Politique de confidentialité
Dernière mise à jour : 23 septembre 2026
StudyRoom SAS, éditrice de Toposanté, est responsable du traitement des données personnelles décrites ci-dessous. Cette politique explique quelles données sont traitées, pourquoi, sur quelle base légale, pendant combien de temps, à qui elles sont transmises et comment exercer vos droits, conformément au règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée.
Toposanté ne traite aucune donnée de santé au sens de l'article 9 du RGPD. Les chiffres affichés sont des statistiques publiques agrégées par commune. Aucune donnée relative à un patient, à un diagnostic ou à un dossier médical n'est collectée.
1. Responsable du traitement
StudyRoom SAS, 133 avenue Achille Peretti, 92200 Neuilly-sur-Seine. RCS Nanterre 988 809 042.
Aucun délégué à la protection des données n'a été désigné, cette désignation n'étant pas obligatoire au regard de la nature des traitements. Toute demande relative à vos données est à adresser à contact@studyroom.fr ou par courrier au siège.
2. Données traitées, finalités, bases légales et durées
| Données | Finalité | Base légale (art. 6 RGPD) | Durée de conservation |
|---|---|---|---|
| Adresse e-mail | Vous identifier par un lien de connexion, ouvrir l'Aperçu, vous envoyer les liens et les fichiers demandés | Mesures précontractuelles et exécution du service (art. 6.1.b) | 3 ans après le dernier contact si vous n'avez rien acheté ; en cas d'achat, durée des pièces du contrat ci-dessous |
| Cookie de session signé | Maintenir votre identification sans compte ni mot de passe | Exécution du service (art. 6.1.b) | 6 mois |
| Segment déduit du domaine de l'adresse | Comprendre quels types d'organisations utilisent le service et adapter les contenus | Intérêt légitime : connaître les usages du service (art. 6.1.f) | Même durée que l'adresse e-mail |
| Compteur de visites et date de dernière visite | Mesurer l'usage réel du service et repérer les usages abusifs | Intérêt légitime : piloter le service et le protéger (art. 6.1.f) | Même durée que l'adresse e-mail |
| Exports demandés (type, périmètre géographique, dates) | Générer le fichier, le mettre à disposition et traiter une éventuelle demande d'assistance | Exécution du service (art. 6.1.b) | Fichiers supprimés automatiquement 30 jours après leur création ; lien de téléchargement signé valable 24 heures, régénérable depuis la page tant que le fichier existe |
| Achats : e-mail, nom et adresse de facturation, numéro de TVA le cas échéant, périmètre acheté, produit, montant, identifiants Stripe, facture | Délivrer le portrait acheté, tenir la comptabilité, répondre à une réclamation | Exécution du contrat (art. 6.1.b) et obligation légale (art. 6.1.c) | 10 ans (article L123-22 du Code de commerce) |
| Déclaration d'achat professionnel, numéro SIREN ou SIRET s'il est indiqué | Établir la finalité professionnelle de l'achat et les conditions qui s'y appliquent ; faire figurer le SIREN sur la facture | Exécution du contrat (art. 6.1.b) ; obligation légale pour la mention sur la facture (art. 6.1.c) ; l'indication du numéro est facultative | 10 ans, avec les pièces du contrat |
| Preuve de l'acceptation des conditions et de la renonciation au droit de rétractation (date, version du texte) | Prouver la conclusion et le contenu du contrat | Obligation légale (art. 6.1.c, articles L213-1 et D213-1 du Code de la consommation) ; envers un professionnel, intérêt légitime : se ménager la preuve du contrat (art. 6.1.f) | 10 ans |
| Données de carte bancaire | Exécuter le paiement | Exécution du contrat (art. 6.1.b) | Saisies dans le formulaire de Stripe et conservées par Stripe ; StudyRoom SAS n'y a jamais accès |
| Empreintes chiffrées de l'adresse e-mail et de l'adresse IP | Limiter les demandes répétées (liens de connexion, paiements) et prévenir les abus | Intérêt légitime : sécurité du service (art. 6.1.f) | Effacées automatiquement, en général sous 24 heures |
