Politique de confidentialité

1. Qui sommes-nous ?

Relevoo, sas (société par actions simplifiée) dont le siège est situé 14 Boulevard de Saigon, 13010 Marseille, France, édite le service Relevoo, destiné aux professionnels infirmiers. Pour toute question relative aux données personnelles : legal@relevoo.com.

2. Deux rôles distincts

La lecture de cette politique suppose de distinguer deux catégories de données :

• Les données des utilisateurs professionnels (compte, facturation, usage) : Relevoo est responsable de traitement et cette politique s'applique directement.
• Les données des patients saisies par les professionnels dans l'application : le professionnel ou son cabinet est responsable de traitement et Relevoo agit comme sous-traitant (article 28 RGPD), dans les conditions de l'accord de sous-traitance annexé aux CGU. Si vous êtes patient d'un cabinet utilisant Relevoo, adressez vos demandes d'exercice de droits à votre cabinet ; toute demande reçue directement par Relevoo lui sera transmise.

Cette répartition commande un troisième cas. Un professionnel titulaire peut ouvrir un accès en lecture seule à la personne à laquelle il confie l'établissement de ses factures et ses télétransmissions. Ce gestionnaire de facturation est un destinataire que le professionnel désigne lui-même, en sa qualité de responsable de traitement : c'est avec lui, et non avec Relevoo, qu'il conclut le contrat exigé par l'article 28 du RGPD, et c'est à lui qu'il appartient de l'informer, de le mandater et de lui retirer l'accès. Relevoo n'est pas partie à cette relation et ne sous-traite à ce gestionnaire aucune partie de sa propre prestation : elle ouvre le canal technique de l'accès, en journalise les consultations et en applique les limites décrites à l'article 5.

3. Données traitées, finalités et bases légales

En qualité de responsable de traitement, Relevoo traite :

