Politique de confidentialité

Responsable de traitement

Le responsable de traitement au sens du règlement (UE) 2016/679 (RGPD) et de la loi n° 78-17 du 6 janvier 1978 modifiée est Valentin Paulin, docteur en pharmacie, exerçant en entreprise individuelle (SIRET 106 347 321 00015, Châtillon). Pour toute question relative à vos données : galien.ai.dev@gmail.com.

Données traitées et finalités

Compte et profil professionnel

À la création du compte sont collectés le prénom, le nom, l'adresse électronique et le nom de l'officine. Le mot de passe est stocké sous forme chiffrée (haché) par le service d'authentification. Finalité : ouvrir et gérer l'accès, identifier l'utilisateur comme professionnel de santé. Base légale : exécution du contrat (acceptation des CGU, article 6.1.b du RGPD) et intérêt légitime à réserver l'outil aux professionnels. Conservation : pendant la durée de vie du compte, puis suppression à la demande ou à la fermeture du compte.

Numéro RPPS et vérification de la qualité de pharmacien

Le numéro RPPS est requis pour souscrire une offre payante. Il est alors vérifié auprès de l'Annuaire Santé de l'Agence du Numérique en Santé (ANS) afin de confirmer la qualité de pharmacien en exercice. Le RPPS est une donnée d'identification professionnelle, et non une donnée de santé relative à un patient. Finalité : réserver les offres payantes aux pharmaciens vérifiés. Base légale : exécution du contrat de vente et intérêt légitime à réserver l'outil aux professionnels. Conservation : pendant la durée de vie du compte payant, puis suppression à la fermeture du compte. Pour l'accès gratuit et l'essai, le RPPS peut rester non renseigné.

Paiement et facturation

Lors de la souscription d'une offre payante, le paiement est traité par Stripe en qualité de destinataire. L'éditeur ne collecte ni ne conserve les coordonnées bancaires : seul un identifiant client Stripe technique est enregistré pour rattacher l'abonnement au compte. Finalité : exécution de la commande et gestion de l'abonnement. Base légale : exécution du contrat (article 6.1.b du RGPD). Conservation : le temps de la relation contractuelle.

Les factures et pièces justificatives liées aux offres payantes sont conservées 10 ans à compter de la clôture de l'exercice comptable concerné, conformément à l'article L123-22 du Code de commerce. Base légale : obligation légale (article 6.1.c du RGPD). Cette durée déroge à la suppression à la fermeture du compte.

Demandes d'accès

Lorsqu'un professionnel demande un accès, les informations du formulaire (identité, email, officine, message éventuel) sont enregistrées et une notification est envoyée à l'éditeur. Finalité : examiner et valider la demande. Base légale : mesures précontractuelles à la demande de la personne. Conservation : le temps de l'examen, puis rattachement au compte si la demande est acceptée, ou suppression en cas de refus.

Contenu des conversations et historique

Les questions saisies, le contexte utile de la conversation et les documents consultés sont transmis principalement à l'API Anthropic (Claude) pour produire la réponse, y compris pour la recherche approfondie. OpenAI intervient pour la traduction et les parcours de repli. Finalité : fournir le service et proposer à l'utilisateur connecté un historique de ses conversations, consultable et rechargeable depuis l'application. Base légale : exécution du contrat (article 6.1.b du RGPD). Conservation : pour un utilisateur connecté, les questions et les réponses sont enregistrées pour alimenter cet historique ; elles sont conservées 30 jours à compter du dernier message de la conversation, puis supprimées automatiquement. L'utilisateur peut aussi supprimer une conversation lui-même à tout moment depuis le bandeau d'historique (droit à l'effacement). Ces contenus ne constituent pas un dossier patient. Anthropic et OpenAI indiquent ne pas utiliser par défaut les données de leurs API professionnelles pour entraîner leurs modèles, sauf partage volontaire. Voir les engagements d'Anthropic sur l'entraînement. Un filtre peut détecter certains identifiants patient, mais ne garantit pas l'anonymisation d'un texte. La saisie doit rester sans identifiant patient.

La conservation de l'historique dans Galien.AI est distincte de celle des données chez les fournisseurs. Anthropic annonce une suppression des entrées et sorties de son API sous 30 jours, avec des exceptions, notamment pour la sécurité, les obligations légales ou certains services et accords particuliers. Voir sa politique de conservation des données professionnelles. OpenAI prévoit notamment des journaux de prévention des abus, pouvant contenir des requêtes et des réponses, conservés par défaut jusqu'à 30 jours, avec des exceptions. Galien.AI ne revendique pas de garantie de conservation nulle chez ces fournisseurs d'IA. Supprimer une conversation dans l'application ne garantit pas la suppression immédiate de tous les journaux chez les prestataires. Voir la documentation OpenAI sur les données de l'API.

Pour trouver les sources officielles, une requête de recherche courte et la formulation du besoin documentaire, rédigées par le modèle à partir de la question et, le cas échéant, du contexte de l'échange, peuvent être transmises au service de recherche Web de Parallel Web Systems. Ni la conversation complète, ni l'historique, ni l'identifiant de compte ne lui sont transmis. Selon les engagements de ce prestataire pour l'option de résidence des données dans l'Union européenne retenue par Galien.AI, ces requêtes sont traitées dans l'Union européenne, leur contenu n'est pas conservé et les données ne servent pas à entraîner des modèles. Voir la politique de confidentialité de Parallel Web Systems.

