POLITIQUE DE CONFIDENTIALITÉ - GROUPE IMPRESS

1) Qui est le responsable ?

Le responsable principal du traitement est SMILE2IMPRESS S.L., conjointement avec les entités du groupe Impress (ci-après dénommé « Groupe Impress ») qui interviennent dans la prestation du service dans chaque pays, qui peuvent agir en tant que co-responsables du traitement le cas échéant, conformément à l'article 26 du RGPD avec lequel vous passez un contrat ou avec lequel vous êtes en relation (par exemple, en tant que patient/utilisateur, professionnel de santé, partenaire, fournisseur, candidat ou visiteur du site web).

Contact confidentialité : gdpr@smile2impress.com
Délégué à la protection des données (DPO) : dpo@smile2impress.com

Les entités du Groupe figurent à l'ANNEXE II.

2) Quelles données traitons-nous ?

A. Données de santé (données de santé – catégorie spéciale) :
radiographies, scans 3D, photographies de santé, diagnostic, plan de traitement, évolution et communications de santé.

B. Données commerciales et relatives au compte :
identification et coordonnées, rendez-vous, préférences, incidents, communications d'assistance.

C. Données économiques :
facturation, paiements, financement (les établissements financiers agissent généralement en tant que responsables indépendants).

D. Données techniques :
IP, journaux, appareil, navigation et cookies (selon votre choix).

3) À quoi servent vos données ?

• Pour fournir des soins dentaires et assurer un suivi.
• Planifier et fabriquer des appareils (aligneurs et éléments associés) avec des laboratoires et des fournisseurs techniques.
• Gérer les rendez-vous, l'assistance et la qualité du service.
• Facturation et recouvrement, y compris le financement si demandé.
• Sécurité et prévention de la fraude.
• Conformité légale (sanitaire, fiscale, etc.).
• Marketing (uniquement selon les règles claires ci-dessous).

4) Marketing

• Clients/patients : nous pouvons envoyer des informations sur des services similaires (soft opt-in conformément à la réglementation applicable en matière de communications commerciales). Toujours avec une désinscription facile.
• Non-clients : uniquement avec leur consentement explicite.
• Publicité personnalisée : uniquement si vous acceptez les cookies publicitaires ou activez les « publicités personnalisées » dans l'application/les paramètres.

5) Utilisons-nous l'intelligence artificielle (IA) ?

Nous pouvons utiliser l'IA comme aide (par exemple, pour organiser le soutien ou aider à planifier/visualiser les traitements).
Elle ne remplace jamais la décision de santé : il y a une intervention humaine et une validation par des professionnels de santé.

6) Avec qui partageons-nous les données ?

Uniquement lorsque cela est nécessaire :

• Centres de santé partenaires / professionnels de santé
• Laboratoires et fournisseurs techniques de fabrication
• Fournisseurs technologiques (hébergement, CRM, communications)
• Passerelles de paiement
• Établissements financiers (si vous demandez un financement)
• Autorités, lorsque la loi l'exige

Nous ne vendons jamais de données personnelles.

7) Transferts internationaux

Si un fournisseur est situé en dehors de l'EEE, nous utilisons des garanties légales (par exemple, des clauses contractuelles types ou des décisions d'adéquation) et, si nécessaire, des mesures techniques et organisationnelles complémentaires pour garantir un niveau de protection équivalent à celui de l'Europe.

8) Vos droits

Accès, rectification, suppression, opposition, limitation, portabilité, retrait du consentement et opposition au marketing/profilage.
Exercice : gdpr@smile2impress.com
Vous pouvez déposer une réclamation auprès de l'autorité de contrôle du pays où vous résidez habituellement (en Espagne, l'AEPD).

POLITIQUE COMPLÈTE (DÉVELOPPEMENT JURIDIQUE)

1. PORTÉE ET ENGAGEMENT

Cette politique explique comment nous traitons les données personnelles des :

• Utilisateurs/Patients
• Professionnels de santé
• Partenaires (centres de santé collaboratrices), fournisseurs et consultants
• Investisseurs
• Candidats
• Clients potentiels
• Visiteurs du site web

Nous nous engageons à traiter les données de manière légale, loyale, transparente, minimale et sécurisée, conformément au RGPD et à la réglementation locale applicable.

