WellPD — Politique de confidentialité — Espace économique européen
COMMENT EMPATICA TRAITE VOS DONNÉES À CARACTÈRE PERSONNEL
Dernière mise à jour : 20 octobre 2026
1. Qui nous sommes et ce que couvre la présente Politique
La présente Politique de confidentialité (la « Politique ») explique comment Empatica traite les données à caractère personnel — y compris les données concernant la santé — des personnes qui achètent et utilisent WellPD : le dispositif portable Embrace Mini, l’application mobile WellPD (l’« App »), le Portail Utilisateur et le Service d’Abonnement (ensemble, les « Services »).
Empatica est le responsable du traitement pour l’ensemble des traitements décrits dans la présente Politique : nous déterminons les finalités et les moyens du traitement de vos données à caractère personnel, et nous sommes responsables de ce traitement. Votre responsable du traitement est Empatica S.r.l., Via Stendhal 36, 20144 Milan, Italie, l’entité avec laquelle vous contractez au titre des Conditions Générales de WellPD (« Empatica », « nous »). D’autres sociétés du groupe Empatica traitent vos données pour notre compte, comme décrit à la section 6.
La présente Politique doit être lue conjointement avec les Conditions Générales de WellPD et avec les Instructions d’Utilisation. Elle ne couvre pas les données traitées par vos professionnels de santé : WellPD est un produit que vous achetez et utilisez vous-même ; aucun professionnel de santé ne reçoit vos données par l’intermédiaire de WellPD, sauf si vous exportez un rapport et le partagez vous-même (section 6(d)).
Dans la présente Politique, « vous » désigne la personne qui détient un compte WellPD et porte l’Embrace Mini.
2. Données à caractère personnel que nous traitons
Données d’identité et de contact — nom, date de naissance (utilisée, avec le numéro de série du Dispositif Portable, pour vous connecter à l’App et pour vérifier que vous avez au moins 18 ans), genre, adresse postale et adresse e-mail, numéro de téléphone, adresse e-mail et mot de passe que vous utilisez pour le Portail Utilisateur, langue et pays de résidence.
Données concernant la santé — signaux physiologiques enregistrés par votre Dispositif Portable (par exemple les données de mouvement issues de son accéléromètre ; les signaux dépendent du modèle de Dispositif Portable), durée de port, mesures liées à la maladie de Parkinson calculées à partir de ces signaux (scores de tremblement, de bradykinésie et de dyskinésie), mesures du sommeil et de l’activité (y compris les périodes de non-port ou « sans données »), le plan de traitement médicamenteux que vous saisissez dans l’App (noms des médicaments, doses et horaires) et votre journal de prise des médicaments (pris, sautés, au besoin), la mesure motrice WellMove et le récit quotidien d’insights PD généré à partir de vos enregistrements, la durée de surveillance, ainsi que les symptômes et notes que vous enregistrez. Les données concernant la santé constituent une « catégorie particulière » de données au sens du RGPD et bénéficient d’une protection renforcée.
Insights — synthèses, tendances et interprétations générées à partir des données de votre Dispositif Portable et de vos saisies dans l’App, dont certaines de manière automatique par l’intelligence artificielle (section 5).
Données de commande, de paiement et d’abonnement — commandes, informations de livraison, statut de l’abonnement, référence du moyen de paiement et historique des transactions (les données de carte sont collectées et conservées par notre prestataire de services de paiement, Stripe, et non par Empatica — section 6(b)).
Données relatives à l’appareil et données techniques — numéro de série de l’Embrace Mini, version du micrologiciel et de l’App, modèle et système d’exploitation du téléphone, adresse IP, identifiants, état du Bluetooth et de la connectivité, batterie, journaux de plantage et de diagnostic, horodatages, événements d’utilisation de l’App.
Données d’utilisation et d’analyse — les écrans que vous ouvrez et les fonctionnalités que vous utilisez dans l’App et le Portail Utilisateur, ainsi que les événements d’appairage et de prise en main, enregistrés avec un identifiant pseudonyme.
