Politique de confidentialité

1. Qui nous sommes

Cureva est exploitée par Cureva Health, établie en Colombie-Britannique, au Canada. Notre adresse pour les questions de vie privée est : support@cureva.app. Nous sommes le responsable du traitement de tous les renseignements personnels recueillis par l'application Cureva et le site Web.

2. Les renseignements que nous recueillons

Renseignements de compte

Lorsque vous créez un compte Cureva, nous recueillons votre nom, votre adresse courriel et le mot de passe que vous choisissez. Nous pouvons aussi recueillir votre date de naissance, qui aide Eva à adapter ses suivis.

Renseignements de santé

Pour offrir notre service de base, Cureva recueille les renseignements liés à la santé que vous fournissez volontairement, notamment : le nom, la posologie et l'horaire de vos médicaments; les signes vitaux que vous consignez (tension artérielle, fréquence cardiaque, poids, glycémie); les symptômes et notes que vous communiquez à Eva lors des suivis; les problèmes de santé que vous choisissez de divulguer; les entrées de journal, documents et photos que vous choisissez de téléverser; et, seulement si vous la connectez, les données d'Apple Santé ou de Health Connect. Si vous utilisez la saisie vocale avec Eva, la reconnaissance vocale de votre appareil convertit vos paroles en texte; seul le texte obtenu est conservé et aucun enregistrement audio n'est sauvegardé. Cureva n'est pas une entité couverte par la HIPAA : les renseignements que vous saisissez vous-même ne sont donc pas des renseignements de santé protégés au sens de la HIPAA, mais ce sont des renseignements personnels sur la santé au sens de la LPRPDE et de lois comparables, et nous les traitons et les protégeons comme des renseignements de santé sensibles.

Appareil photo et photos de confirmation

Si vous activez « Médicament important » pour un médicament, Cureva vous demande de prendre une photo rapide de votre comprimé ou de votre flacon avant qu'une prise soit comptée comme prise. La photo sert uniquement à confirmer que vous aviez le médicament avec vous. Elle n'est ni lue, ni analysée, ni téléversée, ni conservée : le fichier temporaire sur votre appareil est supprimé dès que la photo est prise, et seul le fait que la prise a été confirmée, avec son heure, est enregistré. La fonction est désactivée par défaut et s'adresse à la personne qui prend le médicament; un proche aidant ne peut l'activer pour vous que si vous l'autorisez. Vous pouvez la désactiver en tout temps pour chaque médicament. L'accès à l'appareil photo est demandé par votre appareil, et vous pouvez le retirer dans les paramètres de votre appareil.

Renseignements sur les membres de la famille

Si vous ajoutez des membres de votre famille ou des proches aidants à votre compte, nous recueillons leur nom, leur adresse courriel et les préférences de notification que vous avez définies pour eux. Les membres de la famille doivent y consentir avant de recevoir des alertes.

Comptes de proches aidants. Si vous utilisez Cureva comme proche aidant, nous recueillons votre nom, votre adresse courriel, votre statut de proche aidant familial ou professionnel, votre lien avec chaque personne dont vous prenez soin et votre activité sur la liste de soins partagée. Les proches aidants peuvent supprimer leur propre compte à tout moment depuis leur profil dans l'application.

Accès des proches aidants et Eva. Un proche aidant que vous connectez ne voit que ce que vous autorisez, et vous pouvez modifier ou retirer cet accès à tout moment, pour chaque proche aidant. Un proche aidant connecté peut aussi clavarder avec Eva à votre sujet; ces conversations utilisent des renseignements vous concernant qu'il est autorisé à voir, et elles comptent dans votre allocation quotidienne de messages à Eva. Le fait qu'un proche aidant puisse voir ce qu'un autre proche aidant a fait sur votre liste de tâches partagée relève de votre choix, pour chaque proche aidant, et est désactivé tant que vous ne l'activez pas.

Données d'utilisation

Nous recueillons des données d'utilisation courantes de l'application, notamment les pages consultées, les fonctions utilisées, la durée des sessions et le type d'appareil. Ces données sont utilisées uniquement sous forme agrégée et ne sont jamais liées à vos renseignements de santé.

Communications

Lorsque vous nous écrivez à support@cureva.app, nous conservons ces communications pour vous aider et améliorer notre service.

