POLITIQUE DE CONFIDENTIALITÉ DE L'APPLICATION SEMIO

Version : 3.2.0 — Date de dernière mise à jour : 2026-10-12.

1. RESPONSABLE DU TRAITEMENT

L'application Semio est éditée par LA TOUR DE BABEL CORPORATION, en abrégé « LTB SARL » (l'« Éditeur »), société à responsabilité limitée de droit camerounais, responsable du traitement des données personnelles.
Contact et exercice des droits : semio.ltdb@gmail.com. Les autres éléments d'identification de la société sont communiqués sur demande.

2. NATURE DE L'APPLICATION

Semio est un outil pédagogique de formation, comprenant notamment un simulateur d'observation médicale destiné à l'entraînement au raisonnement clinique. Il ne constitue ni un dispositif médical, ni un dossier patient électronique, ni un outil de soin. L'Utilisateur s'engage à n'y saisir que des données d'entraînement, fictives ou dûment anonymisées, à l'exclusion de toute donnée identifiant un patient réel.

3. DONNÉES TRAITÉES

3.1. Données relatives à l'Utilisateur. Adresse électronique et identifiant de compte nécessaires à l'authentification ; prénom, nom et sexe, renseignés à la création du profil ; le cas échéant, date de naissance, rôle professionnel, spécialité et établissement de rattachement. Ces données identifient l'Utilisateur, et non un patient.

3.2. Contenu d'observation (formulaire). Contenu des cas d'entraînement saisis par l'Utilisateur dans le formulaire d'observation : motif, histoire de la maladie, antécédents, examen, examens complémentaires, hypothèses, traitements et paramètres de surveillance, y compris des images. Ce contenu peut relever des données concernant la santé, catégorie particulière au sens de l'article 9 du Règlement (UE) 2016/679 (« RGPD »), et est traité comme tel. Avant toute transmission à un serveur, à un service d'intelligence artificielle ou au stockage distant, ce contenu est anonymisé sur l'appareil de l'Utilisateur, un contrôle applicatif bloquant la transmission en présence d'un champ identifiant.

3.3. Messages et images adressés à l'assistant conversationnel. Lorsque l'Utilisateur utilise l'assistant, le texte du message et, selon la fonction choisie, l'historique récent déjà filtré, le contexte documentaire pertinent ou l'image pédagogique jointe sont transmis aux serveurs de l'Éditeur puis aux fournisseurs visés à l'article 8 afin de produire la réponse. Pour une analyse d'image, seuls le message et l'image du tour courant sont transmis. Ces contenus ne sont pas anonymisés sur l'appareil. Un filtre textuel bloque certains identifiants, mais il ne garantit pas l'anonymisation et ne sait pas supprimer les éléments identifiants visibles dans une image. Il est donc strictement interdit d'envoyer une photographie de patient, un visage reconnaissable, un document nominatif ou toute image comportant un identifiant réel. Avant l'envoi d'une image, l'Application la réencode, réduit ses dimensions et supprime ses métadonnées EXIF ; cette opération ne masque pas ce qui demeure visible dans les pixels. Le serveur de l'Éditeur ne conserve pas le fichier image après le traitement du tour. La durée éventuellement appliquée par le fournisseur externe relève de ses conditions et des garanties contractuelles applicables. Une copie temporaire textuelle de la conversation peut être conservée sur le serveur pendant deux heures au plus afin d'assurer la continuité de la session.

3.3 bis. Recherche web et recherche d'images. En mode automatique, le modèle décide si une recherche est utile ; l'activation du globe force la recherche pour le message suivant seulement. La requête de recherche dérivée du message peut être transmise par DeepSeek à ses propres prestataires de recherche. Lorsque des illustrations sont utiles, une requête distincte est envoyée à Openverse ; l'Application reçoit les liens, titres, auteurs et informations de licence et peut charger une miniature depuis un domaine tiers, lequel reçoit alors les données techniques ordinaires d'une requête réseau, notamment l'adresse IP. Les informations de licence sont affichées à titre indicatif et doivent être vérifiées sur la page source avant toute réutilisation.

3.4. Résultats générés par l'intelligence artificielle. Résumés, hypothèses et suggestions produits à des fins d'apprentissage, sans valeur de diagnostic ni de prescription.

3.5. Enregistrements vocaux. Lorsque l'Utilisateur recourt à la dictée, un enregistrement audio est capté puis transmis à un prestataire de reconnaissance vocale, aux seules fins de sa transcription en texte. L'enregistrement transite en mémoire sur les serveurs de l'Éditeur et n'y est pas conservé au-delà de la transcription.

