Traduction de courtoisie. En cas de divergence, la version italienne de ce document fait foi.

Notice d'Information sur la Protection des Données Personnelles

Brouillon non signé, publié à des fins de consultation. La société qui fournit le service dispose d’un numéro de TVA ; le numéro REA sera ajouté dès que l’immatriculation au registre des entreprises sera achevée. D’ici là, ce document ne peut pas être signé.

La présente notice décrit les modalités de traitement des données personnelles collectées, conservées et traitées dans le cadre du site institutionnel Fibonacci (https://fibonaccimedica.it (s’ouvre dans un nouvel onglet)), de l'application SaaS Fibonacci accessible à l'adresse https://app.fibonaccimedica.it (s’ouvre dans un nouvel onglet) et des services associés. Ce document est fourni conformément aux articles 13 et 14 du Règlement (UE) 2016/679 (ci-après "GDPR") et du D.Lgs. 30 juin 2003 n. 196, tel que modifié par le D.Lgs. 10 août 2018 n. 101 (ci-après "Code de la protection des données personnelles").

Fibonacci est un dossier médical ambulatoire pour la médecine esthétique, distribué en mode Software as a Service à des médecins et professionnels de santé. Il comprend l'anagraphique et le dossier du patient avec les fiches de médecine esthétique, des photos cliniques chiffrées, l'analyse du visage, la dictée transcrite par des services d'intelligence artificielle, les consentements informés en PDF, l'agenda et les rappels, le registre des accès, l'authentification à deux facteurs et l'exportation des données au format FHIR R4.

Avertissement préliminaire : trois rôles distincts coexistent dans le périmètre du service. Pour les données de navigation du site Fibonacci et pour les données des médecins clients qui souscrivent à l'abonnement au logiciel, Fibonacci agit en qualité de responsable de traitement. Pour les données des patients saisies par les médecins clients dans le logiciel, Fibonacci agit en qualité de sous-traitant conformément à l'art. 28 GDPR, tandis que le responsable de traitement est le médecin client qui entretient la relation professionnelle avec le patient. La réglementation du traitement des données des patients est régie par l'Accord sur le traitement des données (ci-après "DPA"), signé concomitamment au contrat de service par le médecin client, et est décrite de manière synthétique dans la section 3 et la section 8 de la présente notice.

1. Responsable de traitement

Le responsable de traitement des données personnelles est :

Dénomination : Fibonacci Works S.r.l. Siège social : Via Brigata Liguria 105 R, 16121 Genova (GE) Numéro de TVA : 03108390992 Numéro REA : GE-533577 Adresse de courrier électronique certifiée : fibonacciworks@pec.it Contact pour les questions relatives à la protection des données : info@fibonaccimedica.it Délégué à la protection des données (DPO) : en cours de désignation ; jusqu'à cette date, écrire à info@fibonaccimedica.it

Pour toute question relative au traitement des données personnelles, y compris l'exercice des droits prévus aux articles 15-22 GDPR, le canal de contact est le suivant :

Canal de contact : info@fibonaccimedica.it

2. Définitions essentielles

Aux fins de la présente notice, on entend par :

• "Responsable de traitement" : la personne physique ou morale qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement des données personnelles (art. 4, n. 7 GDPR).
• "Sous-traitant" : la personne physique ou morale qui traite des données personnelles pour le compte du responsable de traitement (art. 4, n. 8 GDPR).
• "Personne concernée" : la personne physique identifiée ou identifiable à laquelle se rapportent les données personnelles (art. 4, n. 1 GDPR).
• "Données personnelles" : toute information concernant une personne physique identifiée ou identifiable (art. 4, n. 1 GDPR).
• "Catégories particulières de données personnelles" : les données visées à l'art. 9 GDPR, y compris les données relatives à la santé, à la vie sexuelle, à l'origine raciale ou ethnique, aux convictions religieuses ou philosophiques.
• "Traitement" : toute opération ou ensemble d'opérations, effectuées avec ou sans l'aide de procédés automatisés, appliquées à des données personnelles (art. 4, n. 2 GDPR).
• "Sous-traitant secondaire" : le tiers désigné par le sous-traitant pour effectuer des activités spécifiques de traitement pour le compte du responsable de traitement, conformément à l'art. 28, par. 2 et 4 GDPR.

