Politique de confidentialité

1. Qui sommes-nous

MerciDocteur est un service qui permet aux professionnels de santé de demander un avis Google à leurs patients, par email ou par SMS, depuis leur agenda Doctolib Pro ou depuis un tableau de bord web. Le service est édité par Inviteasy, SAS immatriculée au RCS de Nanterre (SIREN 908 310 220), 32 rue de Paris, 92100 Boulogne-Billancourt — voir les mentions légales. Contact : contact@mercidocteur.app.

2. Rôles au sens du RGPD

Pour les données des patients, le praticien utilisateur du service est responsable de traitement : c'est lui qui décide de solliciter un avis auprès de ses patients. MerciDocteur agit comme sous-traitant (art. 28 RGPD) : un accord de sous-traitance (DPA) est accepté à la création du compte. Pour les données des praticiens (compte, facturation), MerciDocteur est responsable de traitement.

3. Données des patients traitées

• Le prénom du patient, utilisé pour personnaliser le message ;
• son nom de famille et sa civilité lorsque le praticien choisit de les faire figurer dans son message — facultatifs, et supprimés automatiquement 30 jours après l'envoi, comme la coordonnée ;
• l'email ou le numéro de mobile, chiffré dès l'enregistrement et supprimé automatiquement 30 jours après l'envoi ;
• une empreinte irréversible (hash) de la coordonnée, conservée pour empêcher les sollicitations répétées et faire respecter les désinscriptions ;
• les statuts techniques de l'envoi (envoyé, délivré, ouvert, cliqué).
• la note de 1 à 5 laissée par le patient et, lorsqu'elle est inférieure au seuil fixé par le praticien, le commentaire libre qu'il choisit d'écrire pour le cabinet — facultatif, et supprimé automatiquement 12 mois après son dépôt.

Le service ne demande aucune donnée de santé : ni motif de consultation, ni historique médical, ni document. Le champ de commentaire est libre et porte sur le déroulement de la visite ; il n'est ni analysé ni transmis à un tiers, et son contenu est effacé au bout de 12 mois. Les envois sont limités à la plage 9 h – 20 h (heure de Paris), jamais le dimanche ni les jours fériés.

4. Données des praticiens

Email de connexion, nom du cabinet, nom d'expéditeur, lien de la fiche Google, et données de facturation traitées par Stripe. Elles sont conservées pendant la durée de vie du compte.

Le praticien peut supprimer son compte à tout moment depuis ses réglages (onglet « Mon compte »). La demande arrête les envois immédiatement et déclenche l'effacement définitif 30 jours plus tard ; pendant ce délai, elle reste annulable d'un clic depuis le tableau de bord. Un abonnement en cours doit être résilié au préalable depuis l'espace de facturation.

Passé ce délai, le compte et l'intégralité de ses données sont effacés. Seuls subsistent, sans aucune donnée nominative : la trace de la demande de suppression (date et origine), les références de facturation nécessaires à nos obligations comptables (article L123-22 du code de commerce), et les empreintes irréversibles des désinscriptions patients, conservées pour que l'opposition reste opposable (article 21 RGPD).

5. Sous-traitants ultérieurs

• Supabase — hébergement de la base de données (région Union européenne) ;
• Resend — envoi des emails ;
• Brevo — envoi des SMS ;
• Stripe — paiement et facturation des abonnements ;
• Google Ireland Ltd — mesure d'audience du site (Google Analytics), uniquement après consentement (section 8) ; ne traite jamais les données des patients.

Les données ne sont jamais vendues, jamais utilisées à des fins publicitaires et jamais utilisées pour entraîner des modèles d’intelligence artificielle.

