Politique de confidentialité

1Responsable du traitement

Le responsable du traitement des données personnelles collectées via la plateforme certideces.fr est :

2Données collectées

2.1 Données des demandeurs

Donnée	Obligatoire	Usage
Prénom, nom	Oui	Identification du demandeur
Numéro de téléphone	Oui	Vérification OTP, notification d'attribution
Adresse du lieu de décès	Oui	Géolocalisation pour trouver les professionnels
Type de lieu, contexte du décès	Oui	Qualification et routage de la demande
Commentaire libre	Non	Information complémentaire pour le professionnel

2.2 Données des professionnels de santé

Donnée	Obligatoire	Usage
Prénom, nom	Oui	Identification et affichage demandeur
Email professionnel	Oui	Connexion et notifications
Téléphone personnel et pro	Oui / Non	Alertes SMS, contact demandeur
Numéro RPPS ou ADELI	Oui	Vérification des habilitations
Adresse professionnelle	Oui	Calcul de la zone d'intervention
Justificatifs (diplômes, attestations)	Oui	Validation manuelle du compte
Données de facturation	Oui	Gestion de l'abonnement via Stripe

2.3 Données de navigation

Lors de la navigation, des données techniques peuvent être collectées automatiquement : adresse IP, type de navigateur, pages consultées, durée de visite. Ces données sont utilisées à des fins de statistiques anonymisées et de sécurité.

3Finalités et bases légales

Finalité	Base légale
Mise en relation demandeur / professionnel	Exécution du contrat (art. 6.1.b RGPD)
Vérification de l'identité par SMS (OTP)	Intérêt légitime — sécurité anti-fraude
Validation des habilitations professionnelles	Obligation légale (art. 6.1.c RGPD)
Gestion des abonnements et facturation	Exécution du contrat
Envoi de notifications et alertes SMS	Exécution du contrat
Amélioration du service et statistiques	Intérêt légitime
Respect des obligations légales et comptables	Obligation légale

4Données de santé — traitement spécifique

Les informations relatives au contexte d'un décès (cause, circonstances, type de lieu) sont considérées comme des données de santé au sens du RGPD et font l'objet d'un traitement renforcé.

Ces données sont :

• Collectées sur la base du consentement explicite du demandeur ou de l'intérêt vital de la personne concernée ;
• Hébergées sur une infrastructure conforme aux exigences HDS (Hébergeur de Données de Santé) ;
• Accessibles uniquement au professionnel de santé attribué à la demande ;
• Pseudonymisées dans les communications SMS envoyées aux professionnels ;
• Jamais transmises à des tiers à des fins commerciales.

5Durées de conservation

Type de donnée	Durée de conservation
Données des demandes (hors données de santé)	3 ans après la demande
Données de santé liées aux demandes	1 an après la demande, puis suppression
Compte professionnel actif	Durée de l'abonnement + 3 ans
Compte professionnel résilié	3 ans après résiliation
Données de facturation	10 ans (obligation comptable légale)
Logs de connexion et sécurité	1 an
Codes OTP SMS	10 minutes (expiration automatique)

À l'expiration de ces délais, les données sont supprimées de manière sécurisée ou anonymisées de façon irréversible.

6Destinataires des données

6.1 Au sein de la plateforme

Les données d'une demande sont partagées avec le seul professionnel de santé qui accepte cette demande. Aucun autre professionnel n'a accès aux données personnelles du demandeur.

6.2 Sous-traitants techniques

• OVHcloud — hébergement des serveurs (France)
• Stripe — traitement des paiements (certifié PCI DSS)
• Twilio ou OVH SMS — envoi des SMS de vérification et d'alerte

Ces sous-traitants sont liés par des contrats de traitement de données conformes au RGPD et ne peuvent utiliser vos données qu'aux fins pour lesquelles elles leur ont été transmises.

6.3 Autorités compétentes

CertiDécès SAS peut être amenée à communiquer des données aux autorités judiciaires ou administratives compétentes sur réquisition légale.

6.4 Ce que nous ne faisons jamais

• Vente de données personnelles à des tiers
• Transmission à des annonceurs ou régies publicitaires
• Partage à des fins commerciales non liées au service

7Transferts hors Union européenne

Les données personnelles sont hébergées en France (OVHcloud). CertiDécès SAS s'efforce de limiter les transferts hors de l'Union européenne.

Stripe, prestataire de paiement américain, peut traiter certaines données de facturation aux États-Unis. Ce transfert est encadré par les clauses contractuelles types de la Commission européenne (CCT) et le cadre de confidentialité UE-États-Unis (EU-US Data Privacy Framework).

8Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

Pour exercer vos droits, contactez-nous à privacy@certideces.fr en joignant une copie de votre pièce d'identité. Nous répondrons dans un délai de 30 jours.

Vous pouvez également introduire une réclamation auprès de la CNIL — www.cnil.fr — si vous estimez que vos droits ne sont pas respectés.

9Cookies et traceurs

Le site certideces.fr utilise un nombre limité de cookies strictement nécessaires au fonctionnement du service :

Cookie	Finalité	Durée
Session utilisateur	Maintenir la connexion du professionnel	Session
Préférences interface	Mémoriser vos choix d'affichage	1 an
Sécurité CSRF	Protection contre les attaques cross-site	Session

Aucun cookie publicitaire ou de traçage tiers n'est utilisé sur certideces.fr. Aucune régie publicitaire n'a accès à vos données de navigation.

10Sécurité des données

CertiDécès SAS met en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données contre tout accès non autorisé, perte, altération ou divulgation :

• Chiffrement des communications (HTTPS / TLS 1.3)
• Chiffrement des données sensibles en base de données
• Vérification OTP par SMS pour toute demande
• Accès aux données restreint au personnel habilité
• Journalisation des accès et détection d'anomalies
• Sauvegardes chiffrées régulières
• Hébergement en France sur infrastructure certifiée

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons la CNIL dans les 72 heures et vous informerons dans les meilleurs délais.

11Modifications de cette politique

CertiDécès SAS se réserve le droit de modifier la présente politique à tout moment pour refléter les évolutions légales, réglementaires ou liées au service.

En cas de modification substantielle, les utilisateurs seront informés par email ou par une notification sur la plateforme. La date de dernière mise à jour figure en haut de ce document. La poursuite de l'utilisation du service après notification vaut acceptation de la nouvelle politique.

12Contact et délégué à la protection des données

Pour toute question relative à la présente politique ou à l'exercice de vos droits :

La désignation d'un DPO est recommandée compte tenu du traitement de données de santé. Elle devient obligatoire si le traitement est effectué à grande échelle (article 37 du RGPD).