Données sécurisées

France Surgery, qui édite le site iris-prevention.fr et la plateforme de prévention santé Iris, accorde une grande importance à la protection et à la confidentialité de vos données personnelles, qui représentent pour nous un gage de sérieux et de confiance.

Cette politique témoigne de notre volonté de faire respecter, au sein de France Surgery, les règles applicables en matière de protection des données personnelles et, en particulier, celles du Règlement général sur la protection des données (« RGPD ») et de la loi Informatique et Libertés.

Elle a pour objet de vous informer, de manière claire et transparente, sur les données que nous traitons, les raisons pour lesquelles nous les traitons, la durée pendant laquelle nous les conservons, les personnes qui y ont accès et les droits dont vous disposez.

Cette politique s'adresse à vous, quel que soit votre lieu de résidence, dès lors que :

• vous consultez le site iris-prevention.fr (visiteur) ;

• vous nous contactez ou demandez une démonstration (prospect, représentant d'une entreprise cliente) ;

• vous utilisez la plateforme Iris dans le cadre d'une campagne de prévention proposée par votre employeur ou votre organisme (bénéficiaire).

La plateforme Iris est réservée aux personnes majeures. Si vous pensez que nous détenons des données concernant un mineur, contactez-nous à dpo@iris-prevention.fr afin que nous puissions les supprimer.

Le responsable des traitements décrits dans cette politique est :

FRANCE SURGERY, SAS au capital de 43 780 €, RCS Toulouse 515 151 835, 11 rue Saint-Expédit, 31500 Toulouse — contact@iris-prevention.fr.

France Surgery est responsable de traitement pour l'ensemble du parcours de prévention qu'elle organise : c'est elle qui définit les questionnaires, calcule les scores, oriente vers les professionnels de santé partenaires et produit les indicateurs. Dans certains contrats, l'entreprise cliente peut toutefois qualifier France Surgery de sous-traitant ; dans ce cas, l'entreprise cliente est responsable de traitement et vous fournit sa propre notice d'information, la présente politique restant applicable pour tout ce qu'elle ne prévoit pas.

Les professionnels de santé partenaires que vous consultez à l'issue de votre bilan sont responsables de traitement pour le dossier médical qu'ils constituent, conformément à leurs propres obligations.

Sur le site vitrine iris-prevention.fr :

• Formulaires de contact et de demande de démonstration — adresse e-mail (donnée principale), nom, prénom, société, fonction, téléphone et message éventuels — pour répondre à votre demande et vous recontacter, sur la base de notre intérêt légitime à répondre aux sollicitations et à développer notre activité.

• Newsletter et communications — adresse e-mail — sur la base de votre consentement (désinscription possible à tout moment).

• Mesure d'audience — pages consultées, type d'appareil, navigateur, pays, source de visite, sans cookie et sans identifiant persistant — pour améliorer le site, sur la base de notre intérêt légitime.

• Sécurité et journalisation — adresse IP, journaux techniques — pour assurer la sécurité du site, sur la base de notre intérêt légitime et de nos obligations légales.

Sur la plateforme Iris (bénéficiaires) :

• Gestion de votre espace personnel — identité, e-mail professionnel ou personnel, entreprise ou organisme d'appartenance, identifiants — pour créer et administrer votre compte, sur la base du contrat (conditions générales d'utilisation).

• Questionnaires de prévention, scores et recommandations — réponses déclarées, dont des données de santé (habitudes de vie, antécédents, mesures, ressentis), et scores calculés — pour vous fournir un bilan personnalisé et le comparer à vos évaluations précédentes, sur la base de votre consentement explicite, recueilli avant chaque bilan et retirable à tout moment.

• Orientation et prise de rendez-vous — nom, coordonnées, créneau choisi, motif du bilan — pour organiser votre bilan avec un professionnel de santé partenaire, sur la base du contrat et de votre consentement explicite pour les données de santé.

• E-mails techniques — adresse e-mail — pour vous adresser les messages indispensables au service (invitation, confirmation, réinitialisation de mot de passe, rappels de rendez-vous), sur la base du contrat.

• Sécurité, traçabilité et qualité du service — journaux de connexion, adresse IP, horodatages — sur la base de nos obligations légales et de notre intérêt légitime à assurer le bon fonctionnement et la sécurité du service.

• Indicateurs agrégés pour les entreprises clientes et organismes assureurs — statistiques anonymisées issues des questionnaires — pour piloter les politiques de prévention, sur la base de notre intérêt légitime et de celui du client. Vous pouvez vous opposer à cette réutilisation (voir ci-dessous).

