Politique de Confidentialité

La présente Politique de confidentialité explique comment les données à caractère personnel sont traitées dans le cadre des services Synkro Clinic et Synkro Motion (ci-après ensemble « les services »), conformément au règlement (UE) 2016/679 (RGPD) et à la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel. Elle entre en vigueur le 11 septembre 2026.

Elle s'adresse à toutes les personnes dont les données sont traitées par l'intermédiaire des services :

• les Professionnels, Professionnels de santé et Professionnels du sport qui utilisent les services dans leur activité ;
• les Souscripteurs, qui achètent et paient une Souscription portant une ou plusieurs Licences ;
• les Titulaires de licence ;
• les Personnes suivies par un Professionnel : les Patients d'un Professionnel de santé et les Sportifs d'un Professionnel du sport ;
• les personnes qui prennent rendez-vous en ligne auprès d'un Professionnel sans disposer d'un compte ;
• les visiteurs des sites internet publics de Synkro, dont synkroclinic.com.

Elle se compose d'un socle commun, de dispositions propres aux professionnels de santé (Synkro Clinic) et de dispositions propres aux professionnels du sport (Synkro Motion). Elle complète les Conditions Générales d'Utilisation (CGU), les Conditions Générales de Vente (CGV) et l'Accord de Traitement des Données (DPA).

Régime applicable selon le profil. Le régime applicable dépend du profil du Professionnel et non du produit utilisé, selon la règle fixée par les CGU, article 3 : un Professionnel de santé relève des dispositions propres aux professionnels de santé pour l'intégralité de son utilisation, y compris l'analyse biomécanique et le suivi de sportifs hors du cadre du soin, dont les données sont traitées comme des données de santé couvertes par le secret professionnel ; tout autre professionnel relève des dispositions propres aux professionnels du sport.

Dans la présente politique, les termes suivants, employés avec une majuscule, ont le sens indiqué ci-dessous, au singulier comme au pluriel. Ces définitions sont communes aux CGU, aux CGV, à la Politique de confidentialité et au DPA.

• « Application » : Synkro Clinic ou Synkro Motion, selon le cas, accessible par navigateur web et par application mobile.
• « Professionnel » : toute personne qui utilise l'Application dans le cadre de son activité professionnelle pour suivre des Personnes suivies, qu'elle soit Titulaire de licence, en période d'essai ou dans un accès en pause. Un Professionnel est soit un Professionnel de santé, soit un Professionnel du sport.
• « Professionnel de santé » : toute personne inscrite à un ordre ou titulaire d'un visa ou d'un agrément d'exercice d'une profession de santé.
• « Professionnel du sport » : tout autre Professionnel, notamment un préparateur physique, un entraîneur, un bike fitter qui n'exerce pas une profession de santé, ou une structure sportive.
• « Personne suivie » : la personne dont un Professionnel assure le suivi au moyen de l'Application. Elle est dénommée « Patient » lorsque le suivi relève d'un Professionnel de santé et « Sportif » lorsqu'il relève d'un Professionnel du sport.
• « Dossier » : l'ensemble des informations qu'un Professionnel tient sur une Personne suivie dans l'Application (bilans, notes, mesures, questionnaires, tests, exercices, vidéos, analyses, documents, rendez-vous et, le cas échéant, données du Module administratif).
• « Souscription » : le contrat d'abonnement payant conclu avec Synkro selon les CGV, pour une périodicité mensuelle ou annuelle, qui porte une ou plusieurs Licences.
• « Souscripteur » : la personne physique ou morale qui conclut la Souscription et en paie le prix (praticien, cabinet exploité en société, club, fédération ou autre structure).
• « Licence » : le droit nominatif d'utiliser l'Application selon une offre, attribué à une seule personne physique.
• « Titulaire de licence » : la personne physique à laquelle une Licence est attribuée par l'activation d'un Code de licence. Le Souscripteur peut être lui-même Titulaire de licence.
• « Code de licence » : le code à usage unique, au format SYNK-XXXX-XXXX, qui permet d'attribuer une Licence à son Titulaire de licence.
• « Cabinet » et « Équipe » : le regroupement de Professionnels au sein de l'Application en vue de travailler ensemble, appelé « cabinet » dans Synkro Clinic et « organisation » ou « groupe » dans Synkro Motion (ci-après « Équipe »). Les règles de partage des Dossiers au sein d'un Cabinet ou d'une Équipe sont fixées à l'article 11 des CGU.
• « Module administratif » : l'ensemble des fonctions de Synkro Clinic reliées à la plateforme eHealth et à MyCareNet, décrit à l'article 14.8 des CGU.
• « Analyse biomécanique » : la fonctionnalité d'analyse vidéo automatisée du mouvement, en deux ou trois dimensions, décrite à l'article 9 des CGU.

