Politique de protection des données à caractère personnel - Professionnels

1. Préambule

La protection des données à caractère personnel constitue un engagement essentiel de Lyleoo.

En tant qu'éditeur d'une plateforme de téléexpertise médicale destinée aux professionnels de santé, Lyleoo traite quotidiennement des données présentant un niveau élevé de sensibilité, notamment des données de santé.

La confiance accordée par les professionnels utilisateurs de la plateforme repose notamment sur la confidentialité, la sécurité et la disponibilité des informations qui nous sont confiées.

La présente Politique de protection des données a pour objet d'expliquer de manière transparente la façon dont Lyleoo traite les données à caractère personnel dans le cadre de ses relations avec les professionnels de santé utilisant ses services.

Elle précise également les différents rôles exercés par Lyleoo au regard du Règlement (UE) 2016/679 (« RGPD »), selon la nature des traitements concernés.

Lyleoo s'engage à traiter les données conformément au RGPD, à la loi Informatique et Libertés et, lorsqu'elles sont applicables, aux dispositions relatives à l'hébergement et à la protection des données de santé.

2. Définitions

Pour faciliter la lecture de cette politique, les termes ci-dessous sont utilisés avec la signification suivante :

• Donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement.
• Traitement : toute opération réalisée sur des données à caractère personnel, telle que la collecte, l'enregistrement, la consultation, l'utilisation, la conservation, la communication ou la suppression.
• Responsable du traitement : la personne morale qui détermine les finalités et les moyens d'un traitement de données à caractère personnel.
• Sous-traitant : la personne morale qui traite des données à caractère personnel pour le compte du responsable du traitement.
• Personne concernée : toute personne physique dont les données à caractère personnel sont traitées.

3. Les engagements de Lyleoo en matière de protection des données

Lyleoo s'engage à traiter les données à caractère personnel dans le respect des principes fondamentaux du RGPD.

À ce titre, nous veillons notamment à :

• collecter uniquement les données nécessaires aux finalités poursuivies ;
• traiter les données de manière licite, loyale et transparente ;
• utiliser les données exclusivement pour les finalités portées à la connaissance des personnes concernées ;
• conserver les données pendant une durée limitée et adaptée à chaque traitement ;
• mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir leur confidentialité, leur intégrité, leur disponibilité et leur sécurité ;
• permettre à toute personne concernée d'exercer simplement les droits que lui reconnaît la réglementation applicable.

La protection des données personnelles est intégrée à la conception, au développement et à l'exploitation des services proposés par Lyleoo.

4. Quel est le rôle de Lyleoo dans les traitements de données ?

Selon les traitements concernés, Lyleoo intervient soit en qualité de responsable de traitement, soit en qualité de sous-traitant, au sens du Règlement (UE) 2016/679 (« RGPD »).

Lorsque Lyleoo détermine les finalités et les moyens des traitements nécessaires à la gestion de ses activités, elle agit en qualité de responsable de traitement.

Il s'agit notamment des traitements relatifs :

• à la gestion des comptes clients ;
• à la gestion des utilisateurs ;
• à la relation commerciale ;
• à la facturation ;
• au support ;
• à la sécurité des systèmes d'information ;
• à la gestion des obligations légales et réglementaires.

En revanche, lorsque les professionnels de santé utilisent la plateforme de téléexpertise, Lyleoo traite les données à caractère personnel, y compris les données de santé des patients, exclusivement pour leur compte et conformément à leurs instructions documentées.

Dans ce cadre, Lyleoo agit en qualité de sous-traitant, conformément à l'article 28 du RGPD.

Par exception, Lyleoo agit en qualité de responsable de traitement lorsqu’elle détermine elle-même les finalités et les moyens essentiels d’un traitement distinct réalisé à partir de données issues de l’utilisation de la plateforme. Ces traitements sont spécifiquement identifiés dans la présente Politique.