Vos données sont collectées directement auprès de vous ou, pour la création de votre compte, transmises par votre employeur ou organisme. Nous ne traitons vos données que pour les raisons décrites ci-dessus et ne les utilisons jamais à des fins publicitaires.

Votre employeur ou votre organisme assureur ne reçoit jamais vos réponses, vos scores ni aucune information permettant de vous identifier directement ou indirectement.

Il reçoit uniquement des tableaux de bord composés d'indicateurs agrégés et anonymisés, calculés seulement lorsqu'au moins 30 personnes ont répondu pour chaque indicateur et chaque segment (site, service, tranche d'âge…). En dessous de ce seuil, l'indicateur n'est pas produit. Ce seuil, supérieur au minimum de 10 retenu par la doctrine de la CNIL, exclut tout risque de ré-identification.

Cette réutilisation de vos réponses à des fins d'anonymisation et de statistiques constitue un traitement distinct auquel vous avez le droit de vous opposer à tout moment, gratuitement, en écrivant à dpo@iris-prevention.fr. Votre opposition n'a aucune incidence sur votre accès au bilan de prévention.

Visiteurs et prospects :

• Données des formulaires de contact et de démonstration : 3 ans à compter du dernier contact de votre part.

• Adresse e-mail newsletter : jusqu'à votre désinscription.

• Statistiques d'audience : données anonymes, agrégées, conservées au maximum 25 mois.

• Journaux techniques et de sécurité : 1 an.

Bénéficiaires de la plateforme Iris :

• Données d'identification et de compte : pendant toute la durée de mise à disposition du service par votre employeur ou organisme, puis archivées pendant le délai de prescription de droit commun (5 ans) avant suppression.

• Réponses aux questionnaires, scores et recommandations : conservées en base active pendant la prise en charge de votre bilan de prévention et pour permettre la comparaison avec vos évaluations suivantes, puis 5 ans à compter de votre dernier bilan, à titre probatoire (délai de prescription de droit commun). Elles peuvent être supprimées avant ce terme à la demande de l'entreprise cliente à la fin du contrat, ou à votre demande à tout moment.

• Données de prise de rendez-vous : jusqu'à la réalisation du bilan, puis 5 ans avec les données du parcours.

• Journaux de connexion : 1 an.

France Surgery ne constitue pas de dossier médical et n'assure pas de suivi médical : la règle de conservation de 20 ans du dossier de santé s'applique aux professionnels de santé partenaires que vous consultez, et non à France Surgery.

À l'expiration de ces durées, la suppression de vos données est irréversible. Nous pouvons uniquement conserver des données anonymisées à des fins statistiques. En cas de contentieux, les données strictement nécessaires peuvent être conservées jusqu'à l'issue de la procédure.

Vos données sont accessibles uniquement aux personnes qui en ont besoin pour vous fournir le service :

• les équipes habilitées de France Surgery, soumises à une obligation de confidentialité et à une politique stricte de gestion des habilitations ;

• les professionnels de santé partenaires, uniquement lorsque vous prenez rendez-vous avec eux et dans la mesure nécessaire à la préparation de votre bilan ;

• nos prestataires techniques, agissant en qualité de sous-traitants sur nos instructions : Claranet (hébergement certifié HDS de la plateforme), OVH (hébergement du site vitrine et du CMS), l'outil de prise de rendez-vous en ligne, ainsi que nos prestataires d'envoi d'e-mails techniques.

Nous contrôlons tous nos prestataires avant de les recruter et encadrons chaque relation par un contrat de sous-traitance conforme à l'article 28 du RGPD, qui impose à leurs propres sous-traitants les mêmes obligations.

Nous ne vendons, ne louons et ne cédons jamais vos données à des tiers ou à des partenaires commerciaux. Vos données peuvent être communiquées aux autorités compétentes lorsque la loi nous y oblige.

Les données traitées dans le cadre du site iris-prevention.fr et de la plateforme Iris sont hébergées exclusivement sur des serveurs situés en France, chez des hébergeurs français (Claranet, certifié Hébergeur de Données de Santé, et OVH). Elles ne font l'objet d'aucun transfert en dehors de l'Union européenne dans le cadre de nos prestations, y compris lorsque vous accédez au service depuis l'étranger.

Si un outil tiers dont les serveurs sont situés en dehors de l'Union européenne devait être utilisé, nous veillerions à ce qu'il présente les garanties appropriées exigées par le RGPD (décision d'adéquation, clauses contractuelles types de la Commission européenne) et à ce qu'aucune donnée de santé ne lui soit transmise.

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées à la sensibilité des données de santé pour garantir leur sécurité et lutter contre tout risque de destruction, perte, altération, accès ou divulgation non autorisés.