Synkro n'a pas désigné de délégué à la protection des données au sens de l'article 37 du RGPD. Toute question ou demande relative à vos données peut être adressée au point de contact ci-dessus, par e-mail ou par courrier à l'adresse du siège.

Selon les données concernées, Synkro intervient en deux qualités différentes.

Les engagements de Synkro en tant que sous-traitant sont détaillés dans le DPA, qui s'applique à tout Professionnel, professionnel de santé comme professionnel du sport, et que chaque Professionnel accepte à la création de son compte et, pour un Titulaire de licence qui ne l'a pas encore accepté, au plus tard lors de l'activation de sa Licence ou de sa première connexion. Lorsqu'une structure sportive organise le suivi de ses Sportifs dans une organisation Synkro Motion et en détermine les finalités et les moyens, elle est responsable du traitement des Dossiers concernés (CGU, article 15.5).

Souscripteur et Titulaire de licence. Chaque Titulaire de licence est responsable du traitement des Dossiers qu'il tient. Le Souscripteur n'a accès à aucun de ces Dossiers du seul fait qu'il paie la Licence : il ne connaît que les informations nécessaires à la gestion de ses Licences (état de chaque Licence et identité de la personne qui l'a activée). Le partage de Dossiers passe exclusivement par le Cabinet ou l'Équipe, que chaque Professionnel choisit de rejoindre, indépendamment de la facturation.

Synkro ne traite que les données nécessaires à chaque finalité (article 5.1.c du RGPD). Elle ne vend, ne loue et ne cède aucune donnée à caractère personnel à des fins commerciales et n'utilise aucune donnée à des fins publicitaires.

6.1. Principe

Pour les Dossiers qu'il tient, le Professionnel est responsable du traitement : il lui appartient de disposer d'une base légale, d'informer les Personnes suivies et, lorsque c'est requis, de recueillir leur consentement. Synkro fournit les moyens techniques, traite les données uniquement sur ses instructions et ne les utilise pas pour ses propres finalités.

Les traitements réalisés pour le compte du Professionnel sont : la tenue du Dossier de la Personne suivie ; l'administration de questionnaires standardisés et de tests, avec calcul automatisé des scores ; la prescription et le suivi d'exercices ; l'Analyse biomécanique ; l'assistance par intelligence artificielle ; l'agenda, les rendez-vous et leurs rappels ; la prise de rendez-vous en ligne ; les notifications envoyées aux utilisateurs ; le partage au sein d'un Cabinet ou d'une Équipe ; les exports ; pour les Professionnels de santé qui y ont souscrit, le Module administratif.

Lorsqu'une Personne suivie adresse à Synkro une demande portant sur ces données, Synkro la transmet sans délai au Professionnel concerné et l'assiste pour y répondre.

6.2. Partage au sein d'un Cabinet ou d'une Équipe

Rejoindre un Cabinet ou une Équipe est un choix de chaque Professionnel. Le partage des Dossiers suit alors les règles des CGU, article 11 :

• dans Synkro Clinic, le partage est automatique et complet : chaque membre actif d'un Cabinet voit l'ensemble des Dossiers des autres membres actifs et peut les modifier ;
• dans Synkro Motion, chaque Dossier porte une portée choisie par le Professionnel qui en est responsable (privé, groupe ou organisation) ; par défaut, le Dossier est privé.

Synkro fournit les moyens de ce partage et journalise les accès, sans jamais en décider l'étendue.

