Politique de confidentialité

Qui est responsable de vos données

Le responsable de traitement est SunWaves SAS, 128 rue La Boétie, 75008 Paris, SIREN 978 296 283. Toute demande relative à vos données personnelles ou à vos données de santé peut être adressée à privacy@sunwaves-autonomie.com.

SunWaves SAS s'appuie sur des sociétés du groupe et des prestataires pour certaines composantes du service. Le Centre de Supervision Médicale est opéré par SW-MedCare. SunWaves-MedTech intervient pour les composantes technologiques. Ces entités n'accèdent qu'aux données strictement nécessaires à leurs missions.

Nos principes

Nous traitons vos données pour fournir un suivi de santé personnalisé et dans la durée, organiser la veille, repérer certaines évolutions, permettre leur qualification par des soignants et orienter si nécessaire vers l'interlocuteur approprié.

• Des finalités déterminées, et la minimisation des données collectées.
• Des habilitations limitées et la traçabilité des accès.
• Le cloisonnement des environnements.
• L'hébergement des données de santé dans un environnement certifié.

Les données sont anonymisées lorsque vous identifier n'est pas nécessaire. Lorsque l'anonymisation complète est incompatible avec la finalité, des mesures de pseudonymisation, de minimisation ou de cloisonnement sont mises en œuvre.

Quelles données nous traitons

Identification et contact

Nom, prénom, date de naissance, adresse, téléphone, adresse électronique.

Contrat et administration

Contrat, consentements, historique administratif, facturation, moyens de paiement, éléments Services à la Personne et URSSAF.

Lieu de vie

Adresse, contexte du domicile, informations utiles à l'installation, proches, aidants et personnes désignées.

Santé déclarée

Antécédents, pathologies, hospitalisations, fragilités, traitements et posologies déclarés, allergies déclarées, médecin traitant et professionnels de santé utiles.

Données issues des équipements

Mesures ou indicateurs physiologiques, sommeil, activité, signaux comportementaux ou contextuels, selon la dotation et le paramétrage retenus.

Suivi et supervision

Évolutions détectées, alertes, qualification par le Centre de Supervision Médicale, contacts, orientations et comptes rendus.

Technique et sécurité

Identifiants d'équipements, journaux techniques, événements de transmission, incidents et traces d'accès.

Les données effectivement collectées varient selon votre situation, la dotation d'équipements retenue, les autorisations que vous donnez et votre utilisation réelle du service.

D'où viennent ces données

• De vous, du client payeur, de votre représentant ou d'une personne que vous avez autorisée.
• Des équipements et sources de données activés dans le cadre du service.
• Des professionnels de santé, proches ou services auxquels vous avez autorisé la transmission d'informations.
• De l'URSSAF ou d'organismes administratifs, lorsque le cadre Services à la Personne ou la facturation l'exige.

Sur quelle base légale

Chaque traitement repose sur une base légale prévue par l'article 6 du RGPD. Lorsqu'un traitement porte sur des données de santé, une condition prévue par l'article 9 doit également s'appliquer — le plus souvent votre consentement explicite, et dans les situations d'urgence prévues par les textes, la sauvegarde des intérêts vitaux.

Retirer un consentement n'affecte pas ce qui a été traité avant. En revanche, lorsque ce consentement est indispensable à une composante essentielle du service, son retrait peut rendre impossible la poursuite de cette composante.

CortAIx et l'intervention humaine

CortAIx est un outil d'analyse non générative, utilisé en support des professionnels du Centre de Supervision Médicale. Il n'interagit directement ni avec vous, ni avec les soignants qui vous prennent en charge.

Il ne pose aucun diagnostic, ne prescrit pas et ne décide seul d'aucune orientation. Les résultats utiles sont examinés et qualifiés par un professionnel du Centre lorsque la situation le nécessite.

Aucune décision produisant des effets juridiques, ou vous affectant de manière significative, n'est prise sur le seul fondement d'un traitement automatisé.