Essai sans compte

La page d'essai permet de poser une question sans créer de compte. La question est traitée principalement par l'API Anthropic, avec un parcours de repli utilisant OpenAI et, pour la recherche de sources, Parallel Web Systems, selon les règles décrites ci-dessus. L'essai n'est pas enregistré dans l'historique des conversations. Cela n'exclut pas les traitements techniques nécessaires au service ni les journaux du fournisseur. Finalité : démonstration de l'outil. Base légale : intérêt légitime. Pour limiter les abus, le nombre d'essais est plafonné par jour au moyen d'une empreinte d'adresse IP pseudonymisée (hachage à sens unique, l'adresse IP en clair n'est jamais conservée). Aucune question d'essai n'est rattachée à une personne identifiée.

Messages de contact

Les messages envoyés via le formulaire de contact (sujet, corps, email de l'expéditeur et, le cas échéant, identifiant du compte connecté) sont traités pour répondre à la demande. Base légale : intérêt légitime à traiter les sollicitations. Conservation : 12 mois maximum, puis suppression automatique.

Retours d'avis, questionnaire sur les offres et quotas d'usage

Les retours d'avis sur les réponses (pouce vers le haut ou vers le bas) et le décompte du nombre de questions par jour sont associés au compte. Finalités : améliorer la qualité du service et limiter les usages abusifs. Base légale : intérêt légitime. Conservation : les retours d'avis sont conservés le temps nécessaire à l'amélioration du service, dans la limite de 24 mois ; les compteurs de quota sont conservés sur une fenêtre glissante.

Après plusieurs jours où le quota est atteint, un questionnaire facultatif à choix fixe peut être proposé si l'utilisateur a consenti à la mesure d'audience et au questionnaire sur les offres. Le motif choisi est associé au compte afin de comprendre les freins déclarés à l'abonnement. Aucune question de comptoir n'est enregistrée dans ce questionnaire. Base légale : consentement. Conservation : 24 mois maximum, puis suppression automatique.

Journaux d'administration, de sécurité et techniques

Des journaux internes consignent l'usage agrégé, les événements de sécurité (avec une empreinte non réversible de l'adresse IP, sans donnée nominative) et le contrôle de qualité des réponses. L'hébergeur Vercel conserve par ailleurs des journaux d'accès techniques (adresse IP, horodatage, page). Finalité : sécurité, diagnostic et amélioration. Base légale : intérêt légitime. Ces journaux ne sont pas exploités à des fins de profilage.

Mesure d'audience

Une mesure d'audience anonymisée (Vercel Analytics et Speed Insights) et le questionnaire facultatif sur les offres ne sont activés qu'avec votre consentement. Base légale : consentement. Le détail et la gestion de ce consentement se trouvent sur la page cookies.

Sous-traitants et destinataires

Les données ne sont ni vendues ni cédées. Elles sont traitées par des prestataires techniques agissant comme sous-traitants, dans le cadre d'accords de traitement des données. Les prestataires situés hors Union européenne, ou susceptibles de transférer des données hors Union européenne, traitent ces données sur le fondement des clauses contractuelles types de la Commission européenne.

L'éditeur peut faire évoluer la liste de ses sous-traitants pour des raisons techniques ou opérationnelles. Tout nouveau sous-traitant est tenu par contrat à des garanties au moins équivalentes en matière de protection des données et de sécurité. La liste à jour figure sur la présente page.

Données de patient : refus catégorique

L'utilisateur s'engage à ne saisir aucune donnée identifiant un patient (nom, prénom, date de naissance, NIR, INS, adresse, téléphone, email, identifiant de dossier). Un filtre automatique peut bloquer certaines requêtes contenant des identifiants détectés. Il ne garantit pas l'anonymisation et ne dispense pas l'utilisateur de sa vigilance. Si de telles données étaient malgré tout saisies par un utilisateur connecté, elles figureraient dans l'historique de la conversation et seraient soumises à la suppression automatique au bout de 30 jours, l'utilisateur pouvant aussi les effacer immédiatement depuis le bandeau d'historique. Elles ne seraient pas rattachées à un dossier patient par l'éditeur, et leur saisie relèverait de la responsabilité de l'utilisateur au regard du secret professionnel. Cet engagement vaut pour tout utilisateur du service, y compris les collaborateurs rattachés à une officine ; le titulaire veille à son respect par son équipe.

Absence de décision automatisée

Galien.AI est un outil d'information documentaire. Il ne prend aucune décision automatisée produisant des effets juridiques ou affectant de manière significative une personne. La décision relève toujours du professionnel de santé.

Sécurité

Les mesures techniques incluent le chiffrement des échanges (HTTPS), le cloisonnement des accès en base (politiques de sécurité au niveau des lignes), le hachage des mots de passe, ainsi qu'un filtrage des données personnelles et une protection contre les injections de consignes.

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes, l'éditeur notifie la CNIL dans les délais prévus par le RGPD et informe les personnes concernées lorsque la réglementation l'exige. L'éditeur tient un registre des incidents de sécurité.

Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité des données vous concernant. Vous pouvez les exercer en écrivant à galien.ai.dev@gmail.com ; une réponse vous sera apportée dans un délai d'un mois. Vous pouvez également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL, cnil.fr).

Évolution de cette politique

Cette politique pourra évoluer avec le service et la réglementation. La version en vigueur est celle publiée à l'adresse /confidentialite, avec sa date de mise à jour. Les informations légales générales figurent sur la page mentions légales, les conditions d'usage sur la page CGU.