Politique de Confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles est HOLY LEARNING SLU, éditrice de la plateforme 1Thérapeute (1therapeute.com), représentée par Séverine Cabrit.

• Forme juridique : Société Limitée Unipersonnelle (SLU) de droit andorran
• Immatriculation : Registre de Societats d'Andorra n°20643
• NRT : L-715735-G
• Siège social : Pleta de Soldeu Edifici 10, AD100 Soldeu – Canillo, Andorra

Pour toute question relative à la protection de vos données : contact@1therapeute.com.

2. Collecte des données

Nous collectons les données personnelles nécessaires au fonctionnement de la plateforme et à la mise en relation entre clients et praticiens. Les données collectées varient selon votre profil et vos actions.

2.1 Données des clients

• Inscription : nom, prénom, adresse e-mail, téléphone, mot de passe (chiffré) ou identifiants fournis par Google si vous choisissez la connexion OAuth
• Prise de rendez-vous : nom, e-mail, téléphone (optionnel), motif de consultation (optionnel)
• Paiement en ligne : lorsque le praticien l'active, le paiement est traité par Stripe. Nous ne stockons pas le numéro complet de votre carte. Nous conservons le statut du paiement, les identifiants de transaction et le montant.
• Messagerie : contenu des échanges avec les praticiens
• Navigation : adresse IP, données de connexion, cookies et traceurs (voir la Politique des cookies)

2.2 Données des praticiens

• Inscription : nom, prénom, e-mail, téléphone, mot de passe, spécialité(s), diplômes, assurance professionnelle, consentement données de santé
• Profil professionnel : photo, bio, tarifs, adresse du cabinet, créneaux de disponibilité
• Clients : noms, contacts et historiques de rendez-vous des clients ayant réservé via la plateforme
• Paiements et abonnements : identifiant de compte Stripe Connect, statut d'activation des paiements, formules d'abonnement à la plateforme
• Google Agenda : si le praticien connecte son agenda, des jetons d'autorisation Google (voir section 4)

3. Finalités et bases légales

Conformément à l'article 6 du RGPD, chaque traitement de données repose sur une base légale.

4. Google Agenda et connexion Google

1Thérapeute utilise les API Google pour deux usages distincts, uniquement si vous le choisissez.

4.1 Connexion à un compte (OAuth de connexion)

Si vous créez ou ouvrez une session via « Continuer avec Google », nous recevons les informations de profil de base nécessaires à l'authentification (adresse e-mail, nom affiché, identifiant Google). Nous n'accédons pas à votre agenda dans ce cadre.

4.2 Synchronisation Google Agenda (praticiens)

Un praticien peut, depuis son espace Paramètres → Intégrations, cliquer sur « Connecter Google Agenda ». L'application demande alors l'autorisation Google https://www.googleapis.com/auth/calendar.events (« Voir et modifier les événements sur tous vos agendas »).

Avec cette autorisation, 1Thérapeute :

• crée un événement dans le calendrier principal du praticien lorsqu'un rendez-vous est confirmé ;
• met à jour cet événement si l'horaire ou les informations du rendez-vous changent ;
• supprime l'événement si le rendez-vous est annulé ;
• ajoute le patient comme invité (attendee) lorsque son adresse e-mail est valide, afin que Google lui envoie une invitation calendrier.

Les rendez-vous en attente (non confirmés) ne sont pas synchronisés. Nous n'utilisons pas ce accès pour lire l'ensemble de l'agenda du praticien, pour envoyer des e-mails via Gmail, ni à des fins publicitaires ou de prospection.

Les jetons d'accès et de rafraîchissement Google sont stockés uniquement côté serveur, associés au compte du praticien. Ils ne sont pas exposés au navigateur.

Le praticien peut révoquer l'accès à tout moment : depuis 1Thérapeute (« Déconnecter ») ou depuis son compte Google (paramètres du compte → Sécurité → Applications tierces ayant accès au compte). Les événements déjà créés dans Google Agenda ne sont pas supprimés automatiquement lors de la déconnexion.

L'utilisation des informations reçues des API Google est conforme à la Google API Services User Data Policy, y compris les exigences Limited Use. 1Thérapeute's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Nous n'utilisons pas les données Google Agenda pour de la publicité, du profilage, de l'entraînement de modèles d'intelligence artificielle, ni pour les revendre. Elles ne sont pas communiquées à des tiers autres que Google (pour créer l'événement) et le patient invité.

5. Données de santé (Article 9 RGPD)

Conformément à l'Article 9 du RGPD, les données relatives à la santé constituent des données sensibles. Nous les traitons uniquement sur la base de votre consentement explicite.