Données d’assistance et de communication — vos demandes adressées au service client, les signalements d’événements indésirables, les réponses aux enquêtes, les avis et autres Contributions de l’Utilisateur, ainsi que nos archives des communications échangées avec vous.
Données marketing — vos choix en matière de consentement, votre statut d’abonnement aux newsletters et vos interactions avec nos messages.
Nous ne traitons pas de données d’enfants : WellPD est destiné aux adultes âgés de 18 ans et plus (section 9).
3. Provenance des données
Principalement de vous et de votre utilisation des Services : ce que vous saisissez lors de l’achat et de l’inscription, ce que l’Embrace Mini enregistre lorsque vous le portez, et ce que l’App et le Portail enregistrent lorsque vous les utilisez. Nous recevons également des données d’un représentant autorisé agissant pour votre compte, de votre prestataire de services de paiement (confirmation du paiement) et des magasins d’applications (statut de l’achat et de l’installation). Si vous nous contactez sur les réseaux sociaux, nous pouvons recevoir les données que ces plateformes partagent avec nous.
4. Pourquoi nous traitons vos données et sur quelle base juridique
Le tableau indique chaque finalité, les données utilisées et la base juridique applicable en vertu du RGPD ; la section 16 précise ce que prévoit le droit national.
Finalité | Données | Base juridique (RGPD) | Conséquences si vous ne fournissez pas les données |
|---|---|---|---|
Fourniture de WellPD — vente et expédition de l’Embrace Mini, création et gestion de votre compte et de votre abonnement, appairage du Dispositif Portable, enregistrement et affichage de vos mesures, de votre sommeil, de votre activité, de votre journal de prise des médicaments et des Insights, envoi de messages de service par e-mail, SMS, appel téléphonique ou notification push (par exemple le rappel que nous envoyons au moins 7 jours avant le renouvellement de votre abonnement) | Données d’identité et de contact, de commande/paiement/abonnement, relatives à l’appareil et techniques, données concernant la santé, Insights | Exécution du contrat conclu avec vous (art. 6(1)(b)) ; pour les données concernant la santé, votre consentement explicite (art. 9(2)(a)), demandé dans l’App avant que le Dispositif Portable n’enregistre des données | Sans les données contractuelles, nous ne pouvons ni vendre ni livrer WellPD ; sans votre consentement au traitement des données concernant la santé, le Dispositif Portable ne peut pas enregistrer et l’App ne peut pas afficher les mesures |
Assistance client — réponse à vos demandes, résolution des problèmes, garantie et retours | Données d’identité et de contact, d’assistance, relatives à l’appareil et techniques et — lorsque cela est nécessaire pour vous aider — données concernant la santé | Exécution du contrat (art. 6(1)(b)) ; données concernant la santé : votre consentement explicite (art. 9(2)(a)) lorsque vous nous demandez d’examiner vos enregistrements | Nous pourrions ne pas être en mesure de traiter votre demande |
Sécurité et vigilance — surveillance des performances et de la sécurité de l’Embrace Mini et de l’App, enquêtes sur les incidents, traitement des signalements d’événements indésirables, mesures correctives, déclarations aux autorités | Données concernant la santé, relatives à l’appareil et techniques, données d’assistance, dossiers d’événements indésirables | Respect des obligations légales relatives aux dispositifs médicaux (art. 6(1)(c)) ; données concernant la santé : art. 9(2)(i) (motifs d’intérêt public dans le domaine de la santé publique — sécurité et qualité des dispositifs médicaux) | Obligatoire — nous ne pouvons pas vous en dispenser |
Gestion réglementaire et de la qualité — registres exigés par la législation sur les dispositifs médicaux et par notre système de management de la qualité, audits et inspections | Données d’utilisation de l’appareil, registres d’étalonnage et de validation, données concernant la santé lorsque le registre l’exige | Obligation légale (art. 6(1)(c)) ; art. 9(2)(i) | Obligatoire |