3.6. Données techniques, de sécurité et d'appareil. Identifiant d'utilisateur, jeton de notification, horodatages, statut de synchronisation, historique des connexions au compte, ainsi que des journaux techniques et de sécurité comprenant l'adresse IP, à partir de laquelle un pays approximatif peut être dérivé aux fins d'application de restrictions régionales. Ces journaux servent à la sécurité du Service, à la prévention des abus et au diagnostic technique ; l'Éditeur s'attache à y minimiser la présence de contenu de conversation. Des journaux d'utilisation des fonctions d'intelligence artificielle (volumes et coûts, rattachés à un identifiant pseudonymisé) sont en outre tenus à des fins de gestion des crédits et de sécurité.

3.7. Données biométriques de déverrouillage. Le déverrouillage biométrique est géré par le système d'exploitation de l'appareil. Aucune donnée biométrique n'est transmise à l'Éditeur ni conservée sur ses serveurs ; elle demeure sur l'appareil.

3.8. Permissions. L'Application peut solliciter l'accès à la caméra et à la galerie, au microphone, aux notifications et à la biométrie. Ces permissions sont facultatives et activées à la demande de l'Utilisateur. Pour le chatbot, seule l'image prise ou sélectionnée par l'Utilisateur est préparée et transmise ; l'Application ne parcourt pas le reste de la photothèque.

4. FINALITÉS ET BASES LÉGALES

4.1. Fonctionnement de l'Application et gestion du compte : exécution du contrat conclu avec l'Utilisateur (article 6.1.b du RGPD).

4.2. Traitement du contenu relevant des données concernant la santé : consentement explicite de l'Utilisateur (articles 6.1.a et 9.2.a du RGPD), recueilli de manière distincte et révocable à tout moment. L'Éditeur ne se fonde pas sur la finalité de « soins de santé » de l'article 9.2.h, l'Application étant un outil pédagogique.

4.3. Amélioration et sécurité du Service, prévention des abus : intérêt légitime de l'Éditeur (article 6.1.f du RGPD), dans le respect des droits de l'Utilisateur.

L'Éditeur n'utilise les données ni à des fins publicitaires, ni de profilage commercial, ni de revente, ni pour entraîner ses propres modèles. Toutefois, selon les conditions publiques de DeepSeek, les entrées et sorties désidentifiées peuvent être utilisées pour améliorer ses services lorsque l'option correspondante du compte n'est pas désactivée ou lorsqu'aucun engagement contractuel contraire ne s'applique. La fonction d'analyse d'image est disponible dans les versions de production, sauf pour les Utilisateurs situés dans l'Union européenne, au Royaume-Uni et aux États-Unis, pour lesquels elle reste désactivée et refusée par le serveur de l'Éditeur. L'Utilisateur qui y recourt est informé que l'image peut être utilisée par DeepSeek dans les conditions décrites au présent article.

5. STOCKAGE ET SÉCURITÉ

5.1. Stockage local. Les données sont stockées prioritairement sur l'appareil de l'Utilisateur. Le contenu d'observation sensible y est chiffré au moyen d'un algorithme AES-256-GCM, la clé étant conservée dans le composant sécurisé matériel de l'appareil.

5.2. Stockage distant. Pour les Utilisateurs situés hors des régions réglementées visées à l'article 7, lorsque l'Utilisateur active l'enregistrement cloud, le contenu clinique des cas ainsi que les photographies associées sont transmis et conservés sur les serveurs de l'Éditeur (SEMIO), hébergés sur l'infrastructure cloud DigitalOcean. Les données d'identification du patient (nom, date de naissance, adresse, téléphone, numéro de dossier et autres champs d'identité) sont chiffrées sur l'appareil, avant tout envoi, avec une clé que seul l'Utilisateur détient grâce à son mot de passe de coffre : l'Éditeur les stocke sans pouvoir les lire. Seuls l'âge, le sexe et la gestité/parité restent lisibles. Le mot de passe de coffre est obligatoire pour activer l'enregistrement cloud ; s'il est oublié, ces données d'identification ne peuvent plus être relues sur un nouvel appareil. Le contenu clinique est protégé par le chiffrement au repos, le cloisonnement strict par compte, un contrôle d'accès reposant sur l'authentification et une journalisation des accès. Les transmissions sont chiffrées en transit au moyen du protocole TLS.

