Politique de confidentialité

Bienvenue chez Oto Health (« Oto », « nous », « notre » ou « nos »). La présente politique de confidentialité explique comment nous collectons, utilisons, divulguons et protégeons vos données personnelles lorsque vous utilisez notre application mobile et les services associés (collectivement, les « Services »).

Structure de la société : Les Services sont exploités par Oto Health Ltd, une société à responsabilité limitée du Royaume-Uni. Oto Health Ltd est une filiale en propriété exclusive d'Oto Health Inc., une société du Delaware (société holding américaine).

En utilisant nos Services, vous acceptez la collecte et l'utilisation de vos données conformément à la présente politique de confidentialité.

Si vous avez des questions concernant la présente politique de confidentialité, contactez-nous à l'adresse support@joinoto.com.

Sommaire

1. Données que nous collectons
2. Comment nous utilisons vos données
3. Base juridique du traitement (RGPD)
4. Conservation des données
5. Prestataires de services tiers
6. Transferts internationaux de données
7. Partage et divulgation des données
8. Sécurité des données
9. Vos droits en matière de confidentialité
10. Confidentialité des enfants
11. Droits spécifiques à certains États (États-Unis)
12. Communications par e-mail
13. Conformité HIPAA
14. Modifications de la présente politique
15. Nous contacter

1. Données que nous collectons

1.1 Données que vous fournissez directement

• Informations de compte : adresse e-mail, nom, date de naissance
• Données de santé : réponses à l'évaluation de l'Indice fonctionnel des acouphènes (TFI), entrées de journal
• Communications d'assistance : messages que vous envoyez au service client

1.2 Données collectées automatiquement

• Données d'utilisation : démarrages de séance, séances terminées, interactions avec l'application
• Données de contenu audio : sélections audio et durée de lecture
• Informations sur l'appareil : modèle d'appareil, version du système d'exploitation, version de l'application
• Données analytiques : habitudes d'utilisation anonymisées (via Sentry ; Firebase Analytics pour les utilisateurs hors États-Unis uniquement)

1.3 Données provenant de tiers

• Professionnels de santé : votre praticien peut communiquer votre nom et votre adresse e-mail lors de l'émission d'une licence

2. Comment nous utilisons vos données

Nous utilisons vos données pour :

• Fournir les Services : proposer des techniques d'adaptation audio et des fonctionnalités de bien-être
• Suivre les progrès : calculer les scores TFI et suivre votre parcours de bien-être au fil du temps
• Soutenir votre praticien : partager les données d'utilisation avec votre professionnel de santé (avec votre consentement)
• Communiquer : envoyer les e-mails de service essentiels et les actualités mensuelles du produit (vous pouvez vous désabonner des actualités du produit)
• Améliorer les Services : analyser les données agrégées pour améliorer les fonctionnalités de l'application et l'expérience utilisateur
• Respecter la loi : satisfaire aux obligations légales et répondre aux demandes légales valides

3. Base juridique du traitement (RGPD)

Pour les utilisateurs de l'UE et du Royaume-Uni, nous traitons vos données sur la base de :

• Consentement : vous consentez au partage de vos données avec votre professionnel de santé lors de votre inscription
• Exécution du contrat : traitement nécessaire à la fourniture des Services que vous avez demandés
• Intérêts légitimes : améliorer nos Services et prévenir la fraude (mis en balance avec vos droits)
• Obligations légales : respect des lois et réglementations applicables

4. Conservation des données

Nous conservons vos données pendant les durées suivantes :

5. Prestataires de services tiers

Nous faisons appel aux services tiers suivants pour exploiter notre plateforme :

Remarque : Nous sélectionnons soigneusement des prestataires conformes au RGPD, à la loi HIPAA (le cas échéant) et aux autres lois sur la protection des données.