Sécurité — protection de nos systèmes, détection et prévention de la fraude et des incidents de sécurité, journalisation des accès | Données relatives à l’appareil et techniques, données de compte et d’utilisation | Notre intérêt légitime à assurer la sécurité des Services et de vos données (art. 6(1)(f)) | Obligatoire pour le fonctionnement des Services |
Amélioration de WellPD et recherche — analyses et recherche sur des données pseudonymisées afin d’évaluer et d’améliorer les algorithmes, de développer de nouvelles fonctionnalités et de nouveaux biomarqueurs numériques, et d’appuyer de futures soumissions réglementaires et cliniques | Données concernant la santé, relatives à l’appareil et d’utilisation sous forme pseudonymisée ou agrégée ; données démographiques | Votre consentement (art. 6(1)(a)) et, pour les données concernant la santé, votre consentement explicite (art. 9(2)(a)) — demandé séparément dans l’App | Facultatif — vous pouvez refuser ou retirer votre consentement à tout moment ; WellPD fonctionne de la même manière |
Marketing — actualités sur les produits et services d’Empatica, enquêtes, contenus éducatifs, par e-mail ou dans l’App | Données d’identité et de contact, préférences marketing, données d’interaction | Votre consentement (art. 6(1)(a)) | Facultatif |
Droits en justice — constatation, exercice ou défense de droits en justice | Toutes les données concernées par le litige | Notre intérêt légitime (art. 6(1)(f)) ; données concernant la santé : art. 9(2)(f) | — |
Opérations sur le capital de la société — évaluation et réalisation de fusions, d’acquisitions, de financements ou de cessions d’actifs | Toutes les données concernées par l’opération | Notre intérêt légitime (art. 6(1)(f)) ; les données concernant la santé se rapportant à une personne identifiée ou identifiable ne seront pas communiquées | — |
Comptabilité et fiscalité — factures, paiements, registres légaux | Données d’identité, de commande et de paiement | Obligation légale (art. 6(1)(c)) | Obligatoire |
Consentement. Lorsque le tableau indique que nous nous fondons sur votre consentement, nous vous le demandons séparément dans l’App ou sur le site web, avec une description claire de ce à quoi vous consentez. L’acceptation des Conditions Générales ne vaut pas consentement. Vous pouvez retirer votre consentement à tout moment dans les paramètres de l’App ou en écrivant à privacy@empatica.com ; le retrait ne compromet pas la licéité du traitement effectué avant celui-ci. Si vous retirez votre consentement au traitement des données concernant la santé aux fins de la fourniture de WellPD, le Dispositif Portable cesse d’enregistrer et l’App cesse d’afficher les mesures ; vous pouvez conserver votre compte et exporter vos données (section 7).
Intérêts légitimes. Lorsque nous nous fondons sur nos intérêts légitimes, nous avons évalué que le traitement est nécessaire et que notre intérêt ne prévaut pas sur vos intérêts, droits et libertés. Vous pouvez demander une synthèse de cette évaluation et vous pouvez vous opposer au traitement (section 7).
5. Insights, intelligence artificielle et traitement automatisé
Certains Insights sont générés automatiquement, sans intervention humaine, par des algorithmes — y compris des modèles d’intelligence artificielle — qui analysent les données enregistrées par votre Dispositif Portable et les saisies que vous effectuez dans l’App. L’App signale comme tels les Insights générés par l’IA. Les Insights vous sont fournis à titre d’information : ils ne constituent pas un avis médical, et aucune décision produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire n’est prise par des moyens automatisés (art. 22 du RGPD). Le récit d’insights PD est produit sur nos serveurs par un modèle de langage à partir d’une synthèse de vos enregistrements pour la période concernée ; le modèle fonctionne au sein de notre infrastructure cloud (Amazon Web Services), qui agit en tant que notre sous-traitant et n’utilise pas vos données à ses propres fins ni pour entraîner ses modèles. Les insights générés sont conservés avec votre compte afin qu’ils restent identiques à chaque fois que vous les consultez. Empatica n’utilise pas vos données pour entraîner des modèles susceptibles de vous identifier ; les modèles sont entraînés sur des données pseudonymisées ou agrégées, et uniquement à partir des utilisateurs ayant consenti à la recherche et à l’amélioration (section 4).
