Politique de Confidentialite et de Protection des Donnees Personnelles

Conforme au RGPD (Reglement (UE) 2016/679 du 27 avril 2016)

INNOVAPHARM CONSULTING — 72 rue Jeanne d'Arc, 91300 MASSY | SIREN : 940 541 246

Version : 2.0 — Date : 18/02/2026

1. Definitions

Donnees Personnelles : Toute information se rapportant a une personne physique identifiee ou identifiable (article 4.1 RGPD).
Donnees de Sante : Donnees relatives a la sante physique ou mentale d'une personne physique (article 4.15 RGPD). Donnees sensibles a protection renforcee.
RGPD : Reglement (UE) 2016/679 du 27 avril 2016.
Responsable du Traitement : INNOVAPHARM CONSULTING.
Personne Concernee / Utilisateur : Toute personne dont les donnees sont collectees et traitees.
Traitement : Toute operation effectuee sur des donnees personnelles.
DPO : Delegue a la Protection des Donnees.
CNIL : Commission Nationale de l'Informatique et des Libertes.
Sous-traitant : Toute personne qui traite des donnees pour le compte du Responsable du Traitement.

2. Identite du Responsable du Traitement

INNOVAPHARM CONSULTING

Forme juridique : SAS
Siege social : 72 rue Jeanne d'Arc, 91300 MASSY, France
SIREN : 940 541 246
Representee par : M. Dan AMZALLAG, President
E-mail : contact@pharmaconsult.fr

3. Delegue a la Protection des Donnees (DPO)

E-mail : dpo@pharmaconsult.fr
Adresse : DPO - INNOVAPHARM CONSULTING, 72 rue Jeanne d'Arc, 91300 MASSY
Objet du courrier : "Protection des donnees personnelles - PHARMACONSULT"

4. Donnees personnelles collectees

4.1. Categories de Donnees Collectees

4.1.1. Donnees d'Identification et de Contact

Civilite, nom, prenom(s)
Numero RPPS (Repertoire Partage des Professionnels de Sante)
Numero d'etudiant (pour les etudiants)
Adresse e-mail professionnelle
Numero de telephone portable (authentification a double facteur)
Copie de la carte CPS
Extrait Kbis (pour les pharmaciens titulaires)

4.1.2. Donnees Professionnelles

Profession et specialite
Nom et adresse de l'Organisation
Numero FINESS (le cas echeant)
Statut (titulaire, adjoint, preparateur, etudiant, etc.)

4.1.3. Donnees de Connexion et d'Utilisation

Identifiants de connexion (login, mot de passe hache)
Adresse IP
Type et version du navigateur
Systeme d'exploitation
Dates et heures de connexion
Pages visitees et fonctionnalites utilisees
Logs de securite et d'activite

4.1.4. Donnees de Facturation

Coordonnees bancaires (via un prestataire de paiement certifie PCI-DSS)
Historique des transactions
Factures et avoirs

4.1.5. Donnees de Sante (traitement specifique)

IMPORTANT : Dans le cadre de l'utilisation du Service PHARMACONSULT, des donnees de sante relatives aux patients peuvent etre saisies par les professionnels de sante utilisateurs.

Les donnees de sante des patients pouvant etre saisies comprennent notamment :

Nom, prenom, date de naissance, sexe du patient
Poids, taille, IMC (Indice de Masse Corporelle)
Fonction renale (debit de filtration glomerulaire, clairance de la creatinine)
Traitements medicamenteux en cours (noms, posologies, voies d'administration)
Pathologies et antecedents medicaux
Allergies et intolerances
Resultats des entretiens pharmaceutiques (scores, observations)
Donnees du Bilan Partage de Medication (analyses, recommandations)
Images d'ordonnances (dans le cadre de l'OCR)
Donnees de bilans de prevention (questionnaires, resultats)

Ces donnees font l'objet d'un traitement distinct soumis a des garanties renforcees (article 9 du RGPD et article L. 1111-8 du Code de la sante publique — hebergement certifie HDS).