• Compte et fourniture du service — identité, email, téléphone, rôle professionnel, cabinet, adresse professionnelle, photo de profil ; identifiants professionnels (numéro ordinal, numéro RPPS, numéro et date d'autorisation de remplacement, caisse de rattachement) ; profil de remplacement (années d'expérience, secteurs d'intervention, expertises cliniques) ; adresse personnelle lorsque vous la renseignez pour l'établissement d'un contrat de remplacement ; codes de connexion à usage unique, tickets de connexion et défis d'authentification, tous à usage unique et de courte durée ; clés publiques des passkeys que vous enregistrez sur vos appareils, avec le libellé que vous leur donnez et la date de leur dernier usage ; lorsque vous vous identifiez par Pro Santé Connect, votre identité d'exercice vérifiée par l'Agence du numérique en santé (nom et prénom d'exercice, civilité, numéro RPPS, situation d'exercice avec le nom et l'adresse de vos sites d'exercice), qui remplace alors les nom, prénom et RPPS déclarés et ne peut plus être modifiée. Les adresses que vous saisissez sont complétées et converties en coordonnées géographiques par le service public de géocodage de la Géoplateforme (IGN, France). Base légale : exécution du contrat.
• Réseau Relevoo — commune, code postal et coordonnées géographiques dérivées de votre adresse professionnelle, afin de vous présenter les professionnels inscrits les plus proches et de calculer une distance approximative. L'inscription au Réseau est facultative et peut être désactivée à tout moment depuis votre profil ; tant qu'elle n'est pas activée, aucune de ces données n'est visible par d'autres utilisateurs. Base légale : exécution du contrat, pour une fonctionnalité activée à votre demande.
• Contrats de remplacement — identité et identifiants professionnels des deux parties, adresse personnelle, dates et conditions de la mission, signatures manuscrites numérisées et leurs horodatages, aux fins d'établissement, de signature et de conservation du contrat conclu entre Utilisateurs. Relevoo n'est pas partie à ce contrat : elle fournit le modèle, le dispositif de signature et la conservation des exemplaires signés. Base légale : exécution du contrat.
• Facturation et abonnement — historique d'abonnement et de paiement (les données de carte bancaire sont traitées exclusivement par le prestataire de paiement). Base légale : exécution du contrat et obligations légales comptables.
• Messagerie professionnelle — comptes participants, horodatages et acheminement des conversations. Le contenu des messages et des pièces jointes relatif à un patient relève du régime de sous-traitance décrit aux articles 2 et 4 : Relevoo l'héberge pour le compte du cabinet et ne l'exploite à aucune autre fin. Une conversation ouverte via le Réseau Relevoo réunit des professionnels de cabinets différents : elle n'est alors pas cloisonnée par cabinet, mais par sa seule liste de participants, que l'utilisateur qui l'ouvre détermine seul. Il lui appartient, dans ce cas, de s'assurer du consentement préalable du patient lorsque son correspondant ne fait pas partie de la même équipe de soins. Base légale : exécution du contrat.
• Mesure d'usage de l'application — événements d'utilisation (écrans consultés, actions réalisées) associés à un identifiant utilisateur, via l'outil PostHog dont les données sont hébergées dans l'Union européenne. Aucune donnée patient n'est transmise à cet outil. Base légale : consentement, recueilli dans l'application et modifiable à tout moment depuis le profil.
• Mesure d'audience du site www.relevoo.com — pages consultées, provenance et paramètres de campagne, via PostHog, sans cookie ni identifiant persistant : l'outil est configuré en mémoire de la session de navigation. Cette mesure est réalisée pour notre seul compte, sans recoupement avec d'autres traitements ni suivi entre sites. Base légale : intérêt légitime consistant à mesurer l'audience de notre site ; vous pouvez vous y opposer en écrivant à legal@relevoo.com.
• Diagnostic et sécurité — journaux techniques et rapports d'erreurs (Sentry), nécessaires au maintien en conditions opérationnelles. Base légale : intérêt légitime consistant à assurer la disponibilité, l'intégrité et la sécurité du service.
• Préinscription à la liste d'attente — email et rôle professionnel laissés via le formulaire de préinscription, ouvert jusqu'en juillet 2026. Ce formulaire a été retiré du site lors de l'ouverture des inscriptions : aucune préinscription n'est plus sollicitée, et aucune ne peut plus être déposée depuis nos pages. Le point d'entrée technique qui recevait ces envois n'a pas été démonté : un envoi direct y resterait accepté, en dehors de toute page du site. Les préinscriptions déjà enregistrées sont conservées jusqu'à leur suppression automatique (voir l'article 6). Base légale : consentement, retirable à tout moment en écrivant à legal@relevoo.com.
• Réponse aux demandes envoyées via le formulaire de contact — email, message et suivi de la demande. Base légale : intérêt légitime consistant à répondre à la demande que vous nous adressez.
• Prospection commerciale auprès de professionnels — email ou téléphone professionnel. Base légale : intérêt légitime consistant à faire connaître un service professionnel à des infirmiers libéraux ; vous pouvez vous y opposer à tout moment, sans motif.
• Parrainage — codes de parrainage et lien parrain-filleul. Base légale : exécution du contrat.
• Origine de l'inscription — canal par lequel vous avez connu le service : paramètres de campagne portés par le lien sur lequel vous avez cliqué, référent transmis par Google Play lors de l'installation, ou réponse que vous donnez à la question facultative posée pendant l'inscription. Une seule valeur est conservée sur votre compte, jamais un historique de navigation, et elle n'est ni recoupée avec un tiers ni utilisée pour du ciblage publicitaire. Base légale : intérêt légitime consistant à mesurer l'efficacité de notre propre communication.
• Annuaires nationaux de professionnels de santé — nom, prénom, spécialité, adresse d'exercice et téléphone professionnel des médecins, issus de l'Annuaire santé Ameli publié par l'Assurance Maladie sous Licence Ouverte ; raison sociale, adresse et téléphone des officines de pharmacie, issus du répertoire FINESS publié par le ministère chargé de la santé sous Licence Ouverte, l'enseigne d'une officine exploitée en nom propre pouvant comporter le patronyme de son titulaire. Ces données permettent à un professionnel utilisateur de retrouver un praticien ou une officine et de pré-remplir la fiche de son annuaire de cabinet, sans ressaisie. Elles sont strictement professionnelles, ne sont jamais rendues publiques ni indexées, et restent accessibles aux seuls utilisateurs authentifiés du service. Base légale : intérêt légitime (coordination des soins). Tout praticien ou pharmacien peut s'opposer à sa présence dans le service, voir la section 7.
• Support et retours utilisateurs — retours envoyés depuis l'application (suggestions, signalements de bugs) et suivi de leur traitement, via l'outil de gestion Plane.so. Aucune donnée patient ne doit figurer dans un retour. Base légale : intérêt légitime consistant à traiter les signalements et à améliorer le service.

