Politique de Confidentialité et Avis

Angels Creation Reproductive Center (ACRC Global) Politique de Confidentialité
Dernière mise à jour: 3 juin 2025

1. Introduction
Angels Creation Reproductive Center («ACRC Global», «nous», «notre» ou «nos») s’engage à protéger et à respecter votre vie privée. Cette Politique de Confidentialité explique comment nous collectons, utilisons, partageons et protégeons vos informations personnelles lorsque vous utilisez nos services, y compris, mais sans s’y limiter, les arrangements de gestation pour autrui, le don de gamètes, le service de conciergerie FIV, le transport de gamètes/embryons et la coordination des dépistages locaux (collectivement, les «Services»). En utilisant nos Services ou en visitant notre site web, vous acceptez la collecte et l’utilisation des informations telles que décrites dans cette politique.

2. Portée et Applicabilité

Cette politique s’applique à toutes les données personnelles que nous collectons, qu’elles soient sous forme électronique ou papier, auprès des clients, clients potentiels, donneurs, gestantes, embryons, partenaires, employés, sous-traitants et visiteurs de notre site web.
Si vous êtes résident de l’Espace économique européen (EEE), du Royaume-Uni, de la Suisse, de la Californie ou d’une autre juridiction disposant de lois spécifiques sur la confidentialité, certaines sections de cette politique mettent en évidence vos droits et obligations en vertu de ces lois (voir Sections 11 et 16).

3. Informations que Nous Collectons
Pour fournir et améliorer nos Services, nous collectons et traitons les catégories d’informations suivantes:

Identifiants personnels: Nom complet, adresse postale, adresse e-mail (par exemple, info@acrc-global.com), numéro de téléphone, date de naissance, sexe et pièce d’identité délivrée par le gouvernement (par exemple, permis de conduire, passeport).

Informations médicales et de santé (PHI/PII): Données de santé reproductive (par exemple, antécédents obstétricaux, évaluations de fertilité), antécédents médicaux (y compris chirurgies, maladies chroniques), informations génétiques (par exemple, résultats de dépistage des porteurs), rapports de laboratoire, évaluations psychologiques, notes des médecins et tout autre détail lié à la santé nécessaire pour la gestation pour autrui, le don ou les soins liés à la FIV.

Informations financières et de paiement: Informations sur l’assurance, adresse de facturation, coordonnées bancaires ou de carte de crédit, historique des paiements et toute autre donnée nécessaire au traitement des frais liés aux Services.

Documents juridiques et contractuels: Consentements, contrats (par exemple, accords de gestation pour autrui, contrats de don), procurations, affidavits notariés, résultats de vérifications des antécédents et toute documentation relative à la conformité.

Données d’utilisation et informations techniques: Adresse IP, type de navigateur, système d’exploitation, identifiants de l’appareil, pages de référence/de sortie et pages consultées (collectées via cookies ou technologies de suivi similaires) lorsque vous visitez notre site web ou accédez à nos portails en ligne.

Communications et correspondances: E-mails, enregistrements vocaux (avec votre consentement), journaux de SMS, journaux de discussion et toute forme de communication que vous partagez avec ACRC Global concernant vos Services.
Données de localisation: Localisation générale (par exemple, ville, État) lorsque vous prenez rendez-vous en personne ou pour des dépistages.

Remarque concernant les informations mobiles:
En aucun cas, ACRC Global ne partagera votre numéro de téléphone mobile ou vos données d’adhésion aux messages texte avec des tiers ou des filiales à des fins marketing ou promotionnelles.

4. Comment Nous Utilisons Vos Informations.
Nous utilisons vos informations pour les finalités principales suivantes:

- Fourniture et Coordination des Services

Coordonner l’appariement et le dépistage pour la gestation pour autrui.
Gérer le recrutement, le dépistage et l’appariement des donneurs.
Fournir des services de conciergerie FIV (par exemple, planification des rendez-vous, coordination des analyses de laboratoire, gestion des médicaments).
Organiser le transport sûr et conforme des gamètes et embryons, incluant le contrôle de la température et le suivi de la chaîne de custody.
Coordonner les dépistages médicaux locaux (par exemple, visites gynécologiques, analyses sanguines, évaluations psychologiques) avec les cliniques affiliées.

