Politique de confidentialité et de protection des données (RGPD) — Scapula
Dernière mise à jour : 12 juillet 2026
1. Qui sommes-nous ?
Le logiciel Scapula est édité par Ugo Grandinetti, entrepreneur individuel (EI), SIRET 789 866 134 00032, dont le siège est situé 7 rue Ravez, 33000 Bordeaux, France (ci-après « Scapula » ou « nous »).
Contact pour toute question relative aux données personnelles : [email protected]. Aucun délégué à la protection des données (DPO) n'est désigné à ce jour ; la question de sa désignation est à l'étude.
Scapula est un logiciel de gestion de patientèle destiné aux ostéopathes et professionnels de santé, disponible en application web (PWA) et en application de bureau (macOS, Windows).
2. Un double rôle : responsable de traitement et sous-traitant
La présente politique distingue deux catégories de données, pour lesquelles Scapula joue deux rôles différents au sens du RGPD :
| Données | Personnes concernées | Responsable de traitement | Rôle de Scapula |
|---|---|---|---|
| Données de compte et de facturation | Le praticien (notre client) | Scapula | Responsable de traitement |
| Dossiers patients (données de santé) | Les patients du praticien | Le praticien | Sous-traitant (art. 28 RGPD) |
Pour les dossiers patients, le praticien est et demeure le responsable de traitement. Il lui appartient d'informer ses patients, de répondre à leurs demandes d'exercice de droits et de respecter ses obligations professionnelles (secret médical, durées de conservation des dossiers). Scapula traite ces données uniquement pour le compte du praticien, sur ses instructions, dans les conditions décrites à la section 4 et dans l'accord de sous-traitance (DPA) annexé aux CGU.
3. Données traitées en tant que responsable de traitement (compte praticien)
3.1 Données collectées
- Identification et contact : nom, prénom, adresse email, adresse postale professionnelle, téléphone.
- Données professionnelles : n° ADELI, SIRET, n° TVA intracommunautaire, code APE, statut de membre AGA.
- Données de connexion et de sécurité : identifiants (email + mot de passe haché), identifiant Google ou Apple en cas de connexion via ces services, facteurs de double authentification (TOTP, passkeys, codes de secours), journaux techniques.
- Données d'abonnement et de paiement : offre souscrite, statut d'abonnement, historique de facturation. Les données de carte bancaire sont traitées exclusivement par Stripe et ne sont jamais accessibles à Scapula.
3.2 Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Création et gestion du compte, fourniture du Service | Exécution du contrat (art. 6.1.b) |
| Facturation, comptabilité | Obligation légale (art. 6.1.c) |
| Sécurisation du Service (2FA, détection d'anomalies, journaux) | Intérêt légitime (art. 6.1.f) et obligations de sécurité (art. 32) |
| Emails transactionnels (confirmation, réinitialisation, alertes) | Exécution du contrat (art. 6.1.b) |
| Supervision technique et correction d'erreurs (Sentry) | Intérêt légitime (art. 6.1.f) |
| Communications commerciales de Scapula à ses clients | Intérêt légitime (art. 6.1.f), avec droit d'opposition à tout moment |
Scapula n'utilise aucun outil de publicité ni de profilage et ne revend aucune donnée.
4. Données traitées en tant que sous-traitant (dossiers patients)
Dans le cadre de l'utilisation du logiciel, le praticien enregistre des données relatives à ses patients : identité et coordonnées, antécédents, consultations, documents, et données de facturation des soins. Ces données comprennent des données de santé au sens de l'article 9 du RGPD.
Scapula s'engage à :
- ne traiter ces données que pour fournir le Service (stockage, synchronisation, sauvegarde), sur instruction du praticien ;
- ne jamais les consulter, les exploiter ou les transmettre à des tiers, hors obligation légale ;
- appliquer les mesures de sécurité décrites à la section 6, dont le chiffrement des dossiers patients rendant leur contenu illisible par Scapula ;
- notifier le praticien sans délai indu en cas de violation de données ;
- assister le praticien dans la réponse aux demandes d'exercice de droits de ses patients ;
- restituer ou supprimer les données à la fin du contrat (voir section 7).
Les demandes des patients (accès, rectification, effacement…) doivent être adressées à leur praticien, seul responsable de traitement. Si une telle demande parvient directement à Scapula, elle sera transmise au praticien concerné.