Les données signalées comme obligatoires dans les formulaires — nom, prénom, adresse email et rôle professionnel — sont nécessaires à la conclusion et à l'exécution du contrat : sans elles, le compte ne peut être créé ni l'authentification assurée. Les données de facturation sont exigées pour la souscription d'un abonnement payant. Les autres informations (photo de profil, téléphone, adresse professionnelle, identifiants professionnels, activation du Réseau Relevoo) sont facultatives : leur absence limite seulement les fonctionnalités correspondantes, sans autre conséquence.

4. Données de santé et hébergement HDS

Les données des patients (dossiers, traitements, ordonnances, transmissions, photographies et notes vocales liées aux soins) sont hébergées exclusivement en France, chez Clever Cloud SAS, hébergeur titulaire du certificat de conformité « Hébergeur de données de santé » (HDS) prévu à l'article L.1111-8 du Code de la santé publique. Elles sont chiffrées en transit et au repos, cloisonnées par cabinet — à la seule exception des conversations ouvertes via le Réseau Relevoo, qui réunissent des professionnels de cabinets différents et sont cloisonnées par leur liste de participants — et accessibles aux seuls professionnels autorisés. Elles ne sont jamais utilisées à des fins commerciales, publicitaires ou d'analyse d'usage. Dans le cadre des traitements réalisés par Relevoo, elles ne quittent pas cet hébergement : aucun de nos prestataires, en dehors de l'hébergeur, n'y a accès.

Certaines fonctionnalités font toutefois sortir une information relative à un patient de cet hébergement, uniquement lorsque vous les déclenchez et sous votre responsabilité. À la date de la présente mise à jour, ce sont les suivantes :

• L'ouverture d'un itinéraire depuis une fiche transmet l'adresse de destination — qui peut être le domicile d'un patient — à l'application de cartographie que vous choisissez sur votre terminal (Plans d'Apple, Google Maps ou Waze). Cette adresse est alors traitée par l'éditeur de cette application, pour son propre compte et selon ses propres conditions.
• La préparation d'une demande de renouvellement d'ordonnance remet à l'application de messagerie de votre terminal un message pré-rempli comportant le nom et le prénom du patient, la liste de ses traitements et la date de fin de son ordonnance. Ce message est ensuite acheminé par votre fournisseur de messagerie, avec lequel Relevoo n'a aucun lien contractuel.
• L'impression d'un document depuis l'application web — fiche patient ou relève — remet le document complet au système d'impression de votre poste, et de là à l'imprimante ou au service d'impression que vous avez configurés. La fiche patient imprimée comporte, lorsqu'ils sont renseignés, l'adresse et le code d'accès, le numéro de sécurité sociale, la mutuelle et le numéro d'adhérent. Le nom et le prénom du patient constituent en outre le titre de la tâche d'impression, donc le nom du fichier proposé si vous choisissez « Enregistrer au format PDF ».
• Le partage d'un document depuis l'application mobile — fiche patient, relève, synthèse mensuelle, planning, disponibilités ou contrat de remplacement — remet le fichier PDF à l'application que vous choisissez dans la feuille de partage de votre téléphone : messagerie, stockage en ligne, imprimante. Le contenu de ce fichier échappe alors entièrement à Relevoo.
• La transmission d'un contrat de remplacement à l'Ordre national des infirmiers prépare un message dans votre application de messagerie, comportant la référence du contrat, l'identité des deux parties et la période de la mission ; sur mobile, le contrat signé y est joint en PDF, avec les identifiants professionnels des deux parties, l'adresse personnelle de la remplaçante et les deux signatures manuscrites. Le destinataire n'est pas prérempli : vous saisissez vous-même l'adresse de l'Ordre. Ce document ne contient aucune donnée de patient.

