Politique de confidentialité

1. Responsable du traitement

Entreprise

MedQara

Forme

Entreprise individuelle immatriculée au Registre national des entreprises

SIREN

108 783 465

Siège

7 rue Pierre Laplace, 25000 Besançon, France

Responsable du traitement

Fidèle M'PO

Questions sur vos données

fidele@veillemedqara.fr

2. Les données que nous traitons

2.1 Votre compte

• Adresse e-mail et nom : pour vous identifier et vous écrire.
• Organisation et métier (facultatifs) : pour adapter la veille à votre fonction.
• Mot de passe : stocké haché (bcrypt), jamais lisible, même par nous.

2.2 Votre veille

• Votre périmètre : segments de dispositifs, marchés, référentiels, mots-clés.
• Vos dispositifs déclarés et votre parc d'équipements.
• Les périmètres de vos clients, si vous utilisez l'offre Cabinet.
• Le suivi des alertes : lectures, statuts de conformité, avis pertinent ou non pertinent, rappels d'événements.
• Vos préférences de notification.

2.3 Vos contenus

• Vos conversations avec l'Assistant QARA, que vous pouvez supprimer à tout moment.
• Les documents générés que vous choisissez d'enregistrer.
• Un fichier joint à l'Assistant ou à Document IA est lu pour en extraire le texte, utilisé pour la réponse, puis n'est pas conservé.

2.4 Paiement

Le paiement est traité par Stripe (PCI-DSS niveau 1). Nous ne voyons ni ne stockons jamais votre numéro de carte : nous gardons seulement votre identifiant client Stripe et le statut de votre abonnement.

2.5 Données techniques

• Mesure d'audience par Cloudflare Web Analytics : sans cookie, sans suivi individuel.
• Journaux serveur (adresse IP, navigateur, date), conservés 30 jours au plus, pour la sécurité.
• Les clics sur les liens de nos emails, pour savoir s'ils sont utiles. Aucun pixel de suivi d'ouverture.

3. Pourquoi, et sur quelle base légale

• Exécution du contrat (art. 6.1.b RGPD) : créer et faire fonctionner votre compte, produire votre veille, vous envoyer vos alertes et vos synthèses (désactivables à tout moment dans les Paramètres).
• Intérêt légitime (art. 6.1.f) : sécurité de la plateforme, prévention de la fraude, amélioration du service, prospection auprès de professionnels (voir la partie 11).
• Consentement(art. 6.1.a) : la lettre d'information, que vous pouvez quitter à tout moment sur simple message.
• Obligation légale (art. 6.1.c) : facturation et comptabilité.

4. Qui a accès à vos données

Vos données ne sont jamais vendues, louées ni cédées. Elles sont visibles par vous et, si vous invitez des collègues, par votre équipe : la base de données cloisonne les comptes et les organisations. MedQara n'y accède que pour le support et la sécurité.

Nous faisons appel aux prestataires suivants, liés par contrat et qui n'agissent que sur nos instructions :

• Supabase : base de données et authentification. Paris, France.
• Render : hébergement de l'application. Francfort, Allemagne.
• Resend : envoi des emails. Irlande.
• Stripe : paiement. Irlande.
• Cloudflare: diffusion du site, protection contre les attaques et les robots, mesure d'audience sans cookie. Réseau mondial, au plus près du visiteur.
• Anthropic et Groq: réponses de l'Assistant QARA et de Document IA. États-Unis.
• OpenAI : transformation de votre question en vecteur de recherche, pour retrouver les textes pertinents. États-Unis.

5. Intelligence artificielle : ce qui est transmis, et ce qui ne l'est pas

Deux fonctions font appel à des modèles d'IA hébergés aux États-Unis : l'Assistant QARA et Document IA. Ce sont les seules à transmettre vos contenus hors de l'Union européenne, et seulement quand vous les utilisez.

Ce qui est transmis.Pour l'Assistant : votre question, la conversation en cours, le texte du document joint et, pour personnaliser la réponse, votre métier, votre périmètre (segments, marchés, référentiels, mots-clés) et jusqu'à 15 de vos dispositifs déclarés (nom, catégorie, classe, règlement, statut). Pour Document IA : ce que vous saisissez et le texte du document source.

Ce qui ne l'est jamais. Votre nom, votre adresse e-mail et vos données de facturation.

Garanties.Les conditions d'utilisation de l'API de ces fournisseurs excluent l'entraînement de leurs modèles sur les contenus transmis. Les transferts reposent sur les clauses contractuelles types de la Commission européenne.

