OncoIDE

Politique de confidentialité & cookies

ONCOIDE SASU — Version en vigueur : août 2026

ONCOIDE SASU · Conforme RGPD (Règlement UE 2016/679)

1. Responsable du traitement

ONCOIDE SASU — SIREN 105 285 456, RCS Lyon
Adresse : 6 avenue Jean-François Raclet, 69007 Lyon
Contact DPO : support@oncoide.fr

2. Données collectées

OncoIDE collecte uniquement les données nécessaires au fonctionnement du service :

OncoIDE ne collecte aucune donnée de santé patient. Les données ci-dessus concernent des professionnels de santé et des étudiants en soins infirmiers en tant qu'utilisateurs du service, et non des patients. Le traitement ne portant sur aucune donnée de santé à caractère personnel recueillie à l'occasion d'activités de prévention, de diagnostic ou de soins, l'obligation d'hébergement certifié HDS de l'article L.1111-8 du Code de la santé publique ne s'y applique pas — voir les mentions légales pour le détail de ce statut.

3. Finalités du traitement

4. Base légale

Le traitement est fondé sur l'exécution du contrat et les mesures précontractuelles (art. 6.1.b RGPD) pour les demandes de contact et la gestion des accès, et sur le consentement (art. 6.1.a RGPD) pour la mesure d'audience professionnelle décrite au paragraphe 8, qui n'est activée qu'après un accord explicite de votre part.

5. Hébergement, sous-traitants et transferts

Les données utilisateurs et les demandes de contact sont hébergées en Europe — Supabase Inc., région eu-central-1, Francfort, Allemagne. Le frontend est hébergé par Vercel Inc. (USA), qui adhère au Data Privacy Framework UE-USA. Ce qui sort de l'Union européenne se limite à l'acheminement des courriels que nous vous envoyons et à un compteur d'appels qui ne reçoit qu'une clé de comptage et une date : le paragraphe ci-dessous nomme chacun de ces prestataires.

Formulaire de contact : les données saisies (prénom, nom, email, établissement, téléphone, fonction, nombre d'IDE, message) suivent deux trajets. Elles sont d'une part enregistrées dans la base de données Supabase hébergée en Europe (Francfort). Elles sont d'autre part transmises par courriel à ONCOIDE SASU par une fonction serverless Vercel dont l'exécution est fixée à la région de Paris (cdg1), via le serveur SMTP de notre fournisseur de messagerie. Aucune de ces données n'est transmise à un service tiers de marketing, de publicité ou de profilage, et le numéro de téléphone n'est jamais cédé à un tiers.

Ce que le formulaire traite en plus de ce que vous saisissez. Votre adresse IP est lue au moment de l'envoi, pour deux usages et deux seulement. Elle sert d'abord à borner la fréquence des envois, afin qu'un script ne puisse pas inonder la boîte : pour ce comptage, seul un condensé de l'adresse est utilisé, jamais l'adresse en clair. Elle figure ensuite, en clair cette fois, dans le courriel interne de notification qui nous parvient : c'est ce qui permet de rattacher une demande frauduleuse ou automatisée à son origine. Ce courriel est acheminé par notre serveur de messagerie et conservé dans notre boîte de service ; l'adresse IP n'est ni enregistrée en base de données, ni transmise à un tiers, ni utilisée pour vous suivre. Le fondement est l'intérêt légitime à protéger un formulaire public contre les abus (art. 6.1.f RGPD). Vous pouvez vous y opposer en nous écrivant à support@oncoide.fr ; il reste alors le courriel direct, qui n'emprunte pas ce formulaire.

Sous-traitants de l'application : outre Supabase (base de données, Francfort) et Vercel (hébergement du frontend et fonctions serveur, exécution fixée à la région de Paris — cdg1), l'application fait intervenir trois prestataires que cette liste nomme pour être complète. Resend achemine les courriels transactionnels de l'application — ouverture d'un accès, activation d'un compte, notifications de relecture — et reçoit à ce titre l'adresse électronique du destinataire, son identité lorsqu'elle est renseignée, le nom de l'établissement, et le mot de passe provisoire d'un compte qui vient d'être ouvert, valable jusqu'à ce que la personne en choisisse un autre ; Resend conserve les données de ses clients aux États-Unis et adhère au cadre EU-U.S. Data Privacy Framework, son addendum de traitement incorporant en outre les clauses contractuelles types (addendum Resend). Upstash héberge le compteur qui borne la fréquence des appels sur deux routes serveur de l'application et sur le formulaire de contact de ce site. Il reçoit une clé de comptage et une date, jamais un contenu, une adresse électronique ni un message. Cette clé est l'identifiant technique du compte appelant — un UUID — pour les routes de l'application, et un condensé de l'adresse IP de l'appelant pour le formulaire de contact : l'adresse elle-même n'est pas transmise. Sous clauses contractuelles types (addendum Upstash). Gandi SAS (63-65 boulevard Masséna, 75013 Paris) fournit le serveur de messagerie sortant mail.gandi.net employé par les fonctions serveur ; établi en France, ce traitement n'implique aucun transfert hors de l'Union européenne (politique de confidentialité de Gandi).

Ressources techniques externes : aucune par défaut. Toutes les ressources nécessaires à l'affichage des pages — feuilles de style, scripts, polices, images, vidéos — sont servies depuis www.oncoide.fr. Aucun réseau de diffusion tiers, aucune police distante, aucun bouton de réseau social. Tant que vous n'avez pas accepté le bandeau de consentement, votre navigateur ne contacte aucun autre domaine et aucune adresse IP de visiteur n'est transmise à un tiers du seul fait de la consultation. Après acceptation, et dans ce seul cas, le traceur décrit au paragraphe 8 est chargé depuis sc.lfeeder.com. La bibliothèque cliente @supabase/supabase-js, employée par le formulaire de contact, était jusqu'au 26 août 2026 chargée depuis le réseau jsDelivr ; elle est désormais hébergée avec le site, dans une version figée dont le navigateur vérifie l'empreinte avant de l'exécuter.