- Aspects Juridiques et Conformité

Rédiger, réviser et exécuter les contrats nécessaires, consentements éclairés et documents légaux.
Respecter la réglementation en matière de soins de santé et de médecine reproductive (par exemple, HIPAA, FDA, lois locales).
Répondre aux demandes légales émanant des tribunaux, agences gouvernementales ou forces de l’ordre.

- Communication et Support Client

Envoyer des rappels de rendez-vous, mises à jour sur les services, documents éducatifs et newsletters (uniquement si vous y consentez).
Traiter vos questions, préoccupations ou réclamations par téléphone, e-mail ou chat.

- Facturation et Prévention de la Fraude

Traiter les paiements, demandes d’assurance et remboursements.
Vérifier l’identité et les informations de paiement afin de détecter et prévenir toute activité frauduleuse.

- Administration Interne et Amélioration

Réaliser des contrôles qualité, audits et rapports de gestion.
Surveiller les indicateurs de performance pour améliorer les processus et l’expérience client.
Mener des enquêtes internes ou évaluations de satisfaction (volontaires).

- Communications Marketing et Promotionnelles (avec votre consentement explicite)

Si vous y consentez, vous informer des événements ACRC Global, webinaires éducatifs ou nouveaux services.
Vous pouvez retirer votre consentement marketing à tout moment en envoyant un e-mail à info@acrc-global.comou en utilisant le lien de désinscription.

5. Base Légale du Traitement de Vos Données.
Selon votre juridiction et le type de données, nous nous appuyons sur une ou plusieurs des bases légales suivantes:

Exécution d’un Contrat: Pour fournir les services que vous avez demandés (par exemple, appariement pour gestation pour autrui, dépistage des donneurs).
Consentement: Lorsque vous avez donné une autorisation claire pour une finalité spécifique (par exemple, e-mails marketing, recherches génétiques optionnelles). Vous pouvez retirer votre consentement à tout moment.
Obligation Légale: Pour respecter les lois et réglementations (par exemple, HIPAA, lois locales sur la conservation des dossiers médicaux, règles de la FDA).
Intérêts Légitimes: Pour les opérations internes, la gestion des risques, la prévention de la fraude et l’amélioration des services, à condition que cela ne porte pas atteinte à vos droits à la vie privée.

6. Partage de Vos Informations.
Nous ne vendons, ne louons ni n’échangeons vos données personnelles. Nous ne partageons les informations que dans les circonstances limitées décrites ci-dessous, et uniquement le minimum nécessaire pour atteindre l’objectif:

Associés Commerciaux et Prestataires de Services Tiers.

Fournisseurs Médicaux, Cliniques et Laboratoires.

Pour faciliter les évaluations médicales requises, les tests génétiques et le dépistage.
Exemple: partage de PHI avec un laboratoire pour les résultats de dépistage génétique, dans le cadre d’un accord d’association commerciale (Business Associate Agreement, BAA).

Fournisseurs de Transport et de Stockage.

Pour organiser l’expédition sécurisée de gamètes ou d’embryons (par exemple, coursiers à température contrôlée). Tous les coursiers doivent signer un BAA s’ils reçoivent des PHI.

Fournisseurs IT et Hébergement.

Stockage sécurisé des données, partage de fichiers cryptés et maintenance système. Ces fournisseurs doivent signer des BAAs et mettre en œuvre des mesures de sécurité administratives, physiques et techniques conformes aux exigences de HIPAA.

Traitement des Paiements et Facturation.

Réseaux de cartes de crédit, assureurs et banques traitant les paiements et remboursements.

Partenaires Juridiques et de Conformité.

- Avocats et Notaires.

Pour rédiger, réviser et exécuter les contrats, consentements éclairés et procurations.

- Autorités Réglementaires.

Pour se conformer aux assignations à comparaître, ordonnances judiciaires ou enquêtes officielles (par exemple, FDA, conseils de licence étatiques, département de la santé).

- Transferts d’Entreprise.

En cas de fusion, acquisition ou vente de la quasi-totalité de nos actifs, vos informations peuvent être transférées à l’entité acquéreuse. Nous exigerons que cette entité respecte cette politique ou vous notifierons de tout changement.

- Informations Agrégées ou Dé-identifiées.

Nous pouvons partager des données agrégées et dé-identifiées pour la recherche, les rapports ou les analyses marketing. Une fois les données correctement dé-identifiées (de sorte que les individus ne puissent pas être ré-identifiés), HIPAA ne s’applique plus.

