Politique de confidentialité

La présente politique explique quelles données collectent l’application mobile myBrux (Android et iOS), l’espace médecin et le site mybrux.com, pourquoi nous les collectons, à qui nous les transmettons, combien de temps nous les conservons et quels sont vos droits. Nous nous sommes efforcés d’écrire simplement. Si quelque chose n’est pas clair, écrivez-nous.

1. Qui est le responsable du traitement

Le responsable du traitement de vos données à caractère personnel est WM Group Wojciech Czyż, ul. Brzozowa 12, 43-230 Goczałkowice-Zdrój, Pologne, numéro d’identification fiscale polonais (NIP) : 6381848290, exploitant de l’application myBrux. Dans la présente politique, « nous » désigne WM Group Wojciech Czyż.

SpaceIT Jakub Moskwa est le développeur et l’éditeur de l’application sur l’App Store et Google Play. Il la conçoit et la maintient pour notre compte.

Pour toute question relative aux données à caractère personnel, écrivez à [email protected].

2. Qu’est-ce que myBrux

myBrux est un outil éducatif qui aide à prendre conscience de la position de la mâchoire et des habitudes liées au bruxisme. Il s’appuie pour cela sur de courts rappels dans la journée, un journal de la douleur, des exercices de relaxation et des statistiques.

• myBrux n’est pas un dispositif médical. Il ne diagnostique pas, ne traite pas et ne remplace pas une consultation chez un médecin ou un dentiste.
• L’application est destinée uniquement aux personnes majeures (18+).
• Nous n’affichons pas de publicité et ne vendons pas de données. L’application n’utilise aucun outil d’analyse ni de suivi et, sur le site mybrux.com, Google Analytics ne fonctionne qu’avec votre accord.

3. Quelles données nous collectons

3.1. Données du compte

• votre adresse e-mail ainsi que vos nom et prénom (ou le nom que vous indiquez) ;
• votre mot de passe, si vous créez un compte avec votre e-mail. Nous le conservons uniquement sous forme d’empreinte sécurisée (hash), jamais en clair ;
• si vous vous connectez avec Google ou Apple : l’identifiant de votre compte Google ou Apple, ainsi que l’e-mail et le prénom que ce service nous transmet. Apple peut transmettre une adresse de substitution si vous choisissez l’option « Masquer mon adresse e-mail ». Nous ne recevons jamais votre mot de passe Google ou Apple ;
• votre identifiant utilisateur myBrux, la date de création du compte, l’information indiquant si vous avez terminé le questionnaire initial et le type de système (Android ou iOS) enregistré avec la session de connexion.

3.2. Questionnaire initial

Lors du premier lancement, nous vous demandons de remplir un court questionnaire afin d’adapter l’application et les rappels à vos besoins. Nous collectons :

• la tranche d’âge (à partir de 18 ans), le genre (vous pouvez choisir « je préfère ne pas répondre »), le type d’activité quotidienne (si vous choisissez « autre », vous pouvez la décrire avec vos propres mots) ;
• le niveau de stress, la fréquence à laquelle vous ressentez de la tension ou de la pression, la fréquence de votre activité physique, la régularité de votre sommeil ;
• vos heures de réveil et de coucher. Elles déterminent la plage pendant laquelle nous envoyons les rappels ;
• les symptômes et antécédents : fréquence des douleurs à la mâchoire, aux tempes ou au visage, fatigue matinale des muscles masticateurs, grincement nocturne des dents remarqué, serrement des dents pendant la journée, habitudes (morsure de la joue ou des lèvres, langue entre les dents), port d’une gouttière, appareil orthodontique ou prothèse dentaire, troubles de l’articulation temporo-mandibulaire (DTM).