INNOVAPHARM CONSULTING n'a pas d'acces direct aux donnees de sante des patients individuels. Seuls les professionnels de sante utilisateurs saisissent et consultent ces donnees dans le cadre de leur exercice professionnel.

4.2. Modalites de Collecte

Directement : Lors de l'inscription, de l'utilisation du Service, de la souscription d'un abonnement, ou des echanges avec le service client.
Automatiquement : Lors de la navigation (cookies, logs de connexion).
Aupres de tiers : Verification du numero RPPS aupres de l'Ordre National des Pharmaciens.

4.3. Caractere Obligatoire ou Facultatif

Les donnees marquees comme obligatoires sont necessaires pour creer et gerer votre compte, vous fournir l'acces au Service, et respecter nos obligations legales. En l'absence de ces donnees, nous ne pourrons pas fournir le Service.

5. Finalites du traitement et base legale

5.1. Gestion du Compte et Fourniture du Service

Finalite : Creation et gestion du compte, authentification, fourniture du Service

Base legale : Execution du contrat (article 6.1.b RGPD)

Donnees : Identification, professionnelles, connexion

5.2. Gestion des Abonnements et Facturation

Finalite : Gestion de l'abonnement, paiements, factures, relances

Base legale : Execution du contrat (6.1.b) et obligation legale comptable (6.1.c)

Donnees : Identification, facturation

5.3. Verification d'Identite et Lutte contre la Fraude

Finalite : Verification de l'identite professionnelle (RPPS, CPS), prevention de la fraude

Base legale : Interet legitime (6.1.f)

Donnees : Identification, RPPS, CPS, Kbis

5.4. Support Client et Assistance

Finalite : Repondre aux demandes, gerer les reclamations

Base legale : Execution du contrat (6.1.b) et interet legitime (6.1.f)

Donnees : Identification, contact, historique des echanges

5.5. Amelioration du Service et Statistiques

Finalite : Analyse de l'utilisation, statistiques anonymisees, amelioration des fonctionnalites

Base legale : Interet legitime (6.1.f)

Donnees : Utilisation, connexion (anonymisees)

5.6. Securite et Integrite du Systeme

Finalite : Securisation du Service, detection des intrusions, logs de securite

Base legale : Interet legitime (6.1.f) et obligation legale (6.1.c)

Donnees : Logs de connexion, adresse IP, donnees techniques

5.7. Respect des Obligations Legales

Finalite : Comptabilite, fiscalite, requisitions judiciaires

Base legale : Obligation legale (6.1.c)

Donnees : Toutes donnees necessaires

5.8. Communication Marketing (avec consentement)

Finalite : Newsletters, communications commerciales

Base legale : Consentement (6.1.a) — retirable a tout moment

Donnees : Nom, prenom, adresse e-mail

5.9. Traitement par Intelligence Artificielle

Finalite : Analyse pharmaceutique assistee par IA (detection d'interactions medicamenteuses, analyse de risques iatrogenes, ajustements posologiques, reconnaissance d'ordonnances par OCR)

Base legale : Execution du contrat (article 6.1.b RGPD)

Donnees transmises : Exclusivement des donnees cliniques non identifiantes : noms de medicaments, pathologies, parametres biologiques (fonction renale, poids, etc.). Aucune donnee d'identification du patient (nom, prenom, date de naissance, numero de securite sociale) n'est transmise au prestataire IA.

Sous-traitant : Prestataire d'intelligence artificielle, traitement au sein de l'Union Europeenne

Conservation : Les donnees transmises a l'IA ne sont pas conservees par le sous-traitant au-dela du traitement de la requete. Les resultats de l'analyse sont conserves dans la base de donnees de l'Editeur selon les durees definies a l'Article 6.