Aucune de ces transmissions n'a lieu automatiquement : elles supposent toutes une action de votre part, et il vous appartient d'apprécier leur compatibilité avec vos obligations de secret professionnel.

Les notifications push ne contiennent aucune donnée patient : les notifications relatives aux patients sont délivrées uniquement dans l'application. Les notifications envoyées sur votre terminal comportent un titre, un texte court et un lien interne vers l'écran concerné ; leur libellé est générique pour la messagerie (« Nouveau message »), et peut comporter le nom d'un professionnel, le nom d'un cabinet ou la référence d'un contrat pour les notifications relatives aux remplacements et aux contrats.

5. Destinataires et sous-traitants

Les données ne sont ni vendues ni louées. Elles sont accessibles : (i) aux autres utilisateurs du service, dans les limites de chaque fonctionnalité — membres de votre cabinet (identité, couleur d'assignation, planning et assignations), cabinets consultant l'espace remplacements (identité et contenu de votre candidature), et, si vous activez le Réseau Relevoo, autres professionnels inscrits au Réseau (nom, prénom, rôle, photo, commune et distance approximative, à l'exclusion de votre adresse exacte) ; (ii) aux équipes habilitées de Relevoo ; (iii) aux prestataires listés ci-dessous.

Gestionnaire de facturation désigné par un professionnel titulaire

Un professionnel titulaire peut ouvrir un accès au service à la personne à laquelle il confie l'établissement de ses factures et ses télétransmissions. Cet accès est en lecture seule, disponible depuis la seule application web, limité à l'activité du seul professionnel qui l'a ouvert — à l'exclusion de celle de ses associés, qui ne sont pas concernés — et révocable à tout moment par lui. Il ne donne accès à aucun contenu de soin : ni texte de transmission, ni photographie, ni note vocale. Chaque consultation est enregistrée au journal d'accès décrit à l'article 6, sous une qualité d'acteur distincte de celle des soignants. Cette personne n'est pas notre sous-traitante : elle est celle du professionnel qui l'a mandatée, dans les conditions de l'article 10 bis des CGU. Elle est tenue au secret par le I de l'article L.1110-4 du Code de la santé publique, qui vise toute personne en relation, de par ses activités, avec les professionnels et organismes de santé.

Sous-traitants (article 28 du RGPD), agissant sur nos seules instructions

• Clever Cloud SAS (France) — hébergement de l'application, des bases de données et des fichiers, certifié HDS.
• MailPace (Royaume-Uni — décision d'adéquation de la Commission européenne) — envoi des emails transactionnels (codes de connexion, notifications). Lorsque vous demandez l'export de vos données, l'email qui vous est adressé contient un lien de téléchargement personnel valable six heures ; l'archive exportée, qui peut contenir des dossiers patients, reste stockée chez l'hébergeur certifié HDS en France et n'est jamais transmise à ce prestataire.
• Expo (États-Unis — clauses contractuelles types) — d'une part, préparation et acheminement des notifications push, relayées aux passerelles techniques des systèmes d'exploitation, Apple Push Notification service (Apple Inc., États-Unis) et Firebase Cloud Messaging (Google LLC, États-Unis), qui reçoivent l'identifiant technique de votre terminal et le libellé de la notification, à l'exclusion de toute donnée patient ; d'autre part, distribution des mises à jour de l'application mobile : à son ouverture et à chaque retour au premier plan, l'application interroge le service de mise à jour d'Expo, qui reçoit l'identifiant du projet, la version installée, la plateforme et l'adresse IP du terminal, à l'exclusion de toute donnée de compte ou de patient.
• PostHog (société établie hors Union européenne — clauses contractuelles types ; données hébergées dans l'Union européenne) — mesure d'audience du site et mesure d'usage de l'application.
• Sentry — rapports d'erreurs techniques. Les rapports sont adressés à l'infrastructure européenne de ce prestataire, située en Allemagne, où ils sont conservés : ce flux ne donne lieu à aucun hébergement en dehors de l'Union européenne.
• Plane.so (États-Unis — clauses contractuelles types) — gestion des retours utilisateurs envoyés depuis l'application, hors toute donnée patient.
• Cloudflare (États-Unis — clauses contractuelles types) — gestion technique des noms de domaine, en tant que service DNS faisant autorité pour relevoo.com. Ce prestataire n'achemine aucune requête et n'a accès à aucune donnée du service : le trafic du site, de l'application et de l'API est servi directement par l'hébergeur.
• Institut national de l'information géographique et forestière (IGN) — Géoplateforme (France) : service public de géocodage interrogé lors de la saisie d'une adresse. Seule la chaîne d'adresse saisie est transmise, à l'exclusion de toute identité et de toute donnée de santé.

