1. Objet de cette politique
La présente politique explique comment les données personnelles sont traitées dans le cadre du site qizai.io.
Elle distingue :
- les traitements effectués par le site actuel et la liste d’attente ;
- les traitements envisagés pour la future application QIZAI destinée aux particuliers ;
- les traitements propres au service professionnel QIZPHARMA.
L’application complète QIZAI n’est pas encore officiellement lancée.
2. Responsable du traitement pour le site actuel
Pour les traitements du site qizai.io dont elle détermine les finalités et les moyens, le responsable du traitement est :
QIZLAB LIMITED — 祺智創研有限公司
Business Registration Number / UBI : 81103160
Universal Trade Centre
3 Arbuthnot Road
Central, Hong Kong
3. Application du RGPD
QIZLAB LIMITED est établie à Hong Kong.
Le service QIZAI est principalement destiné à des personnes situées en France et dans l’Union européenne.
Les traitements liés à l’offre de services à ces personnes peuvent relever du Règlement général sur la protection des données, notamment de son article 3 relatif au champ d’application territorial.
Les règles françaises applicables en matière de protection des données et de services numériques sont également prises en compte lorsqu’elles s’appliquent.
4. QIZAI FRANCE
Une société française dénommée QIZAI FRANCE, sous forme de SAS, est en cours d’immatriculation.
Son rôle exact dans l’organisation de QIZAI et dans la gouvernance de la protection des données est en cours de validation.
La désignation éventuelle de QIZAI FRANCE comme représentant de QIZLAB LIMITED dans l’Union européenne au titre de l’article 27 du RGPD fera l’objet, si elle est retenue, d’un mandat écrit et d’une information publique spécifique.
La décision concernant la désignation éventuelle d’un délégué à la protection des données est en cours de validation.
6. Liste d’attente
QIZAI prévoit de permettre aux visiteurs de laisser leur adresse électronique afin d’être prévenus de l’ouverture des inscriptions.
Le système CRM destiné à gérer cette liste d’attente est en cours de mise en place.
Lorsque ce dispositif sera activé, les données susceptibles d’être traitées seront notamment :
- l’adresse électronique ;
- les informations nécessaires à la preuve du consentement lorsque leur conservation est nécessaire ;
- les données techniques strictement nécessaires au fonctionnement et à la sécurité du formulaire.
Finalité
Prévenir la personne de l’ouverture des inscriptions à QIZAI.
Base juridique
Consentement de la personne concernée.
L’inscription à la liste d’attente n’autorise pas QIZLAB LIMITED à utiliser l’adresse électronique pour une autre finalité sans disposer d’un fondement juridique approprié.
Le consentement pourra être retiré à tout moment en écrivant à contact@qizai.io.
Durée de conservation
Jusqu’à l’envoi de l’information relative à l’ouverture du service ou jusqu’au retrait préalable du consentement.
Le délai de purge technique après notification ou retrait du consentement est en cours de validation.
Le fournisseur du CRM, sa localisation, ses sous-traitants, les clauses contractuelles applicables et les mécanismes de transfert sont en cours de validation.
7. Demandes adressées à QIZAI
Lorsqu’une personne contacte QIZAI, les données qu’elle transmet volontairement peuvent être utilisées afin de répondre à sa demande et d’en assurer le suivi.
Selon la nature de la demande, le traitement pourra notamment être fondé sur :
- l’intérêt légitime de QIZLAB LIMITED à répondre aux demandes reçues ;
- l’exécution de mesures précontractuelles demandées par la personne ;
- le respect d’une obligation légale ;
- le consentement lorsque celui-ci constitue le fondement approprié.
Les durées de conservation des demandes de contact sont en cours de validation.
Les visiteurs sont invités à ne pas envoyer par l’adresse générale de contact des ordonnances, résultats d’analyse, comptes rendus médicaux, numéros de sécurité sociale ou autres documents de santé.
8. Données de santé sur le site actuel
Le site de pré-lancement et la liste d’attente ne sont pas destinés à collecter des données de santé.
