Politique de confidentialité
Dernière mise à jour : juin 2025
Arkiba traite des données personnelles, dont certaines sont relatives à la santé. Cette politique décrit, en toute transparence, quelles données sont collectées, pourquoi, combien de temps elles sont conservées, et quels droits vous pouvez exercer.
Responsable du traitement
Arkiba SAS — éditeur du service Arkiba.
Pour toute demande relative à vos données personnelles, contactez notre Délégué à la Protection des Données (DPO) :
Données collectées
Arkiba distingue strictement les données du médecin utilisateur et les données patient introduites pour la rédaction des documents.
Données du médecin (compte utilisateur)
| Donnée | Finalité | Base légale |
|---|---|---|
| Prénom, nom, email | Création du compte, identification | Exécution du contrat |
| Mot de passe (haché) | Authentification sécurisée | Exécution du contrat |
| Spécialité, ville, RPPS | Vérification du statut professionnel, en-tête des documents | Exécution du contrat |
| Adresse, téléphone, email professionnel | En-tête des documents générés | Exécution du contrat |
Données patient (saisies par le médecin)
| Donnée | Finalité | Base légale |
|---|---|---|
| Nom, âge, motif, notes cliniques | Génération du document demandé | Mission d'intérêt public dans le domaine de la santé (art. 9.2.h RGPD) |
| Documents médicaux téléversés | Synthèse demandée par le médecin | Idem |
Les données patient sont introduites sous la responsabilité du médecin utilisateur, dans le respect du secret médical et des obligations qui lui incombent en tant que responsable de traitement vis-à-vis de ses patients. Arkiba agit en qualité de sous-traitant au sens du RGPD.
Hébergement et localisation
Phase pilote — hébergement non certifié HDS.
Les données du service sont actuellement stockées chez Railway Corporation, dans sa région « us-west » (Californie, États-Unis). Railway n'est pas certifié Hébergeur de Données de Santé (HDS). Des données sont donc transférées hors de l'Union européenne.
En conséquence, pendant cette phase, Arkiba ne doit pas être utilisé avec des données identifiantes de patients réels. Le passage à un hébergeur certifié HDS est un préalable à toute utilisation en routine ; cette page sera mise à jour à ce moment-là.
Sécurité
- Chiffrement en transit : les échanges entre votre navigateur et Arkiba passent par HTTPS (TLS).
- Mots de passe : hachés avec bcrypt, jamais stockés en clair.
- Sessions : jetons signés à durée limitée, révoqués à la déconnexion et à chaque réinitialisation du mot de passe.
- Cloisonnement : chaque requête est autorisée côté serveur ; un médecin n'accède qu'aux données de son cabinet.
- Pseudonymisation : le nom, la date de naissance et l'adresse du patient sont retirés du contexte historique avant envoi au modèle d'IA.
Durées de conservation
| Catégorie | Durée |
|---|---|
| Compte médecin actif | Tant que le compte est actif |
| Dossiers patients et documents enregistrés | Stockés sur les serveurs d'Arkiba tant que le compte est actif ; supprimables à tout moment par le médecin depuis l'application |
| Fermeture du compte | Suppression des données du compte sur demande à contact@arkiba.fr |
| Journaux techniques | Conservés selon la politique de l'hébergeur (Railway) |
| Données de facturation | 10 ans (obligation comptable) |
Sous-traitants
Pour fonctionner, Arkiba s'appuie aujourd'hui sur les prestataires suivants :
- Railway Corporation (États-Unis) — hébergement de l'application et des données.
- Anthropic (États-Unis) — modèle d'IA qui rédige les documents à partir des notes transmises.
- Voyage AI (États-Unis) — calcul d'empreintes de recherche pour les avis spécialisés.
- Google (Gmail) — envoi des e-mails de compte (réinitialisation de mot de passe).
- Fonctions de pré-consultation (en pilote) : Vapi (appels téléphoniques) et Browserbase (connexion à l'agenda Doctolib).
La mise en place des contrats de sous-traitance (article 28 du RGPD) avec chacun de ces prestataires fait partie des préalables à une utilisation en routine.
Pas de revente, pas de profilage commercial
Arkiba ne vend pas, ne loue pas, ne partage pas vos données ni celles de vos patients à des fins commerciales, publicitaires ou statistiques tierces. Aucun traceur publicitaire n'est déployé sur le service.
Vos droits
Conformément au RGPD et à la loi Informatique et Libertés, vous disposez à tout moment des droits suivants :
Obtenir une copie des données vous concernant.
Corriger une donnée inexacte ou incomplète.
Effacer votre compte et les données associées.
Vous opposer à un traitement pour motif légitime.
Geler un traitement le temps d'une vérification.
Récupérer vos données dans un format réutilisable.
Pour exercer ces droits, contactez notre DPO à dpo@arkiba.fr. Une réponse vous sera apportée dans un délai maximum d'un mois.
Réclamation auprès de la CNIL
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL).
Cookies
Arkiba n'utilise que les cookies strictement nécessaires au fonctionnement du service (session, authentification). Aucun cookie de mesure d'audience tierce ou de publicité n'est déposé.
Évolution de la politique
Toute modification substantielle de cette politique vous sera notifiée par email avec un préavis raisonnable avant son entrée en vigueur.