5.2 bis. Historique de l'assistant conversationnel. Afin que l'Utilisateur retrouve ses conversations sur un autre appareil connecté au même compte, l'historique de l'assistant est sauvegardé sur les serveurs de l'Éditeur, chiffré (AES-256-GCM) avec une clé propre au compte. Cette clé est conservée sous séquestre par l'Éditeur, de sorte que la seule connexion au compte suffit à restaurer l'historique ; l'Éditeur est donc techniquement en mesure d'accéder à ces conversations et s'interdit de les exploiter à d'autres fins que la fourniture du service, la sécurité ou le respect d'une obligation légale. L'historique est conservé jusqu'à sa suppression par l'Utilisateur ou la suppression du compte, qui efface également la clé.

5.3. Mesures de sécurité. L'Éditeur met en œuvre des mesures techniques et organisationnelles appropriées : chiffrement en transit et au repos, authentification obligatoire, cloisonnement des données par utilisateur, journalisation des accès et mises à jour régulières.

6. SOUS-TRAITANTS ET TRANSFERTS INTERNATIONAUX

6.1. L'Éditeur recourt à des prestataires techniques pour l'hébergement, l'authentification, le stockage, les modèles d'intelligence artificielle, la recherche web et d'images, la reconnaissance documentaire, les notifications, les abonnements et la supervision technique. Lorsque le RGPD s'applique et que le prestataire agit comme sous-traitant, l'Éditeur doit conclure l'accord requis par l'article 28 avant d'activer le traitement concerné en production. La liste nominative et l'état de ces garanties sont tenus dans le registre des prestataires.

6.2. Certains prestataires sont établis hors de l'Union européenne, notamment aux États-Unis et, pour DeepSeek, en République populaire de Chine. L'analyse d'image du chatbot, qui transmet l'image du tour courant à DeepSeek en République populaire de Chine, est activée pour les Utilisateurs situés hors de l'Union européenne, du Royaume-Uni et des États-Unis. Elle reste désactivée, et refusée par le serveur de l'Éditeur sur la base de la localisation de la connexion, pour les Utilisateurs situés dans ces territoires, tant que le mécanisme de transfert applicable (décision d'adéquation, clauses contractuelles types et mesures supplémentaires, ou autre mécanisme valable) et l'accord de traitement requis n'ont pas été vérifiés et documentés. La détection de la localisation repose sur l'adresse IP et peut être imparfaite ; l'Utilisateur situé dans l'un de ces territoires s'engage à ne pas contourner cette restriction. Les messages textuels restent interdits de données identifiantes et sont minimisés conformément à l'article 3.3. Le registre détaillé des prestataires et garanties est tenu par l'Éditeur.

7. RÉSIDENCE DES DONNÉES ET RÉGIONS RÉGLEMENTÉES

Le stockage et la synchronisation distants des dossiers de consultation sont désactivés pour les Utilisateurs situés dans certaines juridictions à cadre strict, notamment l'Union européenne, la France et les États-Unis. Dans ce cas, l'Application fonctionne en mode local, les données demeurant chiffrées sur l'appareil, et l'Utilisateur en est informé par la présente Politique de confidentialité. Pour les autres Utilisateurs, les dossiers sont conservés sur les serveurs de l'Éditeur (SEMIO, hébergement DigitalOcean) conformément à l'article 5.2.

8. TRAITEMENTS AUTOMATISÉS ET INTELLIGENCE ARTIFICIELLE

Les fournisseurs de modèles d'intelligence artificielle auxquels l'Éditeur recourt sont Google Gemini, DeepSeek et Mistral ; Openverse est utilisé pour la recherche d'images ouvertes. Le contenu est transmis pour fournir la fonctionnalité demandée. L'Éditeur ne l'utilise pas pour entraîner ses propres modèles, mais les conditions publiques des fournisseurs peuvent prévoir une utilisation pour l'amélioration de leurs services ; l'Éditeur applique les options de refus et garanties contractuelles disponibles et en documente l'état avant l'activation des fonctions concernées en production. Trois régimes s'appliquent :

a) le contenu du formulaire d'observation est anonymisé sur l'appareil avant toute transmission, un contrôle applicatif bloquant l'envoi en présence d'un champ identifiant ;

b) les messages adressés à l'assistant ne sont pas anonymisés sur l'appareil : ils sont soumis au filtre décrit à l'article 3.3 puis transmis, selon le parcours, avec l'historique récent ou le contexte strictement nécessaire ;

c) une image pédagogique jointe est réencodée sans métadonnées, puis transmise avec le message courant à DeepSeek lorsque cette fonction est activée. Les photographies de patients, documents nominatifs et identifiants visibles sont interdits. Le fichier image n'est pas conservé par le serveur de l'Éditeur après le tour.

