Informations légales

POLITIQUE DE CONFIDENTIALITÉ ET DE PROTECTION DES DONNÉES

CLEVALIGNER LAB · Version 1.0 — En vigueur au 27 juillet 2026

PRÉAMBULE

CLEVALIGNER LAB, SAS au capital de 5 000 euros, RCS Bobigny 904 779 584, dont le siège est situé 12 rue du Sergent Bobillot, 93100 Montreuil (ci-après « le Laboratoire », « nous »), attache la plus grande importance à la protection des données à caractère personnel.

La présente politique décrit les traitements mis en œuvre dans le cadre de l’exploitation du site internet, du portail de prescription et de l’activité de fabrication de dispositifs médicaux sur mesure, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée.

Elle s’adresse aux professionnels de santé clients, à leurs collaborateurs, aux prospects, aux visiteurs du site, ainsi qu’aux patients dont les données nous sont transmises par leur praticien.

1. RÉPARTITION DES RÔLES — POINT ESSENTIEL

La qualification des parties diffère selon la catégorie de données concernée.

1.1 Données des patients — le Laboratoire agit comme sous-traitant

Les données relatives aux patients (identifiant, données cliniques, empreintes, imagerie, plan de traitement) sont des données de santé au sens de l’article 9 du RGPD.

Pour ces données :

• Le professionnel de santé prescripteur est responsable de traitement. Il détermine les finalités et les moyens du traitement dans le cadre de la prise en charge de son patient, recueille son consentement éclairé et l’informe du recours à un laboratoire de fabrication.
• Le Laboratoire agit exclusivement en qualité de sous-traitant, au sens de l’article 28 du RGPD. Il ne traite les données que sur instruction documentée du praticien, aux seules fins de conception et de fabrication du dispositif et de respect de ses obligations réglementaires.

Un accord de sous-traitance conforme à l’article 28 du RGPD est conclu avec chaque professionnel de santé client. Il précise l’objet, la durée, la nature et la finalité du traitement, les catégories de données et de personnes concernées, les mesures de sécurité, le régime des sous-traitants ultérieurs et le sort des données en fin de contrat.

Les patients qui souhaitent exercer leurs droits doivent s’adresser en premier lieu à leur praticien, responsable de traitement. Le Laboratoire prête son concours au praticien pour répondre à ces demandes.

1.2 Données des professionnels de santé et de leurs collaborateurs — le Laboratoire agit comme responsable de traitement

Pour les données relatives à la gestion des comptes, à la relation commerciale, à la facturation, au support, à la sécurité et à la prospection, le Laboratoire est responsable de traitement.

1.3 Obligations réglementaires propres au Laboratoire

En sa qualité de fabricant de dispositifs médicaux, le Laboratoire est également responsable de traitement pour les traitements qui découlent de ses obligations légales propres : traçabilité des dispositifs, documentation technique de l’Annexe XIII du Règlement (UE) 2017/745, matériovigilance, surveillance après commercialisation. Ces traitements ne sont pas effectués sur instruction du praticien mais en exécution d’obligations légales.

2. TRAITEMENTS MIS EN ŒUVRE

2.1 Gestion des comptes et du portail de prescription

• Données traitées : identité, qualité professionnelle, numéro RPPS / ADELI ou équivalent, coordonnées professionnelles, structure d’exercice, identifiants de connexion, journaux de connexion.
• Finalités : création et gestion du compte, vérification de la qualité professionnelle, authentification, sécurité.
• Base légale : exécution du contrat (art. 6.1.b RGPD) ; obligation légale de réserver la fourniture aux professionnels habilités.
• Conservation : durée de la relation contractuelle, puis trois (3) ans à compter du dernier contact. Journaux de connexion : six (6) mois à un (1) an.

2.2 Traitement des commandes et fabrication des dispositifs

• Données traitées : données du praticien ; identifiant du patient (nom, acronyme ou code numérique), prescription clinique, empreintes optiques ou physiques, photographies intra- et extra-orales, examens radiographiques, plan de traitement.
• Finalités : conception, fabrication, contrôle qualité, livraison et suivi du dispositif.
• Base légale : pour le praticien, exécution du contrat ; pour les données de santé du patient, article 9.2.h du RGPD (finalités de médecine préventive, de diagnostic médical et de fourniture de soins), le Laboratoire agissant sur instruction du responsable de traitement.
• Conservation : voir article 4.

