Politique de confidentialité

mySofie Pay

Juillet 2024

La présente Politique de confidentialité est établie par la société EVEREST HC, société par actions simplifiée immatriculée au RCS de Marseille sous le numéro 830 506 743 et dont le siège social est sis 33 bis, avenue du 24 avril 1915 – 13012 Marseille (ci-après « EVEREST HC »).

La présente Politique de confidentialité décrit les traitements de données personnelles mis en œuvre par la société EVEREST HC et ses engagements au titre de la loi n°78-17 du 6 janvier 1978 (dite loi « Informatique et Libertés ») et du Règlement général sur la protection des données (dit « RGPD ») concernant l’application mySofie Pay (ci-après l’« Application »).

La société EVEREST HC a désigné un Délégué à la Protection des Données (« DPO ») externe, lequel peut être contacté en écrivant à : dpo@mysofie.fr ou : DPO MySofie – EVEREST HC – 33 bis, avenue du 24 avril 1915 – 13012 Marseille ; le DPO a été déclaré auprès de la CNIL.

• Définitions

Lorsqu’ils sont utilisés avec une majuscule dans la présente Politique de confidentialité, les termes suivants ont la définition ci-après :  

• Application : désigne l’application mobile mySofie Pay pouvant être téléchargée gratuitement sur l’App Store et permettant à l’Utilisateur, avec l’accord de son Assureur, d’associer son contrat d’assurance santé afin de régler directement les professionnels de santé sans avancer de frais ; 

• Assureur : désigne la société d’assurance ou mutuelle de santé et avec laquelle l’Utilisateur a conclu un contrat d’assurance santé en cours et l’ayant autorisé à utiliser l’Application pour régler directement ses frais de santé auprès de professionnels de santé ; 

• Données personnelles : désigne les « données à caractère personnel » au sens de l’article 4.1) du RGPD, à savoir toute information se rapportant à une personne physique identifiée ou identifiable. Est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;

• Sous-traitant : désigne le « sous-traitant » au sens de l’article 4.8) du RGPD à savoir la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ;

• Traitement : désigne le « traitement » au sens de l’article 4.2) du RGPD à savoir toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction;

• Utilisateur : désigne une personne physique ayant conclu un contrat d’assurance santé en cours avec un Assureur et autorisée par ce dernier à utiliser l’Application.

• Personnes concernées

Dans le cadre de la fourniture de l’Application, EVEREST HC traite les Données personnelles des Utilisateurs de l’Application et de toute autre personne physique dont les Données personnelles sont communiquées à EVEREST HC par l’Utilisateur (par ex. identité et localisation d’un professionnel de santé) ou son Assureur (données relatives à l’Utilisateur et ses ayants-droits).

La Politique de confidentialité s’applique à tout Utilisateur de l’Application.

• Sous-traitant

EVEREST HC agit en qualité de Sous-traitant de Données personnelles pour le compte de l’Assureur mettant à la disposition de l’Utilisateurs un accès à l’Application et à ses fonctionnalités.

• Finalités

Les Données personnelles communiquées par l’Utilisateur à EVEREST HC font l’objet d’un traitement informatique et sont conservées et utilisées par EVEREST HC, pour les besoins de la fourniture de l’Application et de ses services tels que définis par l’Assureur de l’Utilisateur, pendant toute la durée de l’inscription de l’Utilisateur à l’Application, pour les finalités suivantes :

• vérifier et utiliser les données et éléments d’identification fournis et permettre leur utilisation via l’Application pour accéder aux informations sollicitées par l’Utilisateur, notamment auprès de son Assureur ; 

• permettre l’accès à l’Application et son utilisation par l’Utilisateur pour lui permettre de procéder au paiement de consultations ou prestations auprès chez certains professionnels de santé, en évitant d’avancer les frais couverts par les garanties de son contrat santé ; 

• générer une carte de paiement virtuelle mySofie Pay afin que l’Utilisateur puisse réaliser des paiements auprès des professionnels de santé ; 

• permettre à l’Utilisateur de rechercher le nom du professionnel de santé auprès duquel il souhaite réaliser un paiement ; 

• vérifier que le paiement auprès d’un professionnel de santé avec la carte de paiement virtuelle mySofie Pay est pris en charge par l’Assureur de l’Utilisateur ; 

• vérifier que le paiement réalisé avec la carte de paiement virtuelle mySofie Pay est bien réalisé auprès d’un professionnel de santé ; 

• permettre à l’Utilisateur de payer un reste à charge avec sa carte de paiement personnelle lorsque le contrat souscrit auprès de son Assureur ne permet pas de prendre en charge l’intégralité du paiement auprès du professionnel de santé ;

• Améliorer les différents services proposés par l’Application ;

• Répondre aux demandes de l’Utilisateur.

