Politique de confidentialité

Responsable du traitement et contact

Les responsables du traitement sont les deux fondateurs de Rads Academy, [À COMPLÉTER : prénom et nom du premier fondateur] et [À COMPLÉTER : prénom et nom du second fondateur], [À COMPLÉTER : adresse postale].

• Contact pour vos données : [À COMPLÉTER : adresse électronique « données »]
• Conseiller à la protection des données : [À COMPLÉTER : aucun désigné, ou nom et contact]
• Représentant dans l’Union européenne (art. 27 RGPD) : [À COMPLÉTER : nécessaire ou non, et coordonnées]

Cadres applicables

La loi fédérale sur la protection des données (nLPD, RS 235.1), révisée et en vigueur depuis le 1er septembre 2023, et son ordonnance (OPDo, RS 235.11). Le règlement européen (RGPD) lorsqu’il vise votre situation, notamment si vous résidez dans l’Union européenne.

Données traitées

• Compte et profil : adresse électronique, mot de passe (haché), clé de double authentification si activée, prénom, nom, pseudo, pays, ville, spécialité, année de formation, établissement, biographie, préférences ; photo de profil, lisible par quiconque connaît son adresse.
• Demande d’accès : adresse électronique, nom, établissement, statut, message ; adresse IP, conservée uniquement sous forme d’empreinte chiffrée à clé secrète (jamais en clair) pour limiter les envois répétés.
• Vérification du statut médical : les pièces déposées, puis le statut, la date, le type de pièce et le numéro saisi.
• Cas et notes : titre, compte rendu, notes privées, rappels, contenu pédagogique, images ; notes, calepins, notes de fiche, fichiers personnels.
• Communauté et messagerie : publications, commentaires, votes, signalements, journal de modération, messages privés.
• Calendrier connecté : adresse d’abonnement, mot de passe d’application iCloud, événements.
• Usage : recherches et clics, questions à l’assistant, fiches consultées, navigation, performance des pages, progression, réponses aux questions, cartes de révision, liés à votre compte.
• E-mails et notifications : journal des envois (destinataire haché et salé), notifications.
• Journal d’audit : [À COMPLÉTER : contenu exact du journal].

Données de santé

Les images et notes de cas sont des données sur la santé, donc sensibles (art. 5, let. c, nLPD ; art. 9 RGPD). Un contenu partagé doit être dé-identifié par son auteur (voir les conditions d’utilisation).

Vos cas privés peuvent contenir l’identifiant d’un patient (IPP) que vous avez saisi, et vos notes privées d’autres éléments écrits ou importés par vous. L’IPP est enregistré en clair ; il ne s’affiche que sur un clic de votre part et n’est jamais transmis à un service externe. [À COMPLÉTER : réglage « Afficher les IPP de mes cas », masqué par défaut, à décrire une fois en production.] Ces données ne sont affichées qu’à vous ; les fondateurs, qui administrent la base, y ont un accès technique.

Le service ne détient aucune certification d’hébergement de données de santé (telle que la certification HDS française).

Finalités et bases légales

• Fournir le service : exécution des conditions d’utilisation (art. 6, par. 1, let. b, RGPD).
• Données de santé de vos cas, pièces de vérification : votre consentement, donné par la case des conditions d’utilisation (Réglages › Profil › Parcours) ou par le dépôt lui-même.
• Sécurité et prévention des abus (limiteur, modération, journal d’audit) : intérêt légitime (art. 6, par. 1, let. f, RGPD).

Aucune donnée n’est vendue ni utilisée pour de la publicité.

Destinataires et sous-traitants

Les contenus que vous partagez sont visibles des membres. Prestataires :

OpenAI ne traite que des pages publiques de congrès, sans donnée de membre.

Transferts hors de Suisse

L’Irlande figure à l’annexe 1 de l’OPDo (protection adéquate). Depuis le 15 septembre 2024, l’annexe couvre aussi les entreprises américaines certifiées au Swiss-U.S. Data Privacy Framework, certification que déclarent Vercel et Cloudflare. Supabase, Anthropic et Resend prévoient les clauses contractuelles types adaptées au droit suisse. Voyage AI : [À COMPLÉTER : garantie de transfert]. Nos avenants : [À COMPLÉTER : signés ou acceptés, par prestataire].