Les professionnels de santé demeurent responsables des traitements qu'ils déterminent dans le cadre de leur activité professionnelle.

Le tableau ci-dessous présente les principaux rôles exercés par Lyleoo.

5. Qui est responsable des traitements ?

Pour les traitements réalisés par Lyleoo en qualité de responsable de traitement, le responsable de traitement est :

LYLEOO

Société par actions simplifiée au capital de 1.000€

RCS Antibes n° 948 866 637

Siège social :

3030 Chemin Saint-Bernard

06220 Vallauris – France

Courriel : [email protected]

Téléphone : +33 (0)4 22 32 66 00

Lorsque Lyleoo agit en qualité de sous-traitant, les professionnels de santé utilisant la plateforme demeurent responsables des traitements réalisés dans le cadre de leur activité professionnelle.

Les modalités de cette intervention sont précisées dans les Conditions Générales d'Abonnement et dans l'Accord de sous-traitance conclu entre Lyleoo et ses clients.

6. Comment contacter notre Délégué à la protection des données (DPO) ?

Lyleoo a désigné un Délégué à la protection des données (DPO) chargé de veiller au respect de la réglementation applicable en matière de protection des données personnelles.

Le DPO constitue votre interlocuteur privilégié pour toute question relative au traitement de vos données à caractère personnel ou pour l'exercice de vos droits.

Vous pouvez le contacter :

• par courrier :

Délégué à la protection des données

LYLEOO

3030 Chemin Saint-Bernard

06220 Vallauris – France

• par courrier électronique : [email protected]

7. Quelles données à caractère personnel traitons-nous ?

7.1. Gestion de la relation contractuelle

Dans le cadre de la conclusion, de l'exécution et du suivi des contrats conclus avec les professionnels de santé, Lyleoo traite les données nécessaires à la gestion de la relation commerciale et contractuelle.

Ces données peuvent notamment comprendre :

• les données d'identification du représentant légal ou des interlocuteurs désignés ;
• les coordonnées professionnelles ;
• les informations relatives à la structure (raison sociale, SIRET, adresse, spécialité, etc.) ;
• les informations nécessaires à la facturation et au suivi administratif.

7.2. Gestion des comptes utilisateurs

Afin de permettre l'accès sécurisé à la plateforme, Lyleoo traite les informations nécessaires à la création, à l'administration et à la sécurisation des comptes utilisateurs.

Ces traitements concernent notamment :

• les identifiants des utilisateurs ;
• les informations d'authentification ;
• les profils et habilitations ;
• les journaux de connexion ;
• les paramètres de sécurité.

7.3. Assistance et support

Lorsque les professionnels sollicitent le support de Lyleoo, certaines données peuvent être traitées afin d'assurer le traitement des demandes, l'assistance technique, le diagnostic d'incidents ou l'amélioration des services.

7.4. Sécurité et exploitation de la plateforme

Afin d'assurer la disponibilité, la sécurité et le bon fonctionnement de la plateforme, Lyleoo traite différentes données techniques, notamment :

• journaux techniques ;
• traces de connexion ;
• informations de sécurité ;
• données nécessaires à la détection d'incidents ;
• informations relatives aux sauvegardes.

7.5. Traitements réalisés pour le compte des professionnels de santé

Dans le cadre des services de téléexpertise proposés par la plateforme, Lyleoo traite, pour le compte des professionnels de santé, les données nécessaires à l'exécution des prestations confiées.

Ces traitements peuvent notamment porter sur :

• les données d'identification des patients ;
• les données administratives nécessaires au dossier ;
• les données de santé ;
• les examens, mesures et documents transmis ;
• les échanges entre professionnels de santé ;
• les informations nécessaires à la traçabilité des opérations réalisées sur la plateforme.

Lyleoo ne détermine ni les finalités ni les moyens de ces traitements, qui relèvent de la responsabilité des professionnels de santé.