6.3. Prise de rendez-vous en ligne

Une personne peut demander un rendez-vous auprès d'un Professionnel depuis sa page de réservation publique, sans créer de compte. Elle communique ses nom, prénom, coordonnées, le créneau choisi, le cas échéant le motif du rendez-vous, les réponses au questionnaire préalable proposé par le Professionnel et les pièces qu'elle choisit de joindre. Ces données sont transmises au seul Professionnel concerné et enregistrées dans son espace, où elles ouvrent une fiche de contact : elles relèvent dès lors de la responsabilité de ce Professionnel et suivent les règles de conservation de ses Dossiers.

6.4. Agenda externe

Le Professionnel peut relier son agenda Synkro à un agenda externe :

• par un lien d'abonnement (format iCalendar) fourni par un autre logiciel d'agenda : la synchronisation se fait alors en lecture seule, Synkro importe les périodes d'indisponibilité pour bloquer les créneaux correspondants et ne transmet aucune donnée à ce logiciel ;
• par une connexion à un agenda Google, uniquement si le Professionnel l'active : la synchronisation est alors bidirectionnelle. Synkro importe les périodes d'indisponibilité et inscrit dans l'agenda Google du Professionnel les rendez-vous pris dans Synkro, avec le nom de la personne concernée et la note du rendez-vous. Ces informations sont alors traitées par Google selon le contrat qui lie le Professionnel à Google.

6.5. Notifications

Les notifications envoyées sur l'appareil mobile d'un utilisateur transitent par le service de notification d'Expo, puis par ceux d'Apple ou de Google. Le texte d'une notification peut comprendre le nom d'une Personne suivie et l'horaire d'un rendez-vous. Les notifications peuvent être désactivées dans les réglages de l'appareil.

7.1. Données du profil santé

Les données relatives aux Patients sont des données de santé au sens de l'article 9 du RGPD. Il s'agit notamment :

• des données d'identification et de contact du Patient ;
• des données du Dossier : anamnèse, antécédents, bilans, notes de séance, prescriptions et suivi d'exercices, documents et médias joints ;
• des réponses aux questionnaires standardisés et des résultats de tests cliniques, y compris les scores calculés automatiquement ;
• des vidéos soumises à l'Analyse biomécanique et de leurs résultats ;
• des rendez-vous ;
• pour le Module administratif, des données décrites à la section « Module administratif : eHealth et MyCareNet ».

Ces règles s'appliquent de la même manière aux sportifs suivis par un Professionnel de santé, y compris hors du cadre du soin.

7.2. Bases légales

Le consentement recueilli à la création du compte Patient porte sur l'utilisation de l'application par le Patient. La tenue du Dossier par le Professionnel ne repose pas sur ce consentement : elle découle des obligations professionnelles et légales du Professionnel. C'est pourquoi le retrait de ce consentement met fin à l'accès du Patient à l'application sans supprimer le Dossier (voir la section « Compte Patient et dossier clinique »).

7.3. Compte Patient et dossier clinique

Le compte Patient (identifiants de connexion, préférences, consentements) est distinct du dossier clinique tenu par le Professionnel.

Lorsqu'un Patient supprime son compte, son accès est désactivé immédiatement, la suppression peut être annulée pendant trente jours au moyen du lien reçu par e-mail, puis le compte est supprimé définitivement (CGU, article 13). Son consentement facultatif à la recherche, s'il l'avait donné, est retiré. Le dossier clinique n'est pas supprimé : il est détaché du compte et reste chez le Professionnel, qui en demeure responsable et reste tenu de le conserver conformément à ses obligations légales. Le Patient n'y a plus accès par l'application. Le retrait du consentement donné à la création du compte s'exerce par la suppression du compte, avec les mêmes effets.

Pour obtenir la rectification ou l'effacement de données de son dossier clinique, le Patient s'adresse à son Professionnel. Le droit à l'effacement peut être limité par l'obligation légale de conservation du dossier (article 17.3.b du RGPD). Synkro assiste le Professionnel dans le traitement de ces demandes.

7.4. Conservation du dossier de patient

Le Professionnel est seul responsable de la conservation du dossier de ses Patients pendant la durée légale. En Belgique, la loi du 22 avril 2019 relative à la qualité de la pratique des soins de santé impose une conservation d'au moins trente ans à compter du dernier contact avec le Patient.

Synkro conserve les Dossiers tant que le compte du Professionnel existe, mais les supprime avec ce compte (voir la section « Durées de conservation »). Le Professionnel doit donc exporter ses Dossiers pour satisfaire à son obligation de conservation, dans les conditions des CGU, article 12.