3. Comment nous utilisons vos renseignements

• Pour offrir les fonctions de soutien d'Eva : suivis quotidiens, suivi des médicaments, alertes à la famille et rapports pour le médecin
• Pour personnaliser les conversations et les recommandations d'Eva selon votre profil de santé
• Pour vous envoyer des mises à jour du produit et des communications de la liste d'attente (avec votre consentement)
• Pour améliorer l'IA et les fonctions de Cureva en utilisant uniquement des données anonymisées et agrégées
• Pour respecter nos obligations légales et répondre aux demandes légitimes

4. Fondement juridique du traitement (RGPD)

Pour les utilisateurs de l'Espace économique européen, nous traitons vos données sur les fondements juridiques suivants : l'exécution du contrat (pour fournir le service auquel vous vous êtes inscrit); votre consentement explicite (pour le traitement des données de santé et les communications); et les intérêts légitimes (pour la sécurité, la prévention de la fraude et l'amélioration du produit à partir de données anonymisées uniquement).

5. Avec qui nous partageons vos données

Nous ne vendons pas vos renseignements personnels. Nous n'utilisons aucun pixel publicitaire ni réseau publicitaire sur notre site ou dans notre application : vos renseignements de santé ne sont jamais utilisés à des fins publicitaires. Nous ne partageons des renseignements que dans les circonstances limitées suivantes :

• Membres de la famille et proches aidants : uniquement avec les contacts que vous autorisez explicitement dans les paramètres de votre compte
• Professionnels de la santé : uniquement lorsque vous choisissez de partager un rapport pour le médecin, et seulement avec le professionnel que vous indiquez
• Fournisseurs de services : nous faisons appel aux fournisseurs suivants pour exploiter Cureva, chacun lié par une entente de traitement des données et limité à la fin indiquée :
  • OpenRouter : achemine les conversations d'Eva vers des modèles d'IA (Anthropic) pour générer des réponses
  • Cheaper Inference (passerelle d'IA) et les fournisseurs de modèles d'IA vers lesquels elle achemine (comme Anthropic, Google et OpenAI) : traitent le texte de vos conversations avec Eva et les sommaires de santé que vous demandez afin de générer des réponses
  • Stripe, Apple et Google : traitent les paiements d'abonnement et les achats intégrés. Nous ne recevons ni ne conservons le numéro complet de votre carte
  • Apple Push Notification service, Firebase Cloud Messaging et Expo : livrent les rappels et les mises à jour de l'application sur votre appareil
  • Twilio : envoie des alertes par texto lorsqu'un suivi ou un médicament prévu est manqué, uniquement vers un numéro de téléphone pour lequel vous avez donné votre accord; des frais de messagerie et de données peuvent s'appliquer, répondez STOP pour annuler ou HELP pour de l'aide
  • SendGrid et Brevo : livrent les courriels de compte, de facturation et de produit
  • Sentry : recueille des données techniques d'erreur pour nous aider à corriger les bogues
  • PostHog et Google Analytics : mesurent l'utilisation du produit et du site de façon agrégée
  • Supabase : héberge notre base de données et notre infrastructure de soutien
  • Railway : exploite nos serveurs d'application, qui traitent vos données pour faire fonctionner le service
  • Cloudflare : héberge et diffuse notre site Web
  • Groq : reconnaissance vocale, utilisée seulement si vous envoyez un enregistrement vocal à Eva; l'enregistrement est supprimé dès qu'il a été converti en texte
• Exigences légales : lorsque la loi ou une ordonnance d'un tribunal l'exige, ou pour protéger la sécurité des utilisateurs

6. Transferts internationaux de données

Cureva est établie en Colombie-Britannique, au Canada, et la plupart des fournisseurs de services énumérés ci-dessus sont situés aux États-Unis. Vos renseignements, y compris vos renseignements de santé, peuvent donc être transférés et traités aux États-Unis, où les lois sur la vie privée peuvent différer de celles de votre pays. Nous exigeons de chaque fournisseur qui traite des renseignements personnels pour notre compte qu'il signe une entente de traitement des données l'engageant à des protections comparables à celles du droit canadien et du droit applicable en matière de vie privée, et nous limitons chaque fournisseur à la fin précise indiquée ci-dessus.