- Accords d’Association Commerciale (BAA).

Avant que tout tiers puisse accéder ou traiter des PHI, nous exigeons un BAA conforme à HIPAA. Nous procédons à des examens réguliers de ces accords pour nous assurer qu’ils incluent des mesures de protection appropriées, des obligations de notification en cas de violation et des dispositions «minimum nécessaire».

7. HIPAA et Vos Droits selon la Règle de Confidentialité.
Parce qu’ACRC Global conserve, transmet ou accède à des Informations de Santé Protégées (PHI), nous respectons les règles de Confidentialité, de Sécurité et de Notification des Violations de HIPAA.

7.1 Avis des Pratiques de Confidentialité (NPP).
Si vous recevez des services médicaux ou liés à la fertilité de notre part, un Avis des Pratiques de Confidentialité (NPP) vous sera fourni séparément. Cet avis décrit, en langage clair, comment nous utilisons et divulguons vos PHI, ainsi que vos droits spécifiques en vertu de HIPAA. Cette Politique de Confidentialité complète le NPP en couvrant des pratiques commerciales plus larges.

7.2 Droits des Patients selon HIPAA.
Conformément à HIPAA, vous disposez des droits suivants concernant vos PHI:

1. Droit d’Accès et d’Obtention d’une Copie
Vous pouvez demander par écrit à inspecter, consulter ou recevoir une copie papier ou électronique de vos PHI (avec certaines exceptions limitées). Nous devons répondre dans les 30 jours (ou avec une extension unique de 30 jours).

2. Droit de Demander une Correction
Si vous pensez que vos PHI sont incorrectes ou incomplètes, vous pouvez demander une correction. Nous répondrons dans les 60 jours.

3. Droit à un Relevé des Divulgations
Vous pouvez demander la liste de certaines divulgations de vos PHI effectuées par ACRC Global au cours des six (6) dernières années (à l’exclusion des divulgations pour traitement, paiement ou opérations de santé). Nous devons fournir ce relevé dans les 60 jours suivant votre demande (ou avec une extension unique de 30 jours).

4. Droit de Demander des Restrictions sur l’Utilisation et la Divulgation
Vous pouvez nous demander de restreindre l’utilisation ou la divulgation de vos PHI pour le traitement, le paiement ou les opérations. Nous devons honorer votre demande si :

La divulgation est faite à un organisme d’assurance pour le paiement ou les opérations, et
Vous (ou quelqu’un en votre nom) avez payé intégralement, de votre poche, pour l’article ou le service, et
La divulgation n’est pas autrement requise par la loi.

5. Droit à des Communications Confidentielles
Vous pouvez demander que nous communiquions avec vous d’une certaine manière ou à un certain endroit (par exemple : « Envoyer tous les rappels de rendez-vous uniquement à mon email professionnel »). Nous accepterons les demandes raisonnables.

6. Droit de Retirer une Autorisation
Si vous avez fourni une autorisation pour des utilisations ou divulgations spécifiques de PHI (par exemple, pour la recherche), vous pouvez révoquer cette autorisation par écrit à tout moment. La révocation n’affecte pas les divulgations effectuées avant la révocation.

7. Droit de Recevoir une Copie Papier du NPP
Même si vous acceptez de recevoir le NPP électroniquement, vous avez le droit de demander et de recevoir une copie papier sans frais.

Pour exercer l’un de ces droits, contactez notre Responsable de la Confidentialité HIPAA (voir Section 10). Nous pouvons vous demander de remplir un formulaire écrit et de vérifier votre identité avant de satisfaire votre demande.

8. Norme du Minimum Nécessaire HIPAA.
Chaque fois que nous utilisons ou divulguons des PHI (sauf pour le traitement), nous limiterons cette utilisation ou divulgation au minimum nécessaire pour atteindre l’objectif prévu.
Exemples:

Lors de l’envoi des résultats de dépistage génétique à un laboratoire tiers, nous partageons uniquement les résultats pertinents, pas l’intégralité de votre dossier médical.
Lors de la facturation à l’assurance pour les services de conciergerie FIV, nous incluons uniquement les codes et informations de diagnostic nécessaires au paiement.