2.3 Facturation et comptabilité

• Données traitées : raison sociale, coordonnées, données de facturation et de paiement, historique des commandes.
• Finalités : émission des factures, recouvrement, tenue de la comptabilité.
• Base légale : obligation légale (art. 6.1.c RGPD).
• Conservation : dix (10) ans à compter de la clôture de l’exercice (article L. 123-22 du Code de commerce).

2.4 Traçabilité, matériovigilance et surveillance après commercialisation

• Données traitées : identifiant du patient, identification du dispositif, praticien prescripteur, documentation de fabrication, signalements d’incidents.
• Finalités : traçabilité réglementaire, gestion des réclamations, matériovigilance, actions correctives de sécurité, surveillance après commercialisation.
• Base légale : obligation légale (art. 6.1.c) ; motifs d’intérêt public dans le domaine de la santé publique (art. 9.2.i RGPD).
• Conservation : dix (10) ans minimum à compter de la mise sur le marché du dispositif.

2.5 Relation client et support

• Données traitées : coordonnées, historique des échanges, réclamations.
• Finalités : assistance technique et commerciale, gestion des réclamations.
• Base légale : exécution du contrat ; intérêt légitime à améliorer la qualité du service.
• Conservation : durée de la relation, puis trois (3) ans.

2.6 Prospection commerciale

• Données traitées : identité, coordonnées professionnelles, centres d’intérêt.
• Finalités : envoi d’informations commerciales, invitations à des formations et événements professionnels.
• Base légale : intérêt légitime pour la prospection B2B auprès de clients et de professionnels dans le cadre de leur activité, avec droit d’opposition ; consentement lorsque la réglementation l’exige.
• Conservation : trois (3) ans à compter du dernier contact.
• Chaque communication comporte un lien de désinscription.

2.7 Sécurité du système d’information

• Données traitées : adresses IP, journaux d’événements, données de détection d’incidents.
• Finalités : prévention des accès non autorisés, détection des incidents de sécurité, preuve.
• Base légale : intérêt légitime ; obligation de sécurité (art. 32 RGPD).
• Conservation : six (6) mois à un (1) an, sauf incident en cours d’investigation.

2.8 Cookies et mesure d’audience

• Données traitées : identifiants de session, préférences, données de navigation.
• Base légale : intérêt légitime pour les cookies strictement nécessaires ; consentement pour les autres.
• Conservation : treize (13) mois maximum pour les traceurs soumis à consentement ; vingt-cinq (25) mois pour les données collectées.

3. DESTINATAIRES DES DONNÉES

Les données sont accessibles, dans la limite de leurs attributions :

• aux personnels habilités du Laboratoire (production, qualité, affaires réglementaires, administration des ventes, support, comptabilité), soumis à une obligation de confidentialité ;
• aux sous-traitants ultérieurs du Laboratoire : hébergeur, éditeur du portail et des logiciels de planification, prestataires de maintenance informatique, transporteurs, prestataires de facturation. Chacun est lié par un contrat conforme à l’article 28 du RGPD et n’agit que sur instruction ;
• au praticien prescripteur, pour les données relatives à ses propres patients ;
• aux autorités compétentes (ANSM ou autorité nationale équivalente), dans le cadre des obligations de traçabilité, de matériovigilance et d’inspection ;
• le cas échéant, aux organismes d’assurance, conseils et auxiliaires de justice, en cas de litige.

Les données ne font l’objet d’aucune cession, location ou mise à disposition à des fins commerciales au profit de tiers.

4. DURÉES DE CONSERVATION

Catégorie de données	Durée
Compte utilisateur professionnel	Durée du contrat + 3 ans
Dossier de fabrication et documentation Annexe XIII	10 ans à compter de la mise sur le marché du dispositif
Données de traçabilité et de matériovigilance	10 ans minimum
Documents comptables et factures	10 ans après clôture de l’exercice
Données de prospection	3 ans à compter du dernier contact
Journaux de connexion et de sécurité	6 à 12 mois
Cookies soumis à consentement	13 mois

À l’expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible, sauf archivage intermédiaire justifié par un contentieux ou une obligation légale.

5. TRANSFERTS HORS UNION EUROPÉENNE

5.1 Le Laboratoire privilégie l’hébergement et le traitement des données au sein de l’Union européenne.

5.2 Lorsqu’un transfert vers un pays tiers est nécessaire — notamment en cas de recours à un prestataire technique ou à un partenaire de fabrication établi hors de l’Union européenne — il n’est réalisé que si l’une des garanties prévues au chapitre V du RGPD est en place : décision d’adéquation de la Commission européenne, clauses contractuelles types, ou mesures supplémentaires appropriées à l’issue d’une analyse d’impact du transfert.

