Politique de confidentialité

Le responsable du traitement des données personnelles décrit dans la présente déclaration de protection des données est : DeepMed Zurich AG Toblerstrasse 80 8044 Zurich, Suisse E-mail : contact@deepmed.ch Site web : www.deepmed.ch Si vous avez des questions concernant la protection des données ou souhaitez exercer vos droits, vous pouvez nous contacter aux coordonnées ci-dessus.

La présente déclaration de protection des données décrit la manière dont nous traitons les données personnelles lorsque vous consultez notre site web, communiquez avec nous, utilisez nos produits ou services ou entretenez de toute autre manière une relation commerciale avec nous. Nos offres s’adressent principalement à une clientèle professionnelle, notamment aux organisations, cabinets, cliniques, organismes d’expertise ainsi qu’à d’autres entreprises ou institutions. Certains produits, en particulier notre solution de chat, peuvent également être utilisés directement par des particuliers. Lorsque nous traitons des données personnelles pour le compte d’un client professionnel, notamment des contenus saisis sur notre plateforme par ce client ou ses utilisateurs, ce traitement est également régi par l’Accord de traitement des données conclu avec le client professionnel concerné. Dans de tels cas, la présente déclaration de protection des données décrit principalement nos propres activités de traitement, par exemple celles liées au site web, à la conclusion du contrat, à la gestion des comptes, à l’assistance, à la facturation et à la sécurité du système.

Selon la manière dont nos services sont utilisés, nous pouvons assumer différents rôles au regard du droit de la protection des données. Lorsque nous traitons des données personnelles à nos propres fins, nous agissons en qualité de responsable du traitement. Cela concerne notamment les données relatives à notre site web, aux communications, à la préparation et à la conclusion de contrats, à la facturation, à la gestion des comptes, à l’assistance, à la sécurité du système, à l’administration et au respect des obligations légales. Lorsqu’un client professionnel utilise notre plateforme et y saisit ses propres contenus, des données de patients, des contenus d’expertise, des rapports, des historiques de chat, des fichiers téléversés ou d’autres données, nous traitons généralement ces données pour le compte du client professionnel. Dans de tels cas, le client professionnel demeure responsable de la licéité du traitement, de l’information des personnes concernées, de la définition des finalités du traitement et du traitement des demandes des personnes concernées. Les détails figurent dans l’Accord de traitement des données applicable. Lorsqu’un particulier utilise directement notre solution de chat, nous traitons généralement en qualité de responsable du traitement les données nécessaires à cette utilisation.

Selon la relation que vous entretenez avec nous, nous traitons notamment les catégories de données personnelles suivantes : • Données de base, telles que le nom, l’adresse, l’adresse e-mail, le numéro de téléphone, l’entreprise, la fonction, la langue et d’autres coordonnées. • Données contractuelles et de facturation, telles que les informations relatives à la relation contractuelle, aux produits sélectionnés, aux conditions, aux données de facturation, au statut des paiements et à la correspondance concernant l’exécution du contrat. • Données de compte, telles que le nom d’utilisateur, l’adresse e-mail, le hachage du mot de passe, les rôles, les autorisations, l’unité organisationnelle, le statut de connexion et les paramètres techniques. • Données de communication, telles que les e-mails, les demandes d’assistance, les commentaires, les notes de réunion et d’autres contenus de communication. • Données techniques et de sécurité, telles que l’adresse IP, les horodatages, les fichiers journaux, les informations relatives à l’appareil et au navigateur, les événements d’authentification, les journaux d’accès et les rapports d’erreur. • Données d’utilisation, telles que les informations sur les fonctionnalités utilisées, le moment des accès et les processus techniques nécessaires à la fourniture, à la sécurisation et à l’amélioration de nos services. • Données de contenu, lorsque vous-même ou un client professionnel saisissez, téléversez ou générez de telles données dans nos produits. Il peut notamment s’agir de contenus de chat, de requêtes, de fichiers téléversés, de transcriptions, de projets de rapports, de rapports finaux, d’informations médicales, de contenus d’expertise et d’autres contenus documentaires. Selon le produit et son utilisation, les données de contenu peuvent également comprendre des données personnelles particulièrement protégées, notamment des données de santé. Pour les clients professionnels, ces données de contenu sont généralement traitées pour le compte du client professionnel concerné.