| Retour d'expérience (note, commentaire, page concernée, empreinte d'IP hachée, navigateur) | Améliorer le service et limiter les envois répétés depuis une même connexion | Intérêt légitime : améliorer le service (art. 6.1.f) | 3 ans |
| Adresse IP dans les journaux techniques | Sécurité du service et diagnostic d'incident | Intérêt légitime : sécurité du service (art. 6.1.f) | 30 jours au plus (rétention des hébergeurs) |
| E-mails d'information sur le service (nouveautés, enquêtes) | Vous informer des évolutions du service | Adresse professionnelle et message en rapport avec votre activité : intérêt légitime (art. 6.1.f) ; sinon, consentement (art. 6.1.a). Chaque e-mail permet de s'y opposer | 3 ans après le dernier contact, ou jusqu'à votre opposition ou le retrait de votre consentement |
| Mesure d'audience (pages vues, temps de chargement) | Suivre la fréquentation et la performance des pages | Intérêt légitime (art. 6.1.f), dans les conditions de l'exemption de consentement prévue pour la mesure d'audience | Statistiques agrégées ; identifiant de session effacé par Vercel au bout de 24 heures |
| Événements produit (actions réalisées sur le service) | Comprendre les parcours d'usage | Intérêt légitime : améliorer le service (art. 6.1.f) | Agrégés, sans adresse e-mail ni texte libre |
| Demandes d'exercice de vos droits | Y répondre et en garder la preuve | Obligation légale (art. 6.1.c) | Le temps de la réponse, puis jusqu'à l'expiration des délais de recours |
| Données publiques de professionnels de santé (RPPS, Annuaire santé de l'Assurance Maladie) | Calculer des effectifs de professionnels par commune | Intérêt légitime : produire une information statistique sur l'offre de soins (art. 6.1.f) | Fichiers sources conservés le temps du calcul et de sa vérification ; seuls des effectifs agrégés sont enregistrés |
L'adresse e-mail est nécessaire pour accéder à l'Aperçu et pour acheter un rapport : sans elle, ces services ne peuvent pas vous être fournis. Un achat suppose aussi vos informations de facturation et la déclaration d'achat professionnel ; l'indication d'un numéro SIREN ou SIRET est facultative. Vos données ne sont ni vendues ni louées.
Le segment associé à votre adresse est déduit automatiquement de son nom de domaine, par exemple pour distinguer une adresse professionnelle d'une adresse personnelle. Cette déduction, à usage interne, ne donne lieu à aucune décision automatisée produisant des effets juridiques à votre égard, au sens de l'article 22 du RGPD. Le retour d'expérience enregistre une empreinte de votre adresse IP, obtenue par hachage, qui sert uniquement à limiter les envois répétés.
3. Données publiques de professionnels de santé
Pour calculer les effectifs de professionnels par commune, StudyRoom SAS traite des fichiers publics qui contiennent des données personnelles de professionnels de santé (nom, identifiant, profession, lieu d'exercice) : l'annuaire RPPS de l'Agence du Numérique en Santé, l'Annuaire santé de l'Assurance Maladie et, pour les établissements vétérinaires exploités en nom propre, la base SIRENE de l'Insee. Ces données n'étant pas recueillies auprès des personnes concernées, et une information individuelle exigeant des efforts disproportionnés, la présente section tient lieu de l'information prévue à l'article 14 du RGPD (article 14.5.b).
Finalité : produire une information statistique sur l'offre de soins. Base légale : intérêt légitime (art. 6.1.f). Seuls des effectifs agrégés par commune sont enregistrés dans la base du Site : aucun nom ni identifiant de professionnel n'y est conservé, publié ou vendu. Les fichiers sources ne sont conservés que le temps du calcul et de sa vérification. Vous pouvez vous opposer à ce traitement en écrivant à contact@studyroom.fr ; la correction de vos données publiques relève du producteur de la source.
Données publiques réutilisées sous Licence Ouverte 2.0 (Etalab) et ODbL : INSEE, DREES, Assurance Maladie, ARS / AtlaSanté, Agence du Numérique en Santé (RPPS, FINESS), contributeurs OpenStreetMap. Crédits détaillés.
