Politique de confidentialité

Version du 25 avril 2026

1. Responsable de traitement

Le responsable de traitement au sens du RGPD est :

[NOM_SOCIÉTÉ], [FORME]
Capital social : [X €]
SIREN : [XXX]
Siège social : [ADRESSE]
Délégué à la protection des données (DPO) : dpo@alphaimagerie.fr

Date de dernière mise à jour : 25 avril 2026.

2. Données collectées

Catégorie	Données concernées
Compte	Adresse email, nom d'affichage, photo de profil (via Google OAuth)
Identité professionnelle	Numéro RPPS (optionnel, déclaratif)
Préférences	Langue, layout, mappings SpeechMike, paramètres IA, consignes globales personnelles
Contenu utilisateur	Templates, consignes, comptes rendus finalisés (sans identifiant patient)
Audio	Flux audio transitoire envoyé à l'API Gemini pour transcription — non stocké côté Alpha Report
Statistiques d'usage	Nombre de CR générés, tokens consommés, modèles utilisés (à des fins de facturation et d'amélioration)
Paiement	Géré intégralement par Stripe — Alpha Report ne stocke aucune donnée de carte bancaire

3. Finalités du traitement

Fournir le service de dictée et de génération de comptes rendus
Authentifier les utilisateurs et sécuriser l'accès
Facturer les abonnements et gérer la relation client
Établir des statistiques agrégées d'usage
Assurer le support utilisateur
Respecter les obligations légales (comptables, fiscales, réquisitions judiciaires)

4. Bases légales (RGPD Art. 6)

Exécution du contrat : fourniture du service, gestion du compte, facturation
Intérêt légitime : statistiques agrégées, sécurité du service, prévention de la fraude
Consentement : connexion via Google OAuth (révocable à tout moment)
Obligation légale : conservation des factures pendant 10 ans (Code de commerce L.123-22)

Aucune donnée de santé identifiante n'est traitée par Alpha Report. Les comptes rendus dictés doivent être anonymisés par l'utilisateur (pas de nom, NIR, date de naissance, IPP ou adresse patient).

5. Durées de conservation

Donnée	Durée
Compte actif	Durée de la relation contractuelle
Compte inactif (> 24 mois)	Suppression automatique
Comptes rendus	Conservés tant que non supprimés par l'utilisateur ; suppression en cascade à la suppression du compte
Logs comptables (factures)	10 ans
Tokens d'authentification	1 heure
Logs techniques	30 jours

6. Sous-traitants et destinataires

Sous-traitant	Service	Localisation	Encadrement
Google Ireland Ltd.	Firebase (Auth, Firestore), Gemini API	Irlande / États-Unis	DPF + SCC
Vercel Inc.	Hébergement frontend	États-Unis	DPA + SCC
Stripe Payments Europe Ltd.	Paiement par carte, abonnements	Irlande / États-Unis	DPF + SCC
Anthropic PBC (optionnel)	API Claude (modèle alternatif)	États-Unis	DPF + SCC
Microsoft Ireland Ops Ltd.	Word Add-in (optionnel, Microsoft 365)	Irlande / UE	DPA Microsoft

7. Transferts internationaux

Certains sous-traitants sont établis ou opèrent depuis les États-Unis. Ces transferts sont encadrés par :

EU-U.S. Data Privacy Framework (DPF) : Google et Stripe sont certifiés DPF
Clauses Contractuelles Types (SCC) de la Commission européenne
Transfer Impact Assessment (TIA) réalisé pour chaque sous-traitant US

Une copie des garanties peut être obtenue sur demande à dpo@alphaimagerie.fr.

8. Sécurité

Chiffrement des communications en TLS 1.3
Chiffrement au repos sur Google Cloud Platform (AES-256)
Firestore Security Rules : chaque utilisateur n'accède qu'à ses propres données (owner-only)
Authentification via Google OAuth avec MFA disponible côté compte Google
Pas de chiffrement de bout en bout (E2E) — Alpha Report peut techniquement accéder aux contenus stockés pour les besoins du service
Audit logs conservés 30 jours

9. Vos droits (RGPD Art. 15 à 22)

Vous disposez des droits suivants : accès, rectification, effacement, portabilité, opposition, limitation.

Pour les exercer :

Via la section Confidentialité & RGPD de l'application : export des données et suppression du compte en self-service
Par email à dpo@alphaimagerie.fr

Délai de réponse : 1 mois à compter de la réception de la demande.

En cas de réponse insatisfaisante, vous pouvez introduire une réclamation auprès de la CNIL — 3 Place de Fontenoy, TSA 80715, 75007 Paris — www.cnil.fr.

10. Cookies

Pour le détail des cookies et stockages utilisés, consultez notre Politique cookies.

11. IA générative

Le contenu dicté ainsi que les transcriptions sont envoyés à l'API Google Gemini pour génération du compte rendu. Le contrat Google Cloud applicable prévoit la non-réutilisation des données pour l'entraînement des modèles publics.

Recommandation forte : ne dictez JAMAIS d'identifiant patient (nom, prénom, NIR, date de naissance, IPP, adresse, numéro de téléphone). Alpha Report n'est pas certifié HDS et n'est pas conçu pour héberger des données de santé identifiantes.

12. Public concerné

Le service est strictement réservé aux professionnels de santé majeurs (radiologues, internes, manipulateurs en radiologie habilités). Aucune utilisation par des mineurs ou par des non-professionnels n'est autorisée.

13. Modifications de la politique

La présente politique fait l'objet d'un versionnage. Toute modification substantielle sera notifiée dans l'application au moins 30 jours avant son entrée en vigueur, et une re-acceptation explicite sera requise pour continuer à utiliser le service.

