Politique de Confidentialité
Dernière mise à jour : Mai 2026
Introduction
HonoFacile s'engage à protéger la vie privée de ses utilisateurs. Cette politique de confidentialité explique comment nous collectons, utilisons et protégeons vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD).
Responsable du traitement
Le responsable du traitement des données est HonoFacile, joignable via notre formulaire de contact.
Délégué à la Protection des Données (DPO) : aucun DPO n'est désigné, la nature et le volume des traitements ne le requérant pas (art. 37 RGPD). Pour toute question relative à la protection des données, utilisez le formulaire de contact ci-dessus.
Données collectées
Nous collectons les données suivantes :
- Données d'identification du praticien
Nom, prénom, adresse email, numéro ADELI, numéro SIRET, adresse du cabinet, titre professionnel.
- Données des patients
Nom, prénom, adresse email, adresse postale (optionnel). Aucune donnée médicale n'est collectée : ni motif de consultation, ni diagnostic, ni observation clinique, ni prescription. Le service ne propose aucun champ destiné à recevoir ce type d'information.
- Données de facturation
Montant des honoraires, date de consultation, numéro de facture, statut de paiement.
- Informations de paiement du praticien (optionnel)
IBAN et ordre du chèque, renseignés volontairement par le praticien pour apparaître sur ses notes d'honoraires.
- Données de paiement
Gérées exclusivement par Stripe. Nous ne stockons jamais vos informations bancaires.
Finalités du traitement
Vos données sont utilisées pour :
- Fournir le service de génération et d'envoi de notes d'honoraires
- Gérer votre compte utilisateur
- Traiter vos paiements d'abonnement
- Faciliter le paiement de vos services (affichage des coordonnées bancaires sur les notes)
- Vous contacter en cas de problème technique
- Améliorer nos services
Bases légales des traitements
Chaque traitement de données repose sur une base légale spécifique :
| Traitement | Base légale |
|---|---|
| Gestion du compte | Exécution du contrat |
| Envoi des notes d'honoraires | Exécution du contrat |
| Facturation et paiement | Exécution du contrat + Obligation légale |
| Conservation des notes (10 ans) | Obligation légale (Code de commerce art. L123-22) |
| Affichage IBAN/ordre du chèque sur les notes | Exécution du contrat |
| Support client | Intérêt légitime |
| Amélioration du service | Intérêt légitime |
Durée de conservation
Données patients (nom, email, adresse) : conservées tant que des notes d'honoraires liées à ces patients sont actives ou tant que le compte du praticien est actif. Anonymisées avec les notes lors de la suppression du compte (sous réserve de l'obligation comptable de 10 ans applicable aux notes elles-mêmes).
Données de compte : conservées pendant toute la durée de votre abonnement, puis 3 ans après la résiliation.
Notes d'honoraires : conservées 10 ans conformément aux obligations comptables françaises.
Données de paiement (abonnement) : conservées par Stripe selon leur politique de confidentialité.
Informations bancaires du praticien (IBAN, ordre du chèque) : supprimées dès la résiliation du compte.
Sous-traitants
Nous faisons appel aux sous-traitants suivants :
Supabase
Authentification (gestion des comptes praticiens) et hébergement de la base de données. Données hébergées dans l'Union Européenne (Frankfurt).
Politique de confidentialité Supabase →Stripe
Gestion des paiements et abonnements. Certifié PCI-DSS Level 1.
Politique de confidentialité Stripe →Better Stack
Surveillance de la disponibilité du service (monitoring).
Politique de confidentialité Better Stack →Nature des données traitées et hébergement
HonoFacile est un outil de facturation à usage administratif et comptable. Le service traite uniquement les éléments nécessaires à l'émission d'une note d'honoraires : identité du patient, adresse email, montant, date, numéro de note et statut de paiement.
Aucune donnée de santé n'est collectée directement : ni motif de consultation, ni diagnostic, ni observation clinique, ni prescription, ni élément de dossier patient. Le service ne propose aucun champ destiné à recevoir ce type d'information et un contrôle automatisé bloque la saisie de termes médicaux dans les champs libres (cf. ci-dessous). À ce titre, et dans la généralité des cas, les données traitées ne constituent pas, en tant que telles, des données concernant la santé au sens de l'article 9 du RGPD et ne relèvent pas du périmètre d'hébergement des données de santé (HDS) défini par l'article L.1111-8 du Code de la santé publique.
Cas particulier des spécialités révélant un état de santé par contexte : pour certaines spécialités (psychiatrie, psychologie, addictologie, etc.), le simple lien entre l'identité d'un patient et le nom du praticien peut révéler indirectement un état de santé (jurisprudence CJUE, considérant 35 RGPD). Dans ce cas, les données traitées peuvent être qualifiées de données concernant la santé. Il appartient alors au praticien, en sa qualité de responsable de traitement, de fonder ce traitement sur l'une des exceptions de l'article 9.2 RGPD (notamment 9.2.h pour la médecine préventive ou le diagnostic médical) et d'en informer ses patients en conséquence. HonoFacile ne se substitue pas à un hébergeur HDS.
Les données sont hébergées par Supabase au sein de l'Union Européenne (Frankfurt, Allemagne). Supabase est certifié SOC 2 Type II et ISO 27001. Les données sont chiffrées au repos (AES-256) et en transit (TLS 1.2+).
