1. Responsable de traitement et sous-traitant

Responsable de traitement : la pharmacie d'officine utilisant le service BPP Comptoir.

Sous-traitant : S.A.S. J2S Médical, SIREN 904000387, 39 bis rue du clos de Paris, 95170 Deuil-la-Barre. Contact DPO : Sephora Samama — jeremy.sephora@gmail.com.

2. Données collectées

2.1 Données du pharmacien

Nom, prénom, email, mot de passe (hashé), nom de la pharmacie, adresse, téléphone, numéro FINESS, numéro RPPS, données de facturation (gérées par Stripe).

2.2 Données patients

Prénom, nom, date de naissance, sexe, âge, numéro de sécurité sociale (stocké chiffré), médecin traitant, données de santé (pathologies, tabac/alcool, vaccinations, dépistages), documents générés (bilans CPAM, fiches patient IA).

3. Finalités du traitement

Réalisation de bilans de prévention pharmaceutique (décret n°2023-736), génération de documents CPAM conformes, génération de fiches patient par intelligence artificielle, gestion de la facturation et de l'abonnement.

4. Base légale

Exécution du contrat (art. 6.1.b RGPD), obligation légale (art. 6.1.c), intérêt légitime (art. 6.1.f), consentement du patient (art. 9.2.a) pour les données de santé.

5. Sous-traitants et transferts

Supabase, Inc. — hébergement base de données (Union Européenne, AWS eu-west).

Stripe, Inc. — paiements (certifié PCI-DSS niveau 1). Données bancaires jamais stockées par le Prestataire.

Anthropic, PBC — intelligence artificielle (API zero-retention). Les données patients sont transmises pour la génération de fiches. Anthropic ne conserve pas les données.

Netlify, Inc. — hébergement de l'application web.

Les appels API vers Anthropic (États-Unis) sont encadrés par les clauses contractuelles types de la Commission européenne.

6. Durée de conservation

Données du pharmacien : durée de l'abonnement + 3 ans. Données patients : durée de l'abonnement (supprimées avec le compte). Données de facturation : 10 ans (obligations comptables). Logs techniques : 12 mois.

7. Droits des personnes

Conformément au RGPD, vous disposez des droits d'accès (art. 15), rectification (art. 16), effacement (art. 17), limitation (art. 18), portabilité (art. 20) et opposition (art. 21).

Pour exercer ces droits : jeremy.sephora@gmail.com

Les patients doivent adresser leurs demandes au pharmacien (responsable de traitement).

8. Sécurité

Chiffrement en transit (HTTPS/TLS), chiffrement des données sensibles au repos, authentification JWT, contrôle d'accès Row Level Security (RLS), séparation des données par pharmacie, mots de passe hashés (bcrypt).

9. Cookies

Le site utilise uniquement des cookies techniques nécessaires au fonctionnement (session, authentification). Aucun cookie publicitaire ou de traçage n'est utilisé.

10. Contact

DPO : Sephora Samama — jeremy.sephora@gmail.com — 39 bis rue du clos de Paris, 95170 Deuil-la-Barre

En cas de réclamation : www.cnil.fr