4. Cookies, traceurs et e-mails
| Nom | Finalité | Durée | Nature |
|---|---|---|---|
| __cartosante_lead | Maintenir votre identification après un clic sur le lien de connexion | 6 mois | Cookie httpOnly signé, strictement nécessaire |
| Cookies de Stripe (Stripe.js) | Sécuriser le paiement et prévenir la fraude | Fixée par Stripe (politique de Stripe relative aux cookies) | Déposés par Stripe, seulement à l'ouverture du formulaire de paiement ; qualifiés d'essentiels par Stripe, nécessaires au paiement que vous demandez |
| cartosante_feedback_dismissed | Ne pas réafficher le formulaire d'avis pendant sept jours après un refus | 7 jours | Stockage local du navigateur, jamais transmis au serveur |
| theme | Mémoriser votre préférence d'affichage clair ou sombre | Jusqu'à effacement par vos soins | Stockage local du navigateur, jamais transmis au serveur |
| Indicateurs du parcours d'achat | Enchaîner le paiement et l'affichage du portrait débloqué | Jusqu'à la fermeture de l'onglet | Stockage de session du navigateur, jamais transmis au serveur |
| toposante_buyer | Afficher le lien « Mes achats » dans l'en-tête après un premier achat | 1 an | Cookie sans donnée personnelle (valeur 1), lu par le navigateur ; personnalisation de l'interface attendue par l'acheteur |
| Vercel Web Analytics et Speed Insights | Mesurer l'audience et la performance des pages | Aucun stockage dans le navigateur | Aucun cookie, aucun identifiant persistant |
Le site dépose un cookie strictement nécessaire à son fonctionnement : le cookie de session. À l'ouverture du formulaire de paiement, Stripe dépose ses propres cookies, qu'il qualifie d'essentiels à la sécurité du paiement et à la prévention de la fraude ; nécessaires au paiement que vous demandez, ils ne requièrent pas votre consentement (article 82 de la loi n° 78-17 du 6 janvier 1978). Une fois le paiement ouvert, un cookie sans donnée personnelle mémorise, pendant un an, qu'un premier achat a déjà eu lieu, pour afficher le lien « Mes achats » : personnalisation de l'interface attendue par l'utilisateur, exemptée de consentement (lignes directrices de la CNIL du 17 septembre 2020, article 5).
La mesure d'audience est réalisée avec Vercel Web Analytics et Vercel Speed Insights, qui ne déposent aucun cookie, n'utilisent aucun identifiant persistant et ne permettent aucun suivi entre sites. Elle est utilisée dans les conditions de l'exemption de consentement prévue pour la mesure d'audience : finalité limitée aux statistiques de fréquentation, résultats anonymes, aucun recoupement avec d'autres traitements. Aucune bannière de consentement n'est donc affichée.
Nous mesurons aussi certaines actions (ouverture d'un portrait, export déclenché, paiement, changement de profession, lecture d'un article) pour comprendre l'usage du site. Ces événements ne contiennent jamais votre adresse e-mail, votre nom ni aucun texte libre : uniquement des identifiants techniques, des tranches de valeurs et, le cas échéant, une catégorie déduite du nom de domaine de votre adresse.
Les e-mails que nous vous adressons ne contiennent ni pixel de suivi d'ouverture ni lien de suivi des clics.
5. Destinataires et prestataires
| Destinataire | Rôle | Localisation | Encadrement du transfert |
|---|---|---|---|
| Vercel Inc. | Hébergement du site, exécution des fonctions serveur, mesure d'audience, journaux techniques | États-Unis, fonctions serveur exécutées en région Paris (cdg1) | Transfert hors UE encadré par les clauses contractuelles types et le EU-US Data Privacy Framework |
| Supabase Pte. Ltd. | Base de données et stockage des fichiers | Société établie à Singapour ; données hébergées dans la région AWS eu-west-3 (Paris, France) | Clauses contractuelles types au contrat de sous-traitance, pour les accès et sous-traitants ultérieurs situés hors UE |
| Plus Five Five, Inc. (Resend) | Acheminement des e-mails (lien de connexion, mise à disposition d'un export, confirmation de commande) | États-Unis | Transfert hors UE encadré par les clauses contractuelles types et le EU-US Data Privacy Framework |
| Stripe Payments Europe, Ltd. | Paiement par carte, calcul de la TVA, émission des factures ; prévention de la fraude en qualité de responsable de traitement indépendant | Irlande ; certaines opérations par Stripe, Inc. (États-Unis) | Transfert hors UE encadré par les clauses contractuelles types et le EU-US Data Privacy Framework |
Ces prestataires, principaux destinataires à la date de mise à jour de cette politique, agissent en qualité de sous-traitants au sens de l'article 28 du RGPD, dans le cadre d'un accord de traitement des données. Stripe traite vos données de paiement en tant que sous-traitant de StudyRoom SAS pour exécuter le paiement, et en tant que responsable de traitement indépendant pour la prévention de la fraude et ses propres obligations légales, selon sa politique de confidentialité. Les factures sont aussi communiquées aux personnes chargées de la comptabilité de StudyRoom SAS, et les données peuvent l'être aux autorités qui les demandent dans le cadre de la loi.