6. Destinataires de vos données
Nous ne communiquons des données à caractère personnel que dans la mesure nécessaire aux finalités décrites à la section 4.
(a) Groupe Empatica. Empatica S.r.l. (Italie) exploite la plateforme WellPD ; Empatica, Inc. (États-Unis) assure les opérations d’hébergement, l’assistance technique et le suivi client ; Global Kinetics UK Corporation Limited (Royaume-Uni) assure l’assistance et la gestion des comptes pour les utilisateurs au Royaume-Uni ; Empatica Care, Inc. (États-Unis) commercialise WellPD aux États-Unis. Votre responsable du traitement est Empatica S.r.l. ; les autres entités du groupe agissent en tant que ses sous-traitants, en vertu de l’accord intragroupe de traitement des données qui les lie.
(b) Prestataires de services (sous-traitants) agissant sur nos instructions documentées : hébergement et stockage cloud ; gestion des identités et des accès ; surveillance et journalisation de l’infrastructure ; gestion des tickets d’assistance client ; envoi de SMS, d’e-mails et de notifications push ; traitement des paiements (Stripe Payments Europe, Limited, Irlande, qui traite les données de paiement aux États-Unis dans le cadre de l’EU–U.S. Data Privacy Framework (cadre de protection des données UE–États-Unis), avec les clauses contractuelles types de la Commission européenne à titre subsidiaire ; Stripe agit également en tant que responsable du traitement indépendant, par l’intermédiaire de Stripe Technology Company, Limited, Irlande, pour ses propres obligations légales, telles que la prévention de la fraude et les contrôles de lutte contre le blanchiment de capitaux, conformément à sa propre politique de confidentialité) ; expédition et logistique ; calcul des taxes ; enquêtes ; signature électronique ; infrastructure d’IA (au sein de notre fournisseur cloud) ; audit et certification. Notre liste actuelle des prestataires de services, avec leur localisation, est publiée à l’adresse https://www.empatica.com/wellpd/privacy-policy/sub-processors et mise à jour en cas de modification ; vous pouvez également nous la demander.
(c) Autorités et régulateurs — autorités compétentes en matière de dispositifs médicaux (par exemple pour les déclarations de vigilance), autorités de contrôle, juridictions et forces de l’ordre, lorsque la loi l’exige ou le permet, dans la limite de ce qui est nécessaire.
(d) Personnes avec lesquelles vous choisissez de partager vos données. Vous pouvez exporter un rapport depuis l’App ou le Portail Utilisateur et le partager avec votre professionnel de santé ou toute autre personne de votre choix. Nous ne l’envoyons pas pour votre compte ; une fois que vous l’avez partagé, le destinataire est responsable de l’usage qui en est fait.
(e) Conseillers professionnels et successeurs — auditeurs, avocats et, dans le cadre d’une opération sur le capital de la société, l’entité acquéreuse ou qui nous succède, sous réserve d’obligations de confidentialité et de garanties équivalentes.
Nous ne vendons pas vos données à caractère personnel et nous ne les partageons pas avec des tiers à des fins de marketing propres à ceux-ci.
