Politique de confidentialité
Dernière mise à jour : 16 septembre 2026
La société Grandes Études Européennes de Santé (GEDS), Lda, éditrice de Toposanté, est responsable du traitement des données personnelles décrites ci-dessous. Cette politique explique quelles données sont collectées, pourquoi, pendant combien de temps, et comment exercer vos droits, conformément au règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée.
Toposanté ne traite aucune donnée de santé au sens de l'article 9 du RGPD. Les chiffres affichés sont des statistiques publiques agrégées par commune. Aucune donnée relative à un patient, à un diagnostic ou à un dossier médical n'est collectée.
1. Responsable du traitement
GEDS Lda, Rua Álvaro Castelões nº821 4º – sala 4.6, 4450-043 Matosinhos, Portugal. NIPC 513581685.
Aucun délégué à la protection des données n'a été désigné, la désignation n'étant pas obligatoire au regard de la nature et du volume des traitements. Toute demande relative à vos données est à adresser à info@geds.fr.
2. Données collectées, finalités et durées
| Donnée | Finalité | Base légale (art. 6 RGPD) | Durée de conservation |
|---|---|---|---|
| Adresse e-mail | Vous identifier pour ouvrir l'Aperçu, vous envoyer le lien de connexion et les rapports demandés | Exécution du service (art. 6.1.b) | 3 ans après le dernier contact |
| Segment déduit du domaine de l'adresse | Comprendre quels types d'organisations utilisent le service et adapter les contenus | Intérêt légitime (art. 6.1.f) | Même durée que l'adresse e-mail |
| Compteur de visites et date de dernière visite | Mesurer l'usage réel du service et repérer les usages abusifs | Intérêt légitime (art. 6.1.f) | Même durée que l'adresse e-mail |
| Cookie de session signé | Maintenir votre identification sans compte ni mot de passe | Exécution du service (art. 6.1.b) | 6 mois |
| Exports demandés (type, périmètre géographique, dates) | Générer le fichier, le mettre à disposition et traiter une éventuelle demande d'assistance | Exécution du service (art. 6.1.b) | Fichiers conservés 30 jours puis supprimés ; lien de téléchargement signé valable 24 heures, régénérable depuis la page tant que le fichier existe |
| Retour d'expérience (note, commentaire, page concernée, empreinte d'IP hachée, navigateur) | Améliorer le service et limiter les envois répétés depuis une même connexion | Intérêt légitime (art. 6.1.f) | 3 ans |
| Adresse IP dans les journaux techniques | Sécurité du service et diagnostic d'incident | Intérêt légitime (art. 6.1.f) | 30 jours (rétention de l'hébergeur) |
| E-mails d'information non transactionnels | Vous informer des évolutions du service, vous inviter à une enquête | Consentement (art. 6.1.a) | Jusqu'au retrait du consentement |
| Mesure d'audience (pages vues, temps de chargement) | Suivre la fréquentation et la performance des pages | Intérêt légitime (art. 6.1.f), exempté de consentement (CNIL 2020-091) | Agrégée, sans identifiant persistant |
| Événements produit (actions réalisées sur le service) | Comprendre les parcours d'usage | Intérêt légitime (art. 6.1.f) | Agrégés, sans donnée personnelle |
L'adresse e-mail est la seule donnée que vous saisissez. Elle n'est ni revendue, ni louée, ni transmise à des tiers à des fins de prospection. Le segment associé à votre adresse est déduit automatiquement de son nom de domaine, par exemple pour distinguer une adresse professionnelle d'une adresse personnelle. Cette déduction ne donne lieu à aucune décision automatisée produisant des effets juridiques à votre égard, au sens de l'article 22 du RGPD, ni à aucun profilage individuel.
Le retour d'expérience enregistre une empreinte de votre adresse IP, obtenue par hachage. Cette empreinte sert uniquement à limiter les envois répétés et ne permet pas de remonter à votre adresse IP.
Les chiffres affichés sur le site ne sont pas des données personnelles : ce sont des statistiques publiques agrégées par commune, réutilisées sous licence ouverte.
Données publiques réutilisées sous Licence Ouverte 2.0 (Etalab) et ODbL : INSEE, DREES, Assurance Maladie, ARS / AtlaSanté, Agence du Numérique en Santé (RPPS, FINESS), contributeurs OpenStreetMap. Crédits détaillés.
