docfi

Politique de confidentialité

Dernière mise à jour : 21 octobre 2026

Cette politique explique quelles données traite l’application docfi (iOS, Android et web), pourquoi, combien de temps, et comment exercer vos droits. Elle est établie conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.

1. Responsable du traitement

Gauthier Jozan, Entrepreneur individuel (micro-entreprise), 32 rue du Moulin Rouge, 17000 La Rochelle.

Contact pour vos données : contact@docfi.fr

Délégué à la protection des données : aucun DPO désigné

2. Les données traitées

Vous saisissez vous-même la quasi-totalité de ces données ; beaucoup sont facultatives.

Compte et connexion

• Adresse e-mail et mot de passe. Le mot de passe n’est jamais stocké en clair : seule une empreinte irréversible (hachage) est conservée, et personne chez docfi ne peut le lire. Un code envoyé par e-mail confirme votre adresse à l’inscription et permet de choisir un nouveau mot de passe si vous l’avez oublié.
• Si vous utilisez « Continuer avec Apple » ou « Continuer avec Google » : l’identifiant de compte et l’adresse e-mail transmis par Apple ou Google (éventuellement une adresse relais Apple), et votre prénom et nom si vous acceptez de les partager. Avec Apple, nous conservons aussi un jeton technique fourni par Apple, qui sert uniquement à révoquer l’accès de l’application à votre compte Apple si vous supprimez votre compte.
• Données de session et de sécurité (jetons de connexion, date de dernière connexion).

Profil professionnel

• Prénom, nom, spécialité, adresse professionnelle, numéro RPPS et SIRET (facultatifs), année d’internat si vous suivez vos gardes.

Réglages URSSAF et fiscaux

• Régime URSSAF, périodicité et échéances de déclaration, calendrier de prélèvement, forfait invalidité-décès choisi, recettes de l’année précédente (facultatif).
• Régime fiscal et, si vous estimez votre impôt : taux de prélèvement à la source du foyer, ou nombre de parts, imposition commune et autres revenus nets imposables du foyer.

Activité

• Missions : médecin remplacé, dates, jours travaillés, horaires, taux de rétrocession, note.
• Encaissements du jour : total, répartition par moyen de paiement (carte, chèque, espèces, tiers payant), nombre d’actes, note. Ce sont des totaux, jamais le détail d’une consultation.
• Rétrocessions : numéro et montants de la note de rétrocession, date, montant et moyen de paiement à la réception.
• Autres recettes (régulation, vaccination…), périodes de déclaration (montants déclarés, cotisations payées, dates), paiements d’impôt.
• Gardes à l’hôpital, si vous activez cette fonction : types de garde et montants bruts, gardes (date, horaires, service, collègue en cas d’échange, note), fiches de paie (salaire de base, montant des gardes, net payé).

Personnes que vous enregistrez

• Carnet des médecins remplacés : nom, ville, adresse e-mail et adresse professionnelles, note.
• Nom d’un collègue lorsque vous échangez une garde.

Ces personnes ne sont pas utilisatrices de l’application : n’enregistrez que les coordonnées professionnelles utiles aux remplacements.

Abonnement agenda

• Si vous créez un lien d’abonnement (Réglages → Synchroniser avec mon agenda) : une empreinte de ce lien (le lien lui-même n’est pas conservé), ses dates de création et de révocation.

Documents

• Notes de rétrocession générées en PDF et justificatifs que vous ajoutez (PDF ou photo, 10 Mo au plus), dans un espace de stockage privé : justificatifs URSSAF, fiches de paie, contrats de remplacement, reçus fiscaux de dons.
• Une fiche de paie contient votre numéro de sécurité sociale et votre rémunération ; un contrat de remplacement, l’identité et les coordonnées professionnelles du médecin remplacé. Ces fichiers sont conservés tels que vous les déposez et accessibles à vous seul. L’application ne les lit que si vous activez la lecture automatique (ci-dessous) ; les montants enregistrés restent ceux que vous saisissez ou validez.
• Gardes échangées réglées entre collègues : collègue concerné, montant et date du règlement.