Garanties : Chiffrement en transit selon les standards de l'industrie, absence de reutilisation des donnees par le sous-traitant a des fins propres

Important : L'IA est un outil d'aide a la decision. Les resultats doivent etre verifies et valides par le pharmacien. L'Editeur decline toute responsabilite quant aux consequences de l'utilisation des resultats de l'IA.

6. Duree de conservation des donnees

6.1. Donnees de Compte Actif

Pendant toute la duree de l'abonnement. Apres resiliation : 30 jours (retractation), puis suppression sauf obligations legales.

6.2. Donnees de Facturation et Comptabilite

10 ans a compter de la cloture de l'exercice (article L. 123-22 du Code de commerce).

6.3. Logs de Connexion et de Securite

1 an a compter de leur enregistrement (Loi pour la Confiance dans l'Economie Numerique).

6.4. Donnees des Cookies

13 mois maximum (recommandation CNIL).

6.5. Donnees de Sante des Patients

Conformement a l'article L. 1111-7 du Code de la sante publique. Conservation minimale : 20 ans a compter de la derniere consultation.

6.6. Donnees de Prospection Commerciale

Prospects : 3 ans a compter du dernier contact. Clients : 3 ans a compter de la fin de la relation commerciale.

A l'expiration de ces durees, vos donnees sont soit supprimees definitivement, soit anonymisees, soit archivees avec acces restreint pour les seules obligations legales.

7. Destinataires des donnees personnelles

7.1. Personnel Autorise d'INNOVAPHARM CONSULTING

Seuls les membres du personnel ayant besoin d'acceder aux donnees dans le cadre de leurs fonctions sont autorises.

7.2. Sous-traitants et Prestataires de Services

Sous-traitant	Service	Donnees concernees	Localisation
Google Cloud Platform	Hebergement application et donnees de sante (certifie HDS)	Toutes donnees utilisateurs et patients	UE (Paris, France — europe-west9)
Prestataire de paiement	Paiement en ligne securise (certifie PCI-DSS)	Donnees de facturation, coordonnees bancaires	UE (Irlande), garanties RGPD
Prestataire d'e-mails transactionnels	Envoi d'e-mails transactionnels	Adresse e-mail, nom, contenu des e-mails	UE, clauses contractuelles types
Prestataire d'IA	Intelligence artificielle — aide a l'analyse pharmaceutique	Donnees cliniques non identifiantes (noms de medicaments, pathologies, parametres biologiques) — aucune donnee d'identification du patient n'est transmise	UE

Note : Les donnees sont hebergees et traitees exclusivement au sein de l'Union Europeenne, sur une infrastructure certifiee HDS.

Tous nos sous-traitants sont lies par des contrats conformes a l'article 28 du RGPD.

Concernant l'IA : Lorsque vous utilisez les fonctionnalites d'analyse IA, seules des donnees cliniques non identifiantes (noms de medicaments, pathologies, parametres biologiques) sont transmises au prestataire d'IA. Aucune donnee d'identification du patient (nom, prenom, date de naissance, numero de securite sociale) n'est transmise au prestataire IA. Les donnees sont utilisees exclusivement pour generer l'analyse demandee et ne sont pas conservees par le prestataire d'IA au-dela du traitement de la requete.

7.3. Autorites et Organismes Legalement Habilites

Communication possible aux autorites judiciaires, Ordre des Pharmaciens, Ordre des Medecins, URSSAF, services fiscaux, CNIL.

7.4. Absence de Vente de Donnees

INNOVAPHARM CONSULTING ne vend, ne loue et ne transmet jamais vos donnees personnelles a des tiers a des fins commerciales ou marketing sans votre consentement explicite.

8. Transferts de donnees hors Union Europeenne

Vos donnees sont hebergees et traitees au sein de l'Union Europeenne.

En cas de transfert hors UE, nous nous assurerions que :

Le pays beneficie d'une decision d'adequation (article 45 RGPD), ou
Des garanties appropriees sont en place (Clauses Contractuelles Types), ou
Votre consentement explicite est obtenu.

