Politique de confidentialité

1. Responsable du traitement

TCCI.be et TCCI App sont opérés en Belgique par Andy Leleux. Pour toute question relative à la protection de vos données, contactez-nous à hello@tcci.be.

2. Données collectées

2.1 Côté praticien (tcci.be)

• Compte praticien : email, données de profil (nom, prénom, titre, photo, coordonnées, spécialisations, formation, numéro officiel)
• Contacts professionnels : dans le cadre du démarchage entre professionnels de santé (B2B), nous pouvons utiliser des adresses email professionnelles publiquement accessibles pour vous présenter le projet. Toute personne contactée peut demander à ne plus recevoir de communication à hello@tcci.be.

2.2 Côté patient (app.tcci.be) — Données de santé (RGPD art. 9)

L'application patient collecte des données de santé sensibles soumises à une protection renforcée par l'article 9 du RGPD :

• Agenda du sommeil : heures de coucher, d'endormissement, de réveil ; nombre et durée des réveils nocturnes ; qualité perçue ; ressentis physiques et cognitifs au réveil
• Traitement médicamenteux : prise de somnifères ou anxiolytiques (Zolpidem, Zopiclone, mélatonine, benzodiazépines, etc.)
• Habitudes de vie : consommation de caféine et d'alcool, siestes, niveau de stress
• Cycle féminin (optionnel) : menstruation, jour du cycle, symptômes prémenstruels, bouffées de chaleur, grossesse
• Tests cliniques : résultats des questionnaires ISI (Index de Sévérité de l'Insomnie), Epworth (somnolence diurne), PSQI (Pittsburgh Sleep Quality Index), Chronotype (MEQ Horne-Östberg)
• Programme thérapeutique : progression dans le programme TCCI 6 semaines, checklists, prescriptions de fenêtre de sommeil
• Journal de pensées : pensées dysfonctionnelles sur le sommeil et leurs reformulations (restructuration cognitive)
• Profil : prénom, nom, date de naissance, sexe (optionnels — l'app fonctionne en mode anonyme)
• Compte : email de connexion (magic link ou Google OAuth)
• Messages : échanges avec votre praticien (si vous avez activé un partage)

2.3 Analytics

Nous utilisons Plausible Analytics, un outil cookie-less qui ne collecte aucune donnée personnelle identifiable.

3. Finalités du traitement

Praticiens

• Gérer votre compte et votre profil public dans l'annuaire
• Vous notifier des mises à jour de votre profil (validation, rejet)
• Vous donner accès au dashboard patients (si vous êtes lié à des patients via leur code de partage)

Patients

• Vous permettre de suivre votre sommeil et vos progrès dans la Thérapie Cognitivo-Comportementale de l'Insomnie
• Générer des recommandations personnalisées (fenêtre de sommeil, prescriptions hebdomadaires)
• Partager vos données avec le praticien TCCI que vous désignez explicitement, uniquement
• Sauvegarder vos données de manière sécurisée si vous créez un compte (l'app fonctionne aussi en mode local, sans compte)

4. Base légale

Praticiens

• Consentement explicite, recueilli lors de la soumission du formulaire d'inscription
• Intérêt légitime pour le démarchage B2B entre professionnels de santé (directive ePrivacy)

Patients (données de santé)

• Consentement explicite (art. 6.1.a et art. 9.2.a RGPD), donné lors de la création du compte et confirmé lors de chaque partage de données avec un praticien
• Aucune donnée n'est partagée sans votre consentement actif (génération d'un code à 6 chiffres que vous transmettez volontairement à votre praticien)

5. Conservation des données

• Praticiens : tant que votre compte est actif. Suppression sur simple demande via le dashboard ou par email.
• Patients (compte) : tant que vous n'avez pas supprimé votre compte. Le bouton "Supprimer toutes mes données" du profil déclenche une suppression immédiate et irréversible en base de données (cascade sur toutes les tables : agenda, tests, messages, pensées, programme).
• Patients (local uniquement) : vos données restent sur votre appareil tant que vous ne videz pas le cache de votre navigateur. Aucune copie serveur.
• Liens patient↔praticien : conservés en base après révocation (statut "revoked") pour traçabilité de l'accès aux données, sans permettre au praticien de continuer à lire vos données. Purge complète après suppression du compte.