Nous traitons des données personnelles notamment aux fins suivantes : • Fourniture de notre site web et de nos produits. • Préparation, conclusion, exécution et résiliation de contrats. • Création et gestion de comptes utilisateurs. • Authentification, gestion des droits et contrôle des accès. • Fourniture de fonctionnalités SaaS, y compris l’enregistrement, l’affichage, la modification et le traitement de contenus sur instruction de l’utilisateur ou du client professionnel. • Exploitation de fonctionnalités d’IA lorsque celles-ci font partie du produit concerné. • Assistance, analyse des erreurs, maintenance et amélioration de la stabilité technique. • Facturation, comptabilité et respect des obligations légales de conservation. • Garantie de la sécurité de l’information, détection des utilisations abusives, journalisation et traçabilité des événements pertinents pour la sécurité. • Communication avec les clients, utilisateurs, prospects, fournisseurs et autres partenaires commerciaux. • Exercice et défense de prétentions juridiques. • Respect des obligations légales et des décisions des autorités.

Nous traitons les données personnelles conformément au droit suisse de la protection des données. Lorsque le Règlement général sur la protection des données de l’Union européenne (RGPD) s’applique, nous nous fondons notamment sur les bases juridiques suivantes : • Exécution du contrat ou mesures précontractuelles, lorsque le traitement est nécessaire à la conclusion ou à l’exécution d’un contrat. • Respect d’obligations légales, notamment en matière de comptabilité, de conservation, de sécurité et de coopération avec les autorités. • Intérêts légitimes, notamment l’exploitation sûre, stable et efficace de notre site web et de nos produits, la gestion des relations commerciales, l’amélioration de l’infrastructure technique, la prévention des utilisations abusives ainsi que l’exercice ou la défense de prétentions juridiques. • Consentement, lorsque nous recueillons celui-ci dans des cas particuliers. Pour les données personnelles particulièrement protégées, notamment les données de santé, le traitement est effectué soit pour le compte d’un client professionnel, soit sur la base du consentement, pour l’exécution d’un contrat, pour respecter des obligations légales ou sur une autre base admise par le droit applicable.

Nos produits sont principalement utilisés par des clients professionnels. Dans ce cas, le client professionnel donne à ses utilisateurs autorisés accès à la plateforme et détermine quelles données sont saisies, traitées, enregistrées ou supprimées. Le client professionnel décide notamment de la finalité du traitement, des utilisateurs autorisés, des rôles et autorisations, des contenus à traiter, de l’information des personnes concernées et du respect d’éventuelles obligations de secret professionnel. En règle générale, nous traitons les contenus saisis par le client professionnel ou ses utilisateurs uniquement afin de fournir les services convenus, d’assurer l’exploitation technique de la plateforme, de fournir une assistance, de mettre en œuvre des mesures de sécurité et de respecter les obligations légales ou contractuelles. Des informations complémentaires sur le traitement pour le compte du client professionnel figurent dans l’Accord de traitement des données.

Lorsque nous proposons directement notre solution de chat à des particuliers, nous traitons en qualité de responsable du traitement les données personnelles nécessaires à cette utilisation. Cela comprend notamment les données requises pour l’inscription, l’authentification, la gestion du compte, la fourniture de la fonction de chat, l’enregistrement et l’affichage des historiques de chat, le traitement des contenus saisis, l’assistance, la facturation, la sécurité du système et le respect des obligations légales. L’utilisateur décide des contenus qu’il saisit dans la solution de chat. Les données personnelles particulièrement protégées ne doivent être saisies que si cela est nécessaire à la finalité concernée et si la personne concernée est autorisée à le faire.