Mesures techniques :

• hébergement de la plateforme chez un hébergeur certifié HDS, en France ;

• chiffrement des communications (HTTPS) et chiffrement de la base de données au repos ;

• authentification renforcée (double facteur) et mots de passe complexes imposés, côté utilisateurs comme côté administration ;

• déconnexion automatique après une période d'inactivité ;

• traçabilité des accès et journalisation ;

• tests d'intrusion à intervalles réguliers ;

• antivirus, pare-feu et anti-spam sur les postes de travail ;

• plan de continuité et de reprise d'activité (PCA / PRA).

Mesures organisationnelles :

• politique de sécurité des systèmes d'information et charte informatique ;

• politique de gestion des habilitations et des mots de passe ;

• procédure de gestion des violations de données et procédure de gestion des droits des personnes ;

• sensibilisation et formation des équipes deux fois par an ;

• sécurisation physique des locaux (badges, alarme, bureaux fermés, vidéoprotection).

En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, nous vous en informons dans les conditions prévues par le RGPD et notifions la CNIL dans les 72 heures.

Nous vous garantissons que nous n'utilisons aucun cookie publicitaire, aucun cookie de suivi et aucun cookie de réseau social sur le site iris-prevention.fr.

La mesure d'audience du site est réalisée avec Umami, un outil auto-hébergé sur nos propres serveurs qui ne dépose aucun cookie ni traceur sur votre terminal, ne collecte que des données agrégées et anonymes et ne suit pas votre navigation d'un site à l'autre. Il relève de l'exemption de consentement prévue par la CNIL pour la mesure d'audience ; vous pouvez néanmoins vous y opposer en nous écrivant à dpo@iris-prevention.fr.

La plateforme Iris utilise uniquement des cookies strictement nécessaires à son fonctionnement (maintien de la session, authentification, sécurité), exemptés de consentement. Ils sont supprimés à la fermeture de votre session ou à l'expiration de la durée de connexion.

La réglementation vous octroie des droits que vous pouvez exercer à tout moment et gratuitement :

• Droit d'accès et de copie de vos données, dès lors que la demande ne porte pas atteinte au secret des affaires, à la confidentialité ou au secret des correspondances.

• Droit de rectification des données inexactes, obsolètes ou incomplètes.

• Droit à l'effacement (« droit à l'oubli ») de vos données, dans les limites de nos obligations légales de conservation.

• Droit à la limitation du traitement, qui permet de figer l'utilisation de vos données en cas de contestation.

• Droit d'opposition aux traitements fondés sur notre intérêt légitime, notamment la production d'indicateurs anonymisés, ainsi qu'à toute prospection.

• Droit de retirer votre consentement à tout moment, notamment au traitement de vos données de santé, sans que cela remette en cause la licéité des traitements déjà effectués.

• Droit à la portabilité de vos données, pour les récupérer dans un format structuré et couramment utilisé.

• Droit de définir des directives relatives au sort de vos données après votre décès.

Pour faciliter la prise en compte de votre demande, adressez-la directement à dpo@iris-prevention.fr ou par courrier à France Surgery — DPO, 11 rue Saint-Expédit, 31500 Toulouse. En cas de doute sur votre identité, nous pouvons vous demander un justificatif. Vous pouvez être représenté(e) ; nous pouvons alors demander une preuve du mandat.

Nous vous répondons dans les meilleurs délais et au plus tard dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe ou de nombreuses demandes simultanées. Nous pouvons refuser de répondre à une demande manifestement infondée ou excessive, notamment en raison de son caractère répétitif.

Pour garantir au mieux la protection de vos données, France Surgery a désigné un Délégué à la protection des données (« DPO ») indépendant, la société DIPEEO, enregistré auprès de la CNIL sous le n° DPO-161280 depuis le 22 mai 2025.

Vous pouvez contacter notre DPO à tout moment et gratuitement :

• par e-mail : dpo@iris-prevention.fr

• par courrier : France Surgery — DPO, 11 rue Saint-Expédit, 31500 Toulouse, France.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) : Service des plaintes, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — 01 53 73 22 22 — www.cnil.fr.

Nous sommes susceptibles de modifier cette politique à tout moment pour l'adapter aux nouvelles exigences légales, aux recommandations de la CNIL ainsi qu'aux nouveaux traitements que nous pourrions mettre en œuvre. La version en vigueur est celle publiée sur cette page ; la date de dernière mise à jour figure en tête de document. En cas de modification substantielle affectant le traitement de vos données de santé, vous en serez informé(e) lors de votre connexion suivante à la plateforme.

Politique élaborée avec l'accompagnement de notre DPO, Dipeeo.