Protection des données
Politique de confidentialité
Version 1.0 — en vigueur au 14 août 2026
Vos données servent à une seule chose : vous mettre en relation avec un établissement, ou trouver le professionnel qui comblera votre vacation. Elles ne sont ni vendues, ni louées, ni utilisées à des fins publicitaires. Elles sont hébergées dans l'Union européenne.
1. Qui traite vos données
Le responsable du traitement est HubMedical, SAS au capital de 1 000 €, immatriculée au RCS de Paris sous le numéro 108 408 113, dont le siège est situé 47 rue Vivienne, 75002 Paris.
Pour toute question relative à vos données, écrivez à contact@hubmedical.fr, à l'attention du point de contact « protection des données ».
Lorsqu'un établissement utilise la plateforme pour gérer son propre vivier et les notes internes de ses équipes, il est responsable de ces traitements et HubMedical agit pour son compte, en qualité de sous-traitant. Cette relation est encadrée par l'annexe de sous-traitance.
2. Données collectées
2.1 Professionnels de santé
- Identité et contact — nom, prénom, civilité, date de naissance, adresse électronique, numéro de téléphone, photo de profil si vous en déposez une.
- Localisation — adresse postale, ville, code postal, et coordonnées géographiques déduites de cette adresse, afin de vous proposer des vacations à distance raisonnable. Vous fixez librement le rayon que vous acceptez.
- Profil professionnel — profession, niveau d'expérience, niveau d'études, diplômes déclarés, présentation libre, numéro RPPS, situation d'emploi en cours.
- Documents — curriculum vitae, diplômes, certificats, pièce d'identité, et pièces jointes à une candidature.
- Activité — disponibilités, candidatures, missions confirmées, messages échangés, absences non justifiées constatées par l'établissement.
- État civil complémentaire — collecté uniquement après la confirmation d'une mission, pour permettre à l'établissement d'accomplir sa déclaration préalable à l'embauche. Cette collecte n'intervient jamais au moment de postuler et reste facultative.
- Préférences — consentement au traitement et sa date, réglages de notification.
Point à trancher avant l'ouverture publique : la plateforme comporte un indicateur déclaratif « vaccination à jour ». Une telle information peut constituer une donnée de santé au sens de l'article 9 du RGPD et exiger une base légale spécifique. Il convient soit de le retirer du produit, soit de documenter sa base légale et de le décrire explicitement ici.
2.2 Établissements et recruteurs
- Raison sociale, numéro SIRET, type d'établissement, adresse, services internes.
- Nom, prénom, adresse électronique et téléphone professionnel des personnes habilitées.
- Adresses de contact et de facturation, historique des factures et de la consommation.
2.3 Données techniques
- Journaux de connexion et d'erreur, adresse IP, informations de session.
- Identifiant technique de votre appareil, si vous acceptez les notifications sur mobile.
- Journal d'accès aux documents — chaque consultation ou téléchargement d'une pièce personnelle est enregistré, afin de pouvoir vous dire qui a accédé à quoi.
3. Ce que nous ne collectons pas
Certaines données ne sont volontairement jamais demandées, ni stockées, même si un utilisateur tentait de les transmettre :
- le numéro de sécurité sociale (NIR) ;
- l'extrait de casier judiciaire ou toute attestation d'honorabilité — leur vérification, lorsqu'elle est requise, relève de l'établissement selon ses propres procédures ;
- le titre de séjour ou l'autorisation de travail ;
- vos données de santé, vos opinions politiques, religieuses ou syndicales, votre origine ou votre orientation sexuelle ;
- vos coordonnées bancaires — aucun paiement n'est encaissé sur la plateforme.
4. Pourquoi et sur quelle base
| Finalité | Base légale |
|---|---|
| Créer et gérer votre compte | Exécution du contrat que constituent les CGU |
| Publier des vacations et recevoir des candidatures | Exécution du contrat |
| Vérifier votre profil avant la première mission | Intérêt légitime : sécurité des établissements et des publics accueillis |
| Vérifier le SIRET d'un établissement | Intérêt légitime : prévention de la fraude |
| Vous proposer les vacations correspondant à votre profil | Exécution du contrat |
| Vous notifier par courriel ou notification mobile | Exécution du contrat, et consentement pour les envois facultatifs |
| Permettre les échanges par messagerie | Exécution du contrat |
| Produire l'attestation d'une mission confirmée | Intérêt légitime : preuve de la mise en relation |
| Mettre à disposition le récapitulatif de déclaration préalable à l'embauche | Intérêt légitime de l'établissement à accomplir son obligation légale |
| Facturer l'abonnement d'un établissement | Exécution du contrat et obligation légale comptable |
| Assurer la sécurité, prévenir les abus, conserver la trace des accès | Intérêt légitime |
Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment depuis votre espace personnel, sans que cela remette en cause ce qui a été fait auparavant.