• Données personnelles concernées

Les données et Données personnelles devant être traitées par EVEREST HC pour permettre l’accomplissement des finalités décrites ci-avant sont les suivantes : 

• Nom et prénom ; 
• Adresse email ; 
• Numéro de téléphone ; 
• Adresse personnelle ; 
• Adresse de facturation ; 
• Statut auprès de l’Assureur ; 
• Nom du professionnel de santé auprès duquel l’Utilisateur souhaite réaliser un paiement ; 
• Montant des soins ; 
• Catégorie du professionnel de santé auprès duquel l’Utilisateur souhaite réaliser un paiement
• Données de géolocalisation de l’Utilisateur pour : 
• Faciliter la recherche du nom du professionnel de santé auprès duquel il souhaite réaliser un paiement ; 
• Vérifier que le paiement réalisé avec la carte virtuelle de paiement  mySofie Pay est bien réalisé auprès du professionnel de santé renseigné. 

Par ailleurs, la génération de la carte virtuelle de paiement mySofie Pay est réalisée par la société Stripe Payment Europe Ltd., société de droit irlandais située 1 Grand Canal Street Lower, Grand Canal Dock, Dublin D02 H210, Irlande, enregistrée au bureau d’enregistrement des sociétés irlandaises sous le numéro 3206488LH (la société « Stripe »). 

La génération d’une carte de paiement par un opérateur bancaire nécessite la transmission à Stripe de données d’identification particulières, ou « KYC ». La transmission de données est réalisée par l’Assureur de l’Utilisateur, à Stripe uniquement via EVEREST HC qui n’est pas destinataire des données ainsi transmises, lesquelles sont : 

• Nom et prénom ; 
• Adresse email ; 
• Numéro de téléphone ; 
• Statut auprès de l’assurance santé ou la mutuelle ; 
• Adresse personnelle ; 
• Adresse de facturation ; 
• Type d’issuing de carte ; 
• Informations sur l’assurance santé ou la mutuelle. 

• Base légale

Les Données à caractère personnel font l’objet d’un traitement par la société EVEREST HC en qualité de sous-traitant de l’Assureur ; les Utilisateurs consentent au traitement de leurs Données personnelles en application du ou des contrats les liant à l’Assureur et, le cas échéant, confirment leur consentement au traitement de leurs données en acceptant les Conditions Générales d’Utilisation de mySofie Pay et/ou tout autre document applicable ; certains traitements sont par ailleurs réalisés par EVEREST HC ou ses partenaires  pour leur permettre de remplir leurs obligations contractuelles à l’égard des Utilisateurs mais également de respecter les obligations légales qui leur incombent. 

Certains traitements peuvent également avoir pour fondement les intérêts légitimes de EVEREST HC notamment s’agissant de l’amélioration de l’Application.

• Sécurité des Données personnelles

EVEREST HC prend toutes les mesures adéquates sur le plan technique et organisationnel pour assurer la sécurité des Données personnelles des Utilisateurs et, en particulier, interdire l’accès non autorisé et/ou la divulgation des Données personnelles de l’Utilisateur.

Les Données personnelles de l’Utilisateur sont stockées sur des serveurs sécurisés hébergés en France auprès de la société Amazon Web Services (AWS) EMEA SARL, société commerciale étrangère immatriculée au RCS sous le numéro 352 2789 0057 et dont le siège social est 38 avenue John F. Kennedy, L-1855 - LUXEMBOURG, hébergeur agréé données de santé.

EVEREST HC invite l’Utilisateur à la plus grande prudence dans la communication de ses données personnelles à des tiers, et en particulier à ne pas répondre à des sollicitations ou messages (email, SMS…) présentés sous les marques et logos mySofie Pay qui seraient reçus en dehors de l’Application. De tels messages ou sollicitations peuvent provenir de personnes mal intentionnées cherchant à obtenir des informations personnelles vous concernant en vue d’une utilisation frauduleuse (pratique du phishing). Si vous recevez un message qui paraît être une tentative de phishing, ne répondez pas et n’ouvrez pas les pièces jointes, les images ou les liens contenus dans le message.

