Politique de confidentialité

Ostéyia est une application web d’aide à la décision clinique destinée aux ostéopathes libéraux. Elle assiste le praticien dans son raisonnement clinique ; elle ne remplace jamais l’examen ni le jugement du professionnel de santé, et toute décision reste sous la supervision humaine systématique du praticien.

La présente politique explique quelles données personnelles sont traitées dans le cadre de l’utilisation d’Ostéyia, à quelles fins, sur quelles bases légales, avec qui elles sont partagées, combien de temps elles sont conservées et quels sont vos droits. Elle distingue deux périmètres aux rôles juridiques différents :

• Périmètre A — Données du praticien (compte utilisateur). Pour ces données, Ostéyia agit en qualité de responsable de traitement.
• Périmètre B — Données des patients saisies par le praticien (dossiers cliniques). Pour ces données, le praticien est responsable de traitement et Ostéyia agit comme sous-traitant pour le compte du praticien.

Responsable de traitement (périmètre A)

• Éditeur / responsable : Kiliogene Core — Société par actions simplifiée (SAS)
• Siège : 2 rue de l’Arche Sèche, 44000 Nantes, France
• Contact : nicolas.corcelle@kiliogene.com · +33 6 99 33 03 85
• Site : https://app.osteyia.care

Périmètre A — Données du praticien (Ostéyia est responsable de traitement)

Lorsque vous créez et utilisez un compte praticien, Ostéyia détermine les finalités et les moyens du traitement de vos données de compte : Ostéyia est donc responsable de traitement au sens de l’article 4-7 du RGPD.

A.1 Données traitées

A.2 Finalités et bases légales

Lorsque le traitement repose sur l’intérêt légitime, vous disposez d’un droit d’opposition (voir « Vos droits »).

A.3 Destinataires et sous-traitants

Vos données de compte sont accessibles aux personnes habilitées chez l’éditeur et aux prestataires techniques strictement nécessaires au fonctionnement du service (notamment l’hébergeur et le relais d’envoi d’e-mails). Aucune donnée de compte n’est vendue ni cédée à des tiers à des fins commerciales.

A.4 Durées de conservation

Périmètre B — Données des patients (le praticien est responsable, Ostéyia est sous-traitant)

Lorsqu’un praticien renseigne dans Ostéyia des informations relatives à ses patients (dossiers cliniques), c’est le praticien qui détermine les finalités et les moyens. Le praticien est donc responsable de traitement, et Ostéyia n’agit qu’en qualité de sous-traitant (art. 4-8 et 28 du RGPD), pour le compte et sur instruction du praticien.

B.1 À qui s’adresse cette section

• Si vous êtes praticien, vous restez responsable des données de vos patients. Vous devez informer vos patients du traitement de leurs données et de votre recours à Ostéyia. Un modèle de notice d’information patients est mis à votre disposition.
• Si vous êtes patient et que votre ostéopathe utilise Ostéyia : votre interlocuteur pour vos données est votre praticien, qui en est responsable. Adressez-lui vos demandes (accès, rectification, etc.).

B.2 Données patients traitées (pour le compte du praticien)

B.3 Finalités, base légale et mesures de protection

La finalité de ce périmètre est la tenue du dossier patient et l’aide à la décision clinique du praticien. La base légale relève du praticien (typiquement l’exécution du contrat de soin et une dérogation au titre de l’article 9 du RGPD — secret professionnel ou consentement, selon le choix du praticien). Ostéyia ne traite ces données que sur instruction documentée du praticien. Mesures de protection mises en œuvre par Ostéyia :

• Chiffrement des données identifiantes des patients (AES-256-GCM) avec une clé par praticien ; Ostéyia ne stocke pas de mot de passe de praticien en clair.
• Pseudonymisation avant l’IA. Lorsque l’aide à la décision sollicite un modèle d’intelligence artificielle, le modèle ne reçoit jamais les données identifiantes en clair ni d’identifiant technique : il ne voit qu’un libellé non identifiant (« Patient #N »), l’âge dérivé de la date de naissance, et les éléments cliniques utiles.
• Observabilité technique sans données personnelles. Notre outil de supervision de l’IA (auto-hébergé) ne reçoit que des traces techniques nettoyées (durée, modèle, volumétrie) : aucune donnée personnelle ni identifiant technique n’y transite.
• Cloisonnement par praticien (multi-tenant). Chaque praticien n’accède qu’à ses propres dossiers.

B.4 Sous-traitants ultérieurs et transferts hors UE

Encadrement des transferts hors UE (Anthropic, OpenAI ; le cas échéant Google Workspace) : ils ne sont mobilisés que de façon encadrée, sur un fondement du chapitre V du RGPD (mécanisme d’adéquation applicable ou clauses contractuelles types de la Commission européenne, complétées d’une analyse d’impact des transferts). Par principe, le flux clinique est routé en priorité vers le fournisseur situé dans l’Union européenne (Mistral) ; tout recours à un fournisseur situé aux États-Unis sur des données cliniques est soumis à validation préalable.