Durées de conservation

• Par défaut : jusqu’à l’effacement du compte.
• Empreinte de l’adresse IP du limiteur : une à deux heures environ.
• Pièces de vérification : détruites dès la décision.
• Fichiers au-delà du quota : effacés après 30 jours.
• Notifications : effacées 30 jours après leur suppression.
• Message supprimé : son texte disparaît, une trace de son existence reste.
• Demandes d’accès, journaux d’usage, de recherche, d’e-mails et d’audit : aucune purge automatique aujourd’hui. [À COMPLÉTER : durée et sort à l’effacement du compte.]
• Chez Anthropic et Voyage AI : [À COMPLÉTER : durée de conservation].

Sécurité

Chaque requête est limitée à votre compte. Cas et fichiers sont rangés dans des espaces privés, lus par des liens signés à durée limitée. L’adresse et le mot de passe d’un calendrier connecté sont chiffrés (AES-256-GCM). Les échanges passent par HTTPS.

Les cas, notes et messages n’ont aucun chiffrement propre à l’application ; la messagerie n’est pas chiffrée de bout en bout. Chiffrement des disques chez les hébergeurs : [À COMPLÉTER : à confirmer].

Cookies et stockage local

• Cookie de session : nécessaire à la connexion.
• Cookie « m3-fenetre » : préférence d’affichage, un an.
• Stockage local : préférences d’affichage (thème, vues, barre du calendrier).

Aucun outil tiers de mesure d’audience ou de publicité. Un lecteur vidéo intégré (Google Drive [À COMPLÉTER : ou Bunny Stream]) peut déposer ses propres cookies.

Vos droits

Vous pouvez demander l’accès à vos données, leur rectification, leur effacement, la limitation d’un traitement, vous y opposer et retirer votre consentement.

Effacement : Réglages › Compte › « Supprimer le compte » enregistre une demande et vous déconnecte ; l’équipe efface ensuite vos fichiers, puis vos données en base [À COMPLÉTER : confirmer que les pièces jointes sont incluses].

Portabilité : aucun export automatique aujourd’hui ; écrivez au contact ci-dessus. Délai de réponse : [À COMPLÉTER : délai].

Réclamation : Préposé fédéral à la protection des données et à la transparence (PFPDT) ou, dans l’Union, l’autorité de votre pays (en France, la CNIL).

Intelligence artificielle

• Assistant : votre question part chez Anthropic avec des extraits de fiches. Les suites de chiffres et les dates en sont retirées, pas les noms : n’y écrivez aucune identité de patient. Le site ne conserve pas vos conversations aujourd’hui. Anthropic s’interdit d’entraîner ses modèles sur ces contenus (conditions commerciales).
• Suggestions de prise de notes : les 300 derniers caractères environ de la note, neutralisés de même, partent chez Voyage AI.
• Recherche sémantique : le texte tapé part chez Voyage AI tel quel.
• Voyage AI peut entraîner ses modèles sur ces contenus, sauf refus du client : [À COMPLÉTER : refus activé ou non].
• L’IPP d’un cas n’est jamais envoyé à ces services.

Modifications

Chaque version porte un numéro et une date en tête de page. Une modification importante est annoncée aux membres [À COMPLÉTER : moyen d’information] ; votre acceptation n’est pas redemandée automatiquement aujourd’hui.

Sources

Vérifiées le 23 octobre 2026.

• nLPD, RS 235.1, en vigueur le 1er septembre 2023 : https://www.fedlex.admin.ch/eli/cc/2022/491/fr
• OPDo, RS 235.11, annexe 1 (États-Unis depuis le 15 septembre 2024) : https://www.fedlex.admin.ch/eli/cc/2022/568/fr
• RGPD, règlement (UE) 2016/679 : https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Vercel, Privacy Policy, 1er juin 2026 : https://vercel.com/legal/privacy-policy
• Supabase, DPA, version 1, 1er août 2026 : https://supabase.com/legal/customer-resources/data-processing-addendum
• Cloudflare, Privacy Policy, 4 novembre 2025 : https://www.cloudflare.com/privacypolicy/
• Resend, DPA (non daté) : https://resend.com/legal/dpa
• Anthropic, Commercial Terms, 17 juin 2025 : https://www.anthropic.com/legal/commercial-terms ; DPA, 24 février 2025 : https://www.anthropic.com/legal/data-processing-addendum
• Voyage AI, Privacy Policy, 20 février 2025 : https://www.voyageai.com/privacy
• Google, Règles de confidentialité, 16 octobre 2026 : https://policies.google.com/privacy?hl=fr
• Apple, Engagement de confidentialité, 30 juillet 2025 : https://www.apple.com/legal/privacy/fr-ww/
• PFPDT : https://www.edoeb.admin.ch ; CNIL : https://www.cnil.fr