1. Introduction
Hexataxi est une application mobile et web qui permet aux taxis conventionnés de gérer leurs courses et d'établir et télétransmettre leurs factures à l'Assurance maladie. Parce qu'elle traite des données de patients, la protection des données est au cœur de sa conception.
Cette politique explique quelles données nous traitons, dans quel but, avec qui nous les partageons, combien de temps nous les gardons et comment exercer vos droits, conformément au RGPD et à la loi Informatique et Libertés. Elle s'applique à l'application Hexataxi (iOS, Android et web) et au site https://hexataxi.on-service.fr.
2. Responsable du traitement et rôle d'Hexataxi
L'application est éditée par On Service Sasu, immatriculée au RCS de Evry sous le numéro 920 390 663, 14 rue Albert Fouilleret, 91 700, Villiers-sur-orge (« Hexataxi »).
- Pour les données de nos utilisateurs (comptes, abonnement, support, statistiques), Hexataxi est responsable de traitement.
- Pour les données des patients transportés, le responsable de traitement est l'entreprise de taxi ou l'artisan qui utilise l'application. Hexataxi agit comme sous-traitant, sur ses instructions, dans le cadre des conditions générales et de l'accord de sous-traitance qui les complète.
Contact : [rgpd@hexataxi.fr]. Délégué à la protection des données.
3. Données collectées
Catégorie | Données |
|---|---|
Utilisateurs (chauffeurs, gérants, secrétaires) | Nom, prénom, e-mail, téléphone, identifiants de connexion, rôle dans l'entreprise |
Entreprise | Raison sociale, SIRET, numéro d'autorisation de stationnement, numéro de conventionnement CPAM, véhicules (immatriculation) |
Patients | Nom, prénom, date de naissance, NIR (numéro de sécurité sociale), organisme d'affiliation, droits et taux de prise en charge, adresses de prise en charge et de destination, téléphone |
Données de santé du patient | Prescription médicale de transport, informations utiles au transport (mobilité réduite, accompagnant), éléments justifiant l'exonération (ALD, soins en série) |
Courses et facturation | Dates, horaires, distances, tarifs appliqués, factures, lots et accusés de télétransmission, rejets et paiements de l'Assurance maladie |
Abonnement | Formule, historique de paiement ; les coordonnées bancaires sont traitées par notre prestataire de paiement, jamais stockées par Hexataxi |
Données techniques | Adresse IP, modèle et système de l'appareil, version de l'application, journaux de connexion et d'erreur |
Localisation | Position de l'appareil pendant une course, uniquement si vous l'autorisez, pour calculer les distances et proposer les adresses |
4. Finalités et bases légales
Finalité | Base légale |
|---|---|
Fournir l'application, gérer les comptes et l'abonnement | Exécution du contrat |
Planifier et enregistrer les courses | Exécution du contrat avec l'utilisateur ; pour les patients, instructions du transporteur |
Établir, télétransmettre et suivre les factures auprès de l'Assurance maladie | Obligation légale du transporteur ; pour les données de santé, art. 9.2.h du RGPD (prise en charge sanitaire) |
Assurer le support utilisateur | Exécution du contrat |
Tenir la comptabilité et conserver les pièces | Obligation légale |
Sécuriser l'application et tracer les accès | Intérêt légitime et obligation de sécurité (art. 32 du RGPD) |
Améliorer l'application à partir de statistiques d'usage | Intérêt légitime, ou consentement pour les traceurs non essentiels |
Envoyer des informations commerciales | Consentement ou intérêt légitime pour les clients existants, avec désinscription à tout moment |
Les données de patients ne sont jamais utilisées pour la prospection, la revente ou l'entraînement de modèles d'intelligence artificielle.