6. Transferts internationaux de données

Oto Health Ltd (Royaume-Uni) exploite les Services. Vos données sont principalement traitées au Royaume-Uni et dans l'Espace économique européen (EEE). Toutefois, certains de nos prestataires de services tiers (voir la section 5) sont établis aux États-Unis, ce qui signifie que vos données peuvent être transférées, stockées et traitées aux États-Unis.

Pour les transferts internationaux de données, nous assurons une protection adéquate au moyen de :

• Clauses contractuelles types (CCT) : approuvées par la Commission européenne pour les transferts de données vers des pays hors EEE
• Cadre de protection des données UE–États-Unis : pour les prestataires américains certifiés au titre de ce cadre
• Décisions d'adéquation du Royaume-Uni : le cas échéant, en nous appuyant sur la reconnaissance par le Royaume-Uni d'un niveau adéquat de protection des données dans certains pays

7. Partage et divulgation des données

7.1 Professionnels de santé

Avec votre consentement : lorsque vous vous inscrivez à Oto par l'intermédiaire de votre professionnel de santé, vous consentez au partage de vos données de bien-être avec ce praticien. Vous pouvez révoquer cet accès à tout moment en contactant support@joinoto.com.

Ce que voient les praticiens :

• Vos scores d'évaluation TFI et vos progrès
• La fréquence de réalisation des séances
• L'utilisation du contenu audio
• La date de dernière activité

7.1a Inscription via l'annuaire des praticiens (États-Unis)

Aux États-Unis, vous pouvez vous inscrire à Oto en sélectionnant un professionnel de santé dans notre annuaire intégré à l'application. Lorsque vous vous inscrivez via l'annuaire des praticiens :

Informations partagées avec le praticien sélectionné :

En finalisant votre inscription via l'annuaire des praticiens, vous consentez au partage des informations suivantes avec le professionnel de santé sélectionné :

• Coordonnées : vos nom, adresse e-mail et numéro de téléphone, afin que le praticien puisse vous contacter au sujet d'Oto et des services associés
• Antécédents de santé : toute information pertinente que vous fournissez lors de l'inscription (telle que la présence d'une perte auditive, le port d'appareils auditifs et la durée des acouphènes) afin d'aider le praticien à comprendre vos besoins
• Localisation : votre ville ou votre localisation générale, si elle est fournie

Partage des données d'activité (facultatif) :

Lors de l'inscription, vous pouvez choisir de partager ou non vos données d'activité dans l'application avec le praticien sélectionné. Si vous l'acceptez, le praticien pourra voir :

• Les scores et dates des évaluations de l'Indice fonctionnel des acouphènes (TFI)
• Les données d'utilisation et de réalisation des séances
• Des indicateurs d'engagement généraux

Vous pouvez modifier votre préférence de partage des données d'activité à tout moment dans les paramètres de l'application. Votre choix n'affecte pas votre accès à l'application.

Finalité du partage :

Ces informations sont partagées pour permettre au praticien de :

• Vous contacter au sujet de l'accès à Oto et des services associés
• Évaluer votre admissibilité à ses programmes de bien-être relatifs aux acouphènes
• Vous délivrer une licence d'accès complet à Oto, le cas échéant
• Accompagner votre parcours de bien-être face aux acouphènes

Base juridique :

La base juridique du partage de vos informations avec le praticien sélectionné est votre consentement, que vous donnez en sélectionnant le praticien et en remplissant le formulaire d'inscription. Vous pouvez retirer votre consentement en nous contactant à support@joinoto.com, bien que cela puisse affecter votre capacité à recevoir des services de ce praticien via Oto.

Utilisation de vos données par le praticien :

Une fois vos informations partagées avec le praticien sélectionné, celui-ci devient un responsable de traitement indépendant pour les informations qu'il reçoit. L'utilisation de vos données est alors régie par sa propre politique de confidentialité et ses propres pratiques. Nous vous encourageons à consulter la politique de confidentialité de votre praticien.

Contact du praticien :

Le praticien sélectionné peut vous contacter par e-mail ou par téléphone pour discuter de l'accès à Oto et des services associés.