Tiers agissant comme responsables de leurs propres traitements

• Pro Santé Connect (Agence du numérique en santé, France) — fournisseur d'identité de l'État pour les professionnels de santé, lorsque vous choisissez de vous identifier avec votre carte CPS ou votre e-CPS. Votre navigateur est envoyé sur le service de l'Agence, qui reçoit de nous les seuls paramètres techniques de la demande d'authentification (identifiant de notre application, état, nonce, défi PKCE, adresse de retour) et l'adresse IP de votre terminal ; ce que vous lui présentez pour vous authentifier relève de l'Agence, responsable de son propre traitement. Nous en recevons votre identité d'exercice vérifiée, décrite à l'article 3, et nous fermons la session ouverte chez l'Agence dès que cet échange est terminé. Ce service est proposé à partir de l'activation de notre raccordement en production auprès de l'Agence.
• Revolut — traitement des paiements, pour ses propres obligations réglementaires et de lutte contre la fraude.
• Applications de cartographie et d'itinéraire — Plans (Apple Inc., États-Unis), Google Maps (Google LLC, États-Unis) et Waze. Lorsque vous ouvrez un itinéraire depuis le service, l'adresse de destination et l'adresse IP de votre terminal sont transmises à l'éditeur de l'application que vous choisissez, qui les traite pour son propre compte. Cette transmission résulte de votre action et relève de votre responsabilité : Relevoo n'intervient ni dans ce traitement ni dans le choix de l'application.
• Cartes affichées dans l'application mobile — MapKit (Apple Inc., États-Unis) sur iOS et le kit de développement Google Maps (Google LLC, États-Unis) sur Android. L'écran de détail d'un cabinet affiche une carte centrée sur son adresse : l'affichage de cette carte transmet à l'éditeur concerné les coordonnées géographiques affichées, l'adresse IP et les identifiants techniques de votre terminal. Aucune adresse de patient n'est affichée sur cette carte.
• Votre fournisseur de messagerie électronique — lorsque le service prépare un message dans l'application de messagerie de votre terminal, notamment la demande de renouvellement d'ordonnance et la transmission d'un contrat de remplacement décrites à l'article 4, le message, ses pièces jointes et son contenu sont remis à cette application puis acheminés par le fournisseur que vous avez configuré, qui agit pour son propre compte.
• Le système d'impression et la feuille de partage de votre terminal — lorsque vous imprimez ou partagez un document depuis le service, le fichier est remis au système d'exploitation de votre poste ou de votre téléphone, puis à l'imprimante, au service d'impression ou à l'application que vous désignez. Ces destinataires dépendent de votre configuration et de votre choix : Relevoo ne les connaît pas et n'a aucun lien contractuel avec eux.
• Hôtes des visuels d'articles et d'offres partenaires — les illustrations de la rubrique Actus et du blog peuvent être hébergées sur un site tiers, dont l'adresse est saisie par notre équipe éditoriale. L'affichage de ces images conduit votre navigateur ou votre téléphone à se connecter directement à cet hôte, qui reçoit alors votre adresse IP, votre navigateur et l'origine de la page consultée, à l'exclusion de son adresse complète. Ces hôtes varient selon les contenus publiés et agissent pour leur propre compte.
• Google LLC (États-Unis) — vérification de la connexion à Internet. L'application mobile appelle périodiquement une adresse technique de Google servant de test de connectivité, afin de vous signaler que vous êtes hors ligne. Cette requête ne transporte aucun contenu : seule l'adresse IP de votre terminal est exposée.