5.3 Les données de santé ne sont transférées hors de l’Union européenne que dans le respect des conditions de l’article 9 du RGPD et, le cas échéant, de l’article 49.

5.4 La liste des sous-traitants ultérieurs et des éventuels pays de destination est communiquée aux clients sur simple demande à dpo@clevaligner.fr.

6. HÉBERGEMENT DES DONNÉES DE SANTÉ

Conformément à l’article L. 1111-8 du Code de la santé publique, l’hébergement de données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de personnes physiques ou morales à l’origine de leur production, est assuré par un hébergeur titulaire de la certification HDS.

Hébergeur HDS retenu : [à compléter — dénomination, organisme certificateur, numéro et périmètre de certification]

7. SÉCURITÉ

Le Laboratoire met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment :

• chiffrement des données en transit (TLS) et au repos ;
• authentification individuelle, politique de mots de passe robustes et authentification à deux facteurs lorsqu’elle est disponible ;
• gestion stricte des habilitations selon le principe du moindre privilège ;
• journalisation des accès et des opérations sensibles ;
• sauvegardes régulières et procédures de restauration testées ;
• cloisonnement des environnements et protection périmétrique ;
• sensibilisation et engagement de confidentialité des personnels ;
• procédure de gestion des violations de données, avec notification à la CNIL dans les 72 heures et information des personnes concernées lorsque la réglementation l’exige.

8. DROITS DES PERSONNES CONCERNÉES

8.1 Toute personne concernée dispose, dans les conditions prévues par le RGPD, des droits suivants : droit d’accès, de rectification, d’effacement, de limitation du traitement, d’opposition, de portabilité, ainsi que du droit de définir des directives relatives au sort de ses données après son décès.

8.2 Modalités d’exercice.

• Patients : adresser la demande au praticien prescripteur, responsable de traitement. Le Laboratoire ne peut donner suite directement à une demande patient sans instruction du praticien, sauf obligation légale.
• Professionnels de santé, collaborateurs, prospects et visiteurs : adresser la demande à dpo@clevaligner.fr ou par courrier au Délégué à la protection des données, CLEVALIGNER LAB, 12 rue du Sergent Bobillot, 93100 Montreuil.

8.3 Une réponse est apportée dans un délai d’un (1) mois à compter de la réception de la demande, prorogeable de deux (2) mois en cas de complexité. Un justificatif d’identité peut être demandé en cas de doute raisonnable.

8.4 Limites. Le droit à l’effacement ne s’applique pas lorsque la conservation est nécessaire au respect d’une obligation légale, notamment au titre de la traçabilité des dispositifs médicaux, de la matériovigilance et des obligations comptables.

8.5 Réclamation. Toute personne peut introduire une réclamation auprès de la CNIL : Commission Nationale de l’Informatique et des Libertés — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr

9. COOKIES

9.1 Les cookies strictement nécessaires au fonctionnement du site et du portail (authentification, sécurité, répartition de charge, mémorisation des choix de consentement) sont déposés sans consentement préalable, conformément à l’article 82 de la loi Informatique et Libertés.

9.2 Les cookies de mesure d’audience non exemptés, les cookies de personnalisation et les cookies tiers ne sont déposés qu’après recueil du consentement de l’utilisateur.

9.3 L’utilisateur peut à tout moment modifier ses choix depuis le module de gestion des préférences accessible sur le site, ou paramétrer son navigateur. Le refus des cookies non essentiels n’empêche pas l’accès au site ; le refus des cookies strictement nécessaires peut en revanche altérer le fonctionnement du portail.

10. MODIFICATION DE LA POLITIQUE

La présente politique peut être modifiée pour tenir compte de l’évolution des traitements, de la réglementation ou des pratiques du Laboratoire. La version applicable est celle publiée sur le site. Toute modification substantielle est portée à la connaissance des personnes concernées par un moyen approprié.

11. CONTACT

Délégué à la protection des données (DPO) : dpo@clevaligner.fr

Courrier : CLEVALIGNER LAB — DPO — 12 rue du Sergent Bobillot, 93100 Montreuil, France

Contact général : contact@clevaligner.fr

CLEVALIGNER LAB — SAS au capital de 5 000 € — RCS Bobigny 904 779 584

12 rue du Sergent Bobillot, 93100 Montreuil, France

Version 1.0 du 27 juillet 2026