• Sous-traitants ultérieurs et transferts

Les données de l’Utilisateur pourront être communiquées à des prestataires de service, sous-traitants de EVEREST HC pour assurer l’accès et l’utilisation de l’Application et de ses fonctionnalités et services. EVEREST HC s’efforce de sélectionner ses prestataires sur la base de critères exigeant en matière de sécurité et de protection des Données personnelles. 

En particulier, EVEREST HC fait appel la société Stripe pour fournir les services suivants :

• Génération de la carte virtuelle de paiement mySofie Pay ; 
• Réalisation de paiements avec la carte virtuelle de paiement mySofie Pay. 

L’exécution des services mis en œuvre par EVEREST HC peut nécessiter le transfert de certaines de vos Données Personnelles à des prestataires tiers situés ou utilisant des serveurs situés en dehors de l'Union Européenne (l'"UE") et de l'Espace Economique Européen (l'"EEE"). Dans ce cas, EVEREST HC s’assure :

• qu'ils sont situés dans un pays considéré comme ayant un niveau de protection adéquat par l'Union européenne en matière de données à caractère personnel ou,
• qu'ils sont liés par des dispositions contractuelles assurant un niveau de protection des Données personnelles équivalent (telles que les clauses contractuelles types établies par la Commission européenne).

Les Données personnelles de l’Utilisateur ne font pas l’objet de communication ou de transfert à des tiers à des fins commerciales ou promotionnelles, sauf accord préalable et exprès de l’Utilisateur.

• Durée de conservation des données

Les Données personnelles sont conservées pour la durée nécessaire à la réalisation des finalités définies par l’Assureur. Le cas échéant, EVEREST HC conservera les Données personnelles pour la durée exigée par la loi ou les règlements en vigueur. 

L’Utilisateur peut, à tout moment, accéder à son compte pour modifier ou supprimer les informations et données le concernant. 

• Droits de l’Utilisateur

Conformément à la loi « Informatique et Libertés » et au « RGPD », l’Utilisateur dispose d’un droit d’information, d’accès, d’opposition, de rectification, d’effacement et de suppression de tout ou partie des Données personnelles le concernant, et d’un droit à la limitation du traitement et à la portabilité des Données personnelles, qu’il peut exercer en écrivant à : support@mysofiepay.com ou DPO mySofie – EVEREST HC – 33 bis, avenue du 24 avril 1915 – 13012 Marseille.

De telles demandes devront être présentées par l’Utilisateur personnellement et par écrit, signées et, à la demande d’EVEREST HC, éventuellement accompagnées de la photocopie d’un titre d’identité portant la signature de son titulaire. Ces informations ne seront communiquées qu’à des fins d’identification de l’Utilisateur et ne seront pas conservées pour une durée excédant celle nécessaire au traitement de la réponse. La demande précisera l’adresse email ou postale à laquelle devra parvenir l’éventuelle réponse. 

Si le traitement concerné est réalisé par EVEREST HC en qualité de Sous-traitant de l’Assureur, EVEREST HC transmettre la demande sans délai à ce dernier.

EVEREST HC ou, le cas échéant, l’Assureur dispose d’un délai d’un (1) mois pour répondre suivant réception de la demande, le cas échéant renouvelable.

L’Utilisateur dispose également du droit de définir des directives générales relatives à la conservation, à l’effacement et à la communication de ses Données personnelles après son décès, qui peuvent être enregistrées auprès d’un tiers de confiance numérique certifié par la CNIL (www.cnil.fr), ainsi que des directives particulières relatives à l’Application et pouvant être enregistrées auprès de EVEREST HC, à l’adresse susmentionnée.

L’Utilisateur dispose par ailleurs du droit de formuler une réclamation auprès des autorités, et en particulier de la CNIL.

• Modification de la Politique de confidentialité

La présente Politique de confidentialité peut être modifiée par EVEREST HC à tout moment.

En cas de modification de la Politique de confidentialité, la nouvelle version en vigueur sera applicable à l’Utilisateur à compter de sa connexion à EVEREST HC.

En cas de litige entre l’Utilisateur et EVEREST HC, la Politique de confidentialité à prendre en compte sera celle en vigueur au moment des faits à l’origine du litige.