2. RESPONSABLE DU TRAITEMENT, CONTACT ET DPO

2.1 Responsable

Le responsable est l'entité du groupe Impress avec laquelle vous entretenez une relation. En tant que référence corporative en Espagne :

SMILE2IMPRESS S.L.
NIF : B67402032
Adresse : Av. Roma 81, 2º Núcleo E-F, 08029 Barcelone (Espagne)
E-mail : gdpr@smile2impress.com

2.2 Délégué à la protection des données (DPO)

E-mail : dpo@smile2impress.com

2.3 Entités du groupe

Voir ANNEXE II.

3. CATÉGORIES DE DONNÉES QUE NOUS TRAITONS (SANTÉ VS COMMERCIALES)

3.1 Données de santé (données relatives à la santé – art. 9 RGPD)

• Radiographies, scans 3D, photos
• Diagnostics et notes de santé
• Planification du traitement, évolution et contrôles
• Informations fournies lors de la consultation ou sur le portail patient
• Communications (le cas échéant)

3.2 Données commerciales et données relatives au compte

• Inscription, identité, coordonnées
• Rendez-vous et gestion de l'agenda
• Préférences de service, incidents et réclamations
• Communications avec le service d'assistance (e-mail, chat, téléphone)

3.3 Données économiques

• Facturation et encaissements
• Données nécessaires pour les paiements
• Financement (si demandé)

3.4 Données techniques

• IP, journaux de sécurité
• Appareil, navigateur, cookies (selon votre choix)

3.5 Données provenant de tiers

Nous pouvons recevoir des données si vous nous y autorisez (par exemple, connexion via un réseau social) ou si vous interagissez avec nous via les réseaux sociaux/messageries instantanées.

4. ORIGINE DES DONNÉES

Les données peuvent provenir :

• Vous (formulaires, application, centre de santé, appels, chats)
• Votre activité sur l'application/le portail patient
• Des fournisseurs nécessaires à la prestation du service (par exemple, passerelle de paiement)
• Des tiers autorisés par vous (par exemple, connexion via les réseaux sociaux)

5. FINALITÉS ET BASES JURIDIQUES (MATRICE UNIQUE)

Remarque importante : les données de santé sont généralement traitées à des fins de soins de santé (art. 9.2.h RGPD) et/ou de respect des obligations sanitaires, et leur accès est réservé au personnel autorisé.

5.1 Utilisateurs/Patients. Finalités principales :

a) Prestation de services dentaires (diagnostic, planification, suivi)

• Base juridique : exécution du contrat + art. 9.2.h RGPD + obligations sanitaires.

b) Fabrication et logistique du dispositif (aligneurs et éléments associés)

• Base juridique : exécution du contrat + art. 9.2.h RGPD (si nécessaire) + obligations relatives au produit/dispositif.
• Clarification des rôles (important et « de niveau concurrentiel ») :
• Responsable du dossier médical : l'entité sanitaire du groupe qui dispense le traitement et/ou le centre de santé qui le réalise (selon le cas).
• Fabricant/laboratoire : traite les données strictement nécessaires à la fabrication et au contrôle du produit. En fonction du flux, il peut agir en tant que sous-traitant ou en tant que responsable indépendant pour sa propre activité réglementée ; dans tous les cas, il existe un contrat et des garanties de confidentialité et de sécurité.

c) Gestion administrative (rendez-vous, service clientèle, incidents, qualité)

• Base juridique : exécution du contrat + intérêt légitime (qualité et amélioration) le cas échéant.

d) Facturation, recouvrement et comptabilité

• Base juridique : exécution du contrat + obligation légale.

e) Financement (si vous en faites la demande)

• Base juridique : exécution du contrat / mesures précontractuelles à la demande de la personne concernée.
• Les établissements financiers/courtiers agissent généralement en tant que responsables indépendants pour l'analyse de solvabilité et la formalisation.

f) Sécurité et prévention de la fraude

• Base juridique : intérêt légitime (sécurité et protection de la plateforme, prévention de la fraude, sécurité des comptes).

g) Recherche, statistiques et amélioration (de préférence avec des données anonymisées ou agrégées)

• Base juridique : intérêt légitime et/ou obligation légale/normes de santé, selon le cas.
• Dans la mesure du possible, nous utiliserons l'anonymisation ou la pseudonymisation.

5.2 Marketing (règles « claires »)

a) Soft opt-in (clients/patients uniquement) :
Nous pouvons envoyer des communications sur des services similaires à ceux souscrits.