5. Qui y a accès
5.1 Les établissements
L'accès d'un établissement à votre profil est progressif :
- Avant qu'il ne retienne votre candidature — il voit votre fiche de profil et votre curriculum vitae.
- Après avoir retenu votre candidature — il accède aux documents nécessaires à votre embauche et à vos coordonnées.
Un établissement ne voit jamais les appréciations portées sur vous par un autre établissement. Il ne peut ni modifier ni supprimer les documents de votre profil.
5.2 L'équipe HubMedical
Seules les personnes habilitées accèdent aux données, dans la limite de ce que leur fonction exige : vérification des profils, assistance, gestion des comptes et facturation. Chaque consultation d'une pièce personnelle est journalisée.
5.3 Les autorités
Des données peuvent être communiquées sur réquisition judiciaire ou administrative régulière.
Aucune donnée n'est vendue, louée, ni cédée à des tiers à des fins commerciales ou publicitaires.
6. Prestataires techniques
HubMedical fait appel aux prestataires suivants, liés par un engagement de confidentialité et de sécurité :
| Prestataire | Rôle | Localisation des données |
|---|---|---|
| Microsoft (Azure) | Hébergement, base de données, stockage des documents, supervision technique | Union européenne (Suède) |
| Resend | Envoi des courriels de service | États-Unis |
| Expo | Notifications sur l'application mobile | États-Unis |
| Cloudflare | Protection des formulaires contre les robots | Union européenne et États-Unis |
| ClickUp | Retours des testeurs pendant la phase bêta | États-Unis |
| sMsmode | Envoi de codes par SMS, si cette option est activée | France |
La plateforme interroge par ailleurs deux services publics français, qui ne reçoivent aucune donnée nominative : le répertoire SIRENE de l'INSEE pour vérifier un numéro SIRET, et la base Adresse nationale pour convertir une adresse en coordonnées géographiques.
Les transferts vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne ou par l'adhésion du prestataire au cadre de protection des données UE–États-Unis. Vous pouvez en obtenir le détail sur demande.
7. Durées de conservation
| Donnée | Durée |
|---|---|
| Compte et profil | Tant que le compte est ouvert |
| Compte inactif | Suppression après une période prolongée sans connexion, après information préalable |
| Documents et échanges d'une candidature refusée ou retirée | Supprimés immédiatement |
| Documents et échanges d'une candidature acceptée | 2 ans après la fin de la mission |
| Pièce d'identité | 30 jours après la vérification du profil, puis suppression automatique |
| Attestation de mission | 5 ans |
| Factures et pièces comptables | 10 ans, en application du code de commerce |
| Journaux techniques et de sécurité | 12 mois |
| Journal d'accès aux documents | Conservé au-delà de la suppression des pièces, pour pouvoir vous rendre compte des accès |
Ces suppressions sont automatisées et exécutées quotidiennement.
La suppression de votre compte entraîne l'anonymisation de vos données : votre nom et vos coordonnées sont effacés, vos documents supprimés du stockage. Les missions passées subsistent sous une forme qui ne permet plus de vous identifier, afin que les établissements conservent la trace comptable de leurs vacations.
8. Sécurité
- Chiffrement des échanges de bout en bout du parcours réseau, et chiffrement des données au repos.
- Documents stockés dans un espace privé, accessibles uniquement par des liens temporaires expirant au bout de dix minutes.
- Contrôle du format réel de chaque fichier déposé et analyse antivirus.
- Cloisonnement strict : un établissement ne peut accéder qu'aux données qui le concernent, vérifié à chaque requête et non sur la seule base d'une session valide.
- Secrets applicatifs conservés dans un coffre-fort dédié, authentification des services sans mot de passe partagé.
- Journalisation des actions sensibles et supervision avec alertes.
En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, vous en serez informé conformément à l'article 34 du RGPD.
9. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre décès.
Directement depuis votre espace personnel :
- Exporter vos données — téléchargement d'une copie complète au format JSON : profil, candidatures, documents référencés.
- Retirer votre consentement — votre compte est désactivé, vous ne recevez plus d'offres et ne pouvez plus postuler jusqu'à réactivation.
- Supprimer votre compte — action irréversible, entraînant l'anonymisation décrite plus haut.
- Régler vos notifications — courriel et notifications mobiles, indépendamment l'un de l'autre.
Pour toute autre demande, écrivez à contact@hubmedical.fr. Une réponse vous parviendra dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes. Une pièce d'identité pourra être demandée en cas de doute raisonnable sur votre identité.
Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris CEDEX 07, www.cnil.fr.
11. Modifications
Cette politique peut évoluer avec le service. Toute modification substantielle vous sera signalée avant son entrée en vigueur. La date figurant en tête de page indique la version applicable.