8. Pourquoi traitons-nous ces données ?

9. Traitements réalisés pour le compte des professionnels de santé

Lorsque les professionnels de santé utilisent la plateforme Lyleoo pour réaliser des actes de téléexpertise, Lyleoo traite les données à caractère personnel nécessaires au fonctionnement de la plateforme exclusivement pour leur compte et conformément à leurs instructions documentées.

Dans ce cadre :

• les professionnels de santé déterminent les finalités et les moyens des traitements réalisés dans le cadre de leur activité professionnelle ;
• Lyleoo agit en qualité de sous-traitant au sens de l'article 28 du RGPD ;
• Lyleoo ne traite les données que dans la mesure nécessaire à l'exécution des services prévus au contrat ;
• les personnes habilitées au sein de Lyleoo sont soumises à une obligation de confidentialité ;
• Lyleoo met en œuvre des mesures techniques et organisationnelles appropriées afin d'assurer la sécurité des données traitées.

Les modalités détaillées de ces traitements sont définies dans les Conditions Générales d'Abonnement et dans l'Accord de sous-traitance conclu avec les professionnels de santé.

Prévention et détection des utilisations abusives ou frauduleuses

Lyleoo réalise périodiquement des analyses statistiques relatives à l’utilisation de la plateforme par les Professionnels afin de détecter d’éventuelles anomalies ou utilisations abusives ou frauduleuses du service.

Ces contrôles portent notamment sur le nombre, la fréquence et la typologie des demandes réalisées par les Professionnels. Ils n’impliquent pas, pour cette finalité, l’accès de Lyleoo au contenu des dossiers médicaux des Patients.

Pour ce traitement spécifique, Lyleoo agit en qualité de responsable de traitement, sur le fondement de son intérêt légitime à assurer une utilisation conforme de sa plateforme et à prévenir les abus et fraudes.

Ce traitement est distinct des opérations de téléexpertise que Lyleoo réalise en qualité de sous-traitant pour le compte des Professionnels de santé.

10. Avec qui partageons-nous les données ?

Lyleoo veille à ce que les données à caractère personnel traitées dans le cadre de ses services ne soient accessibles qu'aux seules personnes habilitées et aux destinataires dont l'intervention est nécessaire à l'exécution des services proposés.

Les données ne sont jamais communiquées à des tiers non autorisés et ne font l'objet d'aucune commercialisation.

10.1. Les collaborateurs habilités de Lyleoo

Les données à caractère personnel traitées par Lyleoo sont accessibles uniquement aux collaborateurs dont les fonctions nécessitent un tel accès, notamment les équipes chargées :

• de l'administration de la plateforme ;
• du support et de l'assistance aux utilisateurs ;
• de la sécurité des systèmes d'information ;
• de la gestion administrative, contractuelle et comptable ;
• ainsi que, lorsque cela est strictement nécessaire, de la maintenance technique.

Chaque collaborateur est soumis à une obligation de confidentialité et n'accède qu'aux données strictement nécessaires à l'exercice de ses missions.

Les habilitations font l'objet d'une gestion régulière afin de garantir le respect du principe du moindre privilège.

10.2. Les professionnels de santé habilités

Dans le cadre des services de téléexpertise proposés par Lyleoo, les données à caractère personnel sont accessibles exclusivement aux professionnels de santé habilités intervenant dans la prise en charge du patient, dans la limite des informations nécessaires à l'exercice de leurs missions et conformément aux droits d'accès qui leur sont attribués.

Selon les fonctionnalités utilisées et le parcours de téléexpertise concerné, ces destinataires peuvent notamment être :

• les opticiens, lorsqu'ils réalisent les examens, collectent les informations nécessaires à la constitution du dossier de téléexpertise ou assurent le suivi de leurs patients ;
• les ophtalmologistes, lorsqu'ils accèdent au dossier de téléexpertise afin de rendre leur avis médical ou d'assurer le suivi de la prise en charge ;
• plus généralement, tout autre professionnel de santé ou utilisateur habilité dont l'accès est autorisé dans le cadre des services proposés par Lyleoo et conformément aux droits qui lui sont attribués.