9. Procédures de notification en cas de violation de la HIPAA.
Dans le cas où des PHI non sécurisées seraient acquises, consultées, utilisées ou divulguées d’une manière non autorisée par la HIPAA, nous procéderons comme suit:

1. Signalement et enquête:
Tous les membres du personnel doivent immédiatement informer le Responsable de la Confidentialité de toute suspicion de violation. Nous réaliserons une évaluation des risques dans les 60 jours suivant la découverte afin de déterminer si une violation a eu lieu et si un risque significatif de compromission des PHI existe.

2. Notification aux personnes concernées:
Si une violation est confirmée, nous fournirons une notification écrite à chaque personne concernée au plus tard 60 jours après la découverte. La notification comprendra:

Une brève description de l’événement et de la date de découverte de la violation.
Les types de PHI concernés.
Les mesures que les personnes peuvent prendre pour se protéger (ex.: demander une surveillance de crédit).
Les actions entreprises par ACRC Global pour enquêter, atténuer et prévenir d’éventuelles violations supplémentaires.
Les coordonnées pour toute question ou information supplémentaire (email/téléphone du Responsable de la Confidentialité HIPAA).

3. Notification à l’OCR:
Si 500 personnes ou plus sont concernées, nous informerons immédiatement le Bureau des droits civiques (OCR) du Département de la Santé et des Services sociaux des États-Unis (HHS) (au plus tard 60 jours). Pour moins de 500 personnes, nous tiendrons un registre et soumettrons la notification à l’OCR au plus tard 60 jours après la fin de l’année civile.

4. Notification aux médias:
Si une violation concerne plus de 500 résidents d’un État ou d’une juridiction, nous informerons les médias importants de cet État sans délai excessif (au plus tard 60 jours après la découverte).

5. Documentation et actions correctives:
Nous maintiendrons une documentation de toutes les violations et des actions entreprises. Les enseignements tirés de chaque violation alimenteront notre Plan de Gestion des Risques pour prévenir toute récurrence.

10. Sécurité des données et mesures de protection.
ACRC Global met en œuvre des mesures de protection administratives, techniques et physiques raisonnables pour protéger les PHI et autres données personnelles contre l’accès, la divulgation, l’altération ou la destruction non autorisés.

10.1 Mesures administratives.

Responsable de la sécurité et gestion des risques:

Nous avons désigné un Responsable de la Sécurité HIPAA chargé de superviser la mise en œuvre de la règle de sécurité.
Nous réalisons une analyse annuelle des risques pour identifier les vulnérabilités relatives à la confidentialité, l’intégrité et la disponibilité des PHI. Les risques sont traités via un Plan de Gestion des Risques, avec des stratégies d’atténuation documentées et mises à jour.

Formation du personnel et sanctions:

Tous les employés, contractants, bénévoles et stagiaires ayant accès aux PHI doivent signer des accords de confidentialité et suivre une formation HIPAA lors de l’embauche et annuellement.
Nous disposons d’une politique de sanctions: l’utilisation intentionnelle ou la divulgation non autorisée des PHI peut entraîner des mesures disciplinaires, pouvant aller jusqu’au licenciement ou à la résiliation du contrat.

Politiques et procédures:

Nous maintenons des politiques écrites pour la réponse aux incidents, la conservation et la destruction des données, ainsi que le contrôle des accès. Toutes les politiques sont révisées au moins une fois par an ou chaque fois que des changements opérationnels importants surviennent.

10.2 Mesures techniques.

Contrôle des accès:

Le contrôle d’accès basé sur les rôles garantit que chaque utilisateur n’accède qu’aux PHI nécessaires à ses fonctions.
Des identifiants uniques et une authentification multifactorielle sont requis pour tous les systèmes stockant ou traitant des PHI.

Contrôle des audits et surveillance:

Les journaux système enregistrent l’accès aux ePHI, y compris la date/heure, l’ID utilisateur et les actions effectuées. Ces journaux sont régulièrement examinés pour détecter toute activité suspecte.

Chiffrement:

Les PHI sont chiffrées au repos (AES-256) et en transit (TLS 1.2 ou supérieur). Tous les appareils mobiles et supports amovibles (ex. : ordinateurs portables, clés USB) contenant des PHI sont chiffrés et protégés par mot de passe.

Contrôle de l’intégrité:

Nous utilisons des sommes de contrôle et des signatures numériques pour détecter toute altération non autorisée des PHI.

Sécurité des transmissions:

Les données transmises sur les réseaux publics sont chiffrées. L’accès à distance nécessite une connexion VPN sécurisée.

