Politique de confidentialité — Pharmea / YDIATIC
Projet 0.2 du 18 septembre 2026. Document à compléter avant mise en production. Les mesures décrites comme cibles ne constituent pas une attestation de leur déploiement actuel.
Pays de lancement : Burkina Faso. Exploitant déclaré : YDIATIC. Contact confidentialité : isidore@kabore.xyz.
1. Qui traite les données ?
La pharmacie détermine les finalités professionnelles de traitement des demandes, des ordonnances, des ventes et des assurances. YDIATIC fournit la solution et peut agir comme sous-traitant pour ces traitements et comme responsable de traitements propres tels que la sécurité de ses accès, la gestion de ses contrats et sa facturation. Cette répartition doit être confirmée selon les décisions réellement prises ; une responsabilité conjointe éventuelle ne peut être écartée par une simple étiquette contractuelle.
Le contact confidentialité YDIATIC est isidore@kabore.xyz. Les identités légales complètes, adresses et contacts propres aux pharmacies restent à compléter. Le rôle du superadmin est un rôle applicatif ; il ne donne pas, à lui seul, une autorisation de consulter les documents médicaux.
2. Données concernées
Le service traite les identifiants CL/PH, informations de contact et de rattachement, habilitations, mots de passe sous forme de dérivés cryptographiques, demandes, produits, quantités, devis, historiques, références de paiement, justificatifs, informations d’assurance, traces de consultation et de sécurité. Les ordonnances et certains achats peuvent révéler des données de santé nécessitant une protection renforcée.
Les futures notifications ajouteront des jetons de notification liés à une installation, sa plateforme, les préférences, consentements, messages et statuts techniques de distribution. Un jeton de notification est une donnée à protéger, non un identifiant public.
La caméra ou la photothèque est utilisée après une action explicite pour choisir une pièce. Aucune aspiration du carnet d’adresses, géolocalisation permanente ou collecte de la galerie entière n’est prévue. Une extension à ces usages nécessiterait une justification et une information distinctes.
3. Finalités et fondements à confirmer par pays
L’accès au compte et l’exécution d’une demande reposent sur les fondements appropriés à la relation de service. La vente, la comptabilité et certaines conservations répondent aussi à des obligations propres à la pharmacie. Le traitement de données de santé exige de déterminer, en plus, la condition autorisant cette catégorie de données dans le pays concerné.
La sécurité et la prévention des abus nécessitent des données minimisées et une justification documentée. Les communications événementielles reposent sur un consentement distinct lorsque requis et, par choix de conception, seront désactivées par défaut. Le retrait de ce choix n’affecte pas les demandes en cours.
Il ne faut pas utiliser une case « j’accepte tout traitement » comme fondement unique pour la santé, la facturation, la prospection et l’hébergement international. L’annexe nationale doit préciser chaque fondement et les formalités réellement applicables.
4. Engagement contre les usages inappropriés
Les données identifiables ne sont ni vendues ni louées. Elles ne sont pas utilisées pour le ciblage publicitaire fondé sur la santé, l’enrichissement de fichiers tiers, le recrutement, l’évaluation d’un salarié, une discrimination assurantielle ou l’entraînement d’IA. Aucun profil de santé commercial ne doit être créé à partir des demandes.
Les statistiques de pilotage restent limitées aux besoins autorisés. La pseudonymisation ne rend pas une donnée anonyme. Une éventuelle publication de statistiques exige une anonymisation effective et une analyse du risque de réidentification, notamment pour les petites pharmacies et maladies rares.
Les accès d’assistance sont exceptionnels, justifiés, limités dans le temps et tracés. L’interdiction contractuelle s’accompagne de contrôles d’habilitation, d’export, de journalisation et de sanctions internes adaptées.
5. Qui peut recevoir les données ?
Le client accède à ses propres demandes ; les personnels habilités de sa pharmacie accèdent à ce qui est nécessaire à leur fonction. Les informations transmises à un assureur se limitent à la prise en charge concernée. Les opérateurs de paiement traitent les données de leur propre opération selon leurs conditions ; les références reçues par Pharmea ne donnent pas accès au portefeuille du client.
YDIATIC et ses prestataires ne doivent accéder qu’aux données nécessaires à leurs missions contractuelles. Les autorités reçoivent seulement les informations exigibles à la suite d’une demande légalement examinée. La liste des prestataires, services, pays et garanties est à compléter avant publication.
La stricte séparation applicative entre pharmacies est une exigence à tester pour les listes, téléchargements, exports, recherches, notifications et sauvegardes restaurées. Une administration centralisée n’autorise pas la circulation des dossiers entre pharmacies.
6. Notifications et confidentialité
La permission Android/iOS autorise l’affichage par le système ; elle ne vaut pas consentement à la prospection. Le centre interne et les catégories de messages doivent rester distincts des permissions système.
Le contenu push retenu est générique, par exemple « Une information vous attend dans Pharmea ». Il ne doit contenir ni nom de client, ni médicament, ni montant, ni numéro d’assurance, ni pièce jointe, ni résultat médical. Même un titre discret peut révéler la présence d’une application liée à une pharmacie ; l’utilisateur doit pouvoir choisir ses préférences.
