Politique de Confidentialité
Version en vigueur — Dernière mise à jour : 21 septembre 2026
Responsable du traitement : ErgoConnect · BCE BE 0780.483.873 · contact@ergoconnect.be
En résumé — ce qui compte le plus
- 🔒 Vos données de santé sont accessibles uniquement à votre ergothérapeute et à vous.
- 📧 Si un thérapeute crée un dossier en votre nom, vous en êtes informé(e) automatiquement par email.
- 🗑 Vous pouvez demander la suppression de vos données à tout moment via un lien de confirmation sécurisé.
- 🚫 Nous ne vendons jamais vos données. Jamais.
- ⚖️ Droit applicable : droit belge. Autorité de contrôle : CPDP.
1. Qui sommes-nous ?
ErgoConnect est une plateforme numérique de mise en relation entre ergothérapeutes, patients, bandagistes et structures paramédicales, opérant en Belgique.
Responsable du traitement : ErgoConnect, Société à responsabilité limitée (SRL)
Siège social : Avenue du Château 28, 1081 Koekelberg, Belgique
N° BCE : BE 0780.483.873
Délégué à la Protection des Données (DPD) : contact@ergoconnect.be
Droit applicable : RGPD (UE) 2016/679 + loi belge du 30 juillet 2018
La présente politique s'applique à toutes les personnes dont ErgoConnect traite les données : utilisateurs inscrits (patients, thérapeutes, bandagistes, entrepreneurs), visiteurs non inscrits, et toute personne dont les données ont été renseignées par un tiers (patients fantômes).
2. Données collectées et bases légales
2.1 Données de compte (tous les utilisateurs)
| Donnée | Finalité | Base légale (RGPD) |
|---|---|---|
| Adresse email | Authentification, notifications | Exécution du contrat (Art. 6§1b) |
| Mot de passe (haché) | Sécurité du compte | Exécution du contrat (Art. 6§1b) |
| Prénom, nom | Identification, profil | Exécution du contrat (Art. 6§1b) |
| Numéro de téléphone | Contact, confirmation RDV | Exécution du contrat (Art. 6§1b) |
| Date de naissance | Vérification âge, contexte thérapeutique | Exécution du contrat (Art. 6§1b) |
| Adresse postale | Géolocalisation, mise en relation | Exécution du contrat (Art. 6§1b) |
| Photo de profil | Identification visuelle (optionnel) | Consentement (Art. 6§1a) |
2.2 Données professionnelles (Praticiens uniquement)
| Donnée | Finalité | Base légale (RGPD) |
|---|---|---|
| Numéro INAMI | Vérification qualifications légales | Obligation légale (Art. 6§1c) |
| Domaines de compétence | Recherche et mise en relation | Exécution du contrat (Art. 6§1b) |
| Adresses de cabinet | Géolocalisation, annuaire | Exécution du contrat (Art. 6§1b) |
| Langues parlées, disponibilités | Matching patient-thérapeute | Exécution du contrat (Art. 6§1b) |
2.3 Données techniques (tous les visiteurs)
| Donnée | Finalité | Base légale (RGPD) |
|---|---|---|
Tokens de session (cookies sb-*) | Maintien de la connexion sécurisée | Strictement nécessaire — exemption ePrivacy |
| Données de performance (Vercel Analytics) | Amélioration technique de la plateforme | Consentement (Art. 6§1a) |
| Core Web Vitals (Speed Insights) | Optimisation des performances | Consentement (Art. 6§1a) |
| Logs d'accès (IP, User-Agent) | Sécurité, détection des abus | Intérêt légitime (Art. 6§1f) |
Traitement des données de santé — Article 9 RGPD
Base légale applicable
Le traitement des données de santé sur ErgoConnect est fondé sur l'article 9§2h du RGPD : « le traitement est nécessaire aux fins de la médecine préventive ou de la médecine du travail, de l'appréciation de la capacité de travail du travailleur, de diagnostics médicaux, de la prise en charge sanitaire ou sociale, ou de la gestion des systèmes et des services de soins de santé », ainsi que sur le consentement explicite de la personne concernée (Art. 9§2a) lorsqu'il est recueilli.