Chaque professionnel de santé demeure responsable des traitements qu'il met en œuvre dans le cadre de son activité professionnelle, conformément aux dispositions du RGPD, aux règles déontologiques qui lui sont applicables et aux obligations résultant du Code de la santé publique.

Lyleoo met en œuvre des mécanismes de gestion des habilitations permettant de limiter l'accès aux seules personnes autorisées, selon leur profil et leurs missions.

10.3. Nos sous-traitants

Afin d'assurer le fonctionnement de la plateforme, sa maintenance, son hébergement, l'envoi de communications électroniques, la gestion de la relation client ou encore certaines fonctions administratives, Lyleoo fait appel à des prestataires spécialisés agissant en qualité de sous-traitants.

* La localisation indiquée correspond au principal lieu de traitement ou d'hébergement des données. Certains prestataires peuvent, dans le cadre d'opérations de maintenance, d'assistance ou de l'intervention de sous-traitants ultérieurs, être amenés à réaliser des traitements ou à accéder aux données depuis des pays situés en dehors de l'Espace économique européen. Le cas échéant, ces transferts sont encadrés conformément au chapitre V du RGPD.

Lyleoo sélectionne ses sous-traitants avec le plus grand soin et s'assure qu'ils présentent des garanties suffisantes en matière de sécurité, de confidentialité et de protection des données à caractère personnel.

Les traitements réalisés pour le compte de Lyleoo sont encadrés par des contrats conformes à l'article 28 du RGPD. Les sous-traitants ne sont autorisés à traiter les données que sur instructions documentées de Lyleoo et uniquement pour les finalités prévues contractuellement.

Lorsque certains sous-traitants ou leurs propres sous-traitants sont susceptibles de traiter des données en dehors de l'Espace économique européen, Lyleoo veille à ce que ces transferts soient réalisés conformément au chapitre V du RGPD et bénéficient des garanties appropriées.

10.4. Les autorités et organismes légalement habilités

Lyleoo peut être amenée à communiquer certaines données à caractère personnel aux autorités administratives, judiciaires ou aux organismes légalement habilités lorsque cette communication est imposée par une disposition légale ou réglementaire, une décision de justice ou une demande légalement fondée.

En dehors des destinataires mentionnés dans le présent article, Lyleoo ne communique aucune donnée à caractère personnel à des tiers sans base juridique appropriée.

Lyleoo ne vend jamais les données à caractère personnel qui lui sont confiées.

11. Combien de temps conservons-nous les données à caractère personnel ?

Lyleoo conserve les données à caractère personnel pendant une durée n'excédant pas celle nécessaire aux finalités pour lesquelles elles sont traitées, conformément aux dispositions du RGPD, de la loi Informatique et Libertés et aux obligations légales et réglementaires applicables.

Les durées de conservation applicables aux principaux traitements réalisés par Lyleoo sont précisées dans le tableau figurant à l'article 8 de la présente Politique.

À l'issue de ces durées, les données sont supprimées, anonymisées ou archivées lorsque leur conservation demeure nécessaire afin de respecter une obligation légale ou réglementaire, ou de permettre la constatation, l'exercice ou la défense de droits en justice.

11.1. Traitements réalisés en qualité de responsable de traitement

Lorsque Lyleoo agit en qualité de responsable de traitement, les données sont conservées pendant les durées nécessaires à la gestion de la relation contractuelle, au respect des obligations légales applicables et à la défense de ses droits.

Les principales durées de conservation sont précisées dans le tableau figurant à l'article 8.

11.2. Traitements réalisés en qualité de sous-traitant

Lorsque Lyleoo agit en qualité de sous-traitant pour le compte des professionnels de santé, les données à caractère personnel sont conservées exclusivement selon les instructions documentées du responsable de traitement et conformément aux engagements contractuels conclus avec celui-ci.