3. Catégories de données traitées

Le responsable de traitement traite différentes données personnelles en fonction du segment de la personne concernée. Voici la distinction.

3.1 Visiteurs du site Fibonacci

En ce qui concerne les visiteurs du site institutionnel, les clients potentiels qui remplissent les formulaires de contact ou de demande de démonstration et les partenaires potentiels qui remplissent le formulaire de proposition de collaboration (page /partner), les données suivantes sont traitées :

• données anagraphiques et de contact : nom, prénom, adresse email, numéro de téléphone, raison sociale du cabinet, de la clinique ou de l'entreprise, qualification professionnelle, spécialité médicale ou type de collaboration proposée ;
• données de navigation : adresse IP, type de navigateur, pages demandées, date et heure, enregistrées dans les logs techniques du serveur ; le site utilise uniquement des cookies techniques (voir la Cookie Policy) ;
• contenu libre des messages envoyés via les formulaires de contact ;
• texte des questions posées à l'assistant du site, qui répond uniquement sur la base du contenu publié du site.

3.2 Médecins clients utilisateurs du logiciel

En ce qui concerne les médecins et les professionnels de santé qui souscrivent un abonnement au logiciel Fibonacci, les données suivantes sont traitées :

• données anagraphiques et professionnelles : nom, prénom, code fiscal, date et lieu de naissance, adresse, numéro d'inscription à l'Ordre professionnel, spécialisation, numéro de TVA, données de facturation ;
• identifiants d'accès : adresse email, empreinte du mot de passe, clé pour l'authentification à deux facteurs, codes de récupération conservés sous forme d'empreinte, logs des accès ;
• données relatives à l'utilisation du service : configuration du compte, préférences, logs d'activité, piste d'audit des opérations effectuées sur l'application ;
• données de paiement : les données nécessaires à la gestion de l'abonnement (nom du titulaire, référence au moyen de paiement) sont traitées par Stripe Payments Europe Ltd, qui traite les données des cartes selon ses propres conditions. Fibonacci ne conserve pas les numéros complets des cartes de paiement.

3.3 Patients des médecins clients

Les données des patients des structures de santé clientes, saisies dans le logiciel par le médecin client ou ses collaborateurs autorisés, comprennent des données anagraphiques, des données de contact, des données cliniques et anamnestiques, des photographies cliniques, des comptes rendus, des prescriptions, des consentements informés et toute autre donnée nécessaire à la prestation de soins, y compris des données relevant des catégories particulières visées à l'art. 9 GDPR (en particulier des données relatives à la santé).

Pour ces données, Fibonacci agit en qualité de sous-traitant conformément à l'art. 28 GDPR. Le responsable de traitement est le médecin client ou la structure de santé qui utilise le logiciel. Les détails sur les catégories de données traitées, les instructions documentées, les sous-traitants autorisés et les mesures de sécurité adoptées sont régis par l'Accord sur le traitement des données (DPA) signé concomitamment au contrat de service. Le DPA est publié à la page /dpa et la liste des sous-traitants à la page /sub-responsabili.

Les patients qui souhaitent exercer leurs droits sont invités à s'adresser à leur médecin traitant en qualité de responsable de traitement. Fibonacci, en qualité de sous-traitant, fournit au médecin responsable l'assistance technique nécessaire pour répondre aux demandes des personnes concernées.

4. Finalités et base juridique du traitement

Les traitements effectués par le responsable de traitement poursuivent les finalités indiquées ci-dessous, chacune fondée sur une base juridique spécifique.

La communication des données pour les finalités contractuelles, administratives et de sécurité est nécessaire à la fourniture du service. Le refus entraîne l'impossibilité de fournir le service. Le responsable de traitement n'envoie pas de newsletters ni de communications promotionnelles et ne cède pas les adresses à des tiers.