7.5. Module administratif : eHealth et MyCareNet

Le Module administratif, compris dans les offres « Synkro Clinic + Admin » et « Offre complète », permet au Professionnel d'effectuer par Synkro ses démarches administratives auprès de l'assurance soins de santé, par l'intermédiaire de la plateforme eHealth et du réseau MyCareNet :

• lecture de la carte d'identité électronique (eID) du Patient, au moyen d'un logiciel installé sur l'ordinateur du Professionnel, qui lit les données d'identité de la carte sans code PIN et les transmet à l'application : numéro d'identification de la sécurité sociale (NISS), nom, prénoms, date de naissance, sexe, nationalité et adresse ; la photographie de la carte n'est pas enregistrée ;
• consultation de l'assurabilité (service Member Data) : mutualité d'affiliation, codes titulaires, statut particulier (intervention majorée), régime du tiers payant, inscription éventuelle auprès d'une maison médicale et identification du médecin détenteur du dossier médical global ;
• attestations électroniques de soins (service eAttest) : prestations, dates, codes de nomenclature, montants, numéro d'accord ;
• facturation aux organismes assureurs (service eFact) ;
• demandes d'accord du médecin-conseil (service eAgreement) : code de pathologie, date et auteur de la prescription, pièces jointes, décisions et motifs éventuels de refus.

Synkro conserve les messages échangés avec les organismes assureurs (demandes et réponses, y compris leur contenu déchiffré et leur forme brute signée), afin d'assurer la traçabilité et la preuve des échanges exigées par ces services. Ils sont conservés pendant la durée indiquée à la section « Durées de conservation ».

Pour ces traitements, Synkro agit en qualité de sous-traitant du Professionnel, responsable du traitement. Les destinataires des données sont la plateforme eHealth (authentification et chiffrement des échanges), le réseau MyCareNet et les organismes assureurs, y compris leur médecin-conseil. Chaque Professionnel utilise son propre certificat eHealth ; la clé privée associée est conservée chiffrée dans l'infrastructure de Synkro et n'est utilisée que pour les échanges déclenchés par ce Professionnel. Le NISS n'est utilisé que pour identifier le Patient dans le Dossier et dans ces échanges.

Chaque service requiert un agrément. Les services sont mis à disposition un par un, au fur et à mesure de leur ouverture, sans engagement de date ; l'application indique les services ouverts.

7.6. Utilisation en France

Les données sont hébergées chez Amazon Web Services, dans la région de Paris. Amazon Web Services détient la certification Hébergeur de Données de Santé (HDS) pour l'hébergement d'infrastructure. Synkro n'est pas elle-même certifiée HDS, notamment pour l'administration et l'exploitation du système d'information qu'elle assure. Le Professionnel de santé qui exerce en France apprécie, au regard de l'article L.1111-8 du Code de la santé publique, si le recours à Synkro est compatible avec ses obligations.

8.1. Données du profil sport

Pour les Sportifs suivis par un Professionnel du sport, Synkro traite, pour le compte de ce Professionnel :

• les données d'identification et de contact du Sportif ;
• les données de suivi : discipline, niveau, mensurations et caractéristiques utiles à l'analyse (taille, masse, âge), mesures de performance, observations, séances et enregistrements ;
• les vidéos soumises à l'analyse et leurs résultats (angles articulaires, amplitudes, symétrie, estimations aérodynamiques, comparaison à des référentiels publiés) ;
• le cas échéant, les réponses à des questionnaires et les résultats de tests.

Les données d'un Sportif sont généralement saisies par le Professionnel. Lorsqu'un Sportif dispose d'un accès personnel, ses identifiants de connexion sont traités par Synkro en qualité de responsable du traitement, et la suppression de ce compte n'entraîne pas celle du Dossier tenu par le Professionnel.

Le Professionnel fonde le traitement sur l'exécution du contrat qui le lie au Sportif (article 6.1.b) ou sur son intérêt légitime à assurer l'accompagnement demandé (article 6.1.f).

Synkro Motion n'est pas un dispositif médical (CGU, article 15.2) : les indicateurs fournis ne constituent ni un diagnostic ni un avis médical.