Lyleoo ne détermine pas de manière autonome la durée de conservation des données qui lui sont confiées dans ce cadre.

À l'issue de la relation contractuelle ou sur instruction du responsable de traitement, les données sont restituées ou supprimées dans les conditions prévues par le contrat, sauf obligation légale imposant leur conservation.

11.3. Archivage

Certaines données peuvent être conservées au-delà de leur durée d'utilisation courante lorsqu'une disposition légale ou réglementaire l'impose ou lorsqu'elles sont nécessaires à la gestion d'un précontentieux, d'un contentieux ou à la défense des droits de Lyleoo ou de ses clients.

Durant cette période, l'accès aux données est strictement limité aux personnes habilitées.

11.4. Sauvegardes

Afin d'assurer la continuité de ses services et la sécurité de ses systèmes d'information, Lyleoo réalise des sauvegardes régulières de ses environnements.

Des données supprimées des environnements de production peuvent ainsi demeurer temporairement présentes dans les sauvegardes jusqu'à l'expiration des cycles de rétention applicables.

Ces sauvegardes sont exclusivement utilisées pour assurer la restauration des systèmes, la continuité d'activité ou la gestion d'incidents de sécurité.

11.5. Obligations de nos sous-traitants

Les prestataires intervenant pour le compte de Lyleoo sont contractuellement tenus de respecter les durées de conservation définies par Lyleoo lorsqu'elle agit en qualité de responsable de traitement.

Lorsqu'ils interviennent dans le cadre de traitements réalisés par Lyleoo en qualité de sous-traitant, ils sont également tenus de respecter les instructions documentées du responsable de traitement, conformément à l'article 28 du RGPD.

12. Comment protégeons-nous les données à caractère personnel ?

La sécurité et la confidentialité des données traitées constituent un engagement fondamental de Lyleoo.

Compte tenu de la nature des services proposés et de la sensibilité des données traitées, Lyleoo met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques, conformément au RGPD, aux exigences applicables en matière d'hébergement de données de santé et aux bonnes pratiques reconnues en matière de cybersécurité.

Ces mesures ont notamment pour objectif de garantir :

• la confidentialité des données ;
• leur intégrité ;
• leur disponibilité ;
• leur traçabilité ;
• ainsi que la résilience des systèmes d'information.

À ce titre, Lyleoo met notamment en œuvre les mesures suivantes :

• un hébergement des données auprès d'un prestataire certifié Hébergeur de Données de Santé (HDS) ;
• une infrastructure exploitée par un prestataire disposant d'un système de management de la sécurité de l'information certifié ISO/IEC 27001 ;
• le chiffrement des données en transit au moyen de protocoles de sécurité reconnus ;
• le chiffrement des données stockées ;
• une gestion des habilitations fondée sur les besoins opérationnels des utilisateurs ;
• des mécanismes d'authentification adaptés aux profils des utilisateurs ;
• la journalisation des accès et des opérations sensibles réalisées sur la plateforme ;
• des sauvegardes régulières permettant d'assurer la continuité des services ;
• une surveillance des systèmes d'information et des procédures de gestion des incidents de sécurité.

Les collaborateurs de Lyleoo susceptibles d'accéder aux données sont soumis à une obligation de confidentialité et sont régulièrement sensibilisés aux exigences relatives à la protection des données à caractère personnel et à la sécurité de l'information.

Les mesures de sécurité font l'objet d'une réévaluation régulière afin de tenir compte de l'évolution des risques, des technologies, de l'état de l'art en matière de cybersécurité et des exigences réglementaires.

La présente Politique présente les principales mesures mises en œuvre par Lyleoo. Elle ne constitue pas une description exhaustive des dispositifs de sécurité déployés.

13. Les données sont-elles transférées en dehors de l'Union européenne ?

Lyleoo privilégie le recours à des prestataires dont les traitements sont réalisés au sein de l'Espace économique européen.