Où vos renseignements de santé sont conservés : la base de données de Cureva, y compris vos renseignements de santé, documents et photos, est stockée au repos au Canada (AWS ca-central-1, Montréal). Pendant qu'ils sont traités pour faire fonctionner le service, ils peuvent transiter par des serveurs d'application et des fournisseurs situés aux États-Unis.

7. Sécurité des données

Toutes les données transmises entre l'application Cureva et nos serveurs sont chiffrées en transit. Les données de santé stockées dans nos systèmes sont chiffrées au repos, et les documents téléversés sont chiffrés avec AES-256-GCM. Nous effectuons régulièrement des examens de sécurité internes. Notre fournisseur d'hébergement de base de données et de services de soutien, Supabase, détient la certification SOC 2 de type 2. L'accès du personnel de Cureva aux données de santé est strictement limité et consigné.

Nous mettons en œuvre des mesures de protection administratives, physiques et techniques pour les renseignements de santé protégés, conformément aux exigences de la règle de sécurité de la HIPAA.

En cas d'atteinte : si nous découvrons une atteinte à des renseignements personnels ou de santé non protégés, nous aviserons les personnes touchées par courriel sans délai injustifié et au plus tard 60 jours après la découverte, en décrivant ce qui s'est produit, quels renseignements étaient en cause et ce que nous faisons à ce sujet. Pour les résidents du Canada, nous déclarons l'atteinte au Commissaire à la protection de la vie privée et avisons les personnes touchées dès que possible lorsqu'une atteinte crée un risque réel de préjudice grave, et nous conservons un registre de chaque atteinte pendant 24 mois. Pour les résidents de l'Australie, nous avisons l'OAIC et les personnes touchées dès que possible une fois que nous savons qu'une atteinte est susceptible de causer un préjudice grave. Pour les résidents de l'UE et du Royaume-Uni, nous avisons l'autorité de contrôle dans les 72 heures suivant le moment où nous avons connaissance d'une atteinte à signaler. Lorsque la loi l'exige, notamment en vertu de la règle de la FTC sur la notification des atteintes aux données de santé pour les utilisateurs américains et des lois applicables du Canada, de l'Australie, de l'UE et du Royaume-Uni et des États en matière de notification des atteintes, nous aviserons aussi l'organisme de réglementation concerné (et les médias, si une atteinte touche 500 résidents ou plus d'un État ou d'un territoire) dans le délai prévu par la loi.

8. Conservation des données

Nous conservons les renseignements de votre compte et vos données de santé aussi longtemps que votre compte est actif, ou comme l'exige la loi. Lorsque vous supprimez votre compte, vos renseignements personnels et vos données de santé sont supprimés définitivement dans un délai de 30 jours de nos systèmes de production et de 90 jours de nos systèmes de sauvegarde.

9. Vos droits

Selon votre lieu de résidence, vous avez les droits suivants à l'égard de vos renseignements personnels :

• Accès : demander une copie de tous les renseignements personnels que nous détenons à votre sujet
• Rectification : demander la correction de renseignements inexacts
• Suppression : demander la suppression de votre compte et de toutes les données associées
• Portabilité : demander vos données de santé dans un format lisible par machine
• Retrait du consentement : retirer à tout moment votre consentement à tout traitement fondé sur le consentement
• Opposition : vous opposer au traitement fondé sur des intérêts légitimes

Vous pouvez supprimer vous-même votre compte, à tout moment, dans l'application : Profil, puis Supprimer le compte (proches aidants : votre profil, puis Supprimer le compte). Pour exercer l'un de ces droits, écrivez à support@cureva.app. Nous répondrons dans un délai de 30 jours.

10. Conformité

HIPAA (États-Unis) : Cureva est conçue pour soutenir les exigences des règles de confidentialité et de sécurité de la HIPAA à l'égard des renseignements de santé protégés.

My Health My Data Act (État de Washington) : consultez notre avis distinct sur la confidentialité des données de santé des consommateurs, qui décrit plus en détail les données de santé que nous recueillons, pourquoi, et avec qui elles sont partagées, comme l'exige la loi de Washington.

LPRPDE et PIPA (Canada) : nous respectons la Loi sur la protection des renseignements personnels et les documents électroniques et, pour les résidents de la Colombie-Britannique, la Personal Information Protection Act. Les résidents du Canada peuvent porter plainte auprès du Commissariat à la protection de la vie privée du Canada (priv.gc.ca) ou, en Colombie-Britannique, auprès du Office of the Information and Privacy Commissioner (oipc.bc.ca). Les renseignements détenus par nos fournisseurs à l'extérieur du Canada peuvent être accessibles aux tribunaux et aux autorités de ces pays. La personne responsable de la protection des renseignements personnels chez Cureva peut être jointe à privacy@cureva.app.

