Politique de confidentialité

Nous, MENTRAC Sàrl, attachons énormément d’importance au respect de la vie privée et à la protection des données personnelles. Nous nous engageons à protéger les droits des individus et à veiller à ce que les données personnelles traitées dans le cadre de nos services soient protégées par des mesures organisationnelles et de sécurité adéquates. Les données personnelles collectées ne sont en aucun cas destinées à être cédées ou vendues à des tiers.

I. Bases légales

La présente politique de confidentialité est rédigée en conformité avec la Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) et son Ordonnance du 31 août 2022 (OPDo), étant précisé que Mentrac est basée en Suisse et que ses services s’adressent exclusivement aux personnes domiciliées en Suisse.

II. Responsable du traitement

Le responsable du traitement est :

MENTRAC Sàrl

Chemin Sur Rosset 32a

1040 Echallens (Suisse)

info@mentrac.com

Pour toute question ou demande en relation avec le traitement de données personnelles, vous pouvez contacter le responsable du traitement par courrier postal ou email en utilisant les coordonnées susmentionnées.

III. Champ d’application

La présente Politique de confidentialité est applicable à l’ensemble des traitements de données effectués par Mentrac en lien avec la fourniture de ses services en matière de santé mentale, notamment via une plateforme spécifique hébergée sur le site web < mentrac.com > (ci-après globalement les Services). Les personnes concernées par les traitements sont les utilisateurs (clients), les visiteurs du site web et les prestataires participant à la fourniture des Services.

IV. Finalité et base juridique du traitement

Les données personnelles sont traitées uniquement pour des finalités en lien avec la fourniture des Services, soit notamment l’exécution, le suivi, la promotion et l’amélioration des Services.

Les traitements reposent sur les bases juridiques suivantes :

L’exécution et le suivi du contrat conclu avec Mentrac, lorsque les données concernent un client ou un partenaire contractuel de Mentrac (art. 31 al. 2 let. a LPD) ;
Le consentement de la personne concernée, lorsque celle-ci a accepté des cookies non strictement nécessaires, l’utilisation de données à des fins marketing, statistiques et pour de l’apprentissage automatique (art. 31 al. 1 LPD) ;
Le respect d’obligations légales, notamment en matière de comptabilité et de fiscalité (TVA) ou pour répondre à des éventuelles demandes des autorités (art. 31 al. 1 LPD).

V. Catégories de données concernées

Dans le cadre d’une relation contractuelle avec Mentrac, nous traitons les données personnelles de base usuelles (nom, prénom, adresses électroniques et postales). Les données relatives au paiement des Services sont traitées exclusivement par le sous-traitant concerné (cf. point VI ci-dessous), sans accès à ces données par Mentrac qui n’intervient pas dans la transaction.

En raison du domaine concerné par les Services, nous pouvons également être amenés à traiter des données liées à la santé ou des informations permettant de faire des déductions à ce sujet, notamment sous la forme de notes de séance stockées sur la plateforme Mentrac. Il s’agit de données sensibles au sens de l’art. 5 let. c LPD, que nous nous engageons à traiter avec la plus stricte confidentialité. Tous nos prestataires sont soumis au secret professionnel et rappelés à leurs obligations à cet égard.

Dans le cadre de l’exploitation de notre site web et de notre plateforme, nous traitons également des données non nominatives de nature technique (p.ex. adresse IP, type d’appareil utilisé), y compris des cookies, qui peuvent dépendre des paramètres de votre navigateur/appareil et des choix que vous avez opéré via la bannière des cookies qui vous a été présentée lors de votre première sur le site.

VI. Sous-traitants et transferts à l’étranger

Nous pouvons faire appel à des sous-traitants, à savoir à des entreprises tierces qui traitent des données personnelles pour notre compte et sous notre responsabilité, à l’exclusion de tout traitement dans leur intérêt propre. Les sous-traitants ne sont autorisés qu’à effectuer des traitements que nous serions en droit d’effectuer nous-même.

De manière générale, nous sélectionnons autant que possible des sous-traitants qui offrent d’excellentes garanties en lien avec la protection et la sécurité de vos données (certifications, etc.), et privilégions les sous-traitants suisses et européens. La plateforme Mentrac, y compris la solution de visioconférence intégrée, a été développée par un sous-traitant suisse et est hébergée en Allemagne. La gestion du paiement des Services est confiée à la société Stripe Payments Europe Limited, de siège en Irlande ; dans ce cadre, des données sont transférées à la société Stripe Inc., de siège aux Etats-Unis, qui est au bénéfice d’une certification selon le Swiss-U.S. Data Privacy Framework.

Les thérapeutes participant à la fourniture des Services traitent également des données personnelles pour leur propre compte et sous leur responsabilité. Certains de ces thérapeutes peuvent être établis dans un pays limitrophe, notamment en France ou en Allemagne, étant souligné que ces Etats sont reconnus par le Conseil fédéral comme garantissant un niveau de protection des données adéquat (OPDo, Annexe 1).