Apple et Google peuvent intervenir dans l’acheminement et traiter les métadonnées nécessaires. Les prestataires et transferts associés doivent être documentés. Le détail d’une demande reste sur le serveur et est relu après authentification. Aucun lien reçu ne doit contourner les droits du compte.
7. Hébergement et transferts
Le pays et l’adresse opérationnelle de l’hébergement principal, des sauvegardes, de la supervision et des accès de support restent à renseigner. L’adresse privée d’un NAS ne renseigne pas son pays. La nationalité d’une entreprise ne garantit pas que ses serveurs sont dans ce pays.
Tout accès distant ou acheminement impliquant un autre pays doit être analysé selon le droit applicable, les catégories de données, le prestataire et ses sous-traitants. Les contrats, garanties, autorisations et informations nécessaires sont établis avant le transfert. Aucun hébergement exclusivement ouest-africain n’est affirmé sans vérification.
8. Sécurité : état actuel et cible
Le code de recette inclut des contrôles de rattachement, des mots de passe dérivés avec Argon2id, des sessions mobiles distinctes, des restrictions sur les pièces et une trace de consultation. Les photos sont normalisées côté serveur. Ces éléments ne constituent pas un audit de sécurité complet du déploiement.
La recette communique actuellement en HTTP sur réseau local et doit rester limitée à des données fictives. Avant usage réel : HTTPS sur tous les accès, protection des clés, chiffrement vérifié des volumes et sauvegardes, séparation des environnements, mises à jour, journalisation protégée, contrôle des comptes techniques, revue des habilitations et exercice de restauration. Le chiffrement de bout en bout n’est pas revendiqué : la pharmacie et le serveur doivent pouvoir traiter les pièces autorisées.
Un utilisateur habilité peut encore prendre une photo de son écran ou détourner un export. Le risque ne peut être supprimé par une clause ou un bouton. La prévention associe minimisation, habilitations, formation, traces, contrôle et gestion des incidents.
9. Conservation et suppression
Un calendrier validé par pays doit préciser, pour chaque catégorie, le point de départ, la durée active, l’archivage restreint, la purge et les exceptions. Aucun délai universel n’est proposé comme obligation légale.
À compléter : durée d’inactivité des comptes ; conservation des demandes abandonnées/refusées ; ordonnances et justificatifs d’assurance ; ventes et références de paiement ; traces d’accès ; preuves d’acceptation ; consentements et oppositions ; messages ; jetons inactifs ; sauvegardes. Les pièces médicales ne doivent pas être conservées indéfiniment au seul motif qu’une facture l’est.
La clôture du compte déclenche l’examen des données à supprimer et de celles à conserver pour un motif précis. Un litige peut justifier un gel ciblé, daté et réexaminé, sans blocage général de toute suppression. Les sauvegardes expirent selon un cycle documenté ; une restauration doit réappliquer les suppressions et oppositions intervenues depuis la sauvegarde.
Le calendrier et la purge automatique ne sont pas encore livrés dans le présent lot. La politique finale doit indiquer les durées réellement configurées.
10. Droits et demandes
Selon le pays et les traitements, la personne peut demander l’information, l’accès, la rectification, l’opposition, la suppression et les autres droits reconnus localement. La portabilité ou la limitation ne doivent pas être promises comme droits identiques dans tous les pays sans vérification.
La demande peut être adressée au contact confidentialité YDIATIC ou à la pharmacie ; un circuit doit la transmettre au responsable compétent. La vérification d’identité est proportionnée, sans exiger systématiquement une copie complète de pièce d’identité. Une réponse est fournie dans le délai légal applicable, avec motifs de refus ou de conservation et voies de recours. Les demandes peuvent être adressées à isidore@kabore.xyz. Ne joignez pas spontanément d’ordonnance ni de pièce d’identité : un canal adapté sera indiqué si nécessaire.
Une opposition à la prospection est conservée sous forme minimale afin d’éviter une nouvelle sollicitation. Le retrait du consentement ne rend pas rétroactivement illicite un traitement antérieur réalisé valablement, ni n’efface une obligation de conservation applicable.
11. Incidents et réclamations
Toute suspicion d’accès indu, perte d’appareil ou divulgation doit être signalée via le contact sécurité à publier. L’équipe qualifie l’incident, limite les accès, conserve les preuves utiles, analyse les personnes concernées et accomplit les notifications requises auprès des autorités et des personnes selon les seuils et délais locaux. Un délai de 72 heures ne doit pas être présenté comme universel.
La personne peut saisir l’autorité compétente dans son pays. Les coordonnées et procédures sont ajoutées dans l’annexe nationale ; l’usage de Pharmea ne limite pas ce droit.
12. Permissions, traceurs et changements
Le refus de caméra permet, lorsque le parcours le propose, de choisir un fichier ou de contacter la pharmacie. Aucun outil publicitaire tiers n’est prévu dans ce lot. L’inventaire effectif des SDK et traceurs sera vérifié à chaque release, et les formulaires de confidentialité des boutiques devront refléter cet inventaire.
Les modifications importantes de la politique sont annoncées avant leur prise d’effet lorsque nécessaire. Une nouvelle finalité incompatible ne peut être introduite par simple réécriture silencieuse du texte.