Dans le cadre de son activité thérapeutique, un praticien peut être amené à enregistrer sur la Plateforme les catégories de données suivantes vous concernant :
- Comptes-rendus de séances et bilans thérapeutiques
- Documents médicaux téléversés (ordonnances, bilans, rapports)
- Notes cliniques et observations du praticien
- Résultats de tests fonctionnels et de bilans ergothérapeutiques
- Photos et médias liés aux séances (avec votre consentement)
- Rapports PDF de suivi générés via la plateforme
Accès strictement limité
Ces données sont accessibles exclusivement :
- Au praticien référent ayant créé le dossier thérapeutique
- Au patient concerné, via son espace personnel ErgoConnect
Aucun autre utilisateur, aucun tiers, ni ErgoConnect elle-même n'accède au contenu clinique des dossiers thérapeutiques dans le cadre de l'exploitation courante de la Plateforme. Les administrateurs techniques n'accèdent aux données qu'à des fins strictement techniques (maintenance, sécurité) et sous obligation de confidentialité.
Durée de conservation : ErgoConnect héberge le dossier thérapeutique pendant toute la durée de vie de la relation de soin. À la clôture d'une relation ou d'un dossier de suivi, les documents et médias restent téléchargeables pendant 90 jours, puis sont définitivement supprimés de nos serveurs.
L'obligation de conservation prévue à l'article 9 de la loi belge du 22 août 2002 relative aux droits du patient — minimum 10 ans à compter de la dernière consultation — incombe au praticien, en sa qualité de responsable du traitement du dossier patient. ErgoConnect intervient comme outil d'hébergement et n'assure pas cet archivage à long terme : il appartient au praticien de télécharger l'archive du dossier avant l'expiration du délai de 90 jours et de la conserver selon ses propres obligations légales.
Patients sans compte — « Patients fantômes »
ErgoConnect permet aux praticiens de créer un dossier thérapeutique pour un patient qui ne possède pas encore de compte sur la Plateforme. Cette fonctionnalité leur permet de gérer leur patientèle existante dès leur inscription, en attendant que le patient crée éventuellement son propre compte.
Ce que cela implique pour vous (si vous êtes concerné(e)) :
Notification automatique par email (Art. 13 RGPD)
Dès qu'un praticien crée un dossier vous concernant, ErgoConnect vous envoie automatiquement un email d'information à l'adresse renseignée par le praticien. Cet email vous informe : de l'identité du praticien concerné, des catégories de données enregistrées (prénom, nom, date de naissance, téléphone, email, notes thérapeutiques), de la base légale applicable (Art. 9§2h RGPD), et de vos droits.
Responsabilité du praticien
Le praticien agit en qualité de responsable du traitement (Art. 4§7 RGPD) pour les données qu'il saisit. Il garantit la licéité du traitement et doit disposer d'une base légale valable. ErgoConnect n'intervient qu'en qualité de sous-traitant technique.
Vos droits sont pleinement applicables
Même sans compte ErgoConnect, vous pouvez exercer tous vos droits RGPD (voir Section 9), notamment le droit à l'effacement via notre procédure sécurisée décrite ci-après.
Liaison avec un compte réel
Si vous créez ultérieurement un compte ErgoConnect avec la même adresse email, le dossier fantôme peut être rattaché à votre compte, vous donnant ainsi un accès direct à votre dossier thérapeutique.
Envoi de devis de matériel médical
Si votre ergothérapeute vous recommande du matériel médical, vous recevez deux emails à l'adresse figurant à votre dossier : d'abord sa proposition chiffrée, en pièce jointe — aucune donnée n'est transmise au bandagiste avant votre accord —, puis, une fois cet accord donné, le devis établi par le bandagiste, mentionnant le matériel, son prix et l'identité du bandagiste. N'ayant pas de compte, vous ne validez rien en ligne : vos réponses passent par votre ergothérapeute, qui les reporte sur la Plateforme. Il s'agit d'envois liés à votre prise en charge (Art. 9§2h RGPD), jamais de publicité.
5. Cookies et traceurs
Nous utilisons plusieurs catégories de cookies. Vous pouvez gérer vos préférences via le bandeau qui s'affiche lors de votre première visite.
| Cookie | Type | Durée | Consentement requis |
|---|---|---|---|
| sb-* | Session Supabase (authentification) | Session / 7 jours | Non — strictement nécessaire |
| ergo_consent | Mémorisation de vos préférences cookies | 6 mois | Non — strictement nécessaire |
| _vercel_* | Analytics de performance (Vercel) | 90 jours | Oui — analytique |
| googtrans | Préférence de langue (Google Translate) | Session | Oui — fonctionnel tiers |
Vous pouvez modifier vos choix à tout moment en contactant contact@ergoconnect.be. Le retrait du consentement n'affecte pas la légalité des traitements effectués avant ce retrait.