Mesure d'audience professionnelle : Leadfeeder, édité par Dealfront Group Oy (Finlande, Union européenne). Ce prestataire reçoit votre adresse IP, et elle seule : aucune donnée de compte, de formulaire ou de licence ne lui est transmise. Il n'intervient qu'après votre acceptation du bandeau de consentement, dans les conditions détaillées au paragraphe 8.

6. Durée de conservation

Les données de progression sont conservées pendant la durée d'activité du compte et supprimées avec lui : la suppression est en cascade, donc immédiate, et non différée de trente jours comme l'indiquait une version antérieure de cette page. Les données du formulaire de contact sont conservées trois ans à compter du dernier contact — la date de traitement si la demande a été reprise, sa date d'arrivée sinon — puis supprimées par une tâche planifiée mensuelle. Les journaux de connexion et le journal d'accès aux calculateurs sont supprimés au-delà de douze mois, par une tâche planifiée mensuelle également. Chacune de ces purges inscrit dans une table de traces sa date, le seuil appliqué et le nombre de lignes supprimées : cet état est communicable sur demande, une durée de conservation que personne ne peut prouver n'en étant pas une.

6bis. Sécurité et violations de données

ONCOIDE SASU met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD : chiffrement des communications (HTTPS / TLS 1.2 minimum), mots de passe hachés via bcrypt et jamais stockés en clair, authentification par Supabase Auth, cloisonnement des données par Row Level Security au niveau de la base, en-têtes de sécurité HTTP (CSP, HSTS, X-Frame-Options, X-Content-Type-Options) et accès aux données de production restreint au minimum nécessaire. La supervision des erreurs applicatives (Sentry, données anonymisées) ne concerne que l'application, pas le présent site.

En cas de violation susceptible d'engendrer un risque pour vos droits et libertés, ONCOIDE SASU s'engage à notifier la CNIL dans un délai de 72 heures conformément à l'article 33 du RGPD, et à vous en informer sans délai injustifié si le risque est élevé (art. 34 RGPD).

6ter. Aucun suivi individuel au bénéfice de l'employeur

ONCOIDE SASU ne transmet à votre établissement, à votre encadrement, à la direction des ressources humaines ou à un tiers agissant pour leur compte aucune donnée individuelle d'usage, de progression, de score, de temps passé ou de connexion permettant de vous identifier, directement ou indirectement. Cet engagement couvre également toute donnée agrégée portant sur un effectif inférieur à dix utilisateurs : sur un petit effectif, une moyenne se ré-identifie.

Vos résultats de quiz et vos séries d'activité existent bien en base — ils font fonctionner vos écrans de progression, qui n'auraient aucun sens sans eux. Ils sont cloisonnés au niveau de la base de données par une règle qui n'autorise la lecture d'une ligne qu'à son auteur, et aucune interface, aucun export ni aucune requête ne sont ouverts à un gestionnaire d'établissement sur ces tables. Ce que votre établissement reçoit, et rien d'autre : le nombre de comptes ouverts et le nombre de sièges consommés.

Cette section ne peut pas être affaiblie par une mise à jour unilatérale de la présente politique. Le même engagement figure aux conditions générales d'utilisation, aux CGV B2B et au contrat de licence ; sa modification suppose l'accord exprès et écrit de l'établissement.

7. Vos droits

Pour exercer ces droits : support@oncoide.fr ou depuis votre espace personnel dans l'application.
Réclamation CNIL : www.cnil.fr — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

8. Cookies et traceurs

Deux catégories coexistent sur ce site, et elles n'obéissent pas au même régime.

Stockage strictement nécessaire, sans consentement. Mémorisation de votre choix relatif au bandeau et gestion de session. Il ne requiert pas votre accord au titre de l'article 82 de la loi Informatique et Libertés, et reste actif quel que soit ce choix. Aucun cookie publicitaire, aucun cookie de réseaux sociaux.

Mesure d'audience professionnelle, soumise à votre consentement. Le site fait appel à Leadfeeder, édité par Dealfront Group Oy (Finlande). Ce service dépose un cookie nommé _lfa et traite votre adresse IP afin d'identifier l'établissement d'où provient la visite. Il ne constitue aucun profil individuel, ne vous nomme pas et ne traite aucune donnée de santé. Sa finalité est commerciale : savoir quels établissements consultent ce site.

Cette finalité de prospection et cette transmission à un tiers le placent hors du champ de l'exemption de consentement de la délibération CNIL n° 2020-091 du 17 septembre 2020, qui ne couvre que la mesure d'audience limitée aux besoins propres de l'éditeur. Le traceur n'est donc chargé qu'après un clic sur « Accepter ». Un refus, ou l'absence de réponse, n'entraîne aucune requête vers ce service : rien n'est chargé par défaut, et refuser ne retire aucune fonctionnalité du site.

Le bandeau est présent sur l'ensemble des pages, et non sur la seule page d'accueil : quelle que soit la page par laquelle vous arrivez, le choix vous est proposé avant tout chargement.

Revenir sur votre choix doit être aussi simple que de l'exprimer. Ce bouton efface votre choix et réaffiche le bandeau :

9. Contact

Pour toute question relative à vos données personnelles : support@oncoide.fr

← Retour à l'accueil OncoIDE