• Base juridique : intérêt légitime / réglementation applicable en matière de communications commerciales - LSSI en Espagne.
• Droit d'opposition : désinscription dans chaque communication et/ou par e-mail.

b) Non-clients (prospects) :
Marketing uniquement avec consentement explicite.

c) Publicité personnalisée / audiences :
Uniquement si :

• vous acceptez les cookies publicitaires, ou
• vous activez l'option correspondante dans les paramètres (« publicités personnalisées »), ou
• vous donnez votre consentement explicite équivalent.

d) Partenaires (cession à des tiers à des fins de marketing) :
Uniquement avec un consentement explicite, éclairé et sans équivoque, en identifiant le destinataire/les catégories.

6. DESTINATAIRES (QUI REÇOIT LES DONNÉES ET POURQUOI)

Nous ne pouvons partager des données que lorsque cela est nécessaire, avec les catégories suivantes :

1. Centres de santé partenaires et professionnels de santé
   Pour le diagnostic, la prise d'images, les examens, le soutien centre de santé et la mise en œuvre du traitement.
2. Laboratoires dentaires et fournisseurs techniques
   Pour les scans, la conception et la fabrication d'aligneurs ou d'autres dispositifs médicaux, et la logistique associée.
3. Fournisseurs technologiques
   Hébergement, stockage sécurisé, CRM, communications, sécurité (par exemple, reCAPTCHA), analyse (selon les cookies).
4. Plateformes de paiement
   Pour traiter les paiements (nous ne stockons pas les données complètes des cartes ; tokenisation le cas échéant).
5. Établissements financiers/courtiers (si vous demandez un financement)
   Pour l'évaluation, la formalisation et la gestion du paiement échelonné (généralement en tant que responsables indépendants).
6. Assureurs
   Lorsque cela est nécessaire pour la gestion des incidents ou des sinistres associés.
7. Autorités publiques
   Lorsque cela est nécessaire pour se conformer à la législation (sanitaire, fiscale, judiciaire).

Nous ne vendons jamais de données personnelles.

7. TRANSFERTS INTERNATIONAUX

Si nous transférons des données en dehors de l'EEE (par exemple, certains services d'assistance/centres d'appels, télécommunications ou fournisseurs technologiques), nous le ferons en appliquant :

• les clauses contractuelles types de la Commission européenne et les mesures complémentaires, et/ou
• des décisions d'adéquation, lorsqu'elles existent.

Vous pouvez demander des informations supplémentaires sur les garanties appliquées en écrivant à gdpr@smile2impress.com.

8. DÉCISIONS AUTOMATISÉES ET PROFILAGE

8.1 Décisions automatisées (art. 22 RGPD)

Nous ne prenons pas de décisions qui produisent des effets juridiques ou vous affectent de manière significative sur la seule base d'un traitement automatisé dans le domaine de santé.

8.2 Profilage/segmentation

Nous pouvons effectuer une segmentation non clinique afin de :

• personnaliser l'expérience,
• afficher du contenu pertinent,
• améliorer le service,
• limiter la fraude,
• ou personnaliser le marketing (uniquement lorsque cela est approprié).

Vous pouvez vous opposer au profilage avec des effets pertinents et, dans tous les cas, vous opposer à tout moment au marketing direct.

9. INTELLIGENCE ARTIFICIELLE (IA) — UNE APPROCHE MODERNE ET TRANSPARENTE

Nous pouvons utiliser l'IA dans des processus tels que :

• Service client (par exemple, chatbots assistés par des modèles linguistiques) pour répondre à des questions administratives ou d'assistance.
• Aide à la planification et à la visualisation du traitement grâce à l'analyse d'images/photos (le cas échéant).

Principes de sécurité et de contrôle en matière d'IA

• Intervention humaine : toute décision de santé importante est validée par des professionnels de santé.
• Minimisation : nous utilisons le minimum de données nécessaires à la finalité.
• Nous ne formons pas de modèles publics avec vos données : nous exigeons contractuellement que les fournisseurs n'utilisent pas les données pour former des modèles publics.
• Protection des données d'identification : nous appliquons des mesures pour éviter toute exposition inutile et renforcer la confidentialité.

10. MESURES DE SÉCURITÉ

Nous appliquons des mesures techniques et organisationnelles adaptées au risque, notamment :

• contrôle d'accès par rôles et nécessité d'en connaître,
• cryptage en transit et, le cas échéant, au repos,
• enregistrements et surveillance de la sécurité,
• évaluation des fournisseurs et contrats RGPD,
• tokenisation des paiements et normes PCI DSS chez les prestataires de paiement,
• mesures visant à prévenir les accès non autorisés, les altérations ou les pertes.