6. Sous-traitants et transferts hors UE
ErgoConnect fait appel aux prestataires suivants (sous-traitants au sens de l'Art. 28 RGPD). Chacun a conclu un Accord de Traitement des Données (DPA) avec ErgoConnect, garantissant le respect du RGPD pour les données qui lui sont confiées.
| Sous-traitant | Pays | Données traitées | Finalité | Garantie de transfert |
|---|---|---|---|---|
Supabase Inc. supabase.com | 🇪🇺 UE eu-central-1 (Francfort) | Toutes les données utilisateurs, dossiers thérapeutiques, fichiers stockés | Base de données PostgreSQL, authentification, stockage de fichiers | Contrat Art. 28 Aucun transfert hors UE |
Vercel Inc. vercel.com | 🇺🇸 USA | Données techniques (IP, User-Agent, Core Web Vitals) si consentement accordé | Hébergement de l'application web, analytics de performance | DPA + CCT Décision 2021/914 CE |
Resend Inc. resend.com | 🇺🇸 USA | Adresse email du destinataire, contenu de l'email transactionnel | Envoi d'emails (notifications, confirmations, RGPD) | DPA + CCT Décision 2021/914 CE |
Google LLC Maps Platform API | 🇺🇸 USA | Requêtes d'autocomplétion d'adresse (transit serveur, non stockées) | Géolocalisation et autocomplétion des adresses postales | DPA Google Cloud + CCT Intérêt légitime (Art. 6§1f) |
Google Translate translate.google.com | 🇺🇸 USA | Contenu des pages visitées (traduit côté client) | Traduction de l'interface (pages publiques uniquement) | Consentement requis Chargé uniquement après accord |
Note sur les transferts hors UE : les transferts vers les États-Unis sont encadrés par des Clauses Contractuelles Types (CCT) conformes à la décision d'exécution 2021/914 de la Commission européenne. Vous pouvez obtenir une copie de ces garanties sur simple demande adressée à contact@ergoconnect.be.
7. Durées de conservation
Nous ne conservons vos données que le temps strictement nécessaire aux finalités pour lesquelles elles ont été collectées, ou le temps imposé par nos obligations légales.
| Catégorie de données | Durée | Fondement |
|---|---|---|
| Dossiers thérapeutiques (données de santé) | Durée de la relation de soin, puis 90 jours après la clôtureSuppression définitive ensuite. La conservation de 10 ans imposée par la loi belge du 22 août 2002 incombe au praticien, qui archive de son côté. | Minimisation (Art. 5§1e RGPD) — l'hébergement cesse avec la finalité |
| Compte utilisateur actif | Durée d'utilisation de la plateforme | Exécution du contrat |
| Compte utilisateur inactif | 3 ans après la dernière connexion, puis anonymisation | Principe de minimisation (Art. 5§1e RGPD) |
| Données de navigation (logs techniques) | 12 mois maximum | Recommandation CNIL/CPDP |
| Tokens de session (cookies sb-*) | 7 jours (renouvelables) | Strictement nécessaire |
| Emails de contact (formulaire) | 12 mois | Intérêt légitime — traitement des demandes |
| Tokens de suppression RGPD | 24 heures (expiration automatique) | Sécurité — usage unique |
| Logs de suppression RGPD (traçabilité) | 3 ans | Obligation de démonstration (Art. 5§2 RGPD) |
À l'expiration des durées ci-dessus, vos données sont soit définitivement supprimées, soit irréversiblement anonymisées (de sorte qu'elles ne puissent plus vous être rattachées). Les sauvegardes chiffrées sont purgées dans un délai supplémentaire de 90 jours maximum.
8. Sécurité des données
ErgoConnect met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre tout accès non autorisé, perte, altération ou divulgation.
Mesures techniques
- • Chiffrement TLS 1.3 (transit)
- • Chiffrement AES-256 (repos, Supabase)
- • Mots de passe hachés (bcrypt)
- • Row-Level Security (RLS) PostgreSQL
- • Authentification par tokens JWT à durée limitée
- • Isolation des données par tenant
Mesures organisationnelles
- • Accès aux données limité au strict nécessaire
- • DPA signés avec tous les sous-traitants
- • Sauvegardes chiffrées régulières
- • Procédure de notification de violation (72h)
- • Revue périodique des accès et permissions
En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, ErgoConnect s'engage à notifier l'Autorité de Protection des Données belge (CPDP) dans les 72 heures et à vous informer directement sans délai injustifié, conformément à l'article 34 RGPD.