6. Accord de sous-traitance (article 28 RGPD)

Pour les données des patients, la présente section vaut accord de sous-traitance entre le praticien (responsable de traitement) et Inviteasy (sous-traitant), acceptée à la création du compte. Objet : l’envoi d’invitations à laisser un avis et son suivi ; durée : celle du compte ; nature des données et catégories de personnes : celles décrites à la section 3. Inviteasy s’engage à :

• ne traiter les données que sur instruction documentée du praticien, matérialisée par l’usage du service (déclenchement des envois, modèles de messages, réglages) ;
• garantir la confidentialité des personnes autorisées à traiter les données et n'autoriser l'accès qu'en cas de nécessité ;
• mettre en œuvre les mesures de sécurité de l’article 32 : chiffrement des coordonnées dès l’enregistrement, minimisation (prénom et coordonnée uniquement), purge automatique à 30 jours, hébergement dans l’Union européenne ;
• ne recruter de sous-traitant ultérieur que parmi des prestataires présentant des garanties suffisantes. Le praticien consent à la liste de la section 5 (autorisation générale) ; toute modification de cette liste est annoncée au moins 15 jours à l’avance (mise à jour de cette page et information via le service), le praticien pouvant s’y opposer en résiliant son compte avant l’entrée en vigueur ;
• aider le praticien à répondre aux demandes d’exercice des droits des personnes (section 7) et lui notifier sans délai indu toute violation de données à caractère personnel, avec les éléments nécessaires à ses propres obligations de notification ;
• au terme du contrat, supprimer les données des patients : la purge automatique à 30 jours couvre déjà les coordonnées, le nom et la civilité ; le reste (historique d’envois, notes, commentaires) est effacé avec le compte, au terme du délai de 30 jours qui suit la demande de suppression (section 4). Un export de l’historique est fourni sur demande préalable ;
• mettre à la disposition du praticien les informations nécessaires pour démontrer le respect de ces obligations et permettre, sur demande écrite raisonnable (au plus une fois par an, à ses frais), la réalisation d’un audit.

7. Vos droits

Les patients peuvent exercer leurs droits (accès, rectification, effacement, opposition) auprès de leur praticien, responsable de traitement. Chaque email contient un lien de désinscription et chaque SMS la mention STOP : la désinscription bloque définitivement tout nouvel envoi. Les praticiens peuvent exercer leurs droits en écrivant à contact@mercidocteur.app ; leur droit à l’effacement s’exerce aussi directement depuis leurs réglages, onglet « Mon compte » (section 4). Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).

8. Cookies et mesure d’audience

Les cookies strictement nécessaires à l'authentification (session) sont déposés sans consentement, conformément à la réglementation. Aucun cookie publicitaire.

Nous utilisons Google Analytics, fourni par Google Ireland Ltd (Gordon House, Barrow Street, Dublin 4, Irlande), qui agit comme notre sous-traitant pour la seule mesure d'audience du site. Ces cookies de mesure ne sont déposés qu'après votre consentement explicite, recueilli via le bandeau affiché lors de votre première visite. Tant que vous n'avez pas accepté, aucune donnée de mesure n'est collectée (Google Consent Mode, refus par défaut). Le refus est sans conséquence sur votre navigation, et vous pouvez modifier votre choix à tout moment en effaçant les données de site de votre navigateur.

Cette mesure d'audience porte uniquement sur la navigation sur le site (pages vues, source de visite) ; elle ne concerne pas les données des patients (sections 3 à 6), qui ne transitent jamais par cet outil. Dans ce cadre, des données techniques peuvent être transférées hors de l'Union européenne (notamment vers les États-Unis) ; ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne conclues avec Google.

9. Extension Chrome

L'extension Chrome MerciDocteur ajoute un bouton « Demander un avis » sur les fiches patient de pro.doctolib.fr. Son fonctionnement :

• elle lit le prénom et les coordonnées (email, mobile) affichés sur la fiche patient ouverte, uniquement lorsque le praticien clique sur le bouton ;
• ces informations ne sont transmises à nos serveurs qu'au moment où le praticien confirme l'envoi d'une demande d'avis — jamais en arrière-plan ;
• elle stocke localement la session du praticien et un cache de configuration, rien d'autre ;
• elle ne collecte ni historique de navigation, ni donnée sur d'autres sites, et ne revend aucune donnée.