Lorsqu'un prestataire est établi en dehors de l'Union européenne, le transfert est encadré par une décision d'adéquation de la Commission européenne ou par ses clauses contractuelles types, selon le mécanisme indiqué ci-dessus pour chaque prestataire. Une copie des clauses contractuelles types applicables peut être obtenue sur simple demande à legal@relevoo.com. Les données patients ne sont concernées par aucun de ces transferts : aucun de nos sous-traitants, en dehors de l'hébergeur certifié HDS situé en France, n'y a accès. Font exception les actions que vous déclenchez vous-même, décrites à l'article 4 — ouverture d'un itinéraire, préparation d'une demande de renouvellement d'ordonnance, impression et partage d'un document —, dont vous conservez la maîtrise et dont la destination dépend de l'application ou du service que vous choisissez.

6. Durées de conservation

• Données de compte : pendant la durée d'inscription, puis suppression définitive quinze jours après la demande de suppression du compte. Cette suppression emporte celle des messages et pièces jointes que vous avez échangés, des jetons de notification de vos terminaux et des données de parrainage associées. Plusieurs éléments y survivent, pour des raisons distinctes, et cette énumération est celle que nous connaissons à la date de mise à jour ci-dessus :
  • Vos factures, détachées de votre compte et privées de votre adresse e-mail : nous sommes tenus de les conserver dix ans au titre de nos obligations comptables, et cette obligation prime sur le droit à l'effacement.
  • Les entrées du journal d'accès décrit plus bas : cette table ne comporte aucune clé étrangère vers votre compte, et la purge de votre compte ne l'atteint pas — votre identifiant d'acteur, l'adresse IP des requêtes, les motifs de route appelés et leurs horodatages y subsistent jusqu'à l'échéance de trois ans. C'est délibéré : un journal qui s'effacerait avec son sujet ne prouverait rien, et c'est précisément ce qui permet d'établir qui a consulté un dossier même après le départ de la personne concernée, comme l'exige la traçabilité des accès aux données de santé.
  • Les relèves de tournée que vous avez rédigées, lorsque le cabinet continue d'exister : votre compte est effacé et la relève est détachée de vous, mais son contenu — passages, notes de soin, photographies, mémos vocaux — demeure dans le suivi des patients concernés, sous la responsabilité du cabinet. Ce sont les données de ses patients, non les vôtres, et les effacer priverait l'équipe qui prend la suite du suivi des soins.
  • Les contrats de remplacement auxquels vous avez été partie, jusqu'au terme des cinq ans indiqués plus bas, avec votre nom figé au moment de la signature et votre signature manuscrite. C'est le prix de la valeur probante du contrat pour l'autre partie, comme pour les factures.
  • Certaines traces techniques d'authentification et de paiement : codes de connexion déjà utilisés ou expirés, demandes de connexion par QR jamais approuvées, états et jetons du flux Pro Santé Connect, identités Pro Santé Connect jamais confirmées, événements bruts reçus du prestataire de paiement. Ces tables n'ont aucun lien de clé étrangère vers votre compte : une adresse e-mail, une empreinte de terminal, une adresse IP ou une identité d'exercice chiffrée peut y subsister après la suppression du compte, jusqu'à la purge quotidienne qui supprime chaque ligne trente jours après son expiration ou son utilisation — quatre-vingt-dix jours après leur traitement pour les événements de paiement.
• Données patients : un dossier reste consultable dans l'application pendant cinq ans à compter de la dernière intervention le concernant. Passé ce délai, il bascule automatiquement en archivage : il sort des listes, de la recherche, des tournées, des relèves et des exports, et n'est plus accessible que par une consultation dédiée, elle-même enregistrée. Il est définitivement supprimé quinze ans plus tard, soit vingt ans après la dernière intervention. Ces durées suivent le référentiel de la Commission nationale de l'informatique et des libertés relatif aux durées de conservation dans le domaine de la santé, pour la gestion des cabinets médicaux et paramédicaux.
  Deux événements suppriment un dossier avant ce terme : la suppression du dossier par le cabinet lui-même, qui est immédiate et définitive, et la suppression du compte du dernier membre titulaire du cabinet, qui emporte l'ensemble des dossiers quinze jours après la demande. Dans ce second cas, il appartient au professionnel d'exporter au préalable les dossiers qu'il doit conserver au titre de ses obligations professionnelles ; la fonction d'export est disponible depuis le profil.