Contact DPO pour plus d'informations.

9. Securite et confidentialite des donnees

9.1. Mesures de Securite Techniques

Chiffrement : HTTPS pour toutes les communications, chiffrement des donnees sensibles en base
Authentification renforcee : Authentification a double facteur (2FA)
Controle d'acces : Gestion des droits basee sur le principe du moindre privilege
Sauvegardes : Sauvegardes quotidiennes automatiques sur site de secours distinct
Pare-feu : Protection par pare-feu applicatif et systemes de detection d'intrusion
Journalisation : Conservation des logs d'activite et de securite pendant 1 an
Tests de securite : Audits reguliers et tests d'intrusion
Hebergement HDS : Donnees de sante hebergees exclusivement chez un hebergeur certifie HDS (Google Cloud Platform, Paris)

9.2. Mesures Organisationnelles

Sensibilisation et formation du personnel au RGPD
Engagements de confidentialite par tous les employes et prestataires
Procedures de gestion des incidents de securite
Documentation et mise a jour reguliere des politiques de securite

9.3. Notification des Violations de Donnees

Conformement a l'article 33 du RGPD, en cas de violation de donnees susceptible de risque, notification a la CNIL dans les 72 heures. En cas de risque eleve, information personnelle dans les meilleurs delais (article 34 RGPD).

10. Vos droits sur vos donnees personnelles

10.1. Droit d'Acces (article 15 RGPD)

Obtenir confirmation et acces a vos donnees, finalites, destinataires, durees.

10.2. Droit de Rectification (article 16 RGPD)

Rectifier les donnees inexactes ou incompletes.

10.3. Droit a l'Effacement (article 17 RGPD)

Effacement lorsque les donnees ne sont plus necessaires, retrait du consentement, opposition, traitement illicite, ou obligation legale. Exception : obligations legales de conservation.

10.4. Droit a la Limitation (article 18 RGPD)

Limitation en cas de contestation d'exactitude, traitement illicite, ou opposition en cours de verification.

10.5. Droit a la Portabilite (article 20 RGPD)

Reception dans un format structure, lisible par machine, et transmission a un autre responsable.

10.6. Droit d'Opposition (article 21 RGPD)

Opposition pour raisons tenant a votre situation particuliere. Opposition a la prospection commerciale a tout moment.

10.7. Droit de Retirer le Consentement

Retrait a tout moment sans compromettre la liceite du traitement anterieur.

10.8. Droit de Directives Post-Mortem (article 85 Loi Informatique et Libertes)

Directives relatives a la conservation, l'effacement et la communication de vos donnees apres votre deces.

10.9. Modalites d'Exercice de vos Droits

Par e-mail : dpo@pharmaconsult.fr
Par courrier : DPO - INNOVAPHARM CONSULTING, 72 rue Jeanne d'Arc, 91300 MASSY
Via votre espace client : Section "Mes donnees personnelles"

Justification d'identite requise. Reponse sous 1 mois (prolongeable de 2 mois si complexe).

10.10. Droit d'Introduire une Reclamation

CNIL : 3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07
Telephone : 01 53 73 22 22 | https://www.cnil.fr/ | https://www.cnil.fr/fr/plaintes

11. Cookies et technologies similaires

Voir notre Politique de Cookies.

12. Modification de la politique de confidentialite

Modifications possibles a tout moment. Information par e-mail ou notification sur le site au moins 30 jours avant l'entree en vigueur des modifications substantielles.

13. Contact et questions

Par e-mail : contact@pharmaconsult.fr
Par courrier : INNOVAPHARM CONSULTING - Service Protection des Donnees, 72 rue Jeanne d'Arc, 91300 MASSY

INNOVAPHARM CONSULTING

SAS au capital de 10 €

SIREN : 940 541 246 | RCS Evry B 940 541 246

72 rue Jeanne d'Arc, 91300 MASSY

Date : 18/02/2026