Politique de confidentialité

1. Qui sommes-nous

BravoDocteur (anciennement MerciDocteur) est un service qui permet aux professionnels de santé de demander un avis Google à leurs patients, par email ou par SMS, depuis leur agenda Doctolib Pro ou depuis un tableau de bord web. Le service est édité par Inviteasy, SAS immatriculée au RCS de Nanterre (SIREN 908 310 220), 32 rue de Paris, 92100 Boulogne-Billancourt, voir les mentions légales. Contact : contact@bravodocteur.app.

2. Rôles au sens du RGPD

Pour les données des patients, le praticien utilisateur du service est responsable de traitement : c'est lui qui décide de solliciter un avis auprès de ses patients. BravoDocteur agit comme sous-traitant (art. 28 RGPD) : un accord de sous-traitance (DPA) est accepté à la création du compte. Pour les données des praticiens (compte, facturation), BravoDocteur est responsable de traitement.

3. Données des patients traitées

• Le prénom du patient, utilisé pour personnaliser le message ;
• son nom de famille et sa civilité lorsque le praticien choisit de les faire figurer dans son message, facultatifs, et supprimés automatiquement 30 jours après l'envoi, comme la coordonnée ;
• l'email ou le numéro de mobile (les deux lorsque le praticien active la première relance par SMS), chiffré dès l'enregistrement et supprimé automatiquement 30 jours après l'envoi ;
• une empreinte irréversible (hash) de la coordonnée, conservée pour empêcher les sollicitations répétées et faire respecter les désinscriptions ;
• les statuts techniques de l'envoi (envoyé, délivré, ouvert, cliqué).
• lorsque le praticien a activé la page de notation, la note de 1 à 5 laissée par le patient et, lorsqu'elle est inférieure au seuil fixé par le praticien, le commentaire libre qu'il choisit d'écrire pour le cabinet, facultatif, et supprimé automatiquement 12 mois après son dépôt.

Le service ne demande aucune donnée de santé : ni motif de consultation, ni historique médical, ni document. Le champ de commentaire est libre et porte sur le déroulement de la visite ; il n'est ni analysé ni transmis à un tiers, et son contenu est effacé au bout de 12 mois. Les envois sont limités à la plage 9 h – 20 h (heure de Paris), jamais le dimanche ni les jours fériés.

4. Données des praticiens

Email de connexion, nom du cabinet, nom d'expéditeur, lien de la fiche Google, et données de facturation traitées par Stripe. Elles sont conservées pendant la durée de vie du compte.

Le praticien peut supprimer son compte à tout moment depuis ses réglages (onglet « Mon compte »). La demande arrête les envois immédiatement et déclenche l'effacement définitif 30 jours plus tard ; pendant ce délai, elle reste annulable d'un clic depuis le tableau de bord. Un abonnement en cours doit être résilié au préalable depuis l'espace de facturation.

Passé ce délai, le compte et l'intégralité de ses données sont effacés. Seuls subsistent, sans aucune donnée nominative : la trace de la demande de suppression (date et origine), les références de facturation nécessaires à nos obligations comptables (article L123-22 du code de commerce), et les empreintes irréversibles des désinscriptions patients, conservées pour que l'opposition reste opposable (article 21 RGPD).

5. Sous-traitants ultérieurs

• Supabase : hébergement de la base de données (région Union européenne) ;
• Resend : envoi des emails ;
• Brevo : envoi des SMS ;
• Stripe : paiement et facturation des abonnements ;
• Google Ireland Ltd : mesure d'audience du site (Google Analytics) et mesure publicitaire (Google Ads), uniquement après consentement (section 8) ; ne traite jamais les données des patients.

Les données des patients et celles saisies dans le service ne sont jamais vendues, jamais utilisées à des fins publicitaires et jamais utilisées pour entraîner des modèles d’intelligence artificielle.