9. Vos droits et comment les exercer
Droit d'accès (Art. 15)
Obtenir une copie de toutes vos données personnelles traitées par ErgoConnect.
Droit de rectification (Art. 16)
Corriger des informations inexactes ou incomplètes vous concernant.
Droit à la portabilité (Art. 20)
Recevoir vos données dans un format structuré et lisible par machine (export ZIP disponible dans vos paramètres).
Droit d'opposition (Art. 21)
Vous opposer à un traitement fondé sur l'intérêt légitime, notamment à des fins de marketing.
Droit de limitation (Art. 18)
Demander la suspension temporaire du traitement de vos données dans certaines circonstances.
Retrait du consentement (Art. 7§3)
Retirer votre consentement à tout moment sans porter atteinte à la légalité des traitements antérieurs.
Droit à l'effacement — « Droit à l'oubli » (Art. 17 RGPD)
Vous pouvez demander la suppression de vos données personnelles. Voici comment fonctionne notre procédure technique sécurisée :
Soumission de la demande
Envoyez votre adresse email à contact@ergoconnect.be ou, si vous êtes concerné(e) par un dossier patient fantôme, utilisez le formulaire dédié.
Envoi d'un lien de confirmation sécurisé (« lien magique »)
ErgoConnect vous envoie automatiquement un email contenant un lien de confirmation à usage unique, valable 24 heures. Ce mécanisme de double opt-in garantit que la demande émane bien du propriétaire de l'adresse email, et prévient toute suppression malveillante par un tiers.
Anonymisation irréversible en base de données
Après votre confirmation via le lien, vos données identifiantes (prénom, nom, date de naissance, téléphone, email, notes) sont immédiatement et irréversiblement anonymisées en base de données. Le DPD d'ErgoConnect est notifié automatiquement à des fins de traçabilité RGPD.
Exceptions légales à l'effacement
Conformément à l'article 17§3 RGPD, le droit à l'effacement ne s'applique pas lorsque le traitement est nécessaire au respect d'une obligation légale ou à la constatation, l'exercice ou la défense de droits en justice. Notez par ailleurs qu'une suppression sur ErgoConnect ne s'étend pas à la copie que votre praticien conserve de son côté : la loi belge lui impose de garder votre dossier au moins 10 ans, et cette demande doit lui être adressée directement.
Comment exercer vos droits
Adressez votre demande par email à notre DPD : contact@ergoconnect.be
Nous nous engageons à vous répondre dans un délai d'un mois à compter de la réception de votre demande (art. 12§3 RGPD). Ce délai peut être prolongé de deux mois supplémentaires en cas de complexité ou de nombre élevé de demandes, avec notification préalable.
Nous pouvons vous demander de justifier de votre identité avant de traiter votre demande, afin de protéger vos données contre des demandes frauduleuses.
10. Droit de réclamation auprès de la CPDP
Si vous estimez que le traitement de vos données personnelles par ErgoConnect n'est pas conforme au RGPD ou à la loi belge du 30 juillet 2018, vous disposez du droit d'introduire une réclamation auprès de l'autorité de contrôle compétente :
Autorité de Protection des Données (CPDP)
Adresse : Rue de la Presse 35, 1000 Bruxelles, Belgique
Site web : autoriteprotectiondonnees.be
Email : contact@apd-gba.be
Nous vous encourageons toutefois à nous contacter en premier lieu à contact@ergoconnect.be afin que nous puissions résoudre votre préoccupation directement et rapidement.
11. Modifications de la présente politique
ErgoConnect se réserve le droit de modifier la présente politique à tout moment, notamment pour s'adapter aux évolutions légales, réglementaires ou techniques. La date de dernière mise à jour est indiquée en en-tête.
Toute modification substantielle vous sera notifiée par email au moins 30 jours avant son entrée en vigueur. La poursuite de l'utilisation de la Plateforme après ce délai vaut acceptation de la politique mise à jour.
Contact — Délégué à la Protection des Données
Pour toute question relative à la présente politique ou pour exercer vos droits, contactez notre Délégué à la Protection des Données (DPD) :
Email : contact@ergoconnect.be
Langue de traitement : Français
Délai de réponse garanti : 1 mois (Art. 12§3 RGPD)
La présente politique est rédigée en français. En cas de version dans une autre langue, la version française fait foi.