10.3 Mesures physiques.

Contrôle d’accès aux installations:

L’accès aux zones où sont stockées les PHI (serveurs sur site ou dossiers papier) est limité au personnel autorisé via badge, code ou carte d’accès. Les journaux des visiteurs sont conservés.

Postes de travail et appareils:

Les postes traitant des PHI sont situés dans des zones sécurisées, à l’abri du regard du public.
Les employés doivent verrouiller leurs écrans lorsqu’ils s’éloignent de leur poste.

Élimination et réutilisation des supports:

Avant d’éliminer ou de réutiliser des appareils (ex.: disques durs, bandes), nous effaçons en toute sécurité toutes les PHI conformément aux directives NIST. Les documents papier contenant des PHI sont déchiquetés à l’aide de destructeurs à coupe croisée ou incinérés.

11. Conservation et Suppression des Données.
Nous ne conservons les données personnelles que pendant la durée nécessaire pour atteindre les objectifs décrits dans cette politique et pour nous conformer aux obligations légales :

Catégorie de donnéesDurée de conservationMotif

Dossiers médicaux (PHI)Minimum 10 ans à partir de la date du dernier serviceLois nationales sur la conservation des dossiers médicaux ; bonnes pratiques cliniques

Dossiers de facturation et financiers7 ansExigences de l’IRS et audits

Documents juridiques et contractuels10 ans (ou plus si requis par la loi)Prescription légale; obligations contractuelles

Journaux d’utilisation du site web (anonymisés)Indéfiniment (sous forme agrégée)Analyses et amélioration des services

Enregistrements du consentement marketingJusqu’au retrait du consentement ou 3 ans après la collectePreuve de l’opt-in; conformité réglementaire

Journaux d’audit PHI & dossiers d’incidents6 ansHIPAA exige la conservation des journaux d’audit et de la documentation des violations pendant 6 ans

Une fois la période de conservation applicable écoulée, nous supprimerons ou anonymiserons vos données personnelles de manière sécurisée. Si vous demandez la suppression de vos données personnelles (là où la loi le permet), nous nous y conformerons, sauf pour les données que nous devons conserver pour des raisons légales, réglementaires ou commerciales légitimes.

12. Cookies et technologies de suivi.
Lorsque vous visitez notre site web (par exemple, www.acrc-global.com), nous pouvons utiliser des cookies, balises web, pixels et technologies similaires pour:

Fonctionnalité du site.
Maintenir les sessions utilisateur, mémoriser les préférences linguistiques et assurer une connexion sécurisée.

Analyses et performance.
Collecter des informations agrégées et anonymes sur l’utilisation du site (ex. : Google Analytics).

Marketing (avec consentement).
Si vous acceptez, suivre le comportement sur différents sites pour de la publicité ciblée ou du retargeting.

Vous pouvez gérer ou bloquer les cookies via les paramètres de votre navigateur. Cependant, la désactivation de certains cookies peut affecter le fonctionnement du site.

13. Transferts internationaux de données
Si vous résidez en dehors des États-Unis, veuillez noter que lorsque vous fournissez des informations à ACRC Global, celles-ci peuvent être transférées, stockées ou traitées aux États-Unis ou dans d’autres pays où nos prestataires de services opèrent. Ces pays peuvent avoir des lois sur la protection des données différentes de votre juridiction. Dans ce cas, nous mettons en place des mesures appropriées, telles que des clauses contractuelles types (SCC) ou des règles d’entreprise contraignantes (BCR), afin d’assurer que vos données restent protégées conformément à cette politique et aux lois applicables (ex.: RGPD).

14. Confidentialité des enfants.
Nos services, y compris le site web et les plateformes associées, sont destinés aux adultes (18 ans et plus). Nous ne collectons pas sciemment d’informations personnelles auprès de mineurs. Si nous découvrons que des données personnelles d’un mineur ont été fournies sans consentement parental vérifiable, nous les supprimerons rapidement.
Si vous pensez qu’un mineur nous a fourni des informations personnelles, contactez immédiatement notre Responsable de la confidentialité à info@acrc-global.com.