La future fonction permettant de stocker et organiser des documents de santé ne doit pas être confondue avec le site de pré-lancement.
Aucun visiteur ne doit transmettre de document médical au moyen du formulaire général de contact ou du formulaire de liste d’attente.
9. Cookies et traceurs
L’inventaire technique des cookies, traceurs, services de mesure d’audience, scripts tiers, pixels et technologies analogues présents sur la version de production de qizai.io est en cours de vérification.
Aucun traceur nécessitant un consentement ne devra être activé avant que l’utilisateur ait exprimé un choix valable.
Les traceurs strictement nécessaires au fonctionnement du service pourront être utilisés lorsqu’ils remplissent effectivement les conditions d’exemption prévues par la réglementation applicable.
La présente section sera mise à jour après l’audit technique du site de production.
Partie B — Future application QIZAI
10. Catégories de données envisagées pour la future application
Lorsque l’application QIZAI sera lancée, elle pourra être amenée, selon les fonctionnalités effectivement activées, à traiter notamment :
- des informations de compte et d’authentification ;
- des coordonnées et préférences utilisateur ;
- des documents de santé volontairement importés ;
- des informations extraites ou structurées à partir de ces documents ;
- des rappels et rendez-vous ;
- le choix d’une pharmacie de référence ;
- les données nécessaires à une transmission demandée par l’utilisateur ;
- des informations relatives au suivi de préparation d’une ordonnance ;
- des informations nécessaires à un retrait ou une livraison lorsqu’ils sont proposés ;
- des demandes de support ;
- des traces de sécurité et données techniques nécessaires au fonctionnement du service.
Cette liste décrit un périmètre envisagé et non les traitements actuellement réalisés par le site de pré-lancement.
11. Données de santé
Les données concernant la santé constituent une catégorie particulière de données protégée par le RGPD.
Avant tout traitement de données de santé réelles, chaque finalité fera l’objet d’une validation juridique précisant notamment :
- la base juridique applicable au titre de l’article 6 du RGPD ;
- la condition applicable au titre de l’article 9 du RGPD ;
- les catégories de données utilisées ;
- les destinataires ;
- les durées de conservation ;
- les droits applicables ;
- le caractère obligatoire ou facultatif des informations demandées.
Cette matrice est en cours de validation.
L’acceptation des CGU ne sera pas assimilée à un consentement au traitement de données de santé lorsqu’un consentement distinct est juridiquement requis.
12. Hébergement des données de santé
Avant l’ouverture d’une fonctionnalité traitant des données de santé réelles, QIZLAB LIMITED vérifiera le champ d’application des règles françaises relatives à l’hébergement des données de santé ainsi que la chaîne de prestataires concernée.
QIZAI ne revendique actuellement aucune certification HDS.
La qualification du périmètre HDS, les prestataires concernés, leurs certificats et leurs activités certifiées sont en cours de validation.
13. Destinataires futurs
Selon les actions expressément demandées par l’utilisateur, certaines données pourront être accessibles :
- aux personnes autorisées au sein de l’organisation QIZAI dans la stricte mesure nécessaire ;
- aux sous-traitants contractuellement habilités ;
- à une pharmacie choisie ou autorisée par l’utilisateur ;
- aux prestataires nécessaires à une fonction demandée ;
- aux autorités lorsqu’une obligation légale l’impose.
Une donnée transmise à une pharmacie à la demande de l’utilisateur peut ensuite relever des propres obligations légales et professionnelles de cette pharmacie.
La transmission d’un document ne donne pas à la pharmacie un accès général à l’ensemble des données QIZAI de l’utilisateur.
La liste des destinataires et sous-traitants réels est en cours de validation.
Partie C — QIZPHARMA
14. Service professionnel distinct QIZPHARMA
QIZPHARMA est un service destiné aux pharmacies et aux professionnels concernés.
Les traitements liés aux comptes professionnels, aux collaborateurs d’officine et aux relations contractuelles de QIZPHARMA feront l’objet d’une documentation spécifique.