8.2. Données de santé et consentement du Sportif

Certaines informations saisies par le Professionnel (mention d'une blessure, d'une douleur, d'un retour d'indisponibilité, d'un antécédent) peuvent constituer des données relatives à la santé au sens de l'article 9 du RGPD. Leur traitement requiert alors le consentement explicite du Sportif (article 9.2.a), qu'il appartient au Professionnel de recueillir avant tout enregistrement et qui peut être retiré à tout moment. Le retrait du consentement oblige le Professionnel à supprimer ces informations ; il ne remet pas en cause la licéité du traitement effectué auparavant.

8.3. Captation vidéo

Le Professionnel informe le Sportif filmé et recueille son accord préalable. Il ne soumet de vidéo montrant des tiers identifiables qu'avec leur accord et respecte les règles applicables au lieu de captation.

8.4. Structures sportives

Lorsqu'une structure (club, fédération, centre de performance) organise le suivi de ses Sportifs dans une organisation, elle est responsable du traitement des Dossiers de ses Sportifs dans les conditions de la section « Rôles de Synkro et des Professionnels ». Une prestation sur devis peut prévoir des modalités de conservation propres, précisées dans l'accord de traitement correspondant, sans réduire le niveau de protection prévu par la présente politique.

Les vidéos soumises à l'analyse sont stockées dans l'infrastructure d'Amazon Web Services, région de Paris. Elles sont traitées par des modèles de reconstruction du mouvement exécutés dans cette même infrastructure, qui produisent des indicateurs (angles articulaires, amplitudes, symétrie, qualité d'exécution, progression et, pour le cyclisme, estimations aérodynamiques) ainsi que des reconstructions tridimensionnelles. Les indicateurs sont situés par rapport à des référentiels publiés, cités avec leur source. Le service Amazon Bedrock n'intervient pas dans l'Analyse biomécanique.

Les vidéos et les reconstructions servent exclusivement à produire ces indicateurs. Elles ne sont jamais utilisées pour identifier ou authentifier une personne au moyen de ses caractéristiques physiques, et ne constituent donc pas un traitement de données biométriques aux fins d'identification au sens de l'article 9.1 du RGPD.

Les résultats sont présentés au seul Professionnel, qui décide de leur usage. Ils constituent une aide à l'évaluation et jamais un diagnostic ni une prescription automatique : aucune décision produisant des effets juridiques ou affectant la personne de manière significative n'est prise sur le seul fondement de ce traitement (article 22 du RGPD).

Les vidéos et leurs résultats font partie du Dossier et suivent ses règles de conservation. Les vidéos ne sont jamais utilisées pour l'amélioration des algorithmes.

Synkro Clinic propose au Professionnel, à sa demande et pour chaque utilisation, deux fonctions d'assistance reposant sur des modèles d'intelligence artificielle :

• ranger une note de séance : un texte saisi ou dicté librement est réparti dans les sections et les champs de la note ;
• préremplir le Dossier du Patient : un texte libre est réparti dans les champs du Dossier (identité, coordonnées, profession, antécédents, symptômes, activités).

Données transmises. Pour chaque demande sont transmis : le texte à ranger, la consigne éventuelle du Professionnel, la structure de la note et le contenu actuel de ses champs (à l'exclusion des questionnaires et tests scorés) et, pour la seconde fonction ou lorsque la répartition entre la note et le Dossier est demandée, la liste des champs du Dossier avec leur contenu actuel, qui peut comprendre l'identité et les coordonnées du Patient. Aucune vidéo, aucun autre document du Dossier et aucune donnée d'un autre Patient ne sont transmis.

Traitement. Les modèles (Amazon Nova Lite par défaut, Anthropic Claude Haiku en option) sont exécutés par le service Amazon Bedrock d'Amazon Web Services, au moyen de profils d'inférence restreints à l'Union européenne, qui peuvent acheminer une demande vers l'une ou l'autre de plusieurs régions AWS situées dans l'Union européenne. Conformément aux conditions de service d'AWS, les contenus soumis ne sont ni conservés par le service ni utilisés pour entraîner des modèles, et les fournisseurs des modèles n'y ont pas accès.