Sur 1Thérapeute, les données de santé concernent notamment : les spécialités pratiquées par les thérapeutes, les messages échangés entre clients et praticiens (contenu des consultations), le motif de consultation, et toute information relative à votre état de santé partagée dans le cadre de la prise de rendez-vous ou des échanges.

Lorsque le patient est invité à un événement Google Agenda, son nom et son e-mail figurent sur l'événement du praticien. Le motif de consultation peut apparaître dans la description de l'événement. Le praticien reste responsable de l'usage de son propre agenda.

Votre consentement explicite est recueilli lors de l'inscription des praticiens et lors de toute utilisation des fonctionnalités impliquant des données de santé. Vous pouvez retirer votre consentement à tout moment en nous contactant à contact@1therapeute.com ou en supprimant votre compte.

6. Durée de conservation

Vos données sont conservées uniquement pendant la durée nécessaire aux finalités pour lesquelles elles ont été collectées.

• Compte actif : durée de l'utilisation du service
• Jetons Google Agenda : jusqu'à déconnexion par le praticien, révocation côté Google, ou suppression du compte
• Après suppression de compte : 3 ans maximum (obligations légales et contentieuses), puis anonymisation ou suppression définitive
• Données de facturation : 10 ans (obligations comptables)
• Logs et sécurité : 1 an maximum
• Cookies : voir la Politique des cookies

7. Sous-traitants

Nous faisons appel à des sous-traitants qui traitent vos données en notre nom. Chacun est soumis à des obligations contractuelles conformes au RGPD.

• Supabase : hébergement de la base de données et authentification. Données hébergées dans l'Union européenne.
• Vercel : hébergement du site et mesure d'audience (Vercel Analytics).
• Resend : envoi d'e-mails transactionnels (confirmations, rappels). Données traitées dans l'UE.
• Stripe : paiement des consultations en ligne et abonnements praticiens (Stripe Payments et Stripe Connect). Stripe traite les données bancaires en tant que prestataire de paiement.
• Google : authentification OAuth ; Google Agenda (création, mise à jour et suppression d'événements de rendez-vous, invitation du patient) ; Google Tag Manager, Google Analytics 4 et Google Ads pour la mesure d'audience et les campagnes, uniquement après consentement via le bandeau cookies.
• PostHog : analyse produit et d'audience (événements de navigation et d'usage), après consentement analytics. Hébergement européen.
• CookieYes : bandeau de consentement cookies et mémorisation de vos choix.
• AssistLoop : widget de chat support, chargé uniquement après consentement fonctionnel le cas échéant.

8. Transferts hors Union européenne

Dans la mesure du possible, vos données sont traitées au sein de l'Union européenne. Certains prestataires (Google, Stripe, Vercel) peuvent utiliser des infrastructures situées aux États-Unis. Dans ce cas, des garanties appropriées sont mises en place (clauses contractuelles types de la Commission européenne, et mécanismes successeurs du Privacy Shield le cas échéant).

9. Utilisation des données

Vos données sont utilisées uniquement dans le cadre de la fourniture de nos services : mise en relation, prise de rendez-vous, messagerie, paiements, synchronisation d'agenda si elle est activée, support client, et — uniquement avec votre consentement — mesure d'audience ou publicité. Nous ne vendons jamais vos données personnelles à des tiers.

Les praticiens ont accès aux données des clients qui les ont contactés ou qui ont pris rendez-vous avec eux, uniquement dans le cadre de l'exécution de la prestation.

10. Vos droits

Conformément au RGPD, vous disposez des droits suivants concernant vos données personnelles :

• Droit d'accès : obtenir une copie de vos données
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement : demander la suppression de vos données (sous réserve des obligations légales)
• Droit d'opposition : vous opposer à un traitement basé sur l'intérêt légitime
• Droit à la limitation : demander la suspension du traitement dans certains cas
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine
• Droit de retirer le consentement : pour les traitements basés sur le consentement (données de santé, cookies analytics / publicité, connexion Google Agenda)

Pour exercer ces droits, contactez-nous à contact@1therapeute.com. Nous nous engageons à vous répondre dans un délai d'un mois.

11. Réclamation et recours

Si vous estimez que le traitement de vos données n'est pas conforme au RGPD, vous pouvez introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés) : www.cnil.fr. Les personnes concernées en Andorre peuvent également s'adresser à l'APDA.

12. Contact

Pour toute question relative à cette politique de confidentialité ou à la protection de vos données : contact@1therapeute.com.