6. Accord de sous-traitance (article 28 RGPD)

Pour les données des patients, la présente section vaut accord de sous-traitance entre le praticien (responsable de traitement) et Inviteasy (sous-traitant), acceptée à la création du compte. Objet : l’envoi d’invitations à laisser un avis et son suivi ; durée : celle du compte ; nature des données et catégories de personnes : celles décrites à la section 3. Inviteasy s’engage à :

• ne traiter les données que sur instruction documentée du praticien, matérialisée par l’usage du service (déclenchement des envois, modèles de messages, réglages) ;
• garantir la confidentialité des personnes autorisées à traiter les données et n'autoriser l'accès qu'en cas de nécessité ;
• mettre en œuvre les mesures de sécurité de l’article 32 : chiffrement des coordonnées dès l’enregistrement, minimisation (prénom et coordonnées uniquement), purge automatique à 30 jours, hébergement dans l’Union européenne ;
• ne recruter de sous-traitant ultérieur que parmi des prestataires présentant des garanties suffisantes. Le praticien consent à la liste de la section 5 (autorisation générale) ; toute modification de cette liste est annoncée au moins 15 jours à l’avance (mise à jour de cette page et information via le service), le praticien pouvant s’y opposer en résiliant son compte avant l’entrée en vigueur ;
• aider le praticien à répondre aux demandes d’exercice des droits des personnes (section 7) et lui notifier sans délai indu toute violation de données à caractère personnel, avec les éléments nécessaires à ses propres obligations de notification ;
• au terme du contrat, supprimer les données des patients : la purge automatique à 30 jours couvre déjà les coordonnées, le nom et la civilité ; le reste (historique d’envois, notes, commentaires) est effacé avec le compte, au terme du délai de 30 jours qui suit la demande de suppression (section 4). Un export de l’historique est fourni sur demande préalable ;
• mettre à la disposition du praticien les informations nécessaires pour démontrer le respect de ces obligations et permettre, sur demande écrite raisonnable (au plus une fois par an, à ses frais), la réalisation d’un audit.

7. Vos droits

Les patients peuvent exercer leurs droits (accès, rectification, effacement, opposition) auprès de leur praticien, responsable de traitement. Chaque email contient un lien de désinscription et chaque SMS la mention STOP : la désinscription bloque définitivement tout nouvel envoi. Les praticiens peuvent exercer leurs droits en écrivant à contact@bravodocteur.app ; leur droit à l’effacement s’exerce aussi directement depuis leurs réglages, onglet « Mon compte » (section 4). Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).

8. Cookies et mesure d’audience

Les cookies strictement nécessaires à l'authentification (session) sont déposés sans consentement, conformément à la réglementation. Les cookies de mesure d'audience et de publicité décrits ci-dessous ne sont déposés qu'avec votre accord.

Nous utilisons Google Analytics, fourni par Google Ireland Ltd (Gordon House, Barrow Street, Dublin 4, Irlande), qui agit comme notre sous-traitant pour la mesure d'audience du site et, uniquement avec votre accord distinct pour la publicité (ci-dessous), pour mesurer quelles annonces Google Ads amènent des inscriptions. Ces cookies de mesure ne sont déposés qu'après votre consentement explicite, recueilli via le bandeau affiché lors de votre première visite. Tant que vous n'avez pas accepté, aucune donnée de mesure n'est collectée (Google Consent Mode, refus par défaut). Le refus est sans conséquence sur votre navigation, et vous pouvez modifier votre choix à tout moment via le lien « Gérer mes cookies » en bas des pages du site.

Avec votre accord distinct pour la publicité, Google Ads (Google Ireland Ltd) peut déposer un cookie pour mesurer quelles annonces amènent des cabinets sur BravoDocteur (finalité : mesure de l'efficacité publicitaire ; aucune donnée n'est revendue). Votre choix est conservé dans votre navigateur et les cookies Google ont une durée de vie maximale de 13 mois. Vous pouvez retirer votre accord à tout moment via le lien « Gérer mes cookies » en bas des pages du site, qui rouvre le bandeau.

Cette mesure d'audience porte uniquement sur la navigation sur le site (pages vues, source de visite) ; elle ne concerne pas les données des patients (sections 3 à 6), qui ne transitent jamais par cet outil. Dans ce cadre, des données techniques peuvent être transférées hors de l'Union européenne (notamment vers les États-Unis) ; ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne conclues avec Google.