Contrôle du Professionnel. Le résultat est une proposition affichée au Professionnel, avec l'indication des passages du texte d'origine dont chaque élément provient. Le Professionnel en vérifie l'exactitude et reste seul responsable du contenu de ses Dossiers. Aucune décision n'est prise de manière automatisée.

Journal d'utilisation. Pour chaque demande, Synkro enregistre des métriques d'usage (modèle utilisé, nombre de jetons, coût, durée, succès ou erreur) et les identifiants du Professionnel, du Patient et de la note concernés. Le contenu des demandes et des réponses n'est pas conservé. Ce journal est conservé douze mois.

Pour les Professionnels de santé, ces traitements sont réalisés pour le compte du Professionnel, sur la base légale décrite à la section « Bases légales » des dispositions propres aux professionnels de santé.

Statistiques agrégées. Synkro calcule des indicateurs agrégés (nombre d'utilisateurs actifs, fréquence d'utilisation des fonctions, moyennes) qui ne contiennent aucun contenu des Dossiers ni aucun identifiant de personne et ne permettent pas d'identifier une personne. Une fois anonymes, ces statistiques sortent du champ du RGPD (considérant 26).

Mesure d'usage. L'application web transmet à Synkro des événements d'utilisation (écran consulté, fonction utilisée, plateforme), rattachés à un identifiant pseudonymisé qui ne contient ni le nom ni l'adresse e-mail de l'utilisateur. Aucun identifiant de Personne suivie ni aucun contenu n'est transmis. Ce traitement repose sur l'intérêt légitime de Synkro à comprendre l'usage de ses services pour les améliorer (article 6.1.f). Le détail de ces événements est supprimé au bout de quatre-vingt-dix jours ; seules les statistiques agrégées sont conservées au-delà.

Consentement facultatif à la recherche. Un consentement facultatif à l'utilisation de données à des fins de recherche est proposé, par une case distincte, lors de la création du compte d'un Patient, et peut être modifié à tout moment dans les réglages, sans conséquence sur le suivi. Aucune donnée n'est aujourd'hui utilisée à des fins de recherche. Si cela devait changer, seules des données anonymisées seraient utilisées, et la présente politique serait mise à jour au préalable.

Les données ne sont communiquées qu'aux destinataires suivants, dans la limite de ce qui leur est nécessaire.

Au sein des services. Le Professionnel accède aux Dossiers qu'il tient. Dans Synkro Clinic, les membres actifs de son Cabinet accèdent à l'ensemble de ses Dossiers ; dans Synkro Motion, les membres de son Équipe accèdent aux seuls Dossiers dont la portée les inclut (section « Partage au sein d'un Cabinet ou d'une Équipe »). La Personne suivie accède à ses propres données et aux éléments que son Professionnel met à sa disposition. Les personnes chargées de l'exploitation technique de Synkro, tenues à la confidentialité, n'accèdent aux Dossiers qu'en cas de nécessité technique, et cet accès est tracé.

Prestataires et destinataires. Synkro recourt aux prestataires suivants. Ceux qui sont indiqués comme sous-traitants ultérieurs traitent des données des Dossiers pour le compte des Professionnels et sont liés par un contrat conforme à l'article 28 du RGPD ; cette liste est identique à celle du DPA.

Toute modification de la liste des sous-traitants ultérieurs est portée à la connaissance des Professionnels au moins trente jours avant sa prise d'effet, dans les conditions prévues par le DPA.

Autres destinataires.

• Plateforme eHealth, réseau MyCareNet et organismes assureurs, pour le Module administratif (voir la section « Module administratif : eHealth et MyCareNet ») ; ils agissent dans leur propre cadre légal et ne sont pas des sous-traitants de Synkro.
• Autorités publiques, lorsque la loi l'impose.
• En cas de transfert de l'activité de Synkro à une société qui la reprend, cette société, qui sera tenue par la présente politique ; les utilisateurs en sont informés au préalable.

Les Dossiers des Personnes suivies, y compris les vidéos, les résultats d'analyse et les données du Module administratif, sont hébergés dans l'Union européenne. Les demandes d'assistance par intelligence artificielle sont traitées exclusivement dans des régions AWS de l'Union européenne.

