Politique de confidentialité

INRO est un aide-mémoire clinique numérique destiné aux professionnels de santé (médecins, infirmiers, IADE, urgentistes, anesthésistes…).

Éditeur et responsable du traitement : KABUTO, SASU au capital de 1 000 euros, SIREN 109 094 649, RCS Marseille, siège social 55 rue Grignan, 13006 Marseille, France.

Contact : inroapp@hotmail.com
Identifiant de l'application : com.inro.app

INRO est un outil d'assistance destiné exclusivement aux professionnels de santé diplômés. Il ne remplace en aucun cas le jugement clinique d'un professionnel qualifié. Les protocoles et calculs fournis doivent être vérifiés avant toute décision clinique ou administration. L'éditeur décline toute responsabilité en cas de mauvaise utilisation ou d'utilisation hors cadre professionnel.

En cas d'urgence : 15 (SAMU) ou 18 (Pompiers).

Uniquement sur votre appareil :

• paramètres patient temporaires, effacés à la fermeture de la session
• notes, transmissions et dossiers patients
• médicaments favoris et historique de consultation
• plannings de garde et progression dans les formations
• préférences d'affichage (thème, langue)
• photo de profil
• état de votre abonnement

Durée de conservation : tant que l'application est installée. La désinstallation entraîne leur suppression immédiate, totale et irréversible. L'éditeur n'a aucun accès à ces contenus.

INRO ne collecte aucune des données suivantes :

• données d'identification personnelle (nom, adresse e-mail, téléphone)
• données de santé ou données patient, sur quelque serveur que ce soit
• contenus que vous saisissez dans l'application, à la seule exception des termes de recherche restés sans résultat décrits à l'article 5
• nom des médicaments, protocoles ou fiches que vous consultez
• adresse IP conservée : elle sert uniquement à déduire le pays à la réception, puis elle est écartée (voir article 5)
• publicité, traçage comportemental, suivi entre applications

Aucun serveur appartenant à INRO ne reçoit vos données cliniques. INRO ne possède d'ailleurs aucun serveur qui stocke des données utilisateur.

L'application transmet des données techniques anonymes, dans trois cas et trois seulement :

• quand l'application plante : la pile d'appel de l'erreur, le modèle de l'appareil, la version du système d'exploitation, la version de l'application, et la liste des écrans atteints avant le plantage ;
• pour mesurer le parcours d'utilisation : le nom de l'écran atteint ou de l'action effectuée, choisi dans une liste fermée inscrite dans le code de l'application, accompagné du modèle d'appareil, de la version du système, de la version de l'application et du pays. Certains de ces événements portent une précision, elle aussi choisie dans une liste fermée inscrite dans le code : la profession et le terrain d'exercice sélectionnés pendant la configuration, une tranche de durée de cette configuration, la formule d'abonnement choisie, le type d'un contenu ajouté ou retiré des favoris, le type de notification touchée pour ouvrir l'application (question du matin, carte du soir, rappel de garde, fin d'essai), ou l'identifiant du contenu d'INRO ouvert, terminé ou réservé à l'abonnement (une fiche de médicament, un protocole, un score, un schéma, un quiz, un cas clinique). Ces identifiants désignent des pages d'INRO, les mêmes pour tout le monde : ils ne disent rien de vous ni de vos patients. Le libellé que vous saisissez vous-même quand votre métier ne figure pas dans la liste n'est jamais transmis.
• quand une recherche ne donne aucun résultat : le mot saisi dans la barre de recherche. Ce cas est détaillé en fin d'article.

Ces données ne contiennent aucune information de santé sur vous ou sur un patient, et ne permettent pas de vous identifier. Le seul texte que vous saisissez à pouvoir être transmis est le terme de recherche resté sans résultat, décrit plus bas. L'adresse IP n'est pas conservée : elle sert uniquement à déduire le pays, puis elle est écartée.

Chaque rapport porte un identifiant d'installation : un numéro aléatoire tiré par l'application sur votre appareil, qui sert uniquement à regrouper les rapports venant d'une même installation. Il ne contient aucune information sur vous, ne vous suit pas d'une application à l'autre, et disparaît si vous désinstallez INRO.

Base légale : intérêt légitime de l'éditeur à corriger les pannes et à améliorer l'application (article 6.1.f du RGPD).

Sous-traitants : Functional Software, Inc. (Sentry), hébergement dans l'Union européenne, pour les rapports de plantage ; Google Ireland Limited, pour Google Analytics pour Firebase, qui mesure le parcours d'utilisation.

Durées de conservation : 90 jours maximum chez Sentry, 2 mois chez Google, suppression automatique ensuite. Politique de confidentialité de Sentry : sentry.io/privacy. Politique de confidentialité de Google : policies.google.com/privacy.

Opposition : vous pouvez couper entièrement cet envoi, à tout moment, dans Réglages > Confidentialité > Données techniques anonymes. Une fois coupé, plus aucune donnée ne quitte l'appareil, y compris les rapports de plantage.

Termes de recherche restés sans résultat

Lorsqu'une recherche dans l'application ne renvoie aucun résultat, le mot saisi est transmis à Google Analytics pour Firebase. Il sert uniquement à repérer les contenus absents de l'application afin de les ajouter.

Ce qui est transmis : le texte saisi dans la barre de recherche, mis en minuscules et débarrassé de ses accents, accompagné seulement du nom de l'écran où la recherche a été faite.

Ce qui n'est jamais transmis : le texte des recherches qui aboutissent, les textes saisis ailleurs dans l'application, les notes personnelles, le libellé libre de la profession, et toute donnée relative à un patient.