Nos produits peuvent inclure des fonctionnalités d’IA. Celles-ci peuvent notamment contribuer à structurer des textes, générer des projets, proposer des sections de rapports, analyser des documents ou soutenir des processus administratifs. Notre plateforme assiste la création, la structuration, la modification et la gestion administratives de rapports et de documents. Elle n’est pas destinée à établir des diagnostics, prendre des décisions thérapeutiques, évaluer des urgences médicales, effectuer un triage ou remplacer le jugement professionnel d’un médecin ou d’un autre spécialiste qualifié. Les contenus générés par l’IA constituent des projets ou des suggestions. Ils doivent être vérifiés, corrigés et approuvés par l’utilisateur responsable avant toute autre utilisation. La responsabilité professionnelle demeure celle du client, de l’utilisateur ou du médecin responsable concerné. Nous n’utilisons pas les données des clients, les données de patients, les contenus médicaux, les requêtes, les fichiers téléversés, les transcriptions, les historiques de chat ou les contenus de rapports générés pour entraîner des modèles d’IA généraux, à des fins publicitaires ou de profilage, ni pour nos propres analyses médicales. Nous pouvons évaluer des données techniques d’utilisation, de sécurité et de performance sous forme agrégée ou anonymisée lorsque cela est nécessaire à la sécurité, à la stabilité, au dépannage et au développement technique de nos produits.

Sur notre site web public, nous utilisons des cookies et des technologies similaires afin d’assurer le fonctionnement technique du site et d’en analyser l’utilisation. Nous utilisons Google Analytics, un service d’analyse web fourni par Google. Le fournisseur est Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande. Google Analytics nous aide à comprendre comment les visiteurs utilisent notre site web, quelles pages sont consultées, comment les utilisateurs accèdent à notre site et comment nous pouvons améliorer notre offre d’information. Google Analytics peut notamment traiter des informations techniques et d’utilisation, telles que l’adresse IP, les informations relatives à l’appareil et au navigateur, la localisation approximative, les pages consultées, l’heure et la durée de la visite, l’URL de provenance, les interactions avec le site web et des identifiants générés aléatoirement enregistrés dans des cookies ou au moyen de technologies similaires. Nous n’utilisons pas Google Analytics pour vous identifier directement et nous ne l’utilisons pas pour évaluer les contenus de la plateforme, les données de patients, les contenus médicaux, les requêtes, les historiques de chat, les fichiers téléversés ou les rapports générés. Google Analytics est utilisé uniquement pour le site web public, et non pour analyser en détail l’utilisation de nos espaces de plateforme protégés. Lorsque Google Analytics dépose des cookies ou utilise des technologies similaires, cela n’a lieu qu’avec votre consentement si celui-ci est requis par le droit applicable. Vous pouvez à tout moment retirer ou modifier le consentement donné dans les paramètres relatifs aux cookies de notre site web. Les informations générées par Google Analytics peuvent être transmises à des entités de Google et à des prestataires de services de Google et y être traitées, notamment en Irlande, dans d’autres États de l’Espace économique européen, en Suisse et aux États-Unis. Pour les transmissions vers des États ne présentant pas un niveau de protection des données adéquat, Google s’appuie, selon ses propres déclarations, sur des garanties appropriées, notamment des clauses contractuelles types ou d’autres mécanismes de transmission applicables. Vous trouverez de plus amples informations sur le traitement des données par Google dans les déclarations de protection des données et les conditions de Google.