7. Vos droits et comment les exercer
Selon la loi qui vous est applicable (section 16), vous avez le droit : d’accéder à vos données à caractère personnel et d’en obtenir une copie ; de faire rectifier les données inexactes ; de faire effacer vos données (nous pouvons être tenus de conserver les données que la législation sur les dispositifs médicaux ou une autre loi nous impose de conserver — nous vous en informerons) ; d’obtenir la limitation du traitement dans les cas prévus par la loi ; à la portabilité des données que vous nous avez fournies, dans un format lisible par machine, lorsque le traitement est fondé sur le consentement ou sur le contrat et effectué à l’aide de procédés automatisés — l’App et le Portail Utilisateur comportent une fonction d’export ; de vous opposer au traitement fondé sur des intérêts légitimes et, à tout moment, à la prospection commerciale ; de retirer votre consentement à tout moment ; de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets significatifs similaires ; d’obtenir des informations sur les transferts internationaux et une copie des garanties ; et d’introduire une réclamation auprès de l’autorité de contrôle indiquée à la section 16.
Écrivez à privacy@empatica.com ou utilisez les paramètres de confidentialité de l’App. Nous pouvons vous demander de vérifier votre identité. Nous répondons dans le délai fixé par la loi applicable (un mois, prolongeable de deux mois supplémentaires dans les cas complexes) et gratuitement, sauf si une demande est manifestement infondée ou excessive. Un représentant autorisé peut exercer vos droits pour votre compte avec votre autorisation écrite.
Délégué à la protection des données. Empatica S.r.l. a désigné un délégué à la protection des données (42 Law Firm S.r.l.), qui peut être contacté à l’adresse privacy@empatica.com ou à l’adresse postale indiquée à la section 15.
8. Durée de conservation de vos données
Données / finalité | Durée de conservation |
|---|---|
Données de compte, de contrat et d’abonnement ; mesures, journal de prise des médicaments et Insights | Pendant la durée du contrat et pendant 10 ans après son terme (délai de prescription de la responsabilité contractuelle), sauf si une durée plus longue est requise en raison d’un litige, de demandes des autorités compétentes ou de la loi applicable. Vous pouvez demander un effacement anticipé (section 7) ; nous supprimons alors les données qu’aucune obligation légale ne nous impose de conserver |
Registres de sécurité, de vigilance et de gestion de la qualité (y compris les données pseudonymisées de l’appareil requises par ces registres) | Pendant la durée prescrite par la législation sur les dispositifs médicaux — jusqu’à 25 ans après la pseudonymisation |
Recherche et amélioration (avec votre consentement) | Données pseudonymisées : jusqu’à 25 ans après la pseudonymisation, sauf si vous retirez votre consentement plus tôt ; données anonymisées : sans limitation de durée |
Marketing | Jusqu’au retrait de votre consentement ou à votre opposition et, en tout état de cause, pas plus de 24 mois après votre dernière interaction avec nos communications |
Journaux de sécurité | De 7 jours à 1 an selon le journal, sauf s’ils sont nécessaires pour enquêter sur un incident |
Dossiers d’assistance et signalements d’événements indésirables | Assistance : 3 ans après la clôture ; signalements d’événements indésirables : comme les registres de vigilance ci-dessus |
Droits en justice | Jusqu’à l’expiration du délai de prescription applicable |
À l’issue de la durée de conservation, nous supprimons les données de manière sécurisée ou les anonymisons de manière irréversible, conformément à nos procédures de conservation des données.
9. Enfants
WellPD est destiné aux adultes âgés de 18 ans et plus et n’est pas destiné aux enfants. Nous ne traitons pas sciemment de données à caractère personnel d’enfants ; si nous apprenons que cela a été le cas, nous les supprimons.
10. Transferts internationaux
Empatica S.r.l. est établie en Italie ; Empatica, Inc. et Empatica Care, Inc. aux États-Unis ; Global Kinetics UK Corporation Limited au Royaume-Uni. Nos prestataires de services opèrent dans l’Espace économique européen, aux États-Unis et dans d’autres pays. Vos données sont stockées dans l’EEE (AWS, Irlande).
Lorsque vos données à caractère personnel sont transférées en dehors de l’EEE, nous utilisons les clauses contractuelles types de la Commission européenne (décision 2021/914), accompagnées d’analyses d’impact des transferts, ou une décision d’adéquation. Empatica maintient en permanence des clauses contractuelles types signées avec Empatica, Inc. Vous pouvez nous demander une copie des garanties (section 7).