Inde (Digital Personal Data Protection Act, 2023) : si vous utilisez Cureva depuis l'Inde, nous traitons vos données personnelles uniquement avec votre consentement ou pour une autre fin que la loi permet. Lorsque nous demandons votre consentement, nous vous indiquons ce que nous recueillons et pourquoi, et vous pouvez retirer votre consentement à tout moment aussi facilement que vous l'avez donné. Vous pouvez demander l'accès à vos données, leur correction, leur complétion ou leur effacement, et vous pouvez désigner une autre personne pour exercer ces droits à votre place. Cureva s'adresse aux personnes de 18 ans et plus en Inde. Notre contact pour les plaintes est privacy@cureva.app et nous répondrons dans un délai de 30 jours; si vous n'êtes pas satisfait, vous pouvez déposer une plainte auprès du Data Protection Board of India. Vos renseignements peuvent être transférés à l'extérieur de l'Inde, ce que la loi permet, sauf vers les pays que le gouvernement de l'Inde restreint.

Québec (Loi 25) : pour les résidents du Québec, avant que des renseignements ne quittent le Québec, nous évaluons le cadre juridique de leur destination et utilisons des ententes écrites pour les protéger, nous demandons votre consentement exprès avant de recueillir des renseignements de santé, et vous pouvez demander une copie de vos renseignements dans un format technologique structuré et couramment utilisé. Vous pouvez porter plainte auprès de la Commission d'accès à l'information du Québec (cai.gouv.qc.ca).

LPRPS (Ontario) : pour les utilisateurs de l'Ontario, Cureva traite les renseignements personnels sur la santé conformément à la Loi sur la protection des renseignements personnels sur la santé. Toutes les données de santé sont stockées au Canada (AWS ca-central-1, Montréal). Cureva n'est pas un dépositaire de renseignements sur la santé au sens de la LPRPS. Les utilisateurs de l'Ontario qui croient que leurs droits à l'égard de leurs renseignements de santé n'ont pas été respectés peuvent communiquer avec le Commissaire à l'information et à la protection de la vie privée de l'Ontario à ipc.on.ca.

HIA (Alberta) : pour les utilisateurs de l'Alberta, Cureva traite les renseignements sur la santé conformément à la Health Information Act. Toutes les données de santé sont stockées au Canada (AWS ca-central-1, Montréal). Les utilisateurs de l'Alberta peuvent communiquer avec le Office of the Information and Privacy Commissioner of Alberta à oipc.ab.ca.

CCPA (Californie) : les résidents de la Californie ont des droits supplémentaires en vertu du California Consumer Privacy Act, notamment le droit de savoir, de supprimer et de refuser la vente (nous ne vendons pas de renseignements personnels).

CPRA et autres lois américaines sur la vie privée (Californie, Virginie, Colorado, Connecticut, Utah, Texas, Oregon et autres) : selon votre lieu de résidence, vous pouvez avoir le droit d'accéder à vos renseignements personnels, de les corriger, de les supprimer et d'en recevoir une copie, de refuser la publicité ciblée, la vente et certains profilages, et de limiter notre utilisation des renseignements personnels sensibles. Nous ne vendons pas de renseignements personnels, nous ne les partageons pas à des fins de publicité ciblée, et nous utilisons les renseignements de santé (que ces lois considèrent comme sensibles) uniquement pour vous fournir Cureva, avec votre consentement. Nous recueillons ce consentement avant de recueillir des données de santé. Pour exercer l'un de ces droits, écrivez à privacy@cureva.app. Si nous refusons une demande, vous pouvez en appeler en répondant à notre décision pour demander un réexamen; nous répondrons à votre appel dans un délai de 45 jours. Vous pouvez aussi communiquer avec le procureur général de votre État.

Intelligence artificielle et traitement automatisé : Eva est une compagne d'IA, et non une personne, et nous vous le disons dans l'application. Eva soutient, suit et informe; elle ne pose pas de diagnostic et ne prescrit pas. Nous ne prenons à votre sujet aucune décision ayant des effets juridiques ou des effets similaires importants qui reposerait uniquement sur un traitement automatisé. Vous pouvez toujours joindre une personne à support@cureva.app.

