Politique de Gestion des Données (RGPD)

Dernière mise à jour : 22 octobre 2026

 

La présente politique décrit comment PhoxRay traite les données personnelles dans le cadre de son application web et de ses services associés, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi française « Informatique et Libertés » modifiée. Elle fait partie intégrante des Conditions Générales d'Utilisation (CGU) qu'elle complète.

1. Rôles RGPD : Responsable du traitement et Sous-traitant

Dans le cadre de l'utilisation de la plateforme PhoxRay (service strictement B2B réservé aux professionnels de santé bucco-dentaire), deux régimes juridiques distincts s'appliquent selon la nature des données :

• PhoxRay en qualité de Responsable du traitement : Pour la gestion des comptes des praticiens utilisateurs, la facturation, la sécurité de la plateforme et la mesure d'audience, le responsable du traitement est l'éditeur du service opérant sous la marque PhoxRay.

• PhoxRay en qualité de Sous-traitant (Article 28 du RGPD) : Lorsque vous téléversez des clichés radiographiques susceptibles de constituer des données à caractère personnel ou des données de santé (même pseudonymisées), vous agissez en qualité de Responsable du traitement vis-à-vis de vos patients. PhoxRay n'agit alors qu'en tant que Sous-traitant technique, traitant ces images uniquement sur vos instructions (via le déclenchement de vos workflows) et dans l'unique but de vous fournir les supports visuels pédagogiques demandés.

Pour toute question relative à cette politique ou à l'exercice de vos droits, vous pouvez écrire à : contact@phoxray.com.

2. Données collectées et obligations d'anonymisation

Selon votre utilisation, nous pouvons traiter les catégories de données suivantes :

• Données de compte et d'identification du professionnel : identifiant membre, nom, prénom, adresse e-mail professionnelle, structure d'exercice, et informations transmises par la plateforme d'hébergement du site ou d'authentification (ex. écosystème Wix Members).

• Données d'usage du service et contenus téléversés : images de radiographies dentaires et fichiers dérivés générés à des fins d'illustration pédagogique (colorisations, masques de segmentation, visualisations), ainsi que les métadonnées techniques associées (identifiants de fichiers, journaux de génération, paramètres de workflow liés à votre compte).

• Données de relation commerciale : historique des abonnements, achats et consommation de crédits, informations de facturation.

• Données techniques et de sécurité : adresse IP, journaux serveurs (logs), cookies ou traceurs nécessaires au fonctionnement, à la sécurité du service et, sous réserve de votre consentement, à la mesure d'audience.

Règles spécifiques aux clichés radiographiques (Données de santé) : Les clichés radiographiques peuvent constituer des données de santé au sens de l'Article 9 du RGPD dès lors qu'ils permettent d'identifier directement ou indirectement un patient. Conformément aux CGU :

1. Occultation préalable obligatoire : Vous vous engagez à ne téléverser que des images préalablement anonymisées ou, à défaut, rigoureusement pseudonymisées (suppression préalable de tout nom, prénom, date de naissance ou numéro de sécurité sociale incrusté sur l'image).

2. Absence de finalité diagnostique : Les données soumises le sont exclusivement à des fins de création de supports de communication visuelle et de vulgarisation pour le patient. Aucune donnée ne doit être soumise dans le but d'obtenir un diagnostic médical automatisé ou une aide à la décision clinique.

3. Responsabilité du praticien : Vous demeurez seul garant de l'information de vos patients, du recueil de leur consentement le cas échéant, et du respect du secret médical.

3. Finalités et bases légales

Nous traitons les données pour les finalités suivantes :

• Fourniture, exécution et sécurisation du service (Base légale : exécution du contrat B2B / intérêt légitime pour la sécurité et la prévention des abus) : authentification, hébergement, exécution des workflows d'IA générative et de segmentation à visée illustrative, affichage dans votre espace membre, support technique.

• Gestion des abonnements, des crédits et de la facturation (Base légale : exécution du contrat et respect des obligations légales et comptables).

• Amélioration technique et maintenance de la plateforme (Base légale : intérêt légitime) : correction de bugs, monitoring des performances d'infrastructure, statistiques d'usage agrégées et strictement anonymes.