7.2 Prestataires de services

Nous partageons des données avec des fournisseurs tiers qui nous aident à exploiter les Services (voir la section 5).

7.3 Obligations légales

Nous pouvons divulguer vos informations si la loi l'exige ou en réponse à :

• Une procédure judiciaire valide (assignation, décision de justice)
• Des demandes gouvernementales ou réglementaires
• La protection des droits, des biens ou de la sécurité d'Oto, des utilisateurs ou du public

7.4 Transferts d'entreprise

Si Oto fait l'objet d'une acquisition ou d'une fusion, vos informations pourront être transférées à la nouvelle entité. Nous vous en informerons avant que vos données ne soient transférées et soumises à une politique de confidentialité différente.

7.5 Données agrégées

Nous pouvons partager des données anonymisées et agrégées (par exemple, « 80 % des utilisateurs ont terminé au moins 5 séances ») avec des partenaires ou à des fins de recherche. Ces données ne permettent pas de vous identifier.

7.6 Recherche dé-identifiée

Nous pouvons partager des données dé-identifiées et agrégées avec :

• Des chercheurs universitaires étudiant le bien-être lié aux acouphènes
• Des organisations de santé analysant l'efficacité des programmes
• Des partenaires commerciaux évaluant les résultats en matière de bien-être

Les données dé-identifiées ne peuvent raisonnablement pas être utilisées pour vous identifier et ne sont pas soumises à la présente politique de confidentialité.

8. Sécurité des données

Nous prenons la sécurité de vos informations au sérieux et mettons en œuvre des mesures techniques et organisationnelles appropriées :

Mesures de sécurité :

• Chiffrement en transit : toutes les données transmises entre votre appareil et nos serveurs utilisent un chiffrement TLS 1.2+
• Chiffrement au repos : les données de santé stockées dans Firestore sont chiffrées avec l'algorithme AES-256
• Contrôles d'accès : des autorisations basées sur les rôles limitent les personnes pouvant accéder à vos données (uniquement les praticiens autorisés et le personnel d'assistance)
• Authentification : Firebase Authentication avec hachage sécurisé des mots de passe (bcrypt)
• Surveillance : alertes automatisées en cas d'activité suspecte et de tentatives d'accès non autorisé
• Audits réguliers : examens de sécurité périodiques et évaluations des vulnérabilités

Important : aucune méthode de transmission ou de stockage n'est sûre à 100 %. Bien que nous nous efforcions de protéger vos informations, nous ne pouvons garantir une sécurité absolue.

9. Vos droits en matière de confidentialité

Selon votre lieu de résidence, vous disposez des droits suivants concernant vos données personnelles :

9.1 Accès

Droit d'accès : demander une copie des données personnelles que nous détenons à votre sujet.

Comment l'exercer : envoyez un e-mail à support@joinoto.com avec « Demande d'accès aux données » en objet. Nous répondrons sous 30 jours.

9.2 Rectification

Droit de rectification : corriger des données personnelles inexactes ou incomplètes.

Comment l'exercer : mettez à jour votre profil dans l'application ou envoyez un e-mail à support@joinoto.com.

9.3 Suppression

Droit à l'effacement : demander la suppression de vos données personnelles (sous réserve des exceptions légales).

Comment l'exercer : accédez à Paramètres → Supprimer le compte dans l'application. Cette action supprimera définitivement :

• Votre compte et vos identifiants d'authentification
• Toutes les évaluations TFI et l'historique des séances
• Les messages d'assistance et les préférences de communication
• Les informations de paiement et d'abonnement

Avertissement : la suppression du compte est définitive et irréversible.

9.4 Préférences d'e-mail

E-mails transactionnels : nous envoyons des e-mails de service essentiels (expirations de licence, alertes de sécurité, etc.) qui ne peuvent pas être désactivés.

Newsletter produit : vous pouvez vous désabonner de notre newsletter mensuelle d'actualités produit en cliquant sur « Se désabonner » dans n'importe quel e-mail de la newsletter ou en écrivant à support@joinoto.com.