CMIA (Californie) : nous traitons les renseignements médicaux des résidents de la Californie conformément à la Confidentiality of Medical Information Act : nous ne les utilisons ni ne les divulguons jamais à des fins de marketing, et nous ne les partageons jamais avec un employeur.

Privacy Act 1988 (Australie) : si vous utilisez Cureva depuis l'Australie, nous traitons vos renseignements personnels et de santé conformément aux Australian Privacy Principles, y compris en obtenant votre consentement avant de recueillir des renseignements de santé et en prenant des mesures raisonnables pour nous assurer que nos fournisseurs situés à l'extérieur de l'Australie les traitent conformément à ces principes. Nous communiquons des renseignements à des fournisseurs au Canada et aux États-Unis, et nos fournisseurs d'IA peuvent les traiter dans d'autres pays. Si vous n'êtes pas satisfait de la façon dont nous traitons vos renseignements, écrivez à support@cureva.app et nous répondrons dans un délai de 30 jours; si la situation n'est pas réglée, vous pouvez porter plainte auprès du Office of the Australian Information Commissioner (oaic.gov.au).

RGPD (UE/EEE) et RGPD du Royaume-Uni : Cureva Health est une entreprise canadienne. La Commission européenne a reconnu que la loi fédérale canadienne sur la vie privée (LPRPDE) offre une protection adéquate en vertu de la décision 2002/2/CE, ce qui couvre les transferts vers Cureva au Canada en tant qu'organisation commerciale. Cela ne couvre pas les transferts subséquents effectués par nous ou nos fournisseurs vers d'autres pays. Cureva n'offre pas encore le service aux personnes de l'UE/EEE, du Royaume-Uni ou de la Suisse. Avant de le faire, nous désignerons des représentants pour l'UE et le Royaume-Uni, mettrons en place les garanties de transfert requises pour les transferts subséquents vers des pays sans décision d'adéquation, y compris les États-Unis (le cadre de protection des données UE-États-Unis lorsque le destinataire est certifié, et sinon des clauses contractuelles types avec l'addendum du Royaume-Uni), et publierons ici les coordonnées de ces représentants. Pour les données de santé (catégorie particulière de données au sens de l'article 9), nous recueillons votre consentement explicite avant tout traitement; vous pouvez le retirer à tout moment en écrivant à privacy@cureva.app ou en supprimant votre compte. Le retrait n'affecte pas le traitement effectué auparavant, mais nous pourrions alors ne plus être en mesure de fournir le service. Les résidents de l'UE/EEE et du Royaume-Uni ont le droit de déposer une plainte auprès de leur autorité nationale de contrôle. Pour toute demande concernant des données de l'UE ou du Royaume-Uni, écrivez à privacy@cureva.app; nous répondrons dans un délai de 30 jours.

11. Témoins et suivi

Le site Web de Cureva utilise des témoins essentiels (nécessaires au fonctionnement du site) et des témoins d'analyse (pour comprendre comment les visiteurs utilisent notre site). Vous pouvez refuser les témoins d'analyse au moyen de la bannière de témoins. Nous n'utilisons pas de témoins de suivi à des fins publicitaires.

12. Vie privée des enfants

Cureva s'adresse aux adultes de 18 ans et plus et n'est pas destinée aux personnes de moins de 18 ans. Nous ne recueillons pas sciemment de renseignements personnels auprès de personnes de moins de 18 ans. Si vous croyez qu'une personne de moins de 18 ans nous a fourni des renseignements personnels, communiquez immédiatement avec nous à support@cureva.app et nous les supprimerons.

13. Modifications de la présente politique

Nous pouvons mettre à jour la présente politique de confidentialité de temps à autre. Nous vous aviserons des modifications importantes par courriel et au moyen d'un avis dans l'application au moins 7 jours avant leur entrée en vigueur.

14. Nous joindre

Pour toute question, demande ou préoccupation en matière de vie privée, écrivez-nous à support@cureva.app. Nous répondons à toutes les demandes de renseignements sur la vie privée dans un délai de 30 jours.

Cette version française s'applique aux consommateurs du Québec et aux autres personnes francophones. English version