14. Charte d'usage médical

En utilisant Alpha Report, vous reconnaissez et acceptez :

Alpha Report n'est PAS un dispositif médical au sens du règlement européen MDR 2017/745. Il s'agit d'un assistant rédactionnel, sans valeur diagnostique.
Vous êtes seul responsable du contenu médical que vous signez et validez.
Alpha Report n'est PAS certifié HDS (Hébergeur de Données de Santé). Vous vous engagez à ne saisir aucune donnée identifiante patient : nom, NIR, date de naissance, IPP, adresse.
Les erreurs et hallucinations de l'IA sont sous votre entière responsabilité — vous vous engagez à relire intégralement chaque compte rendu avant signature.

Version dated April 25, 2026

1. Data Controller

The data controller under GDPR is:

[NOM_SOCIÉTÉ], [FORME]
Share capital: [X €]
SIREN: [XXX]
Registered office: [ADRESSE]
Data Protection Officer (DPO): dpo@alphaimagerie.fr

Last updated: April 25, 2026.

2. Data Collected

Category	Data
Account	Email address, display name, profile picture (via Google OAuth)
Professional identity	RPPS number (optional, self-declared)
Preferences	Language, layout, SpeechMike mappings, AI settings, personal global prompts
User content	Templates, prompts, finalized reports (without patient identifiers)
Audio	Transient audio stream sent to the Gemini API for transcription — not stored by Alpha Report
Usage statistics	Number of reports generated, tokens consumed, models used (for billing and improvement)
Payment	Handled entirely by Stripe — Alpha Report stores no card data

3. Purposes

Provide dictation and report generation services
Authenticate users and secure access
Bill subscriptions and manage customer relations
Generate aggregated usage statistics
Provide user support
Comply with legal obligations (accounting, tax, judicial requests)

4. Legal Bases (GDPR Art. 6)

Performance of the contract: service delivery, account management, billing
Legitimate interest: aggregated statistics, service security, fraud prevention
Consent: Google OAuth login (revocable at any time)
Legal obligation: invoice retention for 10 years (French Commercial Code L.123-22)

No identifying health data is processed by Alpha Report. Dictated reports must be anonymised by the user (no name, national ID, date of birth, patient ID or address).

5. Retention Periods

Data	Retention
Active account	Duration of the contractual relationship
Inactive account (> 24 months)	Automatic deletion
Reports	Kept until deleted by the user; cascading deletion when account is closed
Accounting logs (invoices)	10 years
Authentication tokens	1 hour
Technical logs	30 days

6. Processors and Recipients

Processor	Service	Location	Safeguards
Google Ireland Ltd.	Firebase (Auth, Firestore), Gemini API	Ireland / USA	DPF + SCC
Vercel Inc.	Frontend hosting	USA	DPA + SCC
Stripe Payments Europe Ltd.	Card payments, subscriptions	Ireland / USA	DPF + SCC
Anthropic PBC (optional)	Claude API (alternative model)	USA	DPF + SCC
Microsoft Ireland Ops Ltd.	Word Add-in (optional, Microsoft 365)	Ireland / EU	Microsoft DPA

7. International Transfers

Some processors are established in or operate from the United States. These transfers are governed by:

EU-U.S. Data Privacy Framework (DPF): Google and Stripe are DPF-certified
Standard Contractual Clauses (SCC) issued by the European Commission
Transfer Impact Assessment (TIA) conducted for every US-based processor

A copy of the safeguards is available on request at dpo@alphaimagerie.fr.

8. Security

Communications encrypted with TLS 1.3
At-rest encryption on Google Cloud Platform (AES-256)
Firestore Security Rules: each user can only access their own data (owner-only)
Authentication via Google OAuth with optional MFA on the Google account
No end-to-end (E2E) encryption — Alpha Report can technically access stored content for service purposes
Audit logs retained for 30 days

9. Your Rights (GDPR Art. 15-22)

You have the following rights: access, rectification, erasure, portability, objection, restriction.

To exercise them:

Through the Privacy & GDPR section in the application: self-service data export and account deletion
By email to dpo@alphaimagerie.fr

Response time: 1 month from receipt of the request.

If our response is unsatisfactory, you may file a complaint with the French data protection authority CNIL — 3 Place de Fontenoy, TSA 80715, 75007 Paris — www.cnil.fr.

10. Cookies

For details about cookies and storage used, see our Cookie Policy.

11. Generative AI

Dictated content and transcriptions are sent to the Google Gemini API for report generation. The applicable Google Cloud agreement provides for non-reuse of data for training public models.

Strong recommendation: NEVER dictate any patient identifier (name, surname, national ID, date of birth, patient ID, address, phone number). Alpha Report is not HDS-certified and is not designed to host identifying health data.

12. Intended Audience

The Service is strictly reserved for healthcare professionals of legal age (radiologists, residents, qualified radiology technicians). Use by minors or non-professionals is not permitted.

13. Policy Changes

This policy is versioned. Any substantial change will be notified in the application at least 30 days before taking effect, and explicit re-acceptance will be required to continue using the service.

14. Medical Use Charter

By using Alpha Report, you acknowledge and accept:

Alpha Report is NOT a medical device within the meaning of the European MDR 2017/745. It is a writing assistant with no diagnostic value.
You are solely responsible for the medical content you sign and validate.
Alpha Report is NOT HDS-certified (French Health Data Hosting). You undertake not to enter any patient identifier: name, national ID, date of birth, patient ID, address.
AI errors and hallucinations are entirely your responsibility — you commit to fully proofreading every report before signing.