Lecture automatique des documents (facultative)

• Désactivée par défaut. Si vous l’activez (Réglages → Lecture automatique des documents), nous gardons la date d’activation, preuve de votre accord, jusqu’à ce que vous la désactiviez.
• Quand vous appuyez sur « Lire le document », le fichier concerné (fiche de paie, contrat de remplacement ou reçu fiscal de don) est transmis par nos serveurs à Mistral AI, qui en relève les valeurs utiles : montants, taux, dates, nom du médecin remplacé ou de l’organisme. Elles vous sont proposées dans le formulaire ; seules celles que vous enregistrez sont conservées, et docfi ne garde pas le résultat de la lecture.
• Le document est transmis en entier : une fiche de paie contient votre numéro de sécurité sociale et votre rémunération, un contrat l’identité et les coordonnées professionnelles du médecin remplacé, un reçu de don votre identité et votre adresse. La consigne donnée au modèle interdit de relever le numéro de sécurité sociale, et toute suite de 13 chiffres ou plus est retirée de la réponse avant qu’elle vous parvienne.
• La lecture peut se tromper : vous vérifiez chaque valeur avant d’enregistrer. Aucune décision n’est prise automatiquement.
• Le nombre de lectures est limité par jour et par mois : pour les compter, nous notons la date et l’heure de chaque lecture, sans le document, son type ni le résultat.

Rappels et notifications

• Jeton de notification de chaque appareil, système (iOS, Android, web), nom de l’appareil, date de dernière utilisation.
• Journal des rappels envoyés (type, date, canal, accusé de réception) et liste des alertes déjà lues, pour ne pas vous prévenir deux fois.

Données techniques

• Journaux techniques de nos prestataires (adresse IP, date, requête, erreur), utilisés pour la sécurité et le diagnostic.
• Rapports d’erreur, quand l’application plante ou qu’une opération échoue de façon imprévue, et quand une de nos fonctions serveur échoue : nature de l’erreur et endroit du code concerné, écran ouvert (sans ses paramètres), dernières étapes techniques (écrans visités, requêtes envoyées, sans leur contenu), modèle et système de l’appareil ou du navigateur, version de l’application, date. Avant l’envoi, tout montant, nom, note, adresse e-mail, identifiant et contenu de requête en est retiré, ainsi que toute suite de 13 chiffres ou plus. Aucun identifiant de compte n’y est joint et votre adresse IP n’est pas conservée. Vous pouvez les refuser dans Réglages → Exports et données (« Envoyer les rapports d’erreur », réglage propre à chaque appareil).

Sur votre appareil

• Votre session (trousseau sécurisé du téléphone ; stockage local du navigateur sur le web), une copie de vos données pour fonctionner hors ligne et les rappels programmés sur le téléphone. Tout est effacé à la déconnexion, sauf les fichiers que vous avez vous-même enregistrés ou partagés et votre choix sur les rapports d’erreur.

Ce que nous ne collectons pas

• Aucune donnée de patient : ni nom, ni numéro de sécurité sociale, ni acte nominatif, ni donnée de santé. Les notes sont limitées à 280 caractères et refusent toute suite de 13 chiffres ou plus (forme d’un numéro de sécurité sociale).
• Ni identifiant ni mot de passe URSSAF ou fiscal, ni coordonnées bancaires.
• Ni géolocalisation, ni carnet d’adresses du téléphone, ni identifiant publicitaire. Aucun outil de mesure d’audience ou de publicité.

3. Pourquoi et sur quelle base

• Créer et gérer votre compte, vous connecter — exécution du contrat (CGU).
• Fournir le service : suivi des encaissements, calcul des rétrocessions, préparation des déclarations, estimations, agenda, gardes, exports PDF et CSV, synchronisation entre vos appareils — exécution du contrat.
• Envoyer les rappels que vous avez réglés (notifications, e-mails) — exécution du contrat. Les notifications du téléphone demandent en plus votre autorisation, que vous pouvez retirer à tout moment dans les réglages du téléphone.
• Lire automatiquement les documents que vous choisissez (option) — votre consentement, donné en activant l’option et retirable à tout moment dans Réglages ; le retrait vaut pour les lectures suivantes.
• Enregistrer les médecins remplacés et les collègues — intérêt légitime : établir vos notes de rétrocession et suivre vos remplacements et vos gardes.
• Sécuriser le service (journaux, prévention des abus) — intérêt légitime.
• Détecter et corriger les erreurs de l’application (rapports d’erreur) — intérêt légitime : assurer le bon fonctionnement du service. Vous pouvez vous y opposer à tout moment dans Réglages → Exports et données.
• Répondre à vos demandes et aux obligations légales (exercice de vos droits, réquisitions des autorités) — obligation légale.