Filtres appliqués avant toute transmission : rien n'est envoyé si la saisie fait moins de trois caractères ou plus de quarante, rien n'est envoyé si elle ne contient que des chiffres et des signes de ponctuation, rien n'est envoyé si elle dépasse cinq mots. Un délai d'attente est appliqué pendant la frappe afin de ne transmettre que la saisie terminée, jamais les lettres intermédiaires.

Ce terme n'est associé à aucun identifiant permettant de remonter à une personne. Il suit la même durée de conservation que les autres mesures d'audience, soit deux mois chez Google Ireland Limited.

Base légale : intérêt légitime au sens de l'article 6.1.f du RGPD, à savoir l'amélioration du contenu de l'application.

INRO propose un abonnement facultatif, INRO Premium (mensuel ou annuel). L'usage de base de l'application reste gratuit.

Paiement. Les paiements sont traités par Apple (App Store) ou par Google (Google Play) selon votre appareil. INRO n'a accès à aucune donnée bancaire, à aucun moment.

Gestion des abonnements. La validation et le suivi des abonnements sont assurés par RevenueCat, Inc. (revenuecat.com), notre sous-traitant. À ce titre, RevenueCat reçoit et conserve :

• un identifiant d'installation anonyme, généré par l'application (il ne permet pas de vous identifier)
• si la mesure d'audience est active, l'identifiant d'instance Google Analytics de l'application, pour compter les achats dans nos statistiques d'audience
• l'historique d'achat de l'abonnement : achat, renouvellement, essai gratuit, résiliation, remboursement
• la plateforme (iOS ou Android), la version de l'application et le modèle d'appareil

Ces informations servent à vérifier que votre abonnement est actif, à débloquer les fonctions Premium et à compter les achats dans nos statistiques d'audience. Elles ne sont pas utilisées à des fins publicitaires, ne sont pas revendues et ne sont jamais associées à des données cliniques ou patient, qui ne quittent pas votre appareil.

Politique de confidentialité de RevenueCat : revenuecat.com/privacy

Toutes les autorisations ci-dessous sont facultatives et peuvent être refusées ou retirées sans empêcher l'usage de l'application.

• Caméra : photo de profil et lecture de QR codes
• Photothèque : choix d'une photo de profil ; aucune photo n'est envoyée sur un serveur
• Localisation : météo locale uniquement ; la position n'est ni enregistrée ni transmise
• Calendrier : synchronisation des gardes

L'application ne demande pas l'accès au microphone et n'enregistre aucun son.

Les données sensibles sont protégées par le Keychain iOS et l'Android Keystore, avec un chiffrement AES-256. Vos contenus cliniques ne transitent pas par internet : seules circulent les données techniques anonymes de l'article 5 et les informations de transaction de l'article 6, en HTTPS.

Suppression de toutes les données : Réglages > Effacer toutes les données.

INRO n'intègre aucun réseau publicitaire, aucun SDK publicitaire, aucun outil de mesure d'audience commercial, et ne demande jamais l'accès à l'IDFA (iOS) ou au GAID (Android). Aucune donnée n'est partagée à des fins de suivi entre applications ou sites, ni revendue.

Trois sous-traitants techniques interviennent, et eux seuls : Sentry, pour les rapports de panne (article 5), Google, pour la mesure anonyme du parcours d'utilisation (article 5), et RevenueCat, pour la validation des abonnements (article 6). Google Analytics pour Firebase est utilisé en mesure d'audience interne uniquement : aucun identifiant publicitaire n'est collecté, aucune donnée n'est utilisée à des fins publicitaires ni partagée avec des régies.

Les données locales étant stockées sur votre appareil, vous en gardez le contrôle direct : Réglages > Effacer toutes les données.

Les données techniques de l'article 5 sont anonymes : elles ne peuvent être rattachées à aucune personne, et l'exercice du droit d'effacement prend la forme de l'arrêt de la collecte, immédiat dans Réglages, Confidentialité.

Pour les données de transaction détenues par RevenueCat, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition. Écrivez à inroapp@hotmail.com : nous transmettons la demande et vous répondons sous 30 jours. Vous pouvez aussi introduire une réclamation auprès de la CNIL (www.cnil.fr).

Durée de conservation. Les données locales sont conservées jusqu'à leur suppression par vos soins ou la désinstallation. Les données techniques de l'article 5 sont conservées 90 jours au maximum chez Sentry et 2 mois chez Google. Les données de transaction sont conservées par RevenueCat le temps de l'abonnement, puis pendant la durée légale applicable aux justificatifs d'achat.

Application strictement réservée aux professionnels de santé adultes. Nous ne collectons sciemment aucune donnée auprès de mineurs. Contact : inroapp@hotmail.com

Les rapports de plantage de l'article 5 sont hébergés par Sentry dans l'Union européenne et ne font l'objet d'aucun transfert hors UE. La mesure du parcours d'utilisation est confiée à Google Ireland Limited, établi dans l'Union européenne ; Google est susceptible de traiter ces données anonymes sur des serveurs situés hors de l'Union européenne, notamment aux États-Unis, sur la base des clauses contractuelles types prévues par le RGPD.

Apple, Google et RevenueCat sont susceptibles de traiter les données de transaction en dehors de l'Union européenne, notamment aux États-Unis, selon leurs propres politiques de confidentialité et les garanties contractuelles prévues par le RGPD (clauses contractuelles types).

Les données cliniques, elles, ne quittent jamais votre appareil et ne font donc l'objet d'aucun transfert.

Cette politique peut être mise à jour. La date en tête de document est modifiée en conséquence, et tout changement important est signalé dans les nouveautés de la version.

Pour toute question : inroapp@hotmail.com