Toutefois, certains de nos sous-traitants ou de leurs propres sous-traitants peuvent être amenés, dans le cadre d'opérations de maintenance, de support ou d'administration technique, à accéder à certaines données depuis des pays situés en dehors de l'Espace économique européen.

Lorsque de tels transferts sont susceptibles d'intervenir, Lyleoo veille à ce qu'ils soient réalisés conformément aux dispositions du chapitre V du Règlement (UE) 2016/679 (« RGPD »).

Selon les situations, ces transferts peuvent notamment être encadrés par :

• une décision d'adéquation adoptée par la Commission européenne ;
• les Clauses Contractuelles Types adoptées par la Commission européenne ;
• ou tout autre mécanisme de transfert reconnu par la réglementation applicable.

Lyleoo s'assure que ces transferts offrent un niveau de protection des données à caractère personnel conforme aux exigences de la réglementation européenne.

Des informations complémentaires relatives aux garanties mises en œuvre peuvent être obtenues sur simple demande auprès de notre Délégué à la protection des données.

14. Quels sont vos droits ?

Lorsque Lyleoo agit en qualité de responsable de traitement, vous disposez des droits prévus par le RGPD concernant les données à caractère personnel vous concernant.

Vous pouvez notamment exercer les droits suivants :

• Droit d'accès : obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie.
• Droit de rectification : demander la correction de données inexactes ou incomplètes.
• Droit à l'effacement : obtenir la suppression de vos données dans les cas prévus par la réglementation.
• Droit à la limitation du traitement : demander la suspension temporaire de certains traitements.
• Droit d'opposition : vous opposer, dans les conditions prévues par le RGPD, à certains traitements fondés sur l'intérêt légitime.
• Droit à la portabilité : recevoir les données que vous nous avez fournies dans un format structuré lorsque les conditions prévues par le RGPD sont réunies.
• Droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci.
• Droit de définir des directives relatives au sort de vos données après votre décès, conformément à la loi Informatique et Libertés.
• Droit d'introduire une réclamation auprès d'une autorité de contrôle, notamment auprès de la Commission nationale de l'informatique et des libertés (CNIL), si vous estimez que vos droits ne sont pas respectés.

Pour exercer vos droits ou pour toute question relative au traitement de vos données à caractère personnel, vous pouvez contacter notre Délégué à la protection des données :

Par courrier :

Délégué à la protection des données
LYLEOO
3030 Chemin Saint-Bernard
06220 Vallauris – France

Par courrier électronique : [email protected]

Nous nous engageons à répondre à votre demande dans les délais prévus par la réglementation applicable.

Cas particulier des traitements réalisés par Lyleoo en qualité de sous-traitant

Lorsque Lyleoo traite des données à caractère personnel pour le compte des professionnels de santé utilisateurs de la plateforme, les demandes d'exercice des droits doivent, en principe, être adressées au responsable de traitement concerné, c'est-à-dire au professionnel de santé qui détermine les finalités et les moyens du traitement.

Conformément à l'article 28 du RGPD, Lyleoo apporte toute l'assistance raisonnablement nécessaire aux professionnels de santé afin de leur permettre de répondre aux demandes d'exercice des droits des personnes concernées.

Si une demande est adressée directement à Lyleoo alors qu'elle relève d'un traitement effectué en qualité de sous-traitant, Lyleoo la transmettra au responsable de traitement concerné ou invitera son auteur à s'adresser directement à celui-ci, sauf disposition légale contraire.

15. Date d'entrée en vigueur

La présente Politique de confidentialité est entrée en vigueur le 1er Août 2026.

Elle peut être modifiée à tout moment afin de tenir compte des évolutions législatives, réglementaires, techniques ou organisationnelles, ainsi que des évolutions des traitements mis en œuvre par Lyleoo.

La version en vigueur est celle publiée sur le site internet de Lyleoo et mise à disposition des professionnels de santé utilisateurs de la plateforme.