3.3. Données que vous enregistrez en utilisant l’application

• réponses aux rappels : ce que fait votre mâchoire à cet instant (repos, léger contact dentaire, serrement, grincement, crispation sans contact dentaire, mordillement de la langue ou des lèvres, mastication sans raison), avec l’heure de la réponse et le lien avec le rappel concerné ;
• journal de la douleur : date, localisations de la douleur (p. ex. articulation temporo-mandibulaire, masséters, tempes, zone sous le menton, cou, mal de tête) et côté, intensité sur une échelle de 1 à 10 (0 correspond à une journée sans douleur), type de douleur, symptômes associés (raideur matinale, fatigue des masséters, douleur en mangeant, ouverture limitée de la bouche) et notes facultatives ;
• exercices de relaxation : type d’exercice, s’il a été terminé, sa durée et s’il a été lancé depuis un rappel ;
• statut du programme de rappels : début, fin, nombre de jours ;
• statistiques et « score mâchoire » calculés à partir des données ci-dessus.

Les données des points 3.2 et 3.3 peuvent révéler des informations sur votre santé. Il s’agit d’une catégorie particulière de données (article 9 du RGPD). Nous les traitons donc avec une prudence particulière.

3.4. Paramètres et données techniques

• horaires des notifications, fuseau horaire (réglé automatiquement à partir du téléphone ou choisi manuellement), langue de l’application ;
• jeton de notifications push, c’est-à-dire un identifiant aléatoire qui nous permet d’envoyer des rappels sur votre appareil ;
• information sur l’association avec un médecin (lequel et depuis quand), si vous utilisez cette fonction ;
• données techniques enregistrées par le serveur lors des connexions avec l’application (adresse IP, date et heure, type de requête), à des fins de sécurité.

3.5. Correspondance

Si vous nous écrivez, nous traitons votre adresse e-mail et le contenu de votre message.

3.6. Données conservées uniquement sur votre téléphone

• le jeton de connexion et les données de base du profil (prénom, e-mail, identifiant) dans le stockage chiffré du système (iOS Keychain / Android Keystore). Ils sont supprimés lors de la déconnexion ;
• le thème choisi (clair ou sombre) et, pendant une courte durée, une réponse à un rappel qui n’a pas encore pu être envoyée (p. ex. en l’absence de connexion internet).

3.7. Ce que nous ne collectons pas

Nous ne collectons ni localisation GPS, ni contacts, ni photos, ni enregistrements, ni identifiants publicitaires. L’application n’utilise aucun outil externe de publicité ou d’analyse. Nous ne vendons pas de données et ne les utilisons pas à des fins de marketing.

3.8. Achats intégrés

Si vous achetez myBrux Plus, le paiement est géré par l’App Store ou Google Play. Nous ne voyons pas les données de votre carte. Nous recevons une information sur l’achat et son statut, liée à votre compte.

3.9. Comptes médecins

Si vous utilisez l’espace médecin, nous traitons vos nom et prénom, votre adresse e-mail, votre spécialité, votre numéro professionnel (si vous l’indiquez), les données d’abonnement et les invitations envoyées aux patients, y compris l’adresse e-mail ou le numéro de téléphone du patient que vous indiquez.

3.10. Site mybrux.com

Le site ne comporte aucun formulaire. Cloudflare, qui le diffuse, traite des données techniques de connexion (notamment l’adresse IP) à des fins de sécurité.

Si vous donnez votre accord, nous utilisons Google Analytics 4 pour savoir comment le site est utilisé : pages consultées, provenance des visiteurs et appareils utilisés. Google reçoit alors des données sur votre appareil et votre navigateur, les pages consultées, votre localisation approximative et des identifiants enregistrés dans des cookies. L’adresse IP sert à estimer la localisation et n’est pas enregistrée dans Google Analytics. Nous n’utilisons pas ces données à des fins publicitaires et ne les associons pas à votre compte dans l’application. Voir aussi comment Google utilise les données des sites qui font appel à ses services.

Tant que vous n’avez pas donné votre accord, le site ne se connecte pas à Google Analytics et n’enregistre pas ses cookies. Vous pouvez modifier votre décision à tout moment avec le bouton « Paramètres des cookies » en bas de page. Le retrait de votre accord supprime les cookies de Google Analytics de votre navigateur et ne remet pas en cause la licéité du traitement antérieur.