5. Modalités de traitement et mesures de sécurité

Le traitement est effectué à l'aide d'outils électroniques, conformément au principe d'intégrité et de confidentialité visé à l'art. 5, par. 1, let. f GDPR et en adoptant les mesures techniques et organisationnelles appropriées conformément aux articles 24, 25 et 32 GDPR. En particulier :

• photos cliniques chiffrées dans le navigateur avec AES-256-GCM, avec des clés conservées par le responsable du service et séparées par cabinet ;
• sauvegardes nocturnes chiffrées, conservées pendant 30 jours en rotation, avec une procédure de restauration testée ;
• trafic chiffré avec TLS entre le navigateur et le serveur, sans intermédiaires ;
• authentification à deux facteurs requise pour le titulaire du cabinet lors du premier accès et disponible pour chaque utilisateur ;
• registre des accès aux dossiers avec chaîne d'empreintes rendant visible toute altération ;
• séparation des données par cabinet, de sorte que chaque médecin responsable ne voie que ses propres patients ;
• infrastructure en Italie, chez Aruba S.p.A. ;
• registres des activités de traitement conformément à l'art. 30 GDPR.

La base de données n'est pas chiffrée au repos au niveau du disque à la date de cette révision ; la copie des sauvegardes chez un second fournisseur est prévue avant que le service ne traite des données de patients réels.

Les données ne sont accessibles qu'au personnel de Fibonacci autorisé et formé en qualité de personne désignée pour le traitement conformément à l'art. 29 GDPR et à l'art. 2-quaterdecies du Code de la protection des données personnelles.

6. Sous-traitants et destinataires des données

Pour les traitements dont il est responsable (site, assistant du site, relations avec les médecins clients), Fibonacci fait appel aux fournisseurs suivants, qui agissent en qualité de sous-traitants :

Pour les données des patients, que Fibonacci traite en qualité de sous-traitant pour le compte du médecin responsable, la liste des sous-traitants, avec siège, données traitées et état du contrat de chacun, est publiée à la page /sub-responsabili. Les modifications sont communiquées au médecin avec un préavis de 30 jours, comme prévu par le DPA.

Les données pourront également être communiquées à :

• des consultants professionnels (experts-comptables, avocats, auditeurs) désignés comme sous-traitants ou responsables autonomes, dans les limites des prestations fournies ;
• des autorités judiciaires, de sécurité publique, de surveillance ou des administrations publiques, sur demande légitime et dans les cas prévus par la loi ;
• des tiers dans le cadre d'opérations extraordinaires (fusions, acquisitions, cessions de branches d'entreprise), après information des personnes concernées.

Les données ne font en aucun cas l'objet d'une diffusion.

7. Transferts de données en dehors de l'Union européenne

L'infrastructure applicative et les bases de données sont hébergées en Italie, chez Aruba S.p.A. Les données de santé des patients ne sont pas transférées en dehors de l'Union européenne : le logiciel empêche l'envoi de textes cliniques vers des fournisseurs d'intelligence artificielle situés en dehors de l'Union.

Aucun intermédiaire n'est interposé entre le navigateur et le backend. Le domaine du site et celui de l'application résolvent directement vers l'adresse de l'infrastructure : aucun réseau de distribution de contenu, proxy inverse de tiers ou pare-feu d'application web géré par des tiers n'est utilisé, et il n'existe aucun point où un sujet différent du responsable de traitement termine la connexion chiffrée. N'importe qui peut le vérifier de l'extérieur, sans demander notre consentement, avec une interrogation DNS sur le domaine.

Un transfert vers les États-Unis peut concerner les données de paiement des médecins clients traitées par le groupe Stripe, sur la base de l'adhésion de Stripe, LLC à l'EU-U.S. Data Privacy Framework et des clauses contractuelles types prévues par l'accord de Stripe. Une copie de la documentation est disponible sur demande en écrivant à info@fibonaccimedica.it.

8. Durée de conservation

Les données personnelles sont conservées pendant la durée strictement nécessaire aux finalités pour lesquelles elles ont été collectées, conformément au principe de limitation de la conservation visé à l'art. 5, par. 1, let. e GDPR. Les durées spécifiques sont indiquées dans le tableau suivant.