Nous ne communiquons des données personnelles que lorsque cela est nécessaire à la fourniture de nos services, lorsque la loi l’exige, lorsqu’un consentement a été donné ou lorsqu’il existe une autre base juridique. Les destinataires peuvent notamment comprendre : • Des fournisseurs d’hébergement, de services cloud et d’infrastructure. • Des fournisseurs de services d’IA, de reconnaissance vocale, de traitement du langage ou d’autres services techniques lorsque ceux-ci sont nécessaires à la fonctionnalité du produit concerné. • Des prestataires de services d’e-mail, de communication, d’assistance et de maintenance. • Des fournisseurs de services d’analyse et de gestion des cookies, en particulier Google Analytics, lorsqu’il est utilisé sur notre site web public. • Des prestataires de services de paiement, de comptabilité et d’administration. • Des conseillers, notamment des avocats, des fiduciaires, des auditeurs et des experts en sécurité informatique. • Des autorités, tribunaux ou autres organismes publics lorsque nous y sommes légalement obligés ou autorisés. • Des clients professionnels lorsqu’un utilisateur utilise la plateforme au sein d’une organisation et que le client professionnel a accès aux données de son organisation en vertu de son concept de rôles et d’autorisations. Les prestataires de services sont sélectionnés avec soin et, lorsque cela est requis, sont tenus contractuellement au respect de la confidentialité, de la sécurité des données et du traitement conformément à nos instructions.

Le stockage productif et le traitement régulier des données des clients ont lieu, selon la configuration actuelle du système propre au produit et au client, en Suisse ou dans un lieu de traitement des données défini contractuellement. Certains produits ou composants de produits peuvent être exploités sur différentes infrastructures cloud. Pour les clients professionnels, le lieu précis de traitement des données et les éventuels sous-traitants ultérieurs sont définis dans le contrat applicable, l’Accord de traitement des données ou une documentation distincte. Lorsque des services d’IA sont utilisés, le traitement s’effectue généralement en Suisse ou dans l’Union européenne (selon la configuration actuelle du système, en Suède). Dans la configuration actuelle du système, les données productives des clients ne sont pas transférées vers des pays tiers. Il ne peut être exclu que certains processus administratifs ou prescrits par la loi présentent un lien avec l’étranger, par exemple dans le cadre de communications avec des prestataires de services, de demandes d’assistance, de la facturation, de communications exigées par la loi ou de l’utilisation de certains services en dehors de l’exploitation productive de la plateforme. Dans de tels cas, nous veillons au respect des exigences légales, notamment au moyen de décisions d’adéquation, de clauses contractuelles types, d’obligations contractuelles, de garanties techniques ou d’autres garanties appropriées. Pour les clients professionnels, les détails relatifs à la localisation des données, aux sous-traitants ultérieurs et aux éventuels liens avec l’étranger figurent généralement dans l’Accord de traitement des données ou dans une documentation distincte. Les informations ci-dessus concernant le stockage productif et le traitement régulier des données des clients se rapportent à notre plateforme et aux contenus qui y sont traités. Pour l’utilisation de notre site web public, certains services présentant un lien avec l’étranger peuvent être utilisés, en particulier Google Analytics. Ces services ne traitent pas les contenus de la plateforme, les données de patients, les contenus médicaux, les requêtes, les historiques de chat, les fichiers téléversés ou les rapports générés.

Nous ne conservons les données personnelles qu’aussi longtemps que cela est nécessaire à la finalité concernée, convenu contractuellement ou prescrit par la loi. Les données contractuelles, de facturation et de comptabilité sont généralement conservées pendant la durée de la relation contractuelle, puis durant les délais légaux de conservation, habituellement jusqu’à dix ans. Les données de compte sont généralement conservées aussi longtemps que le compte utilisateur concerné existe ou que cela est nécessaire à l’exécution du contrat, à la sécurité, à la traçabilité ou au respect des obligations légales. Les données de contenu sur la plateforme sont conservées conformément aux paramètres, aux conditions contractuelles ou aux instructions applicables au produit concerné. Sauf convention contraire, la durée de conservation standard des contenus productifs de la plateforme est d’un an. À l’expiration de la durée de conservation applicable, les données sont supprimées, anonymisées ou marquées pour suppression. Lorsque des données sont marquées pour suppression, leur suppression complète intervient dans un délai raisonnable conformément aux processus techniques. Les sauvegardes servent exclusivement à rétablir la disponibilité du système après des incidents de sécurité ou des perturbations techniques et sont écrasées ou supprimées conformément aux processus de sauvegarde et de suppression prévus. Lorsque des obligations légales de conservation, des intérêts à la préservation de preuves ou des prétentions juridiques s’opposent à une suppression immédiate, nous limitons la poursuite du traitement dans la mesure nécessaire à cette finalité.