Engagement de l'utilisateur
L'utilisateur du service (le praticien) s'engage, conformément aux Conditions Générales d'Utilisation, à ne saisir aucune donnée de santé (motif, diagnostic, observation clinique, etc.) dans les champs libres du service (notamment le champ « description » de la note d'honoraires). Le respect de cet engagement est essentiel pour préserver le périmètre administratif du service et la confidentialité due aux patients.
Contrôle automatisé des champs libres
En complément de cet engagement contractuel, HonoFacile met en œuvre un contrôle automatisé côté serveur qui détecte et bloque la saisie de termes manifestement médicaux (diagnostics, pathologies, médicaments, états cliniques, etc.) dans les champs libres du service — notamment le motif/description de la note d'honoraires, la description par défaut et la mention personnalisée du cabinet. Toute tentative est rejetée avec un message explicite invitant le praticien à n'indiquer que la nature administrative de la prestation (par exemple : « Consultation », « Séance », « Suivi », « Bilan »).
Rôles et responsabilités (art. 4 et 28 RGPD)
Dans le cadre de l'utilisation du service par un praticien :
Le praticien est responsable de traitement
Pour les données de ses patients (identité, email, notes d'honoraires émises). Il détermine les finalités et les moyens du traitement et en répond auprès de ses patients. Il lui appartient de tenir un registre des traitements (art. 30 RGPD) et d'informer ses patients du recours à HonoFacile.
HonoFacile est sous-traitant au sens de l'article 28 RGPD
HonoFacile traite les données patients pour le compte du praticien et selon ses instructions, dans le seul but d'assurer la fourniture du service de facturation. L'acceptation des présentes CGU vaut accord de sous-traitance au sens de l'article 28 du RGPD.
HonoFacile est responsable de traitement
Pour les données de ses utilisateurs (praticiens) : gestion du compte, facturation de l'abonnement, support, communication relative au service.
Décision automatisée et profilage
HonoFacile ne procède à aucune décision automatisée produisant des effets juridiques à l'égard des utilisateurs ou des patients (art. 22 RGPD), ni à aucune activité de profilage.
Notification de violation de données (art. 33 et 34 RGPD)
En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, HonoFacile s'engage à :
- Notifier la violation à la CNIL dans un délai maximal de 72 heures après en avoir pris connaissance (art. 33 RGPD).
- Informer sans délai chaque praticien concerné en sa qualité de responsable de traitement, afin qu'il puisse à son tour informer ses patients lorsque la violation présente un risque élevé (art. 34 RGPD).
- Documenter chaque violation et les mesures correctives mises en œuvre.
Transferts de données hors Union Européenne
Certains de nos sous-traitants sont situés aux États-Unis. Ces transferts sont encadrés conformément aux articles 44 à 50 du RGPD :
Stripe (paiements) : Transferts encadrés par les Clauses Contractuelles Types (SCCs) de la Commission Européenne. Voir le DPA Stripe →
Resend (emails) : Transferts encadrés par les Clauses Contractuelles Types (SCCs). Voir le DPA Resend →
Vercel (hébergement) : Transferts encadrés par les Clauses Contractuelles Types (SCCs). Voir le DPA Vercel →
Better Stack (monitoring) : Transferts encadrés par les Clauses Contractuelles Types (SCCs). Voir le DPA Better Stack →
Vos droits
Conformément au RGPD, vous disposez des droits suivants :
- Droit d'accès : obtenir une copie de vos données
- Droit de rectification : corriger vos données inexactes
- Droit à l'effacement : demander la suppression de vos données
- Droit à la portabilité : recevoir vos données dans un format structuré
- Droit d'opposition : vous opposer au traitement de vos données
- Droit à la limitation : restreindre le traitement de vos données
Pour exercer ces droits, contactez-nous. Nous répondrons à votre demande dans un délai maximum de 30 jours.
Droit à l'effacement (droit à l'oubli)
Pour exercer votre droit à l'effacement :
- Connectez-vous à votre compte
- Allez dans Paramètres > Supprimer mon compte
- Confirmez la suppression
Conséquences de la suppression :
- Vos données de compte sont supprimées immédiatement
- Les notes d'honoraires sont conservées 10 ans (obligation légale comptable française - Code de commerce art. L123-22)
- Les données peuvent être anonymisées plutôt que supprimées pour respecter les obligations légales
Sécurité
Nous mettons en œuvre des mesures de sécurité techniques et organisationnelles appropriées pour protéger vos données : chiffrement des données en transit (TLS 1.2+) et au repos (AES-256 chez Supabase), authentification sécurisée, accès restreint via Row Level Security, en-têtes de sécurité HTTP stricts (CSP, X-Frame-Options, X-Content-Type-Options) et contrôle automatisé des champs libres bloquant la saisie de termes médicaux pour préserver le périmètre administratif du service.
Protection des coordonnées bancaires du praticien (IBAN, ordre du chèque) :
- Chiffrement au repos : Les données sont chiffrées dans la base de données (Supabase).
- Accès restreint : Seul le praticien propriétaire peut consulter et modifier ses données (Row Level Security).
- Contrôle total : Le praticien peut activer ou désactiver l'affichage de son IBAN à tout moment dans les paramètres.
- Suppression : Les coordonnées bancaires sont supprimées immédiatement à la clôture du compte.
Réclamation
Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) à l'adresse www.cnil.fr.
Contact
Pour toute question relative à cette politique de confidentialité, contactez-nous.