6. Vos droits (RGPD)

Vous disposez des droits suivants :

• Droit d'accès à vos données personnelles
• Droit de rectification — directement dans l'app (profil) ou le dashboard
• Droit à l'effacement ("droit à l'oubli") — bouton "Supprimer toutes mes données" dans l'app patient ; suppression du profil dans le dashboard praticien
• Droit à la portabilité — export PDF médical disponible dans l'app patient (page "Rapport médecin"), export JSON praticien dans le dashboard
• Droit d'opposition au traitement, notamment pour le démarchage commercial
• Droit de retirer votre consentement à tout moment, notamment le retrait du partage avec un praticien (bouton "Révoquer" dans l'app)

Pour exercer ces droits, contactez-nous par email à hello@tcci.be. Nous répondrons dans un délai d'un mois maximum, conformément au RGPD.

Vous avez également le droit de porter réclamation auprès de l'Autorité de protection des données (APD) belge : www.autoriteprotectiondonnees.be.

7. Sécurité

• Chiffrement en transit : HTTPS obligatoire (HSTS activé sur les deux domaines)
• Chiffrement au repos : base de données Supabase chiffrée par défaut
• Isolation stricte : Row Level Security (RLS) PostgreSQL — chaque patient voit uniquement ses propres données, chaque praticien uniquement celles des patients qui lui ont explicitement partagé un accès
• Authentification : magic link email (sans mot de passe stocké) ou Google OAuth
• Rate-limiting : protection contre le brute-force sur les codes de partage (10 tentatives / 15 min)
• Audit sécurité : l'infrastructure a été auditée par un tiers en juillet 2026 (RLS, cross-link injection, session hijacking, XSS) — corrections appliquées via migrations documentées

8. Cookies

TCCI n'utilise aucun cookie de tracking marketing. Seuls des cookies techniques strictement nécessaires sont utilisés :

• Cookie de session Supabase (authentification) — expire au bout de 30 jours
• Cookie de configuration Supabase (paramètres client)

Ces cookies sont exemptés de consentement (art. 82 loi Informatique et Libertés, considérant 30 RGPD).

9. Hébergement

• Vercel (USA / région EU-West) — hébergement des applications web
• Supabase (région Europe - Frankfurt / Irlande) — base de données PostgreSQL et authentification
• Infomaniak (Suisse) — envoi des emails transactionnels
• Bunny Fonts (EU) — service de polices (aucun cookie, aucun tracking)

Aucun sous-traitant américain n'a accès aux données de santé patient (Supabase EU est utilisé exclusivement).

10. Statut réglementaire

TCCI App n'est pas un dispositif médical au sens du règlement européen MDR 2017/745. Elle constitue un outil d'assistance à la Thérapie Cognitivo-Comportementale de l'Insomnie, destiné à faciliter le suivi entre un patient et son praticien TCCI. Elle ne pose aucun diagnostic, ne prescrit aucun traitement médicamenteux, et ne remplace pas une consultation médicale.

Les prescriptions de fenêtre de sommeil affichées dans l'app sont des recommandations calculées automatiquement selon les protocoles TCCI validés scientifiquement (Spielman, Morin), à valider avec votre praticien.

11. Transferts hors UE

Aucun transfert de données de santé patient en dehors de l'Union Européenne. L'accès de support Vercel/Supabase (support technique) est encadré par des clauses contractuelles types (SCC).

12. Modifications

Nous nous réservons le droit de modifier cette politique. Toute modification substantielle sera notifiée par email aux utilisateurs concernés au moins 30 jours avant son entrée en vigueur.