Politique de confidentialité

1. Qui traite vos données

Le responsable de traitement est La Maison du Bel Âge, EHPAD situé à la Sablière (proche de la Cité des Ailes), Libreville, Gabon.

Le traitement technique est effectué par un sous-traitant : MBA NDONG J Baptiste, développeur indépendant, NIP 45-4143-20010624, joignable à corymba0@gmail.com. Le sous-traitant agit uniquement sur instruction du responsable de traitement.

2. Quelles données nous traitons

Pour les résidents :

• Identité, date de naissance, sexe, groupe sanguin
• Coordonnées du contact de confiance et relations de filiation
• Données médicales : allergies, pathologies, régime alimentaire, médecin traitant, dépendance, plan de soins, prescriptions, historique d'administration des médicaments
• Photos partagées avec les familles (avec accord préalable)
• Volontés en cas de décès (dispositions funéraires, préférences religieuses)
• Facturation liée au séjour

Pour le personnel :

• Identité, coordonnées professionnelles, rôle
• Contrats, salaires, formations, congés

Pour les familles :

• Nom, email, téléphone
• Lien avec le résident concerné
• Historique de connexion à l'espace famille

3. Pourquoi nous traitons ces données

• Base légale principale : exécution du contrat de séjour entre le résident (ou son représentant légal) et l'établissement.
• Obligation légale : tenue du dossier médical, obligations fiscales et comptables, traçabilité de l'administration des médicaments.
• Intérêt vital : possibilité d'intervenir rapidement en cas d'urgence médicale (accès aux allergies, personne de confiance, volontés).
• Consentement : partage de photos avec les familles, envoi de SMS de notification, communication aux proches désignés.

4. Combien de temps

• Dossier résident actif : pendant toute la durée du séjour.
• Après sortie ou décès : conservation pendant 20 ans à des fins probatoires et réglementaires (dossier médical), puis effacement définitif.
• Données comptables : conservation 10 ans (obligation fiscale gabonaise).
• Journaux d'audit : conservation 5 ans, en lecture seule.
• Photos et données de partage famille : effacement dans les 30 jours suivant la fin du séjour, sauf accord explicite pour un archivage familial.
• Comptes du personnel : désactivation immédiate à la fin du contrat, effacement définitif après 5 ans (durée de conservation légale des éléments contractuels).

5. Qui accède à vos données

L'accès aux données est strictement encadré par des règles de rôle (RLS stricte au niveau base de données). Personne n'a un accès non nécessaire à sa mission.

• Direction et administration : accès complet aux dossiers de leur établissement.
• Personnel soignant : accès aux dossiers médicaux et de soins, pas à la comptabilité.
• Familles : accès exclusivement au résident qui leur est formellement rattaché ; aucun accès aux autres résidents ni au personnel.
• Sous-traitant technique (MBA NDONG J Baptiste) : accès d'administration pour maintenance et incidents, tracé dans un journal d'audit immuable.

Nous ne vendons jamais vos données. Elles ne sont partagées avec des tiers que sur demande d'autorité judiciaire ou administrative habilitée (APDPVP, ordre des médecins, justice gabonaise).

6. Où sont-elles

• Base de données Supabase : hébergement Dublin, Irlande (Union Européenne). Chiffrement au repos (AES-256) et en transit (TLS 1.3).
• Application web Vercel : CDN mondial avec point de présence européen prioritaire pour l'accès Gabon.
• Sauvegardes : quotidiennes, conservées 30 jours, chiffrées.

Les données ne sont pas hébergées aux États-Unis. Le sous-traitant Supabase est lié par des clauses contractuelles types (SCC) pour tout transfert international encadré.

7. Vos droits

Conformément à la loi 001/2011 (APDPVP Gabon) et au RGPD (pour les proches résidant en Union Européenne), vous disposez à tout moment des droits suivants :

• Droit d'accès : obtenir une copie complète de vos données au format standard.
• Droit de rectification : corriger toute donnée inexacte ou incomplète.
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données, sous réserve des obligations légales de conservation (dossier médical, comptabilité).
• Droit d'opposition : retirer votre consentement à tout moment pour les traitements basés sur celui-ci (envoi de SMS, partage de photos).
• Droit à la limitation : demander le gel temporaire d'un traitement en cas de contestation.
• Droit à la portabilité : récupérer vos données dans un format structuré et lisible par machine.
• Droit d'introduire une réclamation auprès de l'autorité de protection compétente : APDPVP au Gabon (apdpvp.ga) ou CNIL en France pour les proches expatriés (cnil.fr).

Pour exercer ces droits, écrivez à la direction de La Maison du Bel Âge ou envoyez un email à corymba0@gmail.com. Nous nous engageons à répondre sous 30 jours.

8. Sécurité

• Chiffrement TLS 1.3 pour tous les échanges réseau.
• Chiffrement AES-256 au repos pour toutes les données.
• Authentification à double facteur (TOTP) obligatoire pour les rôles cliniques.
• Isolation stricte par établissement au niveau base de données (Row Level Security PostgreSQL).
• Journal d'audit immuable de toute action sur données sensibles, conservé 5 ans.
• Filtrage automatique des données sensibles avant transmission au service de supervision d'erreurs.
• Sauvegardes chiffrées quotidiennes, testées trimestriellement.
• Rotation des clés d'administration tous les trois mois.

9. Cookies et traceurs

L'application utilise uniquement des cookies techniques strictement nécessaires à son fonctionnement (session d'authentification, préférences utilisateur). Aucun cookie publicitaire ni de suivi comportemental n'est déposé sur votre appareil. Aucun script tiers (Google Analytics, Meta, etc.) n'est chargé.

10. En cas d'incident

En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous nous engageons à notifier l'APDPVP dans les 72 heures et à informer directement les personnes concernées si le risque est élevé, conformément à l'article 34 de la loi 001/2011.

11. Modifications

Cette politique peut évoluer. Toute modification substantielle sera notifiée aux utilisateurs concernés au moins 30 jours à l'avance. La version en vigueur est toujours accessible à cette URL, avec sa date de dernière mise à jour.