5. Partage des données
Les données ne sont accessibles qu'aux personnes habilitées de votre entreprise et, pour le support ou la maintenance, aux membres habilités de l'équipe Hexataxi. Elles peuvent être transmises à :
- l'Assurance maladie (CPAM, MSA et autres régimes) et, le cas échéant, aux mutuelles, pour la télétransmission et le paiement des factures ;
- nos sous-traitants techniques : hébergeur certifié HDS (Supabase), prestataire de paiement (Mollie), service d'envoi d'e-mails et de notifications (Resend), outil de support (Mail) ;
- un autre transporteur, uniquement lorsque vous choisissez de lui confier une course ;
- les autorités habilitées, sur demande légale.
Chaque sous-traitant est lié par un contrat conforme à l'article 28 du RGPD. Hexataxi ne vend aucune donnée.
6. Sécurité et hébergement
Les données sont hébergées en France chez [Supabase], titulaire de la certification Hébergeur de données de santé (HDS). Les mesures suivantes s'appliquent :
- chiffrement des échanges (TLS) et des données stockées ;
- authentification sécurisée, avec verrouillage de l'application sur le téléphone ;
- cloisonnement des données par entreprise et gestion des droits par rôle ;
- données locales de l'application limitées au strict nécessaire et chiffrées sur l'appareil ;
- sauvegardes chiffrées et régulières ;
- journalisation des accès aux données de patients ;
- procédure de gestion des violations de données, avec information du transporteur concerné dans les meilleurs délais.
7. Conservation des données
Données | Durée |
|---|---|
Compte utilisateur | Durée de l'abonnement, puis 1 an |
Factures, lots télétransmis et pièces comptables | 10 ans (Code de commerce) |
Données de patients et prescriptions liées aux factures | [Durée imposée au transporteur par la réglementation de l'Assurance maladie], dans la limite de la durée comptable |
Fiches patients sans facture associée | Supprimées [3 ans] après la dernière course |
Journaux techniques et d'accès | 6 mois à 1 an |
À la fin de l'abonnement, le transporteur peut exporter ses données. Elles sont ensuite supprimées, sauf celles qu'une obligation légale impose de conserver, qui sont archivées avec un accès restreint.
8. Vos droits
Vous pouvez demander l'accès à vos données, leur rectification, leur effacement, la limitation de leur traitement ou leur portabilité, et vous opposer à certains traitements. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès.
Écrivez à [rgpd@hexataxi.fr] ; nous répondons dans un délai d'un mois, prolongeable de deux mois si la demande est complexe.
Patients : vos données sont gérées par le taxi qui vous a transporté. Adressez-lui en priorité vos demandes. Si vous nous contactez directement, nous lui transmettons votre demande et l'aidons à y répondre.
Le droit à l'effacement ne s'applique pas aux données que la loi impose de conserver, comme les factures.
9. Cookies, traceurs et permissions de l'application
Le site et la version web utilisent uniquement des cookies nécessaires à leur fonctionnement (session, authentification, préférences). La fréquentation du site est mesurée de façon anonyme, sans cookie. Tout autre traceur n'est activé qu'avec votre accord, que vous pouvez retirer à tout moment via [Gérer les cookies].
Sur mobile, l'application peut demander :
- l'appareil photo, pour numériser les prescriptions de transport et les pièces justificatives ;
- la localisation, pendant une course, pour calculer les distances et faciliter la saisie des adresses ;
- les notifications, pour vous rappeler vos courses et vous alerter en cas de rejet de facture.
Chaque permission est facultative et modifiable dans les réglages de votre téléphone.
10. Transferts, modifications, réclamation et contact
Transferts : les données sont hébergées en France et ne sont pas transférées hors de l'Union européenne.
Modifications : cette politique peut évoluer. La date de mise à jour figure en tête de page, et les utilisateurs sont prévenus par e-mail ou dans l'application de tout changement important.
Réclamation : vous pouvez saisir la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr).
Contact : [rgpd@hexataxi.fr].
Suppression de compte : vous pouvez supprimer votre compte depuis l'application ([Réglages > Mon compte]) ou via la page [lien de suppression de compte]. Apple et Google exigent cette possibilité pour les applications publiées sur leurs stores.