Certains prestataires sont établis aux États-Unis ou peuvent y traiter des données : Stripe (données de paiement), Resend (e-mails), Expo (notifications), Vercel (sites internet), Calendly (module de prise de rendez-vous), Google (polices de caractères et, si le Professionnel l'a connecté, agenda). Des éléments issus d'un Dossier peuvent ainsi être transférés : l'adresse e-mail et le nom d'une Personne suivie dans un e-mail, son nom et l'horaire d'un rendez-vous dans une notification et, si le Professionnel l'a connecté, le nom et la note du rendez-vous dans son agenda Google.

Ces transferts sont encadrés, selon le prestataire, par la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE-États-Unis, pour les prestataires certifiés dans ce cadre, ou par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914). Le Royaume-Uni bénéficie d'une décision d'adéquation. Une copie des garanties applicables peut être obtenue auprès du point de contact pour la protection des données.

Le tableau ci-dessous est la seule référence des durées de conservation pour l'ensemble des documents contractuels de Synkro.

Synkro met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment :

• l'hébergement chez Amazon Web Services, région de Paris (eu-west-3), les données étant stockées en France ;
• le chiffrement des échanges (HTTPS, TLS 1.2 au minimum) ;
• le chiffrement au repos de la base de données (AES-256, clés gérées par AWS KMS) et du stockage des fichiers (AES-256), complété par un chiffrement propre à certains champs sensibles, dont le NISS ;
• le hachage des mots de passe (bcrypt) et des jetons de session à durée limitée ;
• le cloisonnement des accès : chaque Professionnel n'accède qu'aux Dossiers qu'il tient et à ceux auxquels les règles de partage de son Cabinet ou de son Équipe lui donnent accès ;
• la journalisation des accès aux Dossiers et l'exclusion des données de santé des journaux techniques ;
• la conservation des secrets, dont les certificats eHealth, dans un coffre chiffré (AWS Secrets Manager) ;
• un accès à l'infrastructure limité aux personnes qui en ont besoin, selon le principe du moindre privilège ;
• des sauvegardes automatiques et une surveillance de l'infrastructure avec alertes.

Les applications conservent sur l'appareil de l'utilisateur les éléments nécessaires à la session et, le cas échéant, les brouillons en cours de rédaction (voir la section « Cookies et stockage local »). Il est recommandé de ne pas utiliser les services sur un appareil partagé sans se déconnecter.

En cas de violation de données, Synkro notifie l'Autorité de protection des données dans les conditions de l'article 33 du RGPD pour les traitements dont elle est responsable, informe les personnes concernées lorsque l'article 34 l'exige et, pour les données traitées pour le compte d'un Professionnel, informe celui-ci dans les délais prévus par le DPA.

La règle suivante s'applique à toute Personne suivie mineure, Patient comme Sportif, quel que soit le pays :

• moins de treize ans : le compte est créé et tout consentement est donné exclusivement par le titulaire de l'autorité parentale ;
• de treize à dix-huit ans : le consentement est donné conjointement par le mineur et par le titulaire de l'autorité parentale.

Cette règle est plus protectrice que les seuils prévus par les droits nationaux (treize ans en Belgique, quinze ans en France) ; elle s'applique donc dans tous les cas. Le Professionnel vérifie l'âge de la Personne suivie et recueille les consentements requis avant de lui transmettre un code d'invitation et avant toute captation vidéo.

Les droits d'un mineur de moins de treize ans sont exercés par le titulaire de l'autorité parentale. Ceux d'un mineur de treize à dix-huit ans sont exercés par le mineur ou par le titulaire de l'autorité parentale, sur justificatif ; lorsque la demande porte sur un consentement, elle est formée conjointement.

Vous disposez des droits suivants sur vos données :

• droit d'accès (article 15) : obtenir la confirmation que vos données sont traitées et en recevoir une copie ;
• droit de rectification (article 16) : faire corriger des données inexactes ou incomplètes ;
• droit à l'effacement (article 17), sous réserve des obligations légales de conservation ;
• droit à la limitation du traitement (article 18) ;
• droit à la portabilité (article 20) : recevoir les données que vous avez fournies dans un format structuré (JSON, CSV ou archive ZIP, selon le produit) ;
• droit d'opposition (article 21) aux traitements fondés sur l'intérêt légitime ;
• droit de retirer votre consentement à tout moment, sans que cela remette en cause la licéité du traitement effectué auparavant ;
• droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé (article 22) : les services ne prennent aucune décision de ce type.