11. CONSERVATION DES DONNÉES

Nous conservons les données pendant :

• la durée nécessaire à la réalisation de l'objectif,
• la durée de la relation contractuelle et,
• ensuite, les délais légaux de conservation et de prescription des actions.

Les délais indicatifs et les références légales figurent à l'ANNEXE I.
Le cas échéant, nous pouvons conserver certaines informations pendant une durée maximale de 15 ans si cela s'avère nécessaire pour nous défendre contre des réclamations complexes ou en cas de prescription pénale/fiscale, toujours dans le respect du principe de minimisation et d'accès restreint.

12. DROITS DES PERSONNES

Vous pouvez exercer :

• Accès
• Rectification
• Suppression
• Opposition
• Limitation
• Portabilité
• Retrait du consentement (le cas échéant)
• Opposition au marketing direct et au profilage

Comment les exercer : gdpr@smile2impress.com
Vous pouvez également contacter le délégué à la protection des données : dpo@smile2impress.com

Si vous estimez que nous n'avons pas correctement traité votre demande, vous pouvez déposer une réclamation auprès de l'autorité de contrôle du pays où vous résidez habituellement (en Espagne, l'AEPD).

13. MINEURS

Les services sont destinés aux personnes majeures, sauf si la réglementation applicable autorise le traitement avec autorisation/représentation légale et que cela est vérifié.

14. RÉSEAUX SOCIAUX ET MESSAGERIES

Si vous nous contactez via les réseaux sociaux (par exemple, Instagram, Facebook) ou la messagerie (par exemple, WhatsApp), nous traiterons les données nécessaires pour :

• répondre à vos questions,
• assurer le support patient/client,
• gérer les incidents.

Le traitement peut également être soumis à la politique de confidentialité de chaque plateforme.

15. VIDÉOSURVEILLANCE ET CONTRÔLE D'ACCÈS (le cas échéant dans les centres)

Dans les centres et les centres de santé, la vidéosurveillance peut être mise en place sur la base de l'intérêt légitime à assurer la sécurité des personnes et des installations, conformément à la réglementation applicable et à la signalisation informative.

16. CANAL ÉTHIQUE

La ligne éthique permet de signaler des comportements ou des manquements réglementaires/éthiques.
Les données traitées seront utilisées pour :

• traiter les communications,
• enquêter sur des faits,
• proposer des résolutions,
• et, le cas échéant, informer les autorités ou prendre des mesures internes.

Des mesures sont prises pour protéger la confidentialité de l'identité du dénonciateur et des personnes concernées, avec un accès restreint.

Contact : compliance@smile2impress.com (ou celui indiqué sur le canal habilité

17. INITIATIVES SOCIALES / FONCTIONNALITÉS DE L'APPLICATION (le cas échéant)

Si l'application permet des fonctions sociales (par exemple, « ajouter des contacts ») :

• votre agenda ne sera accessible que si vous l'autorisez explicitement,
• les contacts qui sont déjà utilisateurs seront affichés,
• et vous contrôlez qui vous ajoutez et ce que vous partagez (ajout ou identification).

18. MODIFICATIONS DE LA PRÉSENTE POLITIQUE

Nous pouvons mettre à jour cette politique si nécessaire.
En cas de modifications substantielles, nous vous en informerons de manière appropriée.

19. LANGUE ET PRÉVALENCE

En cas de divergence entre les traductions, la version espagnole prévaudra.

ANNEXE I — DÉLAIS GÉNÉRAUX DE CONSERVATION (À TITRE INDICATIF)

Les délais peuvent varier en fonction du pays, du type de relation (patient, professionnel, fournisseur, etc.) et de la finalité spécifique. Nous ne conserverons les données que pendant la durée nécessaire et nous appliquerons un blocage/une limitation le cas échéant.

ANNEXE II — ENTREPRISES DU GROUPE IMPRESS

ANNEXE III — DÉFINITIONS (BRÈVES)

• Responsable du traitement : décide des finalités et des moyens du traitement.
• Sous-traitant : traite les données pour le compte du responsable du traitement et selon ses instructions.
• RGPD : Règlement (UE) 2016/679.
• Données relatives à la santé : données relatives à la santé physique ou mentale, y compris les données de santé dentaires et les images.
• Profilage : traitement automatisé visant à évaluer des aspects personnels (par exemple, les préférences).
• Décision automatisée : décision fondée uniquement sur un traitement automatisé ayant des effets juridiques ou similaires.