Cookies utilisés sur le site :

• mybrux_consent : mémorise votre décision pendant 6 mois. Il est strictement nécessaire et ne requiert donc pas d’accord ;
• _ga et _ga_* : cookies de Google Analytics qui distinguent les visiteurs et les sessions, jusqu’à 2 ans. Uniquement avec votre accord.

4. D’où proviennent vos données

Vous fournissez vous-même la plupart des données dans l’application. Lorsque vous vous connectez avec Google ou Apple, ces sociétés nous transmettent l’identifiant du compte, l’e-mail et le prénom. L’application lit le fuseau horaire, la langue et le jeton de notifications sur votre appareil.

5. Finalités et bases juridiques

Nous traitons les données conformément au RGPD (règlement (UE) 2016/679) :

Compte et fonctionnement de l’application

Ce que nous faisons : créer et gérer votre compte, vous connecter, enregistrer vos entrées, calculer les statistiques, envoyer les rappels.

Données : données du compte, paramètres, jeton de notifications.

Base juridique : article 6, paragraphe 1, point b), du RGPD, c’est-à-dire l’exécution du contrat d’utilisation de l’application.

Données de santé

Ce que nous faisons : enregistrer et analyser le questionnaire, les réponses aux rappels, le journal de la douleur, les exercices et les statistiques, afin que l’application puisse fonctionner.

Base juridique : article 9, paragraphe 2, point a), lu en combinaison avec l’article 6, paragraphe 1, point a), du RGPD, c’est-à-dire votre consentement explicite, que vous donnez dans l’application avant de remplir le questionnaire initial. Vous pouvez le retirer à tout moment (voir le point 9).

Partage des données avec un médecin

Ce que nous faisons : donner accès à vos données à un médecin ou à un dentiste qui utilise myBrux.

Base juridique : article 9, paragraphe 2, point a), du RGPD, c’est-à-dire votre consentement explicite, que vous donnez en saisissant le code d’invitation du médecin ou en nous demandant d’associer votre compte à un médecin. Pour le retirer, retirez l’association avec le médecin.

Comptes médecins et facturation

Ce que nous faisons : gérer le compte médecin, gérer l’abonnement et émettre les documents comptables.

Base juridique : article 6, paragraphe 1, point b), du RGPD (exécution du contrat) et article 6, paragraphe 1, point c), du RGPD (obligations comptables et fiscales).

Sécurité

Ce que nous faisons : protéger le service contre les abus et diagnostiquer les erreurs (journaux du serveur et rapports d’erreurs).

Base juridique : article 6, paragraphe 1, point f), du RGPD, c’est-à-dire notre intérêt légitime à assurer la sécurité du service.

Statistiques du site

Ce que nous faisons : avec votre accord, nous mesurons la façon dont le site mybrux.com est utilisé afin de l’améliorer (Google Analytics 4).

Base juridique : article 6, paragraphe 1, point a), du RGPD, c’est-à-dire votre consentement. L’enregistrement et la lecture de cookies sur votre appareil requièrent aussi un consentement (article 5, paragraphe 3, de la directive vie privée et communications électroniques). Vous pouvez le retirer avec le bouton « Paramètres des cookies » en bas de page.

Contact et exercice de vos droits

Ce que nous faisons : répondre aux messages et traiter les demandes, p. ex. d’accès aux données ou d’effacement.

Base juridique : article 6, paragraphe 1, point c), du RGPD (obligation légale découlant du RGPD) et article 6, paragraphe 1, point f), du RGPD (intérêt légitime à communiquer avec les utilisateurs).

La fourniture des données est facultative, mais sans les données du compte et les données enregistrées dans l’application, nous ne pouvons pas fournir le service.

