Politique de confidentialité

1. Qui sommes-nous ?

Closby est un service de mise en relation entre patients et pharmacies d'officine en France. Le présent document décrit comment nous traitons vos données personnelles, en conformité avec le Règlement Général sur la Protection des Données (RGPD) et la loi Informatique et Libertés.

Le responsable de traitement est Closby (coordonnées complètes à compléter avant mise en production). Pour toute question, contactez notre DPO à dpo@closby.fr.

2. Quelles données traitons-nous ?

• Recherches de produits que vous effectuez (ex : « doliprane », « paracétamol »). Ces termes peuvent permettre d'inférer une condition de santé ; ils sont à ce titre traités comme données de santé au sens de l'article 9 du RGPD.
• Géolocalisation, uniquement avec votre consentement explicite.
• Identifiants techniques : votre adresse IP est immédiatement transformée en empreinte non identifiante (SHA-256 + sel rotatif) avant tout enregistrement. Nous ne conservons jamais votre IP en clair.
• Compte pharmacien (si applicable) : email professionnel, mot de passe haché, rôle et pharmacie associée.

Nous n'utilisons aucun traceur publicitaire tiers.

3. Sur quelle base légale ?

• Consentement explicite (art. 9.2.a RGPD) pour la géolocalisation et la conservation de votre historique de recherche.
• Exécution du contrat (art. 6.1.b) pour les pharmaciens partenaires utilisant le back-office.
• Intérêt légitime (art. 6.1.f) pour la sécurité de la plateforme (lutte contre la fraude, brute-force) et la prévention des incidents.

4. À qui sont communiquées vos données ?

• L'équipe Closby, dans la limite du strict besoin opérationnel.
• Notre hébergeur certifié HDS (Hébergement de Données de Santé).
• Les autorités sur réquisition légale.

Aucune transmission commerciale, aucun partage avec des annonceurs, aucun transfert hors Union européenne.

5. Combien de temps conservons-nous vos données ?

• Recherches publiques (pseudonymisées) : 180 jours.
• Clics de redirection : 180 jours.
• Rapports de bug : 90 jours.
• Journal d'audit (comptes pharmaciens et admin) : 2 ans.
• Sessions de connexion : jusqu'à 14 jours.
• Comptes inactifs : 3 ans après dernière connexion.

Au-delà, ces données sont automatiquement et définitivement effacées par un job quotidien.

6. Quels sont vos droits ?

Vous disposez des droits suivants (art. 15 à 22 RGPD) :

• Accès et portabilité de vos données.
• Rectification d'informations inexactes.
• Effacement (« droit à l'oubli »).
• Limitation et opposition.
• Retirer votre consentement à tout moment, sans effet rétroactif.
• Déposer une réclamation auprès de la CNIL — cnil.fr/plaintes.

Si vous avez un compte (pharmacien ou admin) : les fonctions « Exporter mes données » et « Supprimer mon compte » sont accessibles depuis votre espace. Ces actions sont également exposées en API sur /rgpd/me/export et /rgpd/me/erase.

Pour les données publiques pseudonymisées, l'effacement individuel n'est techniquement possible que si vous fournissez à notre DPO les éléments permettant de relier l'empreinte à votre identité (adresse IP, user-agent, date de la recherche).

7. Mesures de sécurité

• Chiffrement TLS (HSTS) pour toute communication.
• Mots de passe hachés (scrypt) ; lockout après tentatives répétées.
• Authentification à deux facteurs pour les comptes pharmaciens et admin.
• Anonymisation et redaction des données sensibles dans les journaux.
• Audit annuel de sécurité et tests d'intrusion.
• Hébergement chez un prestataire certifié HDS.

8. Cookies

Closby utilise uniquement :

• Cookie de session (si compte) — strictement nécessaire au fonctionnement, dispensé de consentement.
• Cookie de consentement (closby_consent) — mémorise vos choix, durée 13 mois.

Aucun cookie publicitaire, aucun pixel de mesure tiers.

9. Modifications

En cas de modification substantielle, vous serez à nouveau sollicité pour consentement. La date de dernière mise à jour est indiquée en tête de cette page.