Data Security Statement

# 🔐 2Zone Therapy / HealthGPT – Déclaration de sécurité des données v1.5

**Date d’entrée en vigueur :** 6 août 2025  
**Dernière mise à jour :** 27 février 2026  

---

## 1. Notre engagement

2Zone Therapy et HealthGPT sont conçus selon une architecture axée sur la sécurité dès la conception.

Nous protégeons les données des utilisateurs grâce à :

- Un chiffrement fort  
- Une infrastructure à accès limité  
- Une surveillance continue  
- Un modèle d’identifiants Zero-Knowledge  
- Un contrôle d’accès interne strict  

Les données de santé et les données générées par l’IA sont traitées comme des informations personnelles sensibles et gérées en conséquence.

---

## 2. Hébergement et infrastructure

- Les serveurs de production sont hébergés dans des centres de données sécurisés situés dans l’Union européenne (UE).
- Les serveurs fonctionnent derrière des pare-feu renforcés et des couches d’accès restreintes.
- L’accès administratif est limité au personnel autorisé uniquement.
- Des sauvegardes chiffrées et redondantes sont maintenues.
- Des tests périodiques de restauration sont effectués afin de garantir l’intégrité des données.

Les environnements de développement et de production sont strictement séparés.

---

## 3. Normes de chiffrement

### 3.1 Données au repos
- Les bases de données et les fichiers stockés sont chiffrés à l’aide de **AES-256** ou de normes équivalentes.
- Les fichiers de configuration sensibles sont stockés en dehors des répertoires web publics.

### 3.2 Données en transit
- HTTPS/TLS 1.3 est appliqué sur tous les domaines.
- Les en-têtes HSTS sont activés lorsque cela est pris en charge.
- Les communications API avec des fournisseurs externes sont chiffrées.

---

## 4. Sécurité des identifiants

Nous appliquons un modèle **Zero-Knowledge** pour les identifiants :

- Les phrases secrètes (Secret PassPhrases) ne sont jamais stockées en clair.
- Les phrases secrètes sont hachées à l’aide de **Argon2 ou bcrypt**.
- Une protection contre les attaques par force brute et une limitation du nombre de tentatives sont mises en place.
- Les jetons de session sont générés de manière sécurisée et régulièrement renouvelés.

L’accès administratif nécessite :

- Une authentification multi-facteurs (MFA)  
- Une surveillance des adresses IP  
- Une journalisation des activités  

---

## 5. Contrôle d’accès et journalisation

Nous appliquons un modèle d’**accès au moindre privilège (Least Privilege)** :

- Autorisations basées sur les rôles  
- Privilèges limités au niveau de la base de données  
- Services internes segmentés  

Les opérations critiques sont enregistrées, notamment :

- Activation de compte  
- Suppression de données  
- Génération de protocole  
- Ajustements de solde GC  
- Confirmations de paiement  

Les journaux sont conservés de manière sécurisée à des fins de sécurité et de conformité.

---

## 6. Traitement IA et services tiers

HealthGPT utilise des services d’intelligence artificielle tiers pour générer des réponses.

### 6.1 Traitement OpenAI
- Seules les informations strictement nécessaires sont transmises.
- Aucun accès complet à la base de données n’est accordé.
- Les données sont transmises via des canaux API chiffrés.
- Le traitement respecte les standards de gestion des données d’entreprise d’OpenAI.

### 6.2 Synthèse vocale (TTS)
Lorsque des sorties vocales sont générées :
- Les services TTS d’OpenAI (par exemple les modèles Onyx) sont utilisés.
- Le texte est transmis de manière sécurisée.
- Les fichiers audio sont stockés dans des répertoires serveur contrôlés.

Aucun accès persistant à la base de données n’est accordé aux fournisseurs tiers.

---

## 7. Sécurité des paiements

- Les paiements sont traités par des prestataires tiers sécurisés (par exemple Stripe).
- Nous ne stockons pas les informations complètes de carte bancaire.
- Les confirmations de paiement sont validées via des webhooks sécurisés.
- Les métadonnées de transaction sont enregistrées pour la réconciliation et la prévention de la fraude.

---

## 8. Minimisation des données

Nous collectons uniquement les données nécessaires pour :

- Fournir des conseils de santé générés par IA  
- Suivre les Guidance Credits (GCs)  
- Traiter les paiements  
- Maintenir la sécurité des comptes  

Nous ne collectons pas :

- Numéros d’identification gouvernementaux  
- Identifiants biométriques  
- Identifiants bancaires  

---

## 9. Réponse aux incidents et protocole en cas de violation

Nous assurons une surveillance continue pour détecter :

- Tentatives d’accès non autorisées  
- Activité de connexion anormale  
- Anomalies de paiement  
- Utilisation abusive des API  

En cas de violation confirmée des données :

- Les utilisateurs concernés seront informés sans délai injustifié.
- Les autorités réglementaires seront notifiées dans un délai de **72 heures** lorsque requis (RGPD Art. 33).
- Des mesures immédiates de confinement et de remédiation seront mises en œuvre.

---

## 10. Suppression des données contrôlée par l’utilisateur

Les utilisateurs peuvent demander :

- La suppression complète du compte  
- La suppression des protocoles  
- La suppression des journaux IA  
- La suppression des notes vocales  

La suppression nécessite :

1. Confirmation de la Secret PassPhrase  
2. Vérification par e-mail  
3. Étape finale de confirmation  

Une fois effectuée, la suppression est permanente et irréversible.

---

## 11. Tests de sécurité et mises à jour

Nous :

- Mettons régulièrement à jour les logiciels serveurs  
- Corrigeons les vulnérabilités connues  
- Surveillons les mises à jour des dépendances  
- Examinons les journaux d’accès  

Les pratiques de sécurité évoluent en permanence à mesure que la plateforme se développe.

---

## 12. Divulgation responsable

Si vous découvrez une vulnérabilité ou un problème de sécurité, veuillez le signaler de manière responsable à :

**security@2zonetherapy.com**

Nous examinons tous les signalements et y répondons de manière appropriée.

---

## 13. Amélioration continue

La sécurité n’est pas statique.

À mesure que HealthGPT se développe — y compris l’analytique TEL, les améliorations IA et la génération de protocoles — l’architecture de sécurité est réévaluée et améliorée en conséquence.

---

**2Zone Therapy / HealthGPT**  
Engagés à protéger vos données de santé et votre identité numérique.