Nous n'envoyons pas d'e-mails promotionnels ou marketing (offres, réductions, conseils bien-être, etc.).

9.5 Portabilité

Droit à la portabilité des données : recevoir vos données dans un format lisible par machine (JSON).

Comment l'exercer : envoyez un e-mail à support@joinoto.com avec « Demande de portabilité des données » en objet.

9.6 Opposition au traitement

Droit d'opposition : vous opposer à un traitement fondé sur les intérêts légitimes.

Comment l'exercer : envoyez un e-mail à support@joinoto.com en expliquant votre opposition. Nous l'évaluerons et répondrons sous 30 jours.

9.7 Retrait du consentement

Droit de retrait : retirer votre consentement au partage de données avec votre professionnel de santé.

Comment l'exercer : envoyez un e-mail à support@joinoto.com. Remarque : le retrait du consentement peut limiter votre accès à certaines fonctionnalités.

9.8 Déposer une réclamation

Droit de réclamation : déposer une réclamation auprès de votre autorité de protection des données si vous estimez que nous avons enfreint vos droits en matière de confidentialité.

• UE/Royaume-Uni : contactez votre autorité locale de protection des données (APD)
• États-Unis : déposez une réclamation auprès de la FTC à l'adresse ftc.gov/complaint

10. Confidentialité des enfants

Nos Services ne sont pas destinés aux enfants de moins de 13 ans (ou 16 ans dans l'UE). Nous ne collectons pas sciemment de données personnelles auprès d'enfants.

Si nous découvrons que nous avons collecté des données auprès d'un enfant de moins de 13 ans (ou 16 ans dans l'UE), nous les supprimerons immédiatement.

Parents : si vous pensez que votre enfant nous a fourni des données personnelles, contactez support@joinoto.com.

11. Droits spécifiques à certains États (États-Unis)

Si vous résidez dans l'un des États américains suivants, vous disposez de droits supplémentaires en matière de confidentialité :

11.1 Californie (CCPA/CPRA)

Les résidents de Californie ont le droit de :

• Savoir quelles données personnelles sont collectées, utilisées, partagées ou vendues
• Supprimer leurs données personnelles (sous réserve d'exceptions)
• Refuser la « vente » de leurs données personnelles (nous ne vendons pas vos données)
• Ne pas subir de discrimination pour l'exercice de leurs droits en matière de confidentialité

« Shine the Light » : demander des informations sur les données personnelles partagées avec des tiers à des fins marketing (nous ne partageons pas de données à des fins marketing).

11.2 Virginie (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA)

Les résidents ont le droit de :

• Confirmer si nous traitons leurs données personnelles
• Accéder à une copie de leurs données personnelles et l'obtenir
• Corriger les inexactitudes
• Supprimer leurs données personnelles
• Obtenir une copie de leurs données dans un format portable
• Refuser la publicité ciblée (nous ne pratiquons pas de publicité ciblée)

11.3 Autres États dotés de lois sur la confidentialité

Nous étendons des droits similaires aux résidents de l'Oregon, du Montana, du Texas, de l'Iowa, du Tennessee, de l'Indiana, du Delaware, du Nebraska, du New Hampshire, du New Jersey et du Minnesota.

Comment exercer les droits spécifiques à un État

Envoyez un e-mail à support@joinoto.com en indiquant votre État et le type de demande. Nous vérifierons votre identité et répondrons dans le délai requis par la loi de votre État (généralement 30 à 45 jours).

12. Communications par e-mail

12.1 E-mails transactionnels

Nous envoyons des e-mails transactionnels nécessaires à la fourniture des Services. Ils comprennent :

• Les avis d'expiration et de renouvellement de licence
• Les alertes de sécurité du compte et les confirmations de réinitialisation de mot de passe
• Les mises à jour critiques du produit affectant les fonctionnalités ou la sécurité
• Les modifications de nos conditions d'utilisation ou de notre politique de confidentialité
• Les confirmations d'abonnement et de facturation
• Les réponses du service client

Vous ne pouvez pas vous désabonner des e-mails transactionnels, car ils sont essentiels aux Services.