Si votre organisation ne peut accepter aucun transfert hors UE, n'utilisez pas ces deux fonctions : la veille, les filtres, les alertes et les exports fonctionnent sans elles.

6. Où sont hébergées vos données

Votre compte, votre périmètre, vos dispositifs, vos conversations et vos documents sont hébergés et conservés dans l'Union européenne. En dehors des fonctions d'IA ci-dessus, seuls Cloudflare et Stripe peuvent traiter des métadonnées techniques hors UE, avec les mêmes garanties contractuelles.

7. Combien de temps nous les gardons

• Compte et contenus : tant que votre compte existe, puis effacés sous 30 jours après sa suppression.
• Factures : 10 ans (obligation comptable).
• Journaux serveur : 30 jours au plus.
• Données de prospection : 3 ans après le dernier échange (voir la partie 11).

8. Vos droits

En vertu des articles 15 à 22 du RGPD, vous pouvez à tout moment :

• accéder aux données que nous détenons sur vous ;
• les rectifier, directement dans les Paramètres ou sur demande ;
• les effacer, compte compris ;
• les récupérer dans un format ouvert (portabilité) ;
• vous opposer à un traitement, ou en demander la limitation.

Écrivez à fidele@veillemedqara.fr. Nous répondons sous 30 jours au plus, gratuitement, et pouvons vous demander de confirmer votre identité. Si notre réponse ne vous satisfait pas, vous pouvez saisir la CNIL (cnil.fr/fr/plaintes).

9. Sécurité

• HTTPS obligatoire pour tous les échanges (TLS, HSTS préchargé).
• Données chiffrées au repos (AES-256).
• Double authentification par application, dans Paramètres > Sécurité.
• Mots de passe hachés avec bcrypt.
• Cloisonnement des comptes et des organisations appliqué par la base de données (row-level security).
• Protection anti-robots à l'inscription (Cloudflare Turnstile) et en-têtes de sécurité (CSP, HSTS, X-Frame-Options).
• En cas de violation de données : notification à la CNIL sous 72 heures, et information des personnes concernées si le risque est élevé.

En savoir plus : Sécurité.

10. Cookies

MedQara n'utilise que les cookies nécessaires au service: votre session de connexion et votre langue. Aucun cookie publicitaire, aucun cookie de mesure d'audience. Lors d'un paiement, la page de paiement Stripe dépose ses propres cookies de sécurité.

11. Prospection commerciale

Vous avez reçu un message de MedQara sans être client. Voici d'où viennent vos coordonnées, ce que nous en faisons, et comment ne plus être contacté.

Pourquoi vous. Nous écrivons à des professionnels du dispositif médical (PRRC, responsables qualité et affaires réglementaires) au sujet de la veille réglementaire, un sujet directement lié à leurs fonctions.

D'où viennent vos coordonnées. De sources professionnelles publiquement accessibles : principalement la base européenne EUDAMED, dans laquelle les fabricants sont tenus de déclarer ces informations, et, pour les messages LinkedIn, votre profil public.

Données traitées.Nom, fonction, entreprise, adresse e-mail professionnelle, dispositifs déclarés par votre entreprise dans EUDAMED, et l'historique de nos échanges (dates d'envoi, réponses et clics sur nos liens). Certains messages renvoient vers une page de veille préparée pour votre entreprise à partir de ses données EUDAMED publiques, accessible uniquement par ce lien et non référencée par les moteurs de recherche.

Base légale.Intérêt légitime (art. 6.1.f RGPD) : informer un professionnel d'un service lié à ses fonctions. Cette information est délivrée dès le premier contact, comme le prévoit l'article 14 du RGPD.

Destinataires.L'équipe commerciale de MedQara et les prestataires listés à la partie 4. Jamais vendues ni cédées.

Durée de conservation. Trois ans à compter du dernier échange. Si vous vous opposez, nous ne gardons que le nécessaire pour ne plus jamais vous écrire.

Ne plus être contacté.Répondez « STOP » à l'un de nos messages, ou écrivez à fidele@veillemedqara.fr. Votre opposition est enregistrée automatiquement et définitivement. Vous disposez aussi de tous les droits de la partie 8.

12. Modifications

Nous pouvons faire évoluer cette politique. Les utilisateurs sont prévenus par email de tout changement substantiel. La date de dernière mise à jour figure en haut de cette page.