Lorsqu’une interaction entre QIZAI et QIZPHARMA implique des données d’un utilisateur particulier, les rôles et responsabilités des différents acteurs seront documentés avant la mise en production des traitements concernés.
15. Transferts internationaux
QIZLAB LIMITED est établie à Hong Kong.
Hong Kong ne bénéficie pas d’une décision d’adéquation de la Commission européenne.
Certains prestataires techniques peuvent également être établis ou traiter des données en dehors de l’Espace économique européen.
Lorsqu’un flux constitue juridiquement un transfert soumis au chapitre V du RGPD, QIZLAB LIMITED mettra en œuvre avant ce transfert le mécanisme approprié.
Selon les circonstances, ce mécanisme pourra notamment reposer sur les clauses contractuelles types de la Commission européenne ou sur une autre garantie prévue par le RGPD.
Des mesures complémentaires pourront être mises en place lorsque cela est nécessaire.
La cartographie définitive des transferts, des pays concernés, des destinataires et des mécanismes juridiques correspondants est en cours de validation.
16. Protection des données à Hong Kong
Dans les situations relevant de la Personal Data (Privacy) Ordinance de Hong Kong, QIZLAB LIMITED applique les obligations qui lui sont applicables, notamment en matière de collecte loyale, de limitation des finalités, de conservation, de sécurité, d’accès et de rectification.
17. Sécurité
QIZLAB LIMITED met en œuvre ou fera mettre en œuvre des mesures techniques et organisationnelles adaptées à la nature des données et aux risques identifiés.
Aucun système informatique ne peut être présenté comme absolument invulnérable.
Les caractéristiques précises de l’architecture de chiffrement, de gestion des clés, d’hébergement et de contrôle d’accès sont en cours de validation.
Aucune certification ou propriété technique particulière n’est revendiquée tant qu’elle n’a pas été démontrée et validée.
18. Durées de conservation
Les données sont conservées uniquement pendant la durée nécessaire à leur finalité, sous réserve d’une obligation légale ou de la nécessité limitée de conserver certaines preuves.
Pour le site actuel :
Liste d’attente
Jusqu’à la notification de l’ouverture ou au retrait du consentement, puis purge technique selon un délai en cours de validation.
Demandes de contact
Durées en cours de validation selon la catégorie de demande.
Journaux techniques
Durées en cours de vérification.
Les durées applicables aux données de la future application seront publiées avant le traitement de données réelles.
19. Vos droits
Lorsque le RGPD s’applique et selon la base juridique du traitement, vous pouvez notamment disposer :
- d’un droit d’accès ;
- d’un droit de rectification ;
- d’un droit d’effacement ;
- d’un droit à la limitation ;
- d’un droit d’opposition ;
- d’un droit à la portabilité lorsque les conditions légales sont réunies.
Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment.
Le retrait n’affecte pas la licéité des traitements réalisés avant ce retrait.
Vous pouvez exercer vos droits auprès de :
QIZLAB LIMITED peut demander des informations complémentaires lorsqu’elle éprouve un doute raisonnable sur l’identité du demandeur.
Une pièce d’identité ne sera pas demandée systématiquement lorsqu’elle n’est pas nécessaire.
Les demandes relevant du RGPD sont traitées dans les délais prévus par la réglementation applicable.
20. Réclamation
Pour les traitements relevant du RGPD, une personne peut notamment adresser une réclamation à la :
Commission nationale de l’informatique et des libertés (CNIL)3 Place de Fontenoy
75007 Paris
France
Déposer une plainte auprès de la CNIL
Selon les circonstances, une réclamation peut également être adressée à l’autorité de contrôle compétente dans l’Union européenne.
Pour les questions relevant de la législation hongkongaise, une plainte peut également être introduite, selon les conditions applicables, auprès du Privacy Commissioner for Personal Data de Hong Kong.
21. Modification de cette politique
Cette politique sera mise à jour avant la mise en service des traitements de données de santé et chaque fois qu’une évolution significative affectera les finalités, catégories de données, destinataires, prestataires, transferts, durées ou droits des personnes.