  Les copies présentes dans les sauvegardes, sur lesquelles aucune restauration sélective n'est possible, sont conservées de manière isolée et non exploitable et disparaissent au terme du cycle de rétention des sauvegardes de l'hébergeur.
• Contrats de remplacement et signatures : cinq ans à compter du terme de la mission pour les contrats signés, durée de la prescription des actions entre professionnels. Les contrats jamais conclus — brouillons, contrats en attente de signature et contrats annulés avant signature — sont supprimés douze mois après le terme de la mission concernée.
• Pièces de facturation : dix ans à compter de la clôture de l'exercice comptable au cours duquel la facture a été émise (obligation comptable), puis suppression automatique. Une facture émise en 2026 est ainsi conservée jusqu'au 31 décembre 2036.
• Journal d'accès : trois ans, au titre de la traçabilité des accès aux données de santé. Ce journal enregistre une entrée par requête — l'acteur, professionnel ou membre de nos équipes, le cabinet éventuel, la nature et l'identifiant technique de la ressource, l'action, le résultat, le motif de route appelé, l'adresse IP et l'horodatage — et couvre les dossiers patients, les relèves et notes de visite, la messagerie, le planning, les exports de données, les synthèses d'activité, les contrats de remplacement ainsi que l'intégralité des actions de nos équipes dans le back-office. Il ne contient aucun contenu : ni nom de patient, ni corps de message, ni note. Sa couverture n'est pas totale et ne prétend pas l'être : une requête rejetée avant que l'acteur soit identifié — jeton absent, expiré ou invalide — ne laisse pas d'entrée imputable ; la synthèse vocale d'une relève est produite et lue sur votre terminal et échappe par nature à un journal tenu côté serveur ; la table ne comportant aucune clé étrangère, des identifiants de personnes déjà supprimées y subsistent jusqu'à l'échéance ; l'export complet d'une patientèle est journalisé en tant qu'export, sans détailler les dossiers embarqués dans l'archive ; et la consultation d'une relève de tournée est enregistrée sans identifiant de ressource, les écrans de relève étant organisés par soignante et par date et non par patient — seules les écritures sur une visite portent l'identifiant du patient concerné.
• Journaux techniques applicatifs, rapports d'erreurs et données de mesure d'usage : douze mois au maximum. Cette durée est un plafond que nous nous fixons, et non une purge que notre code exécute : ces journaux sortent de nos serveurs vers notre hébergeur, et les rapports d'erreurs comme les mesures d'usage sont conservés par les prestataires correspondants. La durée effective est donc celle configurée chez chacun d'eux ; son alignement sur ce plafond est inscrit à notre plan d'action.
• Retours et signalements envoyés depuis l'application : durée de traitement du retour, puis douze mois.
• Demandes envoyées via le formulaire de contact : un an après leur traitement, et en tout état de cause trois ans au maximum après leur réception.
• Préinscriptions et coordonnées de prospection : trois ans après le dernier contact ; les préinscriptions enregistrées dans le service sont supprimées automatiquement trois ans après leur enregistrement.
• Invitations adressées à un gestionnaire de facturation : l'invitation est valable quatorze jours ; l'adresse email qu'elle porte — celle d'une personne qui n'a pas nécessairement de compte — est supprimée automatiquement quatre-vingt-dix jours après cette échéance, quelle que soit la suite donnée à l'invitation. Le mandat lui-même n'a pas de durée propre : il disparaît lorsque le professionnel le révoque, ou avec le compte de l'une des deux personnes qu'il relie.
• Fiches des annuaires nationaux de professionnels : le temps de l'exploitation du service, avec rafraîchissement périodique depuis la source publique.

7. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données, du droit de retirer à tout moment votre consentement lorsque le traitement repose sur celui-ci — le retrait ne remettant pas en cause la licéité du traitement effectué avant celui-ci — ainsi que du droit de définir des directives relatives à leur sort après votre décès. Pour les exercer, écrivez à legal@relevoo.com ; une réponse vous sera apportée dans un délai d'un mois. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).

