consentez (bandeau cookies), pour mesurer l'efficacité de nos publicités. Vous pouvez le refuser ou revenir sur votre choix à tout moment.
- Cookies minimaux : uniquement les cookies strictement nécessaires à l'authentification.
7Durées de conservation
- Données du compte : pendant la durée de l'abonnement, puis supprimées sous 90 jours après clôture.
- Données des patients et bilans : pendant la durée de l'abonnement. 30 jours pour exporter avant suppression.
- Logs de connexion : 12 mois maximum.
- Données de facturation : 10 ans (durée légale obligatoire).
8Vos droits (RGPD)
- Droit d'accès : obtenir une copie de toutes les données vous concernant.
- Droit de rectification : corriger vos données personnelles.
- Droit à l'effacement : demander la suppression de votre compte et de toutes vos données.
- Droit à la portabilité : exporter vos données (export Word des bilans).
- Droit à la limitation : demander la limitation du traitement.
- Droit d'opposition : vous opposer au traitement.
Pour exercer vos droits : contact@obilys.org — Délai de réponse : 30 jours maximum.
Les demandes émanant des patients relèvent de l'orthophoniste, responsable du traitement de leurs données. Obilys apporte à l'orthophoniste l'assistance nécessaire pour y répondre.
9Partage des données avec des tiers
Nous ne vendons, ne louons et ne partageons jamais vos données à des fins commerciales. Les sous-traitants techniques listés à l'article 5 interviennent uniquement dans le cadre de la fourniture du service.
10Questionnaires pré-bilan (patients)
- Le patient accède au questionnaire via un lien sécurisé unique.
- Les réponses sont chiffrées en transit et stockées de manière sécurisée.
- Seule l'orthophoniste ayant envoyé le questionnaire peut consulter les réponses.
- Aucun compte n'est créé pour le patient.
11Cookies
Obilys utilise des cookies strictement nécessaires au fonctionnement du service (session d'authentification), toujours actifs. Avec votre consentement, un traceur publicitaire Meta (Pixel) est également utilisé pour mesurer l'efficacité de nos publicités ; il n'est jamais chargé avant votre accord et vous pouvez le refuser ou modifier votre choix à tout moment via le bandeau cookies.
12Modifications
En cas de modification substantielle de cette politique, nous informerons les utilisateurs par email ou notification dans l'application.
13Contact et réclamation
Email : contact@obilys.org
Courrier : SARL Innov et Conseil — 71 rue de Montaudon, 33500 Libourne
Vous disposez du droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).