Vos données de santé sont sacrées. Voici ce que nous collectons, pourquoi, où nous le stockons, et comment vous reprenez la main à tout moment. Aucune revente. Aucun profilage. Aucun transfert hors UE.
Weave est une application de coordination familiale et soignante autour d'une personne fragile à domicile. Par nature, le service traite des données particulièrement sensibles : informations de santé, contacts familiaux, géolocalisation lors d'urgences. Cette politique de confidentialité décrit nos engagements vis-à-vis de ces données, en application du Règlement (UE) 2016/679 (RGPD) et de la loi n°78-17 du 6 janvier 1978 dite « Informatique et Libertés ».
Le responsable du traitement des données est Weave SAS, 12 rue du Faubourg Saint-Honoré, 75008 Paris, RCS Paris 928 451 327. Notre Délégué à la Protection des Données (DPO) est joignable à dpo@weave.fr.
Nous appliquons le principe de minimisation : seules les données strictement nécessaires à la finalité sont collectées. Les champs optionnels sont signalés comme tels dans l'application.
| Catégorie | Détails |
|---|---|
| Identité | Prénom, nom, email, mot de passe haché bcrypt, téléphone (optionnel), photo de profil (optionnelle). |
| Compte technique | Identifiant interne UUID, sessions JWT, date de création, dernière connexion, préférences (thème, langue). |
| Cercle | Nom du bénéficiaire, lien de parenté, date de naissance, photo (optionnelle), composition des membres et leurs rôles. |
| Adresse postale | Adresse du bénéficiaire (utile pour le routage SAP), réutilisable entre membres pour éviter la duplication. |
| Santé (HDS) | Pathologies, conditions chroniques, groupe sanguin, traitements, ordonnances, prises de médicaments, bilans, allergies. |
| Coordination | Tâches, messages écrits et vocaux, post-its, souvenirs (photos / vidéos), dépenses, documents partagés. |
| Professionnels | Coordonnées des soignants attachés au cercle (médecin traitant, kinésithérapeute, infirmier). |
| Paiement | Token Stripe (numéro de carte jamais traité par nos serveurs), historique des factures, attestations CESU. |
| Géolocalisation | Coordonnées GPS de l'intervenant lors d'un SOS Phase 3 uniquement, après consentement explicite. |
| Usage | Logs techniques anonymisés, événements d'audit (création / modification / suppression d'enregistrements sensibles). |
Toutes les données de santé (ordonnances, conditions, traitements, prises) sont stockées chez Outscale (Dassault Systèmes), hébergeur certifié HDS au titre de l'article L.1111-8 du Code de la santé publique. Localisation des serveurs : France métropolitaine.
Le chiffrement est appliqué :
Le partage médical externe (page publique signée pour un soignant ponctuel) repose sur un jeton à durée de validité courte (TTL configurable, par défaut 24 heures) et n'expose qu'un sous-ensemble explicitement choisi par l'aidant principal.
| Prestataire | Rôle | Localisation |
|---|---|---|
| Outscale (Dassault Systèmes) | Hébergement données de santé (HDS) | France |
| OVHcloud | Hébergement application & site vitrine | France |
| Stripe Payments Europe | Encaissement Premium et paiement SAP (Phase 3) | Irlande (UE) |
| Mailgun (Sinch France) | Envoi des emails transactionnels | France |
| Sentry (Functional Software EU) | Monitoring d'erreurs (sans donnée personnelle) | UE |
| Agences SAP partenaires (Phase 3) | Intervention à domicile sur demande de SOS | France |
Tous nos sous-traitants sont engagés par un accord conforme à l'article 28 du RGPD (Data Processing Agreement signé). Les données de santé restent stockées exclusivement en France métropolitaine chez notre hébergeur certifié HDS.
Stripe Payments Europe Ltd (notre prestataire de paiement, basé en Irlande) peut, dans certaines opérations techniques limitées (lutte contre la fraude, support), partager des données avec sa maison-mère Stripe Inc. (États-Unis). Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne (décision 2021/914) et par l'adhésion de Stripe Inc. au Data Privacy Framework. Aucune donnée médicale n'est concernée par ces transferts ; seules les informations strictement nécessaires au traitement du paiement (montant, numéro de carte tokenisé, métadonnées techniques) peuvent l'être.
La liste des sous-traitants est tenue à jour ; toute modification substantielle vous sera notifiée.
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
Pour exercer vos droits : dpo@weave.fr ou via les paramètres de votre compte. Réponse sous 30 jours maximum (extensible à 60 jours pour les demandes complexes, avec notification motivée). En cas de désaccord, vous pouvez saisir la CNIL : cnil.fr/fr/plaintes.
L'inscription d'un compte est réservée aux personnes majeures. Le bénéficiaire d'un cercle peut être un mineur ou une personne en perte d'autonomie ; le compte est alors créé et géré par un tuteur légal (parent, curateur, tuteur), qui atteste de sa qualité et recueille les consentements requis.
Pour les bénéficiaires sous mesure de protection juridique, les modalités de consentement suivent le régime de la mesure (curatelle simple, renforcée, tutelle).
circle_memberships.Weave n'utilise que des cookies strictement nécessaires au fonctionnement du service (session, préférences) et, le cas échéant, des cookies de mesure d'audience anonymisés et exemptés de consentement au sens des recommandations CNIL.
Le détail complet de ces traceurs, leur durée de vie et la procédure pour les refuser est disponible dans notre page dédiée aux cookies.
En cas de violation susceptible de générer un risque pour vos droits et libertés, Weave notifie la CNIL dans les 72 heures conformément à l'article 33 du RGPD, et vous informe individuellement sans délai dès lors que le risque est élevé (article 34).
La présente politique peut être modifiée pour suivre l'évolution du service ou de la réglementation. Toute modification substantielle vous est notifiée par email et via une bannière dans l'application au moins 30 jours avant son entrée en vigueur. La date de dernière mise à jour figure en tête de cette page.
Délégué à la Protection des Données
Email : dpo@weave.fr
Courrier : Weave SAS — DPO, 12 rue du Faubourg Saint-Honoré, 75008 Paris.