6. À qui nous transmettons les données

Nous transmettons des données uniquement aux entités sans lesquelles l’application ne pourrait pas fonctionner, et uniquement dans la mesure nécessaire :

• SpaceIT Jakub Moskwa, développeur et éditeur de l’application, qui conçoit et maintient l’application, l’espace médecin et les serveurs. Il traite les données uniquement sur nos instructions ;
• fournisseur de serveurs (hébergement), sur lesquels fonctionnent notre API et notre base de données : Hetzner Online GmbH (Allemagne). Il traite les données uniquement sur nos instructions ;
• Cloudflare (Cloudflare, Inc., États-Unis), par lequel passe le trafic vers l’application, l’espace médecin et le site, et qui envoie nos e-mails ;
• Backblaze (Backblaze, Inc., États-Unis), où nous conservons les sauvegardes de la base de données ;
• Sentry (Functional Software, Inc., États-Unis), qui collecte les rapports d’erreurs du serveur. Un rapport peut contenir l’identifiant de l’utilisateur, l’adresse IP et les détails de la requête ;
• RevenueCat (RevenueCat, Inc., États-Unis), qui gère le statut des achats de myBrux Plus ;
• Stripe (Stripe Payments Europe Ltd., Irlande), qui gère les paiements des abonnements des médecins ;
• SMSAPI (LINK Mobility Poland sp. z o.o.), qui envoie les SMS d’invitation si le médecin choisit cette option. Il reçoit le numéro de téléphone et le code d’invitation ;
• Expo (650 Industries, Inc., États-Unis), c’est-à-dire le service Expo Push Notifications, par lequel nous envoyons les rappels. Il reçoit le jeton de notifications et le contenu de la notification. Le contenu des rappels est de nature générale (p. ex. une invitation à vérifier la position de la mâchoire) ;
• Google : Firebase Cloud Messaging distribue les notifications sur les téléphones Android ; connexion avec Google, si vous la choisissez ;
• Apple : Apple Push Notification service distribue les notifications sur les iPhone ; connexion avec Apple, si vous la choisissez ;
• votre médecin ou votre dentiste qui utilise myBrux, uniquement si vous saisissez vous-même son code d’invitation ou si vous nous demandez de faire cette association (Paramètres → Partage des données). Le médecin a accès aux données que vous enregistrez dans l’application. Vous pouvez retirer cet accès à tout moment : Paramètres → Partage des données → Retirer l’association avec le médecin. Si le médecin transfère des données dans son propre dossier médical, il en répond en tant que responsable du traitement distinct ;
• fournisseur de messagerie que nous utilisons, pour la correspondance avec vous ;
• autorités publiques, uniquement lorsque la loi l’exige.

Lorsque vous vous connectez avec Google ou Apple, ces sociétés agissent en tant que responsables du traitement distincts pour les données de votre compte Google ou Apple. Leurs propres politiques de confidentialité s’appliquent alors également.

Si vous acceptez les statistiques du site, les données relatives à son utilisation sont aussi transmises à Google Ireland Limited (Irlande), fournisseur de Google Analytics, qui les traite pour notre compte.

7. Transferts de données hors de l’EEE

Notre API et notre base de données fonctionnent sur des serveurs situés en Finlande.

Expo, Google, Apple, Cloudflare, Backblaze, Sentry, RevenueCat et Stripe peuvent traiter une partie des données (principalement le jeton de notifications, le contenu des notifications, les données de connexion, les données techniques et les données d’achat) aux États-Unis ou dans d’autres pays situés hors de l’Espace économique européen. Ces transferts reposent sur les mécanismes prévus par le RGPD : une décision d’adéquation de la Commission européenne (EU-US Data Privacy Framework, pour les sociétés qui y ont adhéré) ou des clauses contractuelles types approuvées par la Commission. Sur demande, nous vous communiquerons les garanties mises en œuvre. Cela vaut aussi pour les données de Google Analytics si vous acceptez les statistiques du site.