11. Sécurité
Nous appliquons des mesures techniques et organisationnelles adaptées à la sensibilité des données concernant la santé, dans le cadre d’un système de management de la sécurité de l’information certifié ISO/IEC 27001 : chiffrement en transit et au repos, pseudonymisation des données de recherche, contrôle d’accès et authentification multifacteur, journalisation et surveillance, développement sécurisé, sauvegardes et continuité d’activité, formation du personnel et obligations de confidentialité, ainsi qu’obligations contractuelles de sécurité imposées à nos prestataires de services. Aucun système n’est parfaitement sûr ; protégez votre Dispositif Portable, votre téléphone et le mot de passe de votre Portail Utilisateur — toute personne qui détient votre Dispositif Portable et connaît votre date de naissance peut se connecter à l’App — et informez-nous immédiatement si votre Dispositif Portable est perdu ou volé ou si vous soupçonnez une utilisation abusive de votre compte.
12. Cookies et traceurs
L’App et le Portail Utilisateur utilisent uniquement les cookies et identifiants techniques nécessaires à leur fonctionnement et, avec votre consentement, des outils d’analyse. Nos sites web utilisent des cookies, y compris Google Analytics à des fins de marketing, comme décrit dans la Politique relative aux cookies d’Empatica disponible à l’adresse https://www.empatica.com/legal/cookie_policy.
13. Liens vers des sites tiers
Les Services peuvent contenir des liens vers des sites web ou des applications de tiers. Leurs pratiques en matière de confidentialité sont régies par leurs propres politiques ; nous n’en sommes pas responsables.
14. Modifications de la présente Politique
Nous pouvons mettre à jour la présente Politique pour tenir compte des évolutions de la loi ou des Services. Nous publions les mises à jour dans l’App et sur notre site web et actualisons la date de « Dernière mise à jour » ; en cas de modifications substantielles, nous vous en informons à l’avance par e-mail ou dans l’App et, lorsque la loi l’exige, nous vous demandons à nouveau votre consentement.
15. Contact
privacy@empatica.com — Empatica S.r.l., Via Stendhal 36, 20144 Milan, Italie (à l’attention du délégué à la protection des données).
16. Informations destinées aux utilisateurs de l’Espace économique européen
Responsable du traitement : Empatica S.r.l., Via Stendhal 36, 20144 Milan, Italie (TVA IT07462810966). Législation : règlement (UE) 2016/679 (RGPD) et législations nationales relatives à la protection des données. Autorité de contrôle : l’autorité de l’État membre de votre résidence habituelle, de votre lieu de travail ou du lieu où la violation alléguée a été commise (liste sur edpb.europa.eu/about-edpb/about-edpb/members_en) ; pour Empatica S.r.l., l’autorité chef de file est l’autorité italienne, le Garante per la protezione dei dati personali. Transferts : section 10 (CCT / adéquation). Langue : la présente Politique est disponible en danois, néerlandais, anglais, finnois, français, allemand, italien, norvégien, espagnol et suédois, sur la page correspondant à votre pays indiquée dans les Conditions Générales (définition de « Politique de confidentialité »). Dispositions nationales. En France, vous pouvez nous donner des directives relatives au sort de vos données après votre décès (article 85 de la Loi Informatique et Libertés). En Italie, après le décès d’une personne, ses droits peuvent être exercés par toute personne ayant un intérêt propre, agissant pour son compte ou pour des raisons familiales, sauf si la personne concernée l’a interdit (article 2-terdecies du Codice in materia di protezione dei dati personali). En Espagne, les héritiers et les personnes liées au défunt peuvent demander l’accès aux données du défunt, leur rectification ou leur effacement, sauf si le défunt l’a interdit (article 3 de la Ley Orgánica 3/2018).