Politique de confidentialité

1. Responsable du traitement

MTT Conseil, dont le siège social est à La Garenne-Colombes (92250), France, est responsable des traitements de données personnelles de CapilAtlas. Contact : contact@capilatlas.com. Le détail de l’éditeur figure dans les mentions légales.

Principes : ne collecter que le nécessaire, le dire clairement et le supprimer dès qu’il ne sert plus. Aucune donnée n’est vendue ni utilisée pour de la publicité.

2. Ce que nous traitons, pourquoi et combien de temps

Vos réponses au questionnaire d’orientation ne nous parviennent pas : le calcul se fait dans votre navigateur, et seul le fait de le commencer ou de le terminer peut être mesuré. Les traitements sont les suivants.

3. Professionnels cités dans l’annuaire

L’annuaire présente des professionnels qui proposent la greffe, la tricopigmentation, le complément ou la prothèse capillaire. Ces informations ne sont pas recueillies auprès d’eux : cette section les informe de ce que nous traitons et publions, d’où cela vient, et de leurs droits (RGPD, article 14). Les informations d’une société ne sont pas des données personnelles ; celles d’un médecin, d’un indépendant ou d’un dirigeant nommé le sont.

Données traitées

• nom de l’établissement et, le cas échéant, du praticien ;
• adresse, téléphone, adresse e-mail et site internet professionnels ; une adresse e-mail d’une messagerie grand public (Gmail, Hotmail, Orange, Free…), souvent personnelle, n’est jamais affichée : seule l’équipe la voit ;
• identifiant officiel (SIRET, RPPS ou FINESS), qui sert à vérifier l’établissement auprès du registre, et spécialité ;
• solutions, techniques et prix publiés par le professionnel, avec leurs sources ;
• une courte présentation générée à partir du site officiel, signalée comme telle ;
• le logo et au plus 3 photos du lieu, aucune pour un médecin ou un établissement médical en France ;
• la position de l’adresse sur un plan et, pour certaines fiches, l’identifiant du lieu sur Google, qui sert à afficher ses avis ;
• pour la collecte, les passages des pages lues qui justifient chaque information, vus seulement par l’équipe.

Sources

Les registres publics (SIRENE de l’INSEE, FINESS, Annuaire Santé pour le RPPS), le site officiel du professionnel, lu par notre robot CapilAtlasBot dans le respect de son fichier robots.txt, des annuaires professionnels en ligne, des moteurs de recherche et la saisie de notre équipe. Chaque fiche liste ses sources et la méthodologie décrit la collecte.

Base légale et destinataires

Notre intérêt légitime à informer le public de façon neutre (RGPD, art. 6.1.f). Nous ne publions que des informations professionnelles, déjà rendues publiques par le professionnel ou un registre, sans note, ni classement, ni avis de notre part, et chacun peut s’y opposer simplement. Destinataires : le public, notre équipe, et les prestataires de la collecte (section 4).

Durée

Tant que la fiche est publiée ; elle est revérifiée chaque mois auprès du registre et du site. Une fiche retirée, ou un établissement écarté par la collecte, est conservé pour ne pas être republié ; une durée et une suppression automatique restent à fixer.

Droits et opposition

Accès, rectification, effacement, limitation et opposition (art. 21) : écrivez à contact@capilatlas.com. Sur opposition, nous cessons de publier les données, sauf motif légitime et impérieux que nous vous indiquerions par écrit. La fiche d’un médecin ou d’un établissement médical en France est retirée sur sa simple demande, sous 3 jours ouvrés. Procédure et délais : correction, retrait, opposition.

4. Prestataires et transferts hors de l’Union européenne

Ces prestataires et services traitent des données pour nous ou à l’occasion de votre visite. Plusieurs sont des sociétés américaines : un transfert de données hors de l’Union européenne repose alors sur le cadre de protection des données UE–États-Unis (Data Privacy Framework), pour les sociétés qui y adhèrent, ou sur les clauses contractuelles types de la Commission européenne.

5. Cookies, stockage et contenus de tiers

Pas de cookie publicitaire. Les cookies de mesure d’audience, ceux de Google Analytics, ne sont déposés qu’avec votre accord. À votre première visite, un bandeau vous le demande : « Accepter », « Refuser » ou « Personnaliser ». Refuser est aussi simple qu’accepter, et le site fonctionne de la même façon. Vous pouvez changer d’avis à tout moment par le lien « Gérer les cookies », en bas de chaque page : retirer votre accord efface les cookies de Google Analytics et recharge la page.

Cookies déposés

• mtt_consent : garde votre choix, pour ne pas vous le redemander à chaque page. Il contient un identifiant de choix tiré au sort, le choix (accepté ou refusé), la version du texte d’information et la date. Posé quand vous répondez, même par un refus, il dure 6 mois ; la question vous est alors reposée, et elle l’est aussi plus tôt si ce texte change sur le fond. Il est exempté de consentement.
• _ga et _ga_<identifiant> : cookies de Google Analytics, seulement si vous l’acceptez. Ils portent un identifiant tiré au sort qui relie vos visites, et durent 13 mois au plus (390 jours), sans être prolongés par vos visites suivantes.
• mtt_ga_v : posé avec les cookies de Google Analytics, seulement si vous l’acceptez. Il retient la durée appliquée à ces cookies, pour qu’elle ne soit jamais prolongée ; il expire un jour après eux et il est effacé avec eux.
• cr_session, après connexion seulement : nécessaire pour rester connecté (30 jours au plus, ou jusqu’à la déconnexion). Il est exempté de consentement.

Mesure d’audience

• Vercel Web Analