Politique de confidentialité
Dernière mise à jour : octobre 2026
Table des matières
- 1. Définitions
- 2. Notre rôle : Responsable de traitement et Sous-traitant
- 3. Principes de traitement des données par ESPEIR
- 4. Bases légales, finalités et périmètre des traitements
- 5. Sources de collecte
- 6. Destinataires
- 7. Durées de conservation
- 8. Hébergement et transferts
- 9. Cookies et mesure d’audience
- 10. Vos droits
- 11. Exercer vos droits / Contact
Préambule
La présente politique de confidentialité (la « Politique ») décrit les conditions dans lesquelles ESPEIR (la « Société ») traite des données à caractère personnel dans le cadre :
- de la consultation et de l’utilisation du site internet d’ESPEIR (le « Site ») ;
- et, le cas échéant, de l’utilisation de la solution CLARYS Medical Memory, interface de lecture clinique longitudinale s’appuyant sur HL7 FHIR (R4), conçue pour accéder en lecture seule à des données et documents cliniques issus de systèmes tiers (DPI, GED, entrepôts documentaires exposant FHIR) et les restituer sous une forme lisible, temporelle et contextualisée.
ESPEIR attache une importance particulière à la protection des données personnelles et agit conformément au RGPD et aux textes applicables.
1. Définitions
Donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable.
Donnée de santé : donnée personnelle relative à la santé (catégorie particulière au sens du RGPD).
Traitement : toute opération sur des données (collecte, consultation, utilisation, affichage, etc.).
Responsable de traitement / Sous-traitant / Personne concernée : au sens du RGPD.
2. Notre rôle : Responsable de traitement et Sous-traitant
2.1 ESPEIR en qualité de Responsable de traitement
ESPEIR est responsable de traitement pour les données liées :
- à la navigation sur le Site (données techniques, cookies, sécurité) ;
- aux demandes entrantes (contact, démo, rendez-vous, échanges commerciaux) ;
- à la gestion des relations contractuelles avec ses clients (contacts professionnels, facturation).
2.2 ESPEIR (et/ou CLARYS Medical Memory) en qualité de Sous-traitant
Dans le cadre de l’utilisation de CLARYS Medical Memory par un établissement (ou un éditeur / intégrateur), le client est en principe responsable de traitement des données de santé et définit les finalités (prise en charge, accès au dossier, etc.).
CLARYS Medical Memory se positionne comme brique transverse de consultation, en aval des systèmes producteurs, sans se substituer à un DPI ni à un stockage de référence. Dans ce cadre :
- CLARYS Medical Memory accède aux serveurs FHIR en lecture seule ;
- CLARYS Medical Memory ne crée pas, ne modifie pas et ne valide pas de données cliniques ;
- CLARYS Medical Memory ne prend aucune décision médicale. Lorsque CLARYS Intelligence est activée, elle réalise une extraction sémantique : elle identifie et structure l’information présente dans les documents, avec un lien vers sa source, sans établir de diagnostic ni de recommandation. L’interprétation clinique reste celle des professionnels de santé ;
- le traitement est encadré par un accord de sous-traitance / DPA.
3. Principes de traitement des données par ESPEIR
ESPEIR applique les principes RGPD : licéité, loyauté, transparence, minimisation, exactitude, limitation de conservation, sécurité.
Principe produit CLARYS Medical Memory (périmètre volontairement borné) :
- CLARYS Medical Memory est conçue pour la visualisation et la navigation documentaire ;
- l’authentification relève du fournisseur d’identité du client ; CLARYS Medical Memory ne gère pas de comptes utilisateurs propres et ne conserve que des références d’identité et des préférences d’affichage ;
- l’authentification et la journalisation des accès sont centralisées côté serveur ; l’interface affichée dans le navigateur ne manipule pas les jetons d’authentification.
4. Bases légales, finalités et périmètre des traitements
4.1 Site internet (ESPEIR responsable de traitement)
Finalités : fonctionnement, sécurité, prévention fraude/incidents, statistiques d’usage ; réponse aux demandes (contact/démo) ; communication B2B.
Bases légales (selon cas) : intérêt légitime (sécurité du site, administration) ; mesures précontractuelles (réponse à une demande) ; consentement (cookies non essentiels, si utilisés).
Catégories de données (site) : données de navigation et logs (IP, user-agent, pages consultées, horodatage) ; données fournies via formulaires (nom, email, organisation, message).
4.2 CLARYS Medical Memory (client responsable de traitement / ESPEIR sous-traitant)
Finalités : fournir une lecture clinique longitudinale à partir de données exposées par des serveurs FHIR, avec restitution contextualisée et traçable.
Périmètre (principes concrets) :
- accès en lecture seule aux ressources FHIR, par l’intermédiaire d’un service côté serveur ;
- journalisation/auditabilité des accès applicatifs (conforme aux exigences SIH) ;
- stockage applicatif limité (sessions, préférences, paramètres de contexte), sans “référentiel clinique” propre.
5. Sources de collecte
- directement auprès de vous (site/formulaires/échanges) ;
- automatiquement (logs de sécurité, cookies si utilisés) ;
- via les systèmes sources du client (serveurs FHIR / IdP) lorsque CLARYS Medical Memory est utilisée en environnement client.
6. Destinataires
Selon les cas, les données peuvent être accessibles :
- aux équipes habilitées d’ESPEIR (besoin d’en connaître) ;
- aux prestataires techniques, sous contrats : hébergement du site (Vercel Inc.), mesure d’audience (PostHog Inc., hébergement UE), envoi des emails transactionnels (Resend), messagerie (Microsoft 365), ainsi que l’hébergement, l’infogérance et le support de CLARYS Medical Memory ;
- aux autorités compétentes en cas d’obligation légale.
CLARYS Medical Memory étant conçue pour s’intégrer aux SI existants, l’essentiel des règles d’accès aux données cliniques est déterminé par les systèmes amont (serveur FHIR / mécanismes d’autorisation).
7. Durées de conservation
7.1 Données Site (ESPEIR responsable de traitement)
- demandes de contact / démo : 36 mois maximum à compter du dernier contact ; candidatures : 24 mois maximum ;
- logs de sécurité : durée limitée et proportionnée.
7.2 Données CLARYS Medical Memory (ESPEIR sous-traitant)
- sessions / préférences / paramètres de contexte : durée nécessaire au fonctionnement du service, fixée avec le client lors du déploiement ;
- journaux/audits : selon les exigences du client et la politique sécurité ;
- données cliniques : pas de stockage primaire par CLARYS Medical Memory ; conservation/persistance éventuelle uniquement si prévue au contrat et à la configuration (ex. index), avec durées spécifiées.
8. Hébergement et transferts
CLARYS Medical Memory peut être déployée on-premise (hôpital) ou dans un cloud conforme aux exigences applicables (ex. HDS si requis), selon le choix du client.
Par principe, ESPEIR vise une localisation UE/EEE pour CLARYS Medical Memory. Le site internet est hébergé par Vercel Inc. et les emails du formulaire de contact sont acheminés par Resend, prestataires établis aux États-Unis : ces transferts sont encadrés par des garanties appropriées (clauses contractuelles types de la Commission européenne et, le cas échéant, Data Privacy Framework).
10. Vos droits
Lorsque ESPEIR est responsable de traitement : droits d’accès, rectification, effacement (selon conditions), limitation, opposition, portabilité (selon conditions), retrait du consentement (si applicable), réclamation CNIL.
Lorsque ESPEIR agit comme sous-traitant dans CLARYS Medical Memory : la demande s’exerce en principe auprès du client responsable de traitement, sauf si le contrat prévoit un mécanisme différent.
11. Exercer vos droits / Contact
ESPEIR
contact@espeir.com
ESPEIR répond dans les délais légaux applicables.