6. Transferts hors de l'Union européenne
La base de données et les fichiers d'export sont hébergés à Paris (région AWS eu-west-3). Certains prestataires et leurs sous-traitants ultérieurs peuvent traiter des données hors de l'Union européenne : Vercel et Resend sont établis aux États-Unis, Supabase Pte. Ltd. à Singapour, et Stripe Payments Europe, Ltd., établie en Irlande, confie une partie des traitements de paiement à Stripe, Inc., établie aux États-Unis.
Ces transferts sont encadrés par la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au EU-US Data Privacy Framework, pour les sociétés qui y adhèrent, et par les clauses contractuelles types de la Commission européenne. Vous pouvez obtenir une copie de ces garanties en écrivant à contact@studyroom.fr.
7. Sécurité
Les échanges sont chiffrés en transit. Le cookie de session est signé, httpOnly et limité au site. L'accès à la base repose sur des politiques de sécurité au niveau des lignes. Les fichiers d'export sont stockés dans un espace privé, accessible uniquement par un lien signé valable vingt-quatre heures, et supprimés automatiquement trente jours après leur création. Les rapports achetés sont conservés dans un espace privé que seul le serveur peut lire.
8. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation du traitement et d'opposition (articles 15 à 21 du RGPD). Vous pouvez vous opposer à tout moment aux traitements fondés sur l'intérêt légitime et aux e-mails d'information, et retirer votre consentement lorsqu'il fonde un traitement, sans que ce retrait affecte la licéité des traitements antérieurs. Le droit à la portabilité s'applique aux données que vous avez fournies et qui sont traitées sur la base du contrat ou de votre consentement (article 20).
L'effacement ne s'applique pas aux données que la loi impose de conserver, notamment les factures et la preuve des contrats (article 17.3 du RGPD) : elles sont conservées, sans autre usage, jusqu'au terme de leur durée légale. La suppression de votre adresse e-mail entraîne la perte de l'accès aux fonctionnalités identifiées et, le cas échéant, aux rapports achetés.
Vous pouvez définir des directives relatives à la conservation, à l'effacement et à la communication de vos données après votre décès (article 85 de la loi n° 78-17 du 6 janvier 1978).
Pour exercer ces droits, écrivez à contact@studyroom.fr ou au siège. Une réponse vous est adressée dans un délai d'un mois à compter de la réception de votre demande, qui peut être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes (article 12.3 du RGPD). En cas de doute raisonnable sur votre identité, un justificatif peut vous être demandé (article 12.6).
9. Adresses recueillies avant cette version
Avant la présente version de cette politique, les pages légales du site désignaient la société GEDS comme éditeur et responsable du traitement des adresses e-mail recueillies. StudyRoom SAS est le nouveau responsable du traitement de ces adresses et des données qui y sont associées, pour les mêmes finalités et dans les conditions décrites ci-dessus. Vous pouvez vous opposer à ce traitement ou en demander l'effacement à tout moment en écrivant à contact@studyroom.fr.
10. Réclamation
Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.
11. Modification de la politique
Cette politique peut être modifiée pour refléter une évolution du service ou de la réglementation. La date de dernière mise à jour figure en tête de page. Les conditions d'utilisation et de vente figurent dans les conditions générales, et les informations sur l'éditeur dans les mentions légales.