| Catégorie de données | Durée de conservation | | --- | --- | --- | | Données anagraphiques et professionnelles du médecin client | Durée du contrat et 10 années suivantes à compter de la cessation, pour les finalités de respect des obligations civiles, fiscales et comptables (art. 2220 c.c. et DPR 600/1973) | | Données de facturation et de paiement | 10 ans à compter de l'émission du document comptable, conformément à la réglementation fiscale | | Logs d'accès et logs de sécurité | durée en cours de définition ; pour les accès des administrateurs système, pas moins de 6 mois (provision du Garante du 27 novembre 2008). Sera indiquée ici avant le démarrage du service | | Données de navigation dans les logs techniques du serveur | durée en cours de définition, indiquée ici avant le démarrage du service | | Questions posées à l'assistant du site | durée en cours de définition, indiquée ici avant le démarrage du service | | Cookies techniques de session | Durée de la session de navigation | | Données collectées via le formulaire de démonstration par les clients potentiels et via le formulaire de proposition de collaboration par les partenaires potentiels | 24 mois à compter du dernier contact ; si aucun contrat n'est conclu pendant cette période, les données sont supprimées. Suppression anticipée sur demande de la personne concernée | | Communications avec le service client | 24 mois à compter de la clôture de la demande, sauf nécessité de défense | | Données des patients traitées pour le compte du médecin client responsable de traitement | Conservées pour la durée choisie par le médecin responsable : par défaut 10 ans à compter du dernier contact clinique, prolongeable. À l'échéance, le logiciel propose la suppression au médecin et ne supprime rien automatiquement. À la cessation du contrat, les données sont restituées au médecin responsable ou supprimées selon les dispositions du DPA |

À l'expiration des délais indiqués, les données sont supprimées ou rendues anonymes de manière irréversible, sous réserve de l'obligation de conservation pour des raisons légales ou pour des besoins de protection juridictionnelle.

9. Droits de la personne concernée

La personne concernée peut exercer à tout moment les droits reconnus par les articles 15-22 GDPR, et notamment :

• droit d'accès (art. 15 GDPR) : obtenir la confirmation de l'existence d'un traitement et recevoir une copie des données personnelles ;
• droit de rectification (art. 16 GDPR) : obtenir la correction des données inexactes ou l'intégration des données incomplètes ;
• droit à l'effacement (art. 17 GDPR) : obtenir l'effacement des données qui ne sont plus nécessaires, sous réserve des limites prévues par la loi, y compris les obligations de conservation documentaire sanitaire et fiscale ;
• droit à la limitation du traitement (art. 18 GDPR) : dans les cas prévus par la réglementation ;
• droit à la portabilité (art. 20 GDPR) : recevoir dans un format structuré, couramment utilisé et lisible par un dispositif automatique les données personnelles fournies, et obtenir leur transmission directe à un autre responsable de traitement lorsque cela est techniquement possible. Pour les médecins clients, une fonction d'exportation au format ZIP avec des données FHIR R4 est disponible ;
• droit d'opposition (art. 21 GDPR) : s'opposer à tout moment au traitement fondé sur l'intérêt légitime ou le marketing direct ;
• droit de retirer son consentement (art. 7, par. 3 GDPR) : retirer à tout moment les consentements donnés, sans préjudice de la licéité du traitement effectué avant le retrait ;
• droit de ne pas être soumis à une décision automatisée (art. 22 GDPR) : aucune décision produisant des effets juridiques ou significatifs n'est prise exclusivement sur une base automatisée. Les fonctions de dictée et d'assistance par IA jouent un rôle de support au professionnel de santé, qui conserve une pleine autonomie décisionnelle.

Les demandes peuvent être adressées au responsable de traitement aux coordonnées suivantes :

• email du responsable : info@fibonaccimedica.it
• email : info@fibonaccimedica.it

Le responsable de traitement répond dans un délai de 30 jours à compter de la réception de la demande. Ce délai peut être prolongé de 60 jours supplémentaires en cas de complexité particulière de la demande ou d'un nombre élevé de demandes, avec motivation communiquée à la personne concernée. La réponse est gratuite ; le responsable de traitement se réserve le droit de demander une contribution aux frais ou de refuser la demande en cas de demandes manifestement infondées ou excessives, conformément à l'art. 12, par. 5 GDPR.

Les patients des médecins clients doivent adresser leurs demandes au médecin responsable de traitement, qui reste leur interlocuteur principal. Le responsable de traitement Fibonacci, en qualité de sous-traitant, apporte une assistance rapide au médecin pour donner suite à ces demandes, conformément à l'art. 28, par. 3, let. e GDPR.