8. Durée de conservation des données

• Données du compte et toutes les données enregistrées dans l’application : tant que vous avez un compte. Après la suppression du compte, nous les effaçons immédiatement de la base de données, et elles disparaissent des sauvegardes dans un délai de 30 jours.
• Association avec un médecin : jusqu’à ce que vous la retiriez ou que vous supprimiez votre compte.
• Jeton de notifications : jusqu’à la suppression du compte ou son remplacement par un nouveau jeton.
• Journaux du serveur : jusqu’à 14 jours.
• Correspondance : pendant le temps nécessaire au traitement de la demande, puis pas plus de 12 mois (p. ex. pour démontrer que nous avons donné suite à votre demande).
• Données de facturation des médecins : pendant la durée exigée par la législation fiscale, généralement 5 ans à compter de la fin de l’année fiscale.
• Données sur le téléphone : jeton de connexion et données du profil jusqu’à la déconnexion, autres paramètres jusqu’à la désinstallation de l’application.
• Statistiques du site (Google Analytics) : jusqu’à 14 mois, si vous les acceptez.

9. Vos droits

Vous avez le droit :

• d’accéder à vos données et d’en recevoir une copie ;
• de faire rectifier (corriger) vos données ;
• de faire effacer vos données ;
• de demander la limitation du traitement ;
• à la portabilité des données, c’est-à-dire de les recevoir dans un format structuré et couramment utilisé ;
• de vous opposer au traitement fondé sur notre intérêt légitime ;
• de retirer votre consentement à tout moment. Ce retrait ne compromet pas la licéité du traitement effectué avant celui-ci. L’application ne peut pas fonctionner sans données de santé : en pratique, retirer votre consentement signifie donc supprimer votre compte et vos données ;
• d’introduire une réclamation auprès de l’autorité de contrôle polonaise, le président de l’Office de protection des données personnelles (Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, Pologne, uodo.gov.pl), ou auprès de l’autorité de contrôle du pays de l’UE où vous résidez ou travaillez.

Comment exercer vos droits

• Dans l’application : Paramètres → Questionnaire initial (consulter et remplir à nouveau le questionnaire), Paramètres → Horaires des notifications, Paramètres → Partage des données (retirer l’accès du médecin), Paramètres → Informations du compte → Supprimer le compte.
• Par e-mail : [email protected], de préférence depuis l’adresse associée à votre compte. Nous répondons dans les meilleurs délais et au plus tard dans un délai d’un mois. Dans des cas exceptionnels, ce délai peut être prolongé de deux mois ; nous vous en informerons alors. Nous pouvons vous demander de confirmer votre identité.

Instructions détaillées pour supprimer votre compte : mybrux.com/delete-account.

10. Sécurité

• la communication entre l’application et le serveur est chiffrée (HTTPS) ;
• le jeton de connexion est conservé dans le stockage chiffré du téléphone (iOS Keychain / Android Keystore) ;
• nous conservons les mots de passe uniquement sous forme d’empreinte (hash) ;
• seules les personnes qui en ont besoin ont accès aux données, et un médecin n’y accède qu’après que vous avez saisi son code d’invitation ou que nous avons associé les comptes à votre demande.

Aucun système n’est sûr à 100 %. En cas de violation susceptible de présenter un risque pour vos droits, nous vous en informerons, ainsi que le président de l’UODO (l’autorité de contrôle polonaise), conformément au RGPD.

11. Décisions automatisées

L’application calcule automatiquement les statistiques et le « score mâchoire » uniquement pour votre information (et celle de votre médecin, si vous partagez vos données avec lui). Nous ne prenons à votre égard aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire. Nous ne vous profilons pas à des fins de marketing.

12. Mineurs

L’application myBrux est destinée uniquement aux personnes âgées d’au moins 18 ans. Nous ne collectons pas sciemment de données de mineurs. Si nous apprenons qu’une personne de moins de 18 ans a créé un compte, nous le supprimerons avec ses données.

13. Modifications de la politique

Nous pouvons mettre à jour la présente politique, p. ex. lorsque les fonctions de l’application ou la réglementation changent. La version en vigueur est toujours disponible à l’adresse mybrux.com/privacy-policy, et la date de la dernière modification figure en haut de la page. Nous vous informerons des modifications importantes dans l’application ou par e-mail.

14. Contact

WM Group Wojciech Czyż
ul. Brzozowa 12, 43-230 Goczałkowice-Zdrój, Pologne
Numéro d’identification fiscale (NIP) : 6381848290
E-mail : [email protected]