Nous ne transférons en aucun cas des données personnelles à des tiers en dehors du cadre décrit ci-dessus, sous réserve d’obligations légales.

VII. Sécurité des données

Mentrac prend toutes les mesures techniques et organisationnelles appropriées par rapport aux risques encourus pour garantir la sécurité des données. L’infrastructure de Mentrac repose sur une architecture en trois niveaux :

Proxy Nginx : connecté à Internet, ce proxy reçoit les connexions des utilisateurs de la plateforme et gère leur redirection vers les services internes.
Serveur d’application : hébergeant le logiciel applicatif, ce serveur ne stocke aucune donnée sensible. Il communique sur un réseau interne avec le proxy et sur un autre réseau interne dédié à la base de données, garantissant ainsi une séparation stricte.
Serveur de base de données : situé sur un réseau interne isolé, il est accessible uniquement par le serveur d’application, sans connexion directe à Internet.

Les notes des thérapeutes sont stockées sur le serveur de base de données de manière chiffrée et illisible en cas d’accès non autorisé. La correspondance entre chaque fichier et le client est séparée, les identifiants n’étant pas conservés dans les fichiers eux-mêmes.

VIII. Conservation

D’une manière générale, les données sont conservées aussi longtemps qu’elles sont nécessaires au regard des finalités du traitement et d’autres exigences légales.

Les données essentielles relatives à une relation contractuelle, telles que l’identité et les informations sur les Services souscrits (types de forfaits, facturation), sont conservées jusqu’à 10 ans dès la fin de la relation, conformément au délai de prescription des actions contractuelles. Une séance peut être enregistrée, moyennant information préalable des participants et consentement de leur part ; le cas échéant, l’enregistrement est conservé pendant deux ans au maximum. Hors enregistrement, les messages instantanés échangés via le chat pendant une séance sont supprimés du système dans les deux semaines.

IX. Profilage et décision individuelle automatisée

Nous ne procédons à aucun profilage à risque élevé (art. 6 al. 7 LPD) et ne prenons aucune décision fondée exclusivement sur un traitement de données automatisé (art. 21 LPD).

X. Droit des personnes concernées

Si vous êtes personnellement concerné par un traitement de données couvert par cette Politique de confidentialité, vous disposez des droits suivants aux conditions fixées par la législation applicable : un droit d’accès (art. 25 LPD), un droit de rectification (art. 32 LPD), un droit d’effacement (art. 32 LPD), un droit d’opposition (art. 30 LPD), un droit à la portabilité des données (art. 28 LPD) et un droit de dénonciation auprès de l’autorité compétente (art. 49 LPD).

Pour exercer vos droits, veuillez nous envoyer votre demande par lettre signée, accompagnée d’une copie de votre pièce d’identité, à l’adresse indiquée au début de la présente Politique de confidentialité. Nous nous efforcerons de vous répondre dans un délai de 30 jours.

XI. Modifications

Nous nous réservons le droit de modifier à tout moment la présente Politique de confidentialité. Le cas échéant, les modifications vous seront communiquées par un moyen approprié, à moins qu’elles soient manifestement sans incidence pour vous.

Date d’adoption : 15.11.2024

Déclaration de consentement pour le traitement de données à des fins de marketing, de statistiques et d’apprentissage automatique

Par le présent document, MENTRAC Sàrl, en qualité de responsable du traitement, sollicite le consentement de la personne concernée (client ou thérapeute utilisant la plateforme Mentrac) pour les traitements de données suivants :

Envoi de newsletters à des fins de marketing, notamment pour informer sur les services ;
Collecte des données d’utilisation de la plateforme pour l’établissement de statistiques ;
Collecte des données d’utilisation de la plateforme pour de l’apprentissage automatique (machine learning) destiné au développement d’outils d’optimisation des Services.

Les données d’utilisation seront traitées sous forme agrégée et non nominative. Elles n’incluent pas les notes de séance ou d’autres informations médicales et ne seront en aucun cas utilisées pour établir des profils de personnalité ou pour rattacher d’une quelconque manière les données d’utilisation à un individu particulier. Le traitement peut être en partie exécuté à l’étranger, étant précisé que Mentrac garantit que le transfert respecte les exigences de l’art. 16 LPD.

Pour des raisons techniques, le consentement est requis au moyen d’une case à cocher pour finaliser le processus d’inscription. Le client est toutefois libre, en tout temps et y compris immédiatement après la confirmation de son inscription, de retirer son consentement aux traitements précités en envoyant un simple email à l’adresse info@mentrac.com. En ce qui concerne les envois marketing, il est également possible de se désinscrire facilement en cliquant sur un lien à la fin de chaque newsletter.

Pour le surplus, la Politique de confidentialité de Mentrac est applicable. Les personnes concernées sont rendues attentives au fait que d’autres traitements de données personnelles sont nécessaires à l’exécution du contrat qui le lie à Mentrac, et dès lors non soumis à un consentement séparé.