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées afin de protéger les données personnelles contre la perte, l’utilisation abusive, l’accès non autorisé, la divulgation non autorisée, l’altération ou la destruction. Ces mesures comprennent notamment : • Transmission chiffrée via HTTPS/TLS. • Stockage chiffré dans la base de données. • Chiffrement supplémentaire des données de patients au moyen de clés propres au client. • Concepts de rôles et d’autorisations. • Comptes utilisateurs individuels. • Authentification multifacteur pour les accès internes. • Restriction de l’accès au personnel autorisé. • Journalisation des accès aux données de patients. • Séparation des environnements de développement, de test, de démonstration et de production. • Utilisation de données synthétiques dans les environnements de développement et de test. • Examens de sécurité, audits et contrôles techniques réguliers. • Formation et engagement des collaborateurs ayant accès aux données personnelles. Les mesures techniques et organisationnelles concrètes peuvent varier selon le produit, le client et les exigences de protection. Pour les clients professionnels, des informations complémentaires figurent généralement dans les MTO et l’Accord de traitement des données.

Nos collaborateurs et les tiers mandatés sont tenus à la confidentialité lorsqu’ils peuvent avoir accès à des données personnelles ou à des informations confidentielles. L’accès aux données personnelles particulièrement protégées, notamment aux données de santé, n’est accordé qu’aux personnes qui en ont besoin pour accomplir leurs tâches et qui ont reçu les instructions appropriées.

En vertu du droit applicable en matière de protection des données, vous avez notamment le droit de demander des informations sur le traitement de vos données personnelles, de faire rectifier des données personnelles inexactes, de demander la suppression de données personnelles, de demander la limitation du traitement, de vous opposer au traitement, de retirer un consentement donné et, le cas échéant, de demander la remise ou le transfert de certaines données. Pour exercer vos droits, contactez-nous au moyen des coordonnées indiquées à la section 1. Nous pouvons exiger une preuve appropriée de votre identité afin d’éviter les abus. Lorsque nous traitons des données personnelles pour le compte d’un client professionnel, il incombe généralement à ce client de traiter ces demandes. Dans de tels cas, nous pouvons transmettre votre demande au client professionnel ou vous inviter à vous adresser directement à celui-ci. Nous assistons le client professionnel conformément à l’Accord de traitement des données. Si vous estimez que le traitement de vos données personnelles enfreint le droit de la protection des données, vous pouvez vous adresser à l’autorité de surveillance compétente. En Suisse, il s’agit du Préposé fédéral à la protection des données et à la transparence (PFPDT).

Lorsque vous communiquez avec nous par e-mail, nous traitons les informations que vous nous fournissez afin de répondre à votre demande et d’entretenir la relation commerciale. La communication par e-mail peut comporter des risques de sécurité. Veuillez ne nous transmettre par e-mail des informations hautement confidentielles ou particulièrement protégées que si cela est nécessaire ou si des garanties appropriées sont en place.

Nous pouvons modifier la présente déclaration de protection des données à tout moment, notamment lorsque nos produits, nos activités de traitement des données ou les exigences légales évoluent. La version publiée sur notre site web fait foi. En cas de modifications importantes, nous pouvons également en informer les utilisateurs inscrits ou les clients professionnels de manière appropriée.