5. Destinataires et sous-traitants ultérieurs
Les données ne sont accessibles qu'aux prestataires strictement nécessaires au fonctionnement du Service :
| Prestataire | Rôle | Localisation | Garanties |
|---|---|---|---|
| Microsoft Azure (Microsoft Ireland Operations Ltd) | Hébergement de l'infrastructure et des bases de données — hébergeur certifié HDS (Hébergeur de Données de Santé) | France (régions Azure France) | Certification HDS, ISO 27001, ISO 27018 |
| Stripe Payments Europe, Ltd. | Paiement des abonnements et service d'encaissement (Stripe Connect) | UE ; transferts possibles vers Stripe, Inc. (États-Unis) | Clauses contractuelles types, Data Privacy Framework |
| Resend | Envoi des emails transactionnels (adresse email et contenu des notifications uniquement — jamais de données patients) | États-Unis | Clauses contractuelles types |
| Sentry | Supervision des erreurs techniques (les rapports excluent le contenu des dossiers patients) | États-Unis / UE | Clauses contractuelles types, Data Privacy Framework |
| Google / Apple | Uniquement si le praticien choisit la connexion via ces services | — | Traitement limité à l'authentification |
Aucune donnée de santé n'est transférée hors de l'Union européenne : les dossiers patients sont hébergés sur Microsoft Azure (certifié HDS), dans des datacenters situés en France, et y sont stockés chiffrés — le contenu médical est chiffré côté client avant synchronisation, de sorte que l'hébergeur n'a jamais accès aux données en clair. L'hébergeur appartient à un groupe de droit américain ; les transferts intra-groupe éventuels sont encadrés par des garanties appropriées (clauses contractuelles types, Data Privacy Framework).
6. Sécurité
Scapula met en œuvre des mesures techniques et organisationnelles conformes à l'article 32 du RGPD et adaptées à la sensibilité des données de santé :
- Chiffrement des dossiers patients au repos, côté client : les données médicales sont chiffrées champ par champ sur l'appareil du praticien (algorithme XSalsa20-Poly1305, bibliothèque libsodium) avant toute synchronisation. L'hébergeur ne détient jamais la clé. Celle-ci est liée au compte du praticien et n'est jamais stockée en clair sur les serveurs ni sur l'appareil ; elle n'est délivrée qu'après authentification complète, second facteur inclus.
- Chiffrement en transit : toutes les communications sont chiffrées (TLS/HTTPS).
- Double authentification obligatoire : chaque compte est protégé par un second facteur (application TOTP ou passkey), avec codes de secours.
- Chiffrement des secrets locaux : les jetons de session sont chiffrés au repos sur l'appareil (API sécurisée du système sur desktop, chiffrement libsodium sur web).
- Fonctionnement hors-ligne maîtrisé : sur l'application de bureau, la base locale conservée après déconnexion reste chiffrée et illisible sans authentification.
- Hébergement certifié HDS sur Microsoft Azure (régions France), avec sauvegardes régulières.
- Supervision et journalisation des erreurs et des événements de sécurité, sans inclusion du contenu médical.
7. Durées de conservation
| Données | Durée |
|---|---|
| Compte praticien et données associées | Durée du contrat, puis 12 mois après la fin de l'offre (période d'accès en lecture et d'export prévue par les CGV), puis suppression |
| Dossiers patients (en tant que sous-traitant) | Durée du contrat + période de restitution ci-dessus. La conservation légale des dossiers patients incombe au praticien, qui doit exporter ses données avant leur suppression |
| Documents de facturation Scapula | 10 ans (obligation comptable) |
| Journaux techniques et de sécurité | 12 mois |
| Données Stripe (paiements) | Selon les durées propres à Stripe et aux obligations légales anti-blanchiment |
8. Vos droits (praticiens)
Conformément aux articles 15 à 22 du RGPD, le praticien dispose des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition sur les données le concernant, ainsi que du droit de définir des directives post-mortem.
Ces droits s'exercent à l'adresse [email protected]. Une réponse est apportée dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes. Une preuve d'identité peut être demandée en cas de doute raisonnable.
Le praticien peut également introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
Les patients exercent leurs droits directement auprès de leur praticien (voir section 4).
9. Cookies et traceurs
L'application et le site Scapula n'utilisent aucun cookie publicitaire ni traceur de mesure d'audience tiers. Seuls des stockages techniques strictement nécessaires sont utilisés : session, préférences, base de données locale de l'application (fonctionnement hors-ligne) et supervision des erreurs (Sentry). Ces éléments techniques sont exemptés de consentement au sens des lignes directrices de la CNIL.
10. Violation de données
En cas de violation de données personnelles, Scapula notifie la CNIL dans les 72 heures lorsque la violation présente un risque pour les droits et libertés des personnes, informe les praticiens concernés sans délai indu (notamment en sa qualité de sous-traitant, art. 33.2), et documente l'incident dans son registre des violations.
11. Modifications de la présente politique
Cette politique peut être mise à jour, notamment en cas d'évolution du Service ou de la réglementation. Toute modification substantielle est notifiée aux praticiens (email ou notification dans l'application) avant son entrée en vigueur.