B.5 Contrat de sous-traitance et information des patients

La relation Ostéyia (sous-traitant) ↔ praticien (responsable) est régie par un contrat de sous-traitance dédié (DPA, art. 28), qui détaille les obligations d’Ostéyia (instructions documentées, confidentialité, sécurité, assistance aux droits des personnes, notification de violation, sous-traitants ultérieurs, sort des données en fin de contrat). L’information des patients incombe au praticien, responsable de traitement ; Ostéyia fournit un modèle de notice d’information patients à adapter et à mettre à disposition.

B.6 Durées de conservation (périmètre patient)

La conservation du dossier patient relève du praticien responsable. La durée appliquée par défaut, proposée et à valider, est de 20 ans après le dernier acte, suivie d’un archivage intermédiaire, avec un régime spécifique pour les mineurs. La purge ou l’archivage est mis en œuvre conformément aux instructions du praticien et à la réglementation applicable.

C. Hébergement et posture HDS (transparence)

Les serveurs et la base de données d’Ostéyia sont hébergés au sein de l’Union européenne (France) par OVH SAS (2 rue Kellermann, 59100 Roubaix, France · +33 9 72 10 10 07). L’hébergement de données de santé pour le compte de tiers est soumis en France à la certification HDS (Hébergeur de Données de Santé, art. L1111-8 du Code de la santé publique).

• Pendant l’alpha, l’infrastructure utilisée n’est pas certifiée HDS. En conséquence, aucune donnée de patient réel ne doit être saisie : l’alpha fonctionne exclusivement sur des données fictives.
• La mise en production sur des données de patients réels est conditionnée à la migration préalable vers une infrastructure éligible à la certification HDS. Nous ne prétendons à aucune certification que nous n’avons pas obtenue.

Le chiffrement des données identifiantes et la pseudonymisation avant l’IA sont des mesures de protection ; ils ne dispensent pas de l’obligation de certification HDS pour l’hébergement de données de santé.

D. Vos droits

Conformément au RGPD (art. 15 à 22) et à la loi Informatique et Libertés, vous disposez des droits suivants : accès, rectification, effacement, limitation, opposition, portabilité, le droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci, et le droit de définir des directives sur le sort de vos données après votre décès. L’exercice de ces droits dépend du périmètre concerné :

• Périmètre A (compte praticien). Ostéyia étant responsable, adressez vos demandes à nicolas.corcelle@kiliogene.com. Nous répondons dans le délai d’un mois, prorogeable de deux mois pour les demandes complexes.
• Périmètre B (données patients). Le praticien étant responsable, les patients exercent leurs droits auprès de leur praticien. Ostéyia assiste le praticien dans le traitement de ces demandes.

Réclamation. Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL) — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

E. Sécurité

Ostéyia met en œuvre des mesures techniques et organisationnelles adaptées (art. 32 RGPD), notamment :

• chiffrement des données identifiantes des patients (AES-256-GCM, clé par praticien) ;
• pseudonymisation des données transmises aux modèles d’IA ;
• cloisonnement des données par praticien (multi-tenant) ;
• journalisation de sécurité et gestion des accès ;
• observabilité technique sans données personnelles (traces nettoyées).

Pendant l’alpha, certaines mesures restent en cours de durcissement : à ce stade, les sauvegardes de la base de données ne sont pas chiffrées, ce qui constitue l’une des raisons pour lesquelles l’alpha n’accueille que des données fictives. Le chiffrement des sauvegardes et le bornage de leur conservation sont prévus avant toute ouverture sur données réelles.

F. Cookies et traceurs

Pendant l’alpha, Ostéyia n’utilise qu’un cookie strictement nécessaire au fonctionnement du service (cookie de session / authentification). Ce cookie est exempté de consentement : aucune bannière cookies n’est affichée. Aucun traceur publicitaire ni outil de mesure d’audience tiers n’est utilisé. Si un traceur non exempté venait à être introduit, une bannière de consentement conforme serait mise en place et la politique cookies détaillée serait publiée.

G. Décision automatisée et aide à la décision par IA

Ostéyia fournit une aide à la décision au praticien : les hypothèses, le raisonnement et les éléments de vigilance proposés par l’assistance IA sont des outils d’aide, soumis à la supervision humaine systématique du praticien. Ostéyia ne prend aucune décision produisant des effets juridiques ni n’affecte de manière significative une personne de façon automatisée au sens de l’article 22 du RGPD. Ostéyia ne pose aucun acte médical et ne se substitue pas à un avis médical : c’est un outil d’aide à la décision placé sous la responsabilité et la supervision du praticien. En présence de Points de vigilance, le praticien est invité à orienter le patient vers un médecin.

H. Modifications

La présente politique peut évoluer (évolutions du service, du cadre réglementaire ou de nos prestataires). La version applicable est celle publiée sur https://app.osteyia.care, datée du 17 juin 2026. En cas de modification substantielle, nous en informerons les praticiens utilisateurs.

I. Contact

• Éditeur / responsable (périmètre A) : Kiliogene Core — nicolas.corcelle@kiliogene.com — +33 6 99 33 03 85
• Mentions légales : voir la page « Mentions légales »
• Patients : votre interlocuteur est votre praticien, responsable de vos données.