Les suggestions produites ne produisent pas d'effet juridique ni d'effet significatif équivalent à l'égard de l'Utilisateur, qui conserve la décision.

9. SDK ET ABSENCE DE TRACEURS PUBLICITAIRES

L'Application intègre des services tiers pour son fonctionnement : authentification et base de données, acheminement des notifications, gestion des abonnements, et supervision technique (les données personnelles y étant filtrées). L'Application n'intègre aucune régie publicitaire ni aucun traceur à finalité publicitaire, et ne réalise aucun suivi de l'activité de l'Utilisateur entre applications ou sites. Les traceurs non strictement nécessaires ne sont, le cas échéant, déposés qu'avec le consentement préalable de l'Utilisateur.

10. DURÉES DE CONSERVATION

Les données de compte sont conservées pendant la durée d'utilisation du compte. Les données stockées localement sont conservées jusqu'à leur suppression par l'Utilisateur. En cas de demande de suppression du compte, les données sont définitivement effacées à l'issue d'un délai de grâce de trente jours. S'appliquent en outre les durées suivantes : les enregistrements vocaux ne sont pas conservés au-delà de la transcription ; la copie temporaire de conversation visée à l'article 3.3 est supprimée au plus tard deux heures après la dernière activité ; les journaux d'accès comprenant l'adresse IP sont conservés douze mois au plus ; les journaux d'utilisation des fonctions d'intelligence artificielle sont anonymisés au-delà de douze mois ; les enregistrements de tentatives de saisie de données identifiantes (types détectés, à l'exclusion du contenu des messages) sont conservés six mois au plus ; les preuves de consentement sont conservées aussi longtemps que nécessaire à la démonstration du respect des obligations légales de l'Éditeur ; le registre des opérations de crédits et d'abonnement est conservé pendant la durée légale de conservation des pièces comptables.

11. DROITS DES PERSONNES

L'Utilisateur dispose des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer son consentement à tout moment sans effet rétroactif. Ces droits s'exercent auprès de l'Éditeur à l'adresse semio.ltdb@gmail.com. L'Utilisateur dispose également du droit d'introduire une réclamation auprès de l'autorité de contrôle compétente, notamment la Commission Nationale de l'Informatique et des Libertés (CNIL).

12. UTILISATEURS DE CALIFORNIE

Pour les Utilisateurs résidant en Californie, l'Éditeur collecte des identifiants, du contenu d'utilisateur, d'éventuelles données concernant la santé qualifiées d'informations personnelles sensibles, des informations commerciales relatives aux achats et abonnements, et des données techniques, aux fins de fonctionnement de l'Application et à l'exclusion de toute finalité publicitaire. L'Éditeur ne vend ni ne partage les données personnelles au sens du California Consumer Privacy Act tel que modifié. Les Utilisateurs concernés disposent des droits de connaître, d'accéder, de supprimer, de corriger leurs données, de refuser leur vente ou leur partage, de limiter l'usage des informations sensibles, et à la non-discrimination. Ces droits s'exercent à l'adresse indiquée à l'article 11.

13. MINEURS

L'Application est réservée aux personnes majeures exerçant une profession de santé ou s'y formant. Elle n'est pas destinée aux enfants. L'Éditeur ne collecte pas sciemment de données concernant des mineurs au sens du Children's Online Privacy Protection Act et de l'article 8 du RGPD. Toute donnée relative à un mineur portée à sa connaissance est supprimée.

14. VIOLATION DE DONNÉES

En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, l'Éditeur notifie l'autorité de contrôle compétente dans les meilleurs délais, et au plus tard soixante-douze heures après en avoir pris connaissance, et informe les personnes concernées lorsque le risque est élevé.

15. MODIFICATION DE LA POLITIQUE

L'Éditeur peut modifier la présente politique. En cas de modification substantielle, l'Utilisateur en est informé lors de la connexion suivante et, lorsque cela est requis, invité à renouveler son consentement.

16. CONTACT

Pour toute question relative à la présente politique ou pour exercer ses droits, l'Utilisateur peut contacter l'Éditeur, LA TOUR DE BABEL CORPORATION (« LTB SARL »), à l'adresse semio.ltdb@gmail.com.