9. Extension Chrome

L'extension Chrome BravoDocteur ajoute un bouton « Demander un avis » sur les fiches patient de pro.doctolib.fr. Son fonctionnement :

• elle lit le prénom et les coordonnées (email, mobile) affichés sur la fiche patient ouverte, en dehors du mode d'observation décrit ci-dessous, uniquement lorsque le praticien clique sur le bouton ;
• ces informations ne sont transmises à nos serveurs qu'au moment où le praticien confirme l'envoi d'une demande d'avis. Hors du mode d'observation décrit ci-dessous, rien n'est lu ni transmis en arrière-plan ;
• elle stocke localement la session du praticien et un cache de configuration (qui contient, en mode d'observation, la clé propre au cabinet servant à calculer les empreintes). Les rendez-vous lus dans l'agenda ne sont pas enregistrés sur le poste : ils ne restent en mémoire que le temps de la page ; seules les empreintes des rendez-vous déjà signalés « Vu » sont gardées dans l'onglet, jusqu'à sa fermeture, pour repérer un retour en arrière après un rechargement ;
• elle ne collecte ni historique de navigation, ni donnée sur d'autres sites, et ne revend aucune donnée.

Mode d'observation de l'agenda

Ce mode est désactivé pour tous les cabinets par défaut. Nous ne l'activons que pour un cabinet qui a accepté d'y participer, pour une étude d'environ 2 semaines. Si votre cabinet ne l'a pas accepté, rien de ce qui suit ne s'applique : l'extension n'observe pas votre agenda.

Pendant cette étude, pour un cabinet participant :

• l'extension lit les rendez-vous que Doctolib a déjà chargés dans l'agenda affiché à l'écran. Elle ne fait aucune requête supplémentaire vers Doctolib. Pour cela, elle utilise la permission « scripting » du navigateur, uniquement pour activer cette lecture chez les cabinets participants ;
• elle repère les rendez-vous qui passent à l'état « Vu », afin de mesurer si une détection automatique correspondrait aux demandes d'avis que le cabinet fait à la main. Pour faire correspondre ce qui s'affiche dans l'agenda avec les rendez-vous chargés, elle lit sur votre poste les noms et les heures affichés sur les rendez-vous de l'agenda, sans jamais les envoyer ;
• rien n'est envoyé aux patients à cause de cette observation, et aucune demande d'avis n'est déclenchée par elle. Les demandes continuent de partir uniquement lorsque le personnel clique sur « Demander un avis » ;
• ni nom, ni email, ni numéro de téléphone, ni identifiant Doctolib en clair ne quittent le navigateur au titre de cette observation. Nous recevons : une empreinte pseudonymisée du rendez-vous et de l'agenda (calcul SHA-256 avec une clé propre au cabinet, qui n'est pas un chiffrement). Sans cette clé, il est impossible d'en retrouver le rendez-vous ; BravoDocteur, qui détient cette clé, peut seulement la rapprocher d'une demande envoyée par le cabinet. Nous recevons aussi : l'heure de la détection ; deux réponses oui ou non (un email est-il présent, un mobile est-il présent) ; une réponse oui ou non indiquant si le patient a refusé les notifications ; une réponse oui ou non indiquant si le prénom et le nom sont présents ; le type de repérage utilisé (lecture des données de l'agenda, de l'affichage, ou des deux) ; le résultat du rapprochement avec l'affichage : trouvé, introuvable ou ambigu ; le délai entre le début du rendez-vous et la détection ; l'information qu'un rendez-vous a ensuite changé d'état ; et l'empreinte de l'identifiant de connexion Doctolib déjà utilisée pour l'appairage de l'extension ;
• lorsque le personnel clique sur « Demander un avis » depuis la page d'un rendez-vous, la demande transmet aussi l'empreinte de ce rendez-vous, pour pouvoir comparer ;
• l'étude dure environ deux semaines. À sa fin, BravoDocteur supprime ces données.

Comme pour les autres données des patients, le cabinet reste responsable de traitement et BravoDocteur son sous-traitant (section 2).