Professionnels de santé figurant dans nos annuaires nationaux : si vous êtes médecin et que vos coordonnées professionnelles apparaissent dans le service, vous pouvez vous y opposer à tout moment en écrivant à legal@relevoo.com. Votre fiche cessera d'apparaître dans les résultats de recherche, et cette opposition est conservée : elle ne sera pas annulée par les mises à jour ultérieures du référentiel.

Rappel : pour les données patients, ces droits s'exercent auprès du cabinet qui assure la prise en charge, responsable du traitement.

8. Cookies et traceurs

Le site www.relevoo.com n'utilise aucun cookie publicitaire et ne pratique aucun suivi entre sites. Il met en œuvre une mesure d'audience (PostHog) sans cookie ni identifiant persistant : l'outil est configuré en mémoire de la session de navigation et n'inscrit rien dans votre terminal.

L'application (web et mobile) utilise des traceurs strictement nécessaires à son fonctionnement (session d'authentification, préférence de thème), ainsi que l'outil de mesure d'usage PostHog décrit à l'article 3, qui n'est activé qu'avec votre consentement et peut être désactivé à tout moment depuis votre profil.

L'application conserve en outre sur votre terminal, en dehors de tout cookie, ce qui lui permet de fonctionner d'un écran à l'autre : votre profil et votre photo de profil, votre préférence de thème, et les repères de lecture des relèves — pour chaque tournée, quels patients vous avez déjà consultés et quand. Ces repères comportent donc des identifiants de patients. Sur mobile s'y ajoutent les fichiers que l'application produit pour vous : la lecture vocale d'une relève, les documents PDF que vous prévisualisez ou partagez, et les images de relève affichées, mises en cache. L'ensemble est effacé à la déconnexion, qu'elle soit demandée par vous ou provoquée par l'expiration de votre session.

Nos emails automatiques — code de connexion, information relative à votre abonnement, mise à jour de nos conditions, mise à disposition d'un export — affichent notre logo : le logo de nos emails est chargé depuis le site www.relevoo.com au moment où vous ouvrez le message. Cette requête ne dépose rien sur votre terminal et n'est pas un cookie, mais elle produit le même effet qu'un traceur : le journal d'accès de notre site enregistre alors l'adresse IP de votre client de messagerie ou de son service de chargement d'images, le logiciel qui émet la requête et la date de votre lecture. Nous ne recueillons pas votre consentement pour cette collecte et ne pouvons pas la désactiver à votre place ; bloquer l'affichage des images distantes dans votre messagerie la supprime. L'adresse chargée est la même pour tous les destinataires et pour tous nos messages : elle ne comporte aucun identifiant permettant de vous reconnaître ni de savoir lequel de nos messages a été ouvert. Ces entrées relèvent des journaux techniques mentionnés à l'article 6. Le remplacement de ce logo distant par une image intégrée au message, qui supprimerait cette collecte à la source, est inscrit à notre plan d'action.

Aucune donnée collectée via ces traceurs n'est cédée à des tiers ni utilisée à des fins publicitaires.

9. Sécurité

Relevoo met en œuvre des mesures de sécurité conformes à l'état de l'art : chiffrement des échanges (TLS) et des données au repos, authentification sans mot de passe en deux temps — votre identité par Pro Santé Connect ou par code à usage unique envoyé à votre adresse e-mail, puis votre appareil par une passkey qui exige le déverrouillage du terminal (Face ID, empreinte ou code) —, notification par e-mail des événements de sécurité de votre compte, cloisonnement des données par cabinet — hormis les conversations inter-cabinets du Réseau Relevoo, cloisonnées par leur liste de participants comme indiqué à l'article 4 —, contrôle des accès internes, journalisation et sauvegardes régulières.

10. Évolution de cette politique

Cette politique peut être mise à jour pour refléter l'évolution du service ou de la réglementation. La date de dernière mise à jour figure en tête de page ; en cas de modification substantielle, les utilisateurs en sont informés dans l'application ou par email.