Les estimations de cotisations et d’impôt sont indicatives : aucune décision produisant des effets juridiques n’est prise automatiquement à votre égard.

4. Qui reçoit vos données

Vos données ne sont ni vendues ni louées, et ne servent à aucune publicité. Seuls les prestataires techniques suivants les traitent, pour notre compte et selon nos instructions :

• Supabase Pte. Ltd. (65 Chulia Street #38-02/03, OCBC Centre, Singapour 049513) : base de données, connexion, stockage des documents et fonctions serveur, sur l’infrastructure d’Amazon Web Services dans la région de Paris (base de données, comptes et documents y restent).
• Resend (Plus Five Five, Inc.) (2261 Market Street #5039, San Francisco, CA 94114, États-Unis) : envoi des e-mails (codes de connexion, rappels) ; les e-mails et leurs journaux sont conservés 30 jours, aux États-Unis.
• Expo (650 Industries, Inc.) (624 University Avenue, 1er étage, Palo Alto, CA 94301, États-Unis) : acheminement des notifications (leur contenu n’est gardé que le temps de les remettre à Apple ou Google) et mises à jour de l’application.
• Vercel Inc. (440 N Barranca Avenue #4133, Covina, CA 91723, États-Unis) : hébergement du site web et de l’application web, servis depuis son réseau mondial ; Vercel traite l’adresse IP et les informations techniques des visiteurs pour délivrer les pages et sécuriser le service.
• Mistral AI (15 rue des Halles, 75001 Paris) : lecture automatique des justificatifs que vous lui faites lire, si vous activez cette option ; les documents sont traités dans des centres de données de l’Union européenne et de l’AELE et ne servent pas à entraîner ses modèles.
• Sentry (Functional Software, Inc.) (45 Fremont Street, 8e étage, San Francisco, CA 94105, États-Unis) : rapports d’erreur de l’application et de nos fonctions serveur, débarrassés de vos données avant l’envoi et stockés dans l’Union européenne (Francfort, Allemagne).

Les notifications passent ensuite par Apple (iPhone) ou Google (Android), qui les remettent à votre appareil. Si vous vous connectez avec Apple ou Google, ces sociétés traitent cette connexion selon leur propre politique de confidentialité.

Un rappel peut contenir le nom d’un médecin remplacé, une date ou un montant (« 1 240 € à déclarer »). Si vous préférez que ces informations ne s’affichent pas sur l’écran verrouillé, masquez l’aperçu des notifications dans les réglages du téléphone.

Si vous abonnez votre agenda (Google Agenda, Apple Calendrier…) à votre lien, ce service, que vous choisissez, récupère régulièrement vos remplacements et vos gardes : nom du médecin remplacé ou type de garde, dates et horaires, jamais de montant, de note ni de service. Toute personne qui possède le lien voit ce planning : vous pouvez le régénérer ou le révoquer à tout moment dans l’application.

Lorsque vous partagez une note de rétrocession ou un export (e-mail, messagerie…), vous choisissez le destinataire : le document sort alors de docfi.

5. Transferts hors de l’Union européenne

Votre base de données et vos documents sont hébergés dans l’Union européenne (région de Paris). En revanche, certaines données sont traitées hors de l’Union : aux États-Unis pour les e-mails et leurs journaux (Resend), les jetons et le contenu des notifications (Expo, Apple, Google) et les visites du site web (Vercel) ; l’équipe de Supabase, établie notamment à Singapour et aux États-Unis, peut accéder aux données pour l’assistance et l’exploitation. Les documents que vous faites lire, si vous activez la lecture automatique, sont traités par Mistral AI dans des centres de données de l’Union européenne et de l’AELE. Les rapports d’erreur sont stockés par Sentry dans l’Union européenne (Francfort) ; son siège est aux États-Unis, où restent le compte de l’éditeur chez Sentry et ses réglages, et ses équipes peuvent accéder aux rapports pour l’assistance et l’exploitation. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, pour Expo, Resend, Vercel et Sentry, le cadre de protection des données UE–États-Unis (Data Privacy Framework).