• Communications professionnelles et d'information (Base légale : intérêt légitime en matière de communication B2B ou consentement préalable) : envoi d'informations sur les nouvelles fonctionnalités de PhoxRay ou la gestion de votre compte, avec possibilité de désinscription à tout moment.

Lorsque le traitement technique porte sur des images relevant de la qualification de données de santé (en dépit de la pseudonymisation), ce traitement est effectué par PhoxRay sur instruction du professionnel de santé dans le cadre de l'exécution du contrat de sous-traitance, le praticien s'appuyant sur les bases légales propres à son exercice réglementé (information et prise en charge du patient, consentement, etc.).

4. Destinataires, sous-traitants ultérieurs et moteurs d'IA

Les données sont strictement destinées aux services internes habilités de PhoxRay et ne font l'objet d'aucune revente ou cession commerciale à des tiers. Elles peuvent être traitées par des prestataires techniques agissant pour notre compte et sur nos instructions documentées (sous-traitants ultérieurs) :

• Infrastructure Cloud et stockage : Google Cloud Platform (GCP), pour l'hébergement des serveurs d'application, des bases de données et des espaces de stockage.

• Traitements d'inférence et Intelligence Artificielle : Serveurs de calcul GPU (environnements d'exécution ComfyUI dédiés) et appels aux API professionnelles d'IA générative de Google Cloud (Vertex AI / Gemini API). Conformément aux engagements contractuels des services professionnels d'IA utilisés par PhoxRay, les images et données soumises via ces API d'entreprise ne sont pas utilisées par les fournisseurs tiers pour entraîner leurs modèles publics.

• Gestion de la façade web, authentification et paiement : Wix.com Ltd (gestion des membres front-end et des paiements/abonnements associés).

Garanties relatives à l'Hébergement de Données de Santé (HDS) : Pour le stockage et le traitement des contenus susceptibles de contenir des données de santé, PhoxRay s'appuie sur des briques d'infrastructure cloud (notamment Google Cloud Platform) qui bénéficient de la certification Hébergeur de Données de Santé (HDS) conformément à l'article L.1111-8 du Code de la santé publique. Cette mention atteste des garanties de sécurité physique et logique fournies par nos sous-traitants d'infrastructure, étant précisé que la société éditrice de PhoxRay n'est pas elle-même un hébergeur certifié HDS en tant qu'entité juridique distincte.

Transferts hors de l'Union Européenne : Nous privilégions la localisation des serveurs de stockage et de calcul au sein de l'Union Européenne (notamment en France et en Belgique). Lorsque le recours à certains sous-traitants (tels que Wix ou Microsoft) implique un transfert de données (hors imagerie médicale) vers un pays tiers, celui-ci est encadré par une décision d'adéquation de la Commission européenne (ex. Data Privacy Framework UE-États-Unis, ou adéquation reconnue pour Israël concernant Wix) ou par les Clauses Contractuelles Types (CCT) de la Commission européenne. Une liste détaillée des sous-traitants peut être communiquée sur demande à contact@phoxray.com.

5. Durée de conservation

Les données sont conservées uniquement pendant la durée nécessaire aux finalités pour lesquelles elles sont traitées :

• Compte actif : Les données de profil et les contenus générés dans votre espace (galerie, historique de générations pédagogiques) sont conservés tant que votre compte demeure actif, afin de vous permettre d'y accéder. Vous pouvez supprimer vos images générées à tout moment depuis votre interface.

• Clôture de compte ou inactivité prolongée : Après résiliation de votre compte ou demande d'effacement, vos données de profil et vos fichiers d'imagerie sont supprimés ou anonymisés de manière irréversible dans un délai maximal de trente (30) à soixante (60) jours (délai nécessaire à la purge des sauvegardes techniques).

• Données de facturation et obligations légales : Conservées pendant dix (10) ans conformément aux obligations du Code de commerce.

• Journaux techniques et de sécurité (logs) : Conservés pour une durée maximale de six (6) à douze (12) mois conformément aux exigences légales et de sécurité informatique.

Pour toute demande d'effacement immédiat ou ciblé, veuillez consulter notre page dédiée Suppression des données ou nous contacter directement.