15. Vos droits et choix en matière de confidentialité.
Selon votre lieu de résidence, vous pouvez disposer des droits suivants concernant vos données personnelles:

Droit d’accès: demander une copie des données personnelles que nous détenons sur vous.
Droit de rectification: demander la correction de données inexactes ou incomplètes.
Droit à l’effacement: demander la suppression de vos données, sous réserve des obligations légales de conservation (ex.: conservation des PHI).
Droit de limiter le traitement: demander que nous limitions le traitement de vos données (ex. : si vous contestez leur exactitude).
Droit à la portabilité des données: obtenir vos données dans un format structuré et lisible par machine, ou demander leur transfert à un autre responsable de traitement (lorsque techniquement possible).
Droit d’opposition: s’opposer au traitement fondé sur des intérêts légitimes (ex.: analyses internes) ou au marketing direct à tout moment.
Droit de retirer votre consentement: si nous nous basons sur votre consentement pour certains traitements (ex.: emails marketing, recherches santé optionnelles), vous pouvez le retirer à tout moment sans affecter le traitement légal antérieur.

Pour exercer l’un de ces droits, envoyez un email à info@acrc-global.com avec pour objet «Privacy Rights Request». Nous pourrions vous demander de vérifier votre identité avant de traiter votre demande et nous y répondrons dans les délais légaux applicables.

16. Résidents de Californie (droits CCPA/CPRA).
Si vous êtes résident de Californie, le California Consumer Privacy Act (CCPA) et le California Privacy Rights Act (CPRA) vous accordent des droits supplémentaires:

Droit de savoir: demander la divulgation des catégories et éléments spécifiques de données collectées, les sources, finalités et catégories de tiers avec lesquels nous partageons vos données.
Droit de suppression: demander la suppression de vos données personnelles, sauf exceptions légales.
Droit de correction: demander la correction de données personnelles inexactes.
Droit de refus de la vente/partage: ACRC Global ne vend pas vos données ; si cela change, vous pouvez vous opposer.
Droit de limiter l’usage et la divulgation des informations sensibles: demander de restreindre le partage de données sensibles (ex.: informations génétiques).
Droit à la non-discrimination: vous ne serez pas discriminé pour avoir exercé vos droits CCPA/CPRA.

Pour soumettre une demande CCPA/CPRA, envoyez un email à info@acrc-global.com avec «CCPA Request» dans l’objet. Nous vérifierons votre identité conformément à la loi californienne avant de traiter votre demande.

17. Résidents européens (droits RGPD).
Si vous vous trouvez dans l’Espace économique européen (EEE), au Royaume-Uni ou en Suisse, le Règlement Général sur la Protection des Données (RGPD) peut s’appliquer:

Base légale: nous nous appuyons sur l’exécution d’un contrat, le respect d’une obligation légale, le consentement et les intérêts légitimes comme bases légales du traitement.
Droits selon le RGPD: accès, rectification, effacement («droit à l’oubli»), limitation du traitement, portabilité des données et opposition.
Droit de retirer votre consentement à tout moment.
Droit de déposer une plainte auprès d’une autorité de contrôle si vous estimez que le traitement viole le RGPD.

Pour exercer vos droits RGPD, envoyez un email à info@acrc-global.com avec «GDPR Request» dans l’objet. Nous répondrons sous un mois (ou jusqu’à trois mois si le traitement est complexe, avec notification).

18. Liens et services tiers.
Notre site peut contenir des liens vers des sites tiers, tels que des cliniques partenaires, institutions de recherche ou ressources éducatives. Cette politique de confidentialité ne s’applique pas à ces sites. Nous vous encourageons à consulter leurs politiques de confidentialité. Si un tiers collecte des informations via notre site (ex.: formulaire de paiement intégré), il est responsable de ses propres pratiques de confidentialité.

19. Obligations des employés et contractants.
Tous les employés, contractants, bénévoles et stagiaires d’ACRC Global ayant accès aux PHI ou données personnelles doivent:

Signer un accord de confidentialité lors de l’embauche ou de la signature du contrat.
Suivre une formation HIPAA et sur la protection des données dans les 30 jours suivant l’intégration, puis chaque année.
Signaler immédiatement tout incident suspect au Responsable de la confidentialité.
Respecter les mesures disciplinaires en cas d’utilisation abusive intentionnelle ou de divulgation non autorisée des PHI, jusqu’au licenciement ou résiliation de contrat.