3. Cookies et stockage local
| Nom | Finalité | Durée | Nature |
|---|---|---|---|
| __cartosante_lead | Maintenir votre identification après un clic sur le lien de connexion | 6 mois | Cookie httpOnly signé, strictement nécessaire |
| cartosante_feedback_dismissed | Ne pas réafficher le formulaire d'avis pendant sept jours après un refus | 7 jours | Stockage local du navigateur, jamais transmis au serveur |
| theme | Mémoriser votre préférence d'affichage clair ou sombre | Jusqu'à effacement par vos soins | Stockage local du navigateur, jamais transmis au serveur |
| Vercel Web Analytics et Speed Insights | Mesurer l'audience et la performance des pages | Aucune | Aucun cookie, aucun identifiant persistant |
Le site ne dépose qu'un seul cookie, strictement nécessaire au fonctionnement du service. La mesure d'audience est réalisée avec Vercel Web Analytics et Vercel Speed Insights, qui ne déposent aucun cookie, n'utilisent aucun identifiant persistant, ne pratiquent aucune empreinte de navigateur et ne permettent aucun suivi entre sites. Ces outils sont exemptés de consentement au sens de la délibération CNIL n° 2020-091 : aucune bannière de cookies n'est donc affichée.
En complément des pages vues, nous mesurons certaines actions (ouverture d'un portrait, export déclenché, changement de profession, lecture d'un article) pour comprendre l'usage du site. Ces événements ne contiennent jamais votre adresse email, votre nom ni aucun texte libre : uniquement des identifiants techniques (type d'export, page), des tranches de valeurs (nombre de communes, durée) et, le cas échéant, une catégorie déduite du nom de domaine de l'adresse email — jamais l'adresse elle-même.
4. Destinataires et sous-traitants
| Destinataire | Rôle | Localisation | Encadrement du transfert |
|---|---|---|---|
| Vercel Inc. | Hébergement du site, exécution des fonctions serveur, mesure d'audience, journaux techniques | États-Unis, fonctions serveur exécutées en région Paris (cdg1) | Transfert hors UE encadré par les clauses contractuelles types et le EU-US Data Privacy Framework |
| Supabase Inc. | Base de données et stockage des fichiers exportés | Région AWS eu-west-3 (Paris, France) | Données au repos dans l'Union européenne ; clauses contractuelles types au contrat de sous-traitance |
| Resend Inc. | Acheminement des e-mails (lien de connexion, mise à disposition d'un export) | États-Unis | Transfert hors UE encadré par les clauses contractuelles types et le EU-US Data Privacy Framework |
Chacun de ces prestataires intervient en qualité de sous-traitant au sens de l'article 28 du RGPD, dans le cadre d'un accord de traitement des données. Aucune autre personne ou entité ne reçoit vos données, sauf obligation légale.
5. Transferts hors Union européenne
Vercel et Resend sont établis aux États-Unis. Les transferts vers ces prestataires sont encadrés par les clauses contractuelles types de la Commission européenne et par le EU-US Data Privacy Framework, reconnu adéquat par la décision d'adéquation du 10 juillet 2023.
La base de données et les fichiers exportés sont stockés en France, dans la région AWS eu-west-3, et ne quittent pas le territoire de l'Union européenne au repos. Les fonctions serveur du site s'exécutent en région Paris.
6. Sécurité
Les échanges sont chiffrés en transit. Le cookie de session est signé, httpOnly et limité au site. L'accès à la base repose sur des politiques de sécurité au niveau des lignes, et les fichiers d'export sont stockés dans un espace privé, accessible uniquement par un lien signé à durée limitée de vingt-quatre heures. Les fichiers sont supprimés au terme de trente jours.
7. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données, ainsi que du droit de retirer à tout moment votre consentement aux e-mails d'information, sans que ce retrait n'affecte la licéité des envois antérieurs.
Pour exercer ces droits, écrivez à info@geds.fr. Une réponse vous est adressée dans un délai d'un mois à compter de la réception de votre demande, conformément à l'article 12.3 du RGPD. La suppression de votre adresse e-mail entraîne la perte de l'accès aux fonctionnalités identifiées et des rapports déjà générés.
8. Réclamation
Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.
9. Modification de la politique
Cette politique peut être modifiée pour refléter une évolution du service ou de la réglementation. La date de dernière mise à jour figure en tête de page, et toute modification substantielle fait l'objet d'un avis sur le site. Les conditions d'utilisation du service sont décrites dans les conditions générales d'utilisation, et les informations sur l'éditeur dans les mentions légales.