12.2 Newsletter d'actualités produit

Nous envoyons une newsletter mensuelle d'actualités produit via Intercom pour vous tenir informé(e) de :

• Nouvelles fonctionnalités et améliorations
• Corrections de bugs et améliorations de performance
• Mises à jour de la feuille de route produit

Vous pouvez vous désabonner à tout moment en cliquant sur « Se désabonner » au bas de n'importe quel e-mail de la newsletter ou en mettant à jour vos préférences dans Intercom.

12.3 Aucun e-mail marketing

Nous n'envoyons pas d'e-mails promotionnels ou marketing. Cela signifie aucune offre promotionnelle, réduction, conseil bien-être, témoignage d'utilisateur ni campagne d'engagement.

13. Conformité HIPAA

13.1 Sommes-nous une « covered entity » ?

Oto Health n'est pas une entité couverte (« covered entity ») au sens de la loi HIPAA, car nous ne facturons pas les assurances et n'effectuons pas de transactions de santé électroniques pour le compte des praticiens.

13.2 Sommes-nous un « business associate » ?

Oui. Lorsque des professionnels de santé utilisent Oto pour suivre les progrès de leurs patients, nous agissons en tant que sous-traitant (« business associate ») au sens de la loi HIPAA. Nous signons des accords de sous-traitance (Business Associate Agreements, BAA) avec les organisations de praticiens.

13.3 Informations de santé protégées (PHI)

Nous collectons et stockons les informations de santé protégées (PHI) suivantes :

• Nom et adresse e-mail
• Date de naissance
• Scores d'évaluation TFI
• Données d'utilisation des séances
• Entrées de journal
• Relation praticien-patient

13.4 Garanties HIPAA

Nous mettons en œuvre les garanties exigées par la loi HIPAA :

• Administratives : formation du personnel, contrôles d'accès et procédures de réponse aux incidents
• Physiques : infrastructure cloud sécurisée (centres de données Google Cloud Platform conformes à la loi HIPAA)
• Techniques : chiffrement, journaux d'audit, authentification sécurisée et déconnexions automatiques de session

13.5 Notification de violation

En cas de violation de données affectant vos PHI, nous vous en informerons, ainsi que votre professionnel de santé, dans un délai de 60 jours, comme l'exige la loi HIPAA.

13.6 Droits relatifs à la confidentialité au titre de HIPAA

Si vous êtes un patient pris en charge par un praticien soumis à la loi HIPAA, vous avez le droit de :

• Accès : demander une copie de vos PHI (contactez votre praticien ou support@joinoto.com)
• Modification : demander la correction de PHI inexactes
• Relevé : demander la liste des divulgations de vos PHI (6 dernières années)
• Restriction : demander des limites quant à la manière dont votre praticien utilise ou partage vos PHI

14. Modifications de la présente politique

Nous pouvons mettre à jour la présente politique de confidentialité de temps à autre. Nous vous informerons de toute modification importante en :

• Publiant la politique mise à jour sur cette page avec une nouvelle date de « Dernière mise à jour »
• Envoyant une notification par e-mail à votre adresse enregistrée
• Affichant une notification dans l'application lors de votre prochaine ouverture

Votre consentement : la poursuite de l'utilisation des Services après l'entrée en vigueur des modifications vaut acceptation de la politique de confidentialité mise à jour.

Opposition : si vous n'acceptez pas la politique mise à jour, vous devez cesser d'utiliser les Services et pouvez demander la suppression de votre compte.

15. Nous contacter

Si vous avez des questions, des préoccupations ou des demandes concernant la présente politique de confidentialité ou nos pratiques en matière de données, veuillez nous contacter :

Délai de réponse : nous répondrons aux demandes relatives à la confidentialité sous 30 jours (ou dans le délai requis par la loi applicable).