Plusieurs de ces droits s'exercent directement dans l'application : export des données, modification du profil, retrait du consentement à la recherche dans les réglages, suppression du compte. Pour toute autre demande, écrivez au point de contact pour la protection des données : dpo@synkroclinic.com. Synkro peut demander un justificatif d'identité en cas de doute raisonnable. Une réponse est apportée dans un délai d'un mois à compter de la réception de la demande, prolongeable de deux mois en cas de demande complexe ou nombreuse, avec information préalable (article 12.3).

Pour les données d'un Dossier tenu par un Professionnel, la demande doit être adressée à ce Professionnel, responsable du traitement ; si elle parvient à Synkro, celle-ci la lui transmet et l'assiste pour y répondre.

Vous pouvez introduire une réclamation auprès de l'Autorité de protection des données (APD), rue de la Presse 35, 1000 Bruxelles, contact@apd-gba.be, www.autoriteprotectiondonnees.be, ou auprès de l'autorité de contrôle de votre pays de résidence ou de travail (en France, la Commission nationale de l'informatique et des libertés, www.cnil.fr).

Conformément à l'article 129 de la loi belge du 13 juin 2005 relative aux communications électroniques, le stockage d'informations sur votre appareil, ou l'accès à des informations qui y sont stockées, requiert votre consentement, sauf lorsqu'il est strictement nécessaire à la fourniture du service que vous avez expressément demandé.

Applications. Les applications Synkro Clinic et Synkro Motion ne déposent pas de cookies. Elles utilisent le stockage local du navigateur ou le stockage sécurisé de l'appareil mobile pour les seuls éléments strictement nécessaires : jetons de session et informations de profil permettant de rester connecté, langue, préférences d'affichage (onglets, vues, agenda), organisation active et brouillons en cours de rédaction, dont des brouillons de notes pouvant contenir des données du Dossier. Ces éléments restent sur l'appareil jusqu'à la déconnexion, jusqu'à leur remplacement ou jusqu'à ce que l'utilisateur les efface dans les réglages de son navigateur. Ils ne nécessitent pas de consentement.

Site internet. Le site synkroclinic.com dépose un seul cookie, strictement nécessaire, qui mémorise la langue d'affichage pendant la session. Il utilise le stockage de session du navigateur pour conserver le contenu d'un formulaire de réservation en cours de saisie, y compris les réponses au questionnaire préalable, jusqu'à son envoi, et le stockage local pour mémoriser le mode d'affichage de l'annuaire. Lorsque vous l'autorisez dans votre navigateur, votre position est utilisée pour afficher les Professionnels proches de vous. Le site n'utilise aucun outil de mesure d'audience, aucun cookie publicitaire et aucun traceur de profilage.

Contenus de tiers. Les cartes et la recherche d'adresses de l'annuaire reposent sur les serveurs de la Fondation OpenStreetMap (OpenStreetMap et Nominatim), et les polices des applications sont chargées depuis Google Fonts (voir la section « Destinataires et sous-traitants ultérieurs »). Le module de prise de rendez-vous de Calendly, intégré aux sites internet, peut déposer ses propres cookies selon sa politique.

Toute utilisation future de cookies ou traceurs non nécessaires sera précédée d'une information claire et d'un recueil de votre consentement.

Synkro peut modifier la présente politique pour tenir compte de l'évolution des services ou de la réglementation. En cas de modification substantielle, les utilisateurs en sont informés dans l'application et par e-mail au moins trente jours avant son entrée en vigueur. La version en vigueur est accessible à tout moment dans l'application et sur le site internet.

La présente Politique de confidentialité est rédigée en français. Des traductions en anglais et en néerlandais sont mises à disposition à titre informatif. En cas de divergence entre la version française et une traduction, la version française fait foi.

La présente Politique de confidentialité est soumise au droit belge. À défaut de solution amiable, les tribunaux de l'arrondissement judiciaire de Bruxelles sont seuls compétents, sans préjudice des règles impératives qui protègent les consommateurs et des droits que les personnes concernées tiennent de l'article 79 du RGPD.