6. Durées de conservation

• Compte et données saisies : tant que votre compte existe. [À DÉFINIR : durée après laquelle un compte inactif est supprimé, après prévenance, ex. 3 ans sans connexion]
• Suppression du compte : tout est effacé immédiatement de la base et du stockage. L’offre d’hébergement retenue ne comprend pas de sauvegarde automatique : il n’y a pas de copie à effacer ensuite.
• Jetons de notification : retirés à la déconnexion, lorsque l’appareil n’est plus joignable ou à la suppression du compte.
• Codes envoyés par e-mail (confirmation de l’adresse, mot de passe oublié) : valables quelques minutes.
• Journaux techniques : 1 jour chez Supabase ; e-mails et journaux d’envoi : 30 jours chez Resend.
• Documents envoyés pour lecture automatique et valeurs relevées : conservés 30 jours par Mistral AI pour détecter d’éventuels abus, puis effacés. docfi ne conserve pas le résultat de la lecture.
• Dates des lectures automatiques (limite du nombre de lectures) : 31 jours.
• Rapports d’erreur : 30 jours chez Sentry. Sans identifiant de compte, ils ne peuvent pas être rattachés à vous ni supprimés avec votre compte.

Vos obligations comptables et fiscales (conservation du livre des recettes et des justificatifs) restent les vôtres : docfi n’est pas un service d’archivage. Exportez vos données avant de supprimer votre compte.

7. Sécurité

• Échanges chiffrés (HTTPS) entre l’application et les serveurs.
• Cloisonnement des données dans la base : chaque utilisateur n’accède qu’à ses propres lignes et à ses propres documents.
• Session conservée dans le trousseau sécurisé du téléphone ; aucune clé secrète dans l’application.
• Accès aux outils d’administration limité à l’éditeur.

8. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, ainsi que du droit de définir des directives sur le sort de vos données après votre décès.

Directement dans l’application :

• Accès et portabilité : Réglages → Exports et données → « Exporter toutes mes données (JSON) ».
• Rectification : chaque information se modifie dans l’écran correspondant (Réglages → Profil, missions, saisies…).
• Effacement : Réglages → « Supprimer mon compte » (voir Supprimer son compte).
• Rappels : Réglages → Rappels, ou les réglages de notifications du téléphone.
• Lecture automatique des documents : Réglages → Lecture automatique des documents (activer, ou retirer votre accord).

Pour toute autre demande, écrivez à contact@docfi.fr. Nous répondons dans un délai d’un mois ; une preuve d’identité peut être demandée en cas de doute.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).

9. Cookies et traceurs

Ni l’application ni le site n’utilisent de cookie publicitaire ni de mesure d’audience. Le site web n’enregistre dans votre navigateur que ce qui est strictement nécessaire au service (session de connexion, copie hors ligne de vos données, préférences, dont votre choix sur les rapports d’erreur) : ce stockage est exempté de consentement.

Le seul outil tiers est Sentry, pour les rapports d’erreur décrits au §2. Il ne dépose aucun cookie et ne sert jamais à vous suivre ni à mesurer votre usage : il lit seulement les informations techniques nécessaires au rapport (modèle, système, navigateur) et, sur le téléphone, garde un rapport le temps de l’envoyer. Vous pouvez le désactiver dans Réglages → Exports et données.

10. Public visé

docfi est réservé aux professionnels majeurs (médecins remplaçants, internes, docteurs juniors). Il ne s’adresse pas aux mineurs.

11. Modifications

Cette politique peut évoluer (nouvelle fonction, nouveau prestataire). La date de dernière mise à jour figure en haut de la page ; en cas de changement important, vous en serez informé dans l’application.