20. Réponse aux incidents et exercices de violation.

Nous maintenons un plan de réponse aux incidents décrivant les procédures pour identifier, signaler, enquêter et atténuer les incidents de sécurité.
Nous effectuons des exercices de simulation de violation au moins une fois par an.
Tous les incidents sont enregistrés et les enseignements tirés alimentent notre plan de gestion des risques.

21. Coordonnées et Délégués à la Protection des Données.
Si vous avez des questions, des préoccupations ou des plaintes concernant cette Politique de Confidentialité ou nos pratiques en matière de confidentialité, veuillez contacter:
Demandes générales sur la confidentialité: info@acrc-global.com

Pour les clients américains: U.S. Department of Health and Human Services, Office for Civil Rights (OCR).
Pour les clients de l’UE/EEE: Votre Autorité locale de Protection des Données.
Pour les clients californiens: California Privacy Protection Agency (CPPA).

22. Mises à jour et révisions de la politique.
Nous pouvons mettre à jour cette Politique de Confidentialité de temps à autre afin de refléter les changements dans nos pratiques, les lois applicables ou les exigences réglementaires. Lorsque nous apportons des modifications importantes, nous publierons la version révisée de la politique sur notre site web avec une date «Dernière mise à jour» actualisée. Si les changements sont significatifs, nous vous en informerons par e-mail ou par un avis visible sur notre page d’accueil avant leur entrée en vigueur.

Annexe A: Glossaire des termes clés.

PHI (Protected Health Information / Informations de santé protégées): Informations de santé individuellement identifiables, y compris les données démographiques, relatives à la santé physique ou mentale, à la prestation de soins de santé ou au paiement de ces soins.
PII (Personally Identifiable Information / Informations personnelles identifiables): Toute information permettant d’identifier une personne (par ex. : nom, adresse, e-mail, téléphone).
HIPAA (Health Insurance Portability and Accountability Act) : Loi fédérale américaine régissant la confidentialité et la sécurité des PHI.
NPP (Notice of Privacy Practices / Avis sur les pratiques de confidentialité): Document que les entités concernées doivent fournir aux individus, expliquant comment leurs PHI peuvent être utilisées ou divulguées et décrivant leurs droits selon HIPAA.
CCPA/CPRA (California Consumer Privacy Act / California Privacy Rights Act): Lois californiennes accordant aux résidents des droits spécifiques sur leurs données personnelles.
GDPR (General Data Protection Regulation / Règlement général sur la protection des données): Règlement de l’Union européenne régissant la protection des données et la confidentialité dans l’EEE, au Royaume-Uni et en Suisse.
Minimum Necessary / Minimum nécessaire: Exigence HIPAA limitant la divulgation des PHI à ce qui est strictement nécessaire pour accomplir la tâche prévue.
Breach / Violation: Acquisition, accès, utilisation ou divulgation de PHI d’une manière non autorisée par HIPAA, compromettant la sécurité ou la confidentialité de l’information.

Annexe B: Calendrier de conservation des données (illustratif).

Catégorie de donnéesDurée de conservationBase légale / commerciale

Dossiers médicaux (Gestation subrogée / Donneur)Minimum 10 ans à partir de la date du dernier serviceLois nationales sur la conservation des dossiers médicaux ; bonnes pratiques HIPAA

Dossiers de facturation et financiers7 ansExigences de l’IRS et audits

Documents juridiques et contractuels10 ans (ou plus si requis)Prescription légale ; obligations contractuelles

Journaux d’audit & dossiers d’incidents de sécurité6 ansRègle HIPAA sur la notification des violations ; règle de sécurité HIPAA

Journaux d’utilisation du site web (anonymisés)Indéfiniment (sous forme agrégée)Analyses et amélioration des services

Enregistrements du consentement marketingJusqu’au retrait du consentement ou 3 ans après la collectePreuve du consentement ; conformité réglementaire (ex. : CAN-SPAM, GDPR)

Accusé de réception.
En utilisant nos Services ou en visitant notre site web, vous reconnaissez avoir lu et compris cette Politique de Confidentialité et consentez à notre collecte, utilisation et divulgation de vos informations personnelles comme décrit ici. Si vous n’êtes pas d’accord avec cette politique ou avec ses mises à jour, veuillez cesser d’utiliser nos Services et nous contacter à info@acrc-global.com pour obtenir de l’aide.

Nous vous remercions de faire confiance à ACRC Global pour la protection de votre vie privée et des informations sensibles essentielles à vos soins de reproduction.