6. Sécurité et confidentialité

PhoxRay met en œuvre des mesures techniques et organisationnelles rigoureuses pour protéger les données contre tout accès non autorisé, divulgation, altération ou destruction :

• Chiffrement systématique des flux de données en transit (HTTPS / TLS / WebSockets sécurisés) et chiffrement des données au repos sur les serveurs cloud ;

• Cloisonnement strict des espaces utilisateurs et gestion fine des habilitations et secrets d'infrastructure ;

• Masquage et exclusion des zones sensibles vis-à-vis des outils d'analyse ergonomique.

Aucun système n'étant infaillible, la sécurité dépend également de vos bonnes pratiques : garde confidentielle de vos identifiants et respect strict de l'interdiction de téléverser des clichés comportant des données nominatives non occultées.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (obtenir la confirmation que vos données sont traitées et en recevoir une copie) et droit de rectification ;

• Droit à l'effacement (« droit à l'oubli ») et droit à la limitation du traitement ;

• Droit d'opposition au traitement de vos données pour des motifs légitimes, ou à tout moment concernant la prospection commerciale ;

• Droit à la portabilité des données que vous avez fournies (pour les traitements automatisés fondés sur le contrat ou le consentement) ;

• Droit de retirer votre consentement à tout moment pour les traitements qui reposent sur celui-ci (ex. cookies de mesure d'audience).

Pour exercer vos droits : Envoyez votre demande à contact@phoxray.com. En cas de doute raisonnable sur l'identité du demandeur, un justificatif pourra être requis.Note concernant les patients : Si un patient souhaite exercer ses droits sur un cliché le concernant qui aurait été traité via PhoxRay par son praticien, il doit adresser sa demande directement à son chirurgien-dentiste (Responsable du traitement). PhoxRay assistera le praticien pour répondre à toute demande technique d'effacement le cas échéant.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous avez le droit d'introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés — www.cnil.fr).

8. Cookies et traceurs

Le site utilise des cookies et stockages locaux (localStorage / sessionStorage) strictement nécessaires à l'authentification, au maintien de la session utilisateur, à la sécurité et à la mémorisation de vos préférences d'interface. Ces traceurs techniques sont dispensés de consentement préalable.

8.1 Mesure d'audience — Microsoft Clarity

Sur les pages applicatives de PhoxRay (hors pages légales et hors vue de partage patient externe), nous utilisons l'outil Microsoft Clarity afin d'analyser l'ergonomie du service (cartes de chaleur / heatmaps, enregistrements anonymisés des parcours de navigation). Aucune donnée de santé ni aucune image radiographique n'est exploitée à des fins publicitaires ou d'identification par Microsoft. La collecte n'est activée qu'après votre consentement explicite recueilli via la bannière affichée lors de votre première visite.

• Finalité : Compréhension des parcours utilisateur, détection des frictions d'interface et amélioration de l'expérience utilisateur (UX).

• Base légale : Votre consentement préalable (Art. 6.1.a du RGPD).

• Destinataire : Microsoft Corporation. Les transferts de données hors de l'Union Européenne sont encadrés par le Data Privacy Framework UE-États-Unis et les Clauses Contractuelles Types de la Commission européenne mises en œuvre par Microsoft.

• Cookies déposés : _clck, _clsk, CLID, MUID, ANONCHK, SM.

• Durée de conservation : Variable selon le cookie (de la durée de la session jusqu'à 13 mois maximum).

• Politique de confidentialité de Microsoft : privacy.microsoft.com/privacystatement.

Vous pouvez à tout moment réafficher la bannière de choix ou révoquer votre consentement en cliquant sur le bouton ou lien de gestion des cookies présent au bas de cette page :

(Insérer ici votre bouton / widget de révocation de consentement)

9. Modifications de la politique

Nous pouvons être amenés à mettre à jour la présente politique pour refléter les évolutions légales, techniques ou fonctionnelles de PhoxRay. La date de « Dernière mise à jour » en tête de document sera actualisée en conséquence, et une notification vous sera adressée par e-mail ou via l'interface en cas de modification substantielle.

10. Contact

Pour toute question relative à la protection des données ou à la sécurité sur PhoxRay : contact@phoxray.com.