10. Violation de données

En cas de violation de données personnelles, le responsable de traitement évalue le risque pour les droits et libertés des personnes concernées et adopte les mesures nécessaires pour contenir et remédier à la violation. Conformément à l'art. 33 GDPR, la violation est notifiée à l'Autorité de protection des données personnelles dans un délai de 72 heures à compter de sa connaissance, sauf si la violation est peu susceptible de présenter un risque pour les droits et libertés des personnes physiques.

Conformément à l'art. 34 GDPR, lorsque la violation est susceptible de présenter un risque élevé pour les droits et libertés des personnes concernées, le responsable de traitement communique la violation directement aux personnes concernées sans retard injustifié, en utilisant un langage clair et en fournissant les indications utiles pour se protéger des conséquences possibles.

Dans le cas où la violation concerne des données de patients traitées pour le compte du médecin client responsable de traitement, Fibonacci, en qualité de sous-traitant, notifie sans retard injustifié la violation au médecin responsable, en fournissant les informations nécessaires pour lui permettre de s'acquitter de ses obligations de notification conformément aux articles 33 et 34 GDPR, selon les dispositions du DPA.

11. Réclamation auprès de l'Autorité de contrôle

La personne concernée qui estime que le traitement de ses données personnelles est effectué en violation du GDPR a le droit d'introduire une réclamation auprès de l'Autorité de contrôle compétente, conformément à l'art. 77 GDPR. En Italie, l'Autorité de contrôle est le Garante per la protezione dei dati personali, dont les coordonnées sont les suivantes :

Garante per la protezione dei dati personali Piazza Venezia 11, 00187 Roma Site web : www.garanteprivacy.it (s’ouvre dans un nouvel onglet) Email : protocollo@gpdp.it PEC : protocollo@pec.gpdp.it

Le droit d'introduire un recours juridictionnel conformément à l'art. 79 GDPR et aux articles 140-bis et suivants du Code de la protection des données personnelles reste intact.

12. Cookies

Le site Fibonacci utilise uniquement des cookies techniques nécessaires à son fonctionnement ; aucun cookie analytique, de profilage ou de tiers n'est présent. Pour plus de détails sur les types de cookies utilisés, leurs finalités et les modalités de gestion des préférences, nous te renvoyons à la Cookie Policy disponible à la page /cookie.

13. Mineurs

Le service Fibonacci est destiné aux professionnels de santé majeurs, titulaires des qualifications professionnelles requises par la législation italienne. Le site institutionnel et la zone de souscription au logiciel ne s'adressent pas aux mineurs de moins de 18 ans. Le responsable de traitement ne collecte pas sciemment de données de mineurs dans le cadre de ses relations avec les médecins clients.

Si un patient du médecin client est un mineur, la collecte et le traitement des données sont effectués sous la responsabilité du médecin responsable, qui veille à obtenir le consentement du parent ou du tuteur légal selon les modalités prévues par la réglementation sanitaire et le D.Lgs. 101/2018. Le logiciel permet d'enregistrer qui signe le consentement pour le compte du patient mineur.

14. Modifications de la notice

La présente notice peut être mise à jour à tout moment pour refléter des modifications législatives, des évolutions du service ou des changements dans l'organisation du responsable de traitement. La version en vigueur est toujours publiée sur le site Fibonacci/privacy avec l'indication de la date de la dernière révision.

Les modifications substantielles, entendues comme des modifications ayant un impact significatif sur les finalités du traitement, les bases juridiques, les sous-traitants ou les droits des personnes concernées, sont notifiées par email aux utilisateurs enregistrés et signalées de manière visible dans l'espace réservé, avec un préavis suffisant avant l'entrée en vigueur des modifications.

L'utilisation du service après la publication des modifications vaut acceptation de celles-ci, sans préjudice du droit de rétractation et des droits de la personne concernée.

15. Dernière révision

Date de dernière révision : 9 novembre 2026 Version du document : 0.2 (ébauche à réviser avec le juriste)

Avertissement final : le présent document constitue un modèle adapté au contexte du service Fibonacci et sera soumis à une révision juridique avant le début des activités commerciales. La version publiée ici est une ébauche numérotée 0.2 et ne remplace pas l'avis d'un consultant juridique qualifié. D'éventuelles observations, corrections ou intégrations pourront être adressées à info@fibonaccimedica.it.