Qui reçoit vos données

• Les équipes habilitées de SunWaves SAS, dans la limite de leurs missions
• Les médecins et infirmiers du Centre de Supervision Médicale, opéré par SW-MedCare
• Les équipes habilitées de SunWaves-MedTech, lorsque leur intervention technique le nécessite
• Les hébergeurs certifiés et les prestataires strictement nécessaires au service
• Les professionnels de santé et services de télémédecine impliqués dans votre prise en charge
• Les services d'urgence territorialement compétents
• Les proches, aidants ou personnes de confiance que vous avez désignés
• L'URSSAF et les organismes concernés par le cadre Services à la Personne
• Les autorités administratives ou judiciaires lorsque la loi l'exige

Aucun destinataire ne reçoit davantage de données que ce qui est nécessaire à sa mission.

Où sont hébergées vos données de santé

Elles sont stockées dans un environnement bénéficiant d'une certification Hébergement de Données de Santé, conformément aux exigences applicables en France. Nous pouvons faire évoluer notre infrastructure ou notre prestataire, sous réserve de maintenir un niveau équivalent de conformité, de sécurité et de confidentialité.

Nous privilégions un hébergement et un traitement dans un cadre conforme aux exigences françaises et européennes. Lorsqu'un prestataire implique un transfert hors de l'Union européenne, nous vérifions l'existence d'un mécanisme de transfert autorisé et, si nécessaire, de garanties complémentaires.

Combien de temps nous les conservons

Vos données ne sont pas conservées indéfiniment. Les durées dépendent de la finalité, des obligations légales applicables, de la nécessité de conserver une preuve et des délais pendant lesquels des droits peuvent être exercés.

• Souscription, contrat et relation client : pendant la durée du contrat, puis archivage restreint le temps nécessaire à la preuve et à la défense des droits.
• Factures et pièces comptables : durée légale applicable, pouvant atteindre dix ans.
• Données Services à la Personne, URSSAF et fiscales : durées légales applicables à chaque justificatif.
• Dossier personnalisé et données issues des équipements : pendant la durée du service, puis archivage restreint uniquement lorsqu'une obligation légale, la sécurité, la traçabilité ou la défense de droits l'exige.
• Historique des alertes et des orientations : pendant la durée utile au suivi, puis archivage restreint.
• Journaux techniques et de sécurité : durée proportionnée aux besoins d'audit et de gestion des incidents.
• Données effectivement anonymisées : conservation possible sans durée prédéterminée, ces données n'étant plus des données personnelles.

Après la fin du contrat

Nous désactivons les traitements nécessaires à la fourniture courante du service. Les données encore nécessaires sont placées en archivage restreint, pour satisfaire aux obligations légales, assurer la traçabilité ou défendre des droits. À l'issue des durées applicables, elles sont supprimées ou anonymisées de manière effective.

Comment nous les protégeons

• Hébergement certifié pour les données de santé.
• Gestion des identités, contrôle des accès et habilitations selon les missions.
• Minimisation des données et limitation des accès au besoin d'en connaître.
• Cloisonnement des environnements et séparation des usages.
• Pseudonymisation ou anonymisation lorsque vous identifier n'est pas nécessaire.
• Journalisation et traçabilité des accès et des opérations sensibles.
• Sauvegarde, disponibilité, résilience et continuité.
• Gestion des incidents et procédures de notification lorsque les conditions légales sont réunies.
• Confidentialité contractuelle des intervenants et encadrement des sous-traitants.
• Revue régulière des mesures, et analyse d'impact lorsqu'elle est requise.

Usage publicitaire : aucun

Aucune donnée de santé directement identifiable n'est utilisée à des fins publicitaires, de revente ou de commercialisation à des tiers.

Pour les travaux statistiques, techniques ou d'amélioration du service, les données sont anonymisées chaque fois que vous identifier n'est pas nécessaire. Une donnée pseudonymisée reste une donnée personnelle et demeure soumise au RGPD.

Vos droits

Dans les conditions prévues par le RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité lorsque ce droit s'applique, d'opposition lorsque le traitement repose sur l'intérêt légitime, et de retrait de votre consentement.

Pour les exercer, écrivez à privacy@sunwaves-autonomie.com. Une vérification raisonnable de votre identité peut être nécessaire. L'exercice d'un droit n'entraîne pas automatiquement la suppression de données qu'une obligation légale impose de conserver.

Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés. Vous pouvez au préalable nous contacter, afin de nous permettre d'instruire votre demande.

Mise à jour de cette politique

Cette politique peut évoluer pour tenir compte d'un changement du service, de l'organisation, des prestataires, des mesures de sécurité ou des exigences réglementaires. Lorsque la modification est substantielle, une information adaptée vous est fournie.