Informations légales

Politique de confidentialité — Scellis

Dernière mise à jour : 11 septembre 2026

Version 1.2 — dernière mise à jour le 11 septembre 2026. Ce document évolue avec l'application.

Responsable de traitement

FJ2AB-COM, SAS (SIREN 942 016 510), Sainte-Anastasie (Gard), France. Contact : direction@fj2ab.com.

Données traitées, et où elles vivent

• Compte : votre adresse e-mail (authentification par code, sans mot de passe) et votre profil professionnel (nom, prénom, numéro RPPS, signature tracée — stockée chiffrée).
• Dossiers d'examen : identité du défunt (nom, prénom, date de naissance, sexe), horodatages, adresse et point GPS du lieu d'intervention (preuve de diligence, capté uniquement pendant la mission), données cliniques (contexte, causes, échanges tracés, coordonnées du médecin traitant) et attestation PDF. Les champs sensibles sont chiffrés en base, colonne par colonne, en AES-256-GCM.
• Itinéraire : si vous ouvrez l'itinéraire vers le lieu d'intervention, l'adresse est transmise à l'application de navigation de votre téléphone (Plans, Google Maps), qui l'envoie à ses propres serveurs (Apple, Google) pour calculer l'itinéraire — hors du périmètre HDS de Scellis. Uniquement sur votre action, jamais automatiquement.
• Uniquement sur votre appareil — jamais conservés sur nos serveurs : le NIR (numéro de sécurité sociale) et le numéro de la pièce d'identité. Ils sont stockés chiffrés sur l'appareil ; s'ils transitent lors d'une synchronisation, le serveur les écarte immédiatement, sans jamais les enregistrer.
• Jamais conservée : la photo de la pièce d'identité ou de la carte Vitale. Elle est lue en mémoire, uniquement pour la reconnaissance de texte exécutée sur l'appareil, puis détruite. Elle n'est jamais enregistrée dans votre galerie.
• Dictée vocale : l'audio est chiffré sur l'appareil, puis transmis via notre serveur à Mistral AI (sous-traitant, Union européenne) pour transcription. Nos serveurs le traitent en mémoire sans jamais l'enregistrer ; l'audio est supprimé de l'appareil une fois la transcription reçue.
• Journaux d'accès (traçabilité de sécurité imposée par l'hébergement de données de santé) et jetons de session : événements techniques horodatés, avec l'adresse IP et le type d'appareil/navigateur — sans aucun contenu médical.
• Mesure d'usage interne pseudonyme (création de compte, connexion, création et scellement d'un constat) : aucun contenu de santé, aucun traceur tiers, aucune publicité, aucun profilage.

Hébergement et sécurité

Les données synchronisées sont hébergées par Scalingo (hébergeur certifié HDS), en France (région osc-fr1).

Chiffrement en transit (TLS, certificat validé) et au repos (disque chiffré, plus chiffrement applicatif AES-256-GCM des champs sensibles). Les secrets d'authentification ne sont jamais stockés en clair.

Sous-traitants

• Scalingo SAS — hébergement HDS, France.
• Mistral AI — transcription vocale, Union européenne.
• Resend — envoi de l'e-mail de connexion : seule votre adresse e-mail lui est transmise, jamais aucune donnée de santé.

Durées de conservation

• Dossiers scellés : tant que le compte est actif, dans la limite de 20 ans par dossier. L'obligation légale de conservation du dossier d'examen incombe au professionnel : un export ZIP chiffré est proposé avant la suppression du compte, et cette conservation s'exerce ensuite sur l'archive exportée.
• Codes de connexion : valables 10 minutes ; les enregistrements techniques associés sont purgés automatiquement sous 48 heures.
• Journaux d'accès, jetons de session et mesure d'usage : conservés le temps strictement nécessaire à la traçabilité de sécurité ; leur durée de purge précise sera arrêtée lors de la revue juridique de ce document.
• Suppression du compte : immédiate, depuis Réglages → Supprimer mon compte. L'application vous propose un export ZIP chiffré, demande une case d'acceptation puis la saisie de l'adresse e-mail du compte ; les données serveur sont alors purgées immédiatement et une preuve de suppression signée, vérifiable, vous est envoyée par e-mail. L'application efface ensuite les données stockées uniquement sur l'appareil (dont le NIR et le numéro de la pièce d'identité) et vous déconnecte. Voir la page Supprimer mon compte.
• Fin d'abonnement : délai de grâce de 60 jours. La connexion, la lecture et l'export restent possibles ; les fonctions d'écriture (synchronisation montante, dictée vocale, modification du profil) sont suspendues. Des rappels vous sont envoyés par e-mail, puis les données sont purgées, avec attestation.
• Après la suppression du compte, seule subsiste la preuve de purge (empreinte non réversible de votre adresse e-mail, date, nombre de dossiers, signature) — nécessaire pour que vous puissiez faire vérifier l'attestation reçue. Aucune donnée de santé, aucune adresse e-mail en clair.

Vos droits (RGPD)

Vous disposez des droits d'accès, de rectification, d'effacement, de portabilité (export ZIP chiffré intégral depuis les Réglages), de limitation et d'opposition, à exercer auprès de direction@fj2ab.com. Vous pouvez saisir la CNIL (cnil.fr).

Par conception, un dossier scellé est immuable (intégrité probatoire) : l'effacement s'exerce par la suppression du compte (purge complète et attestée) ou à l'issue de la durée de conservation.

Public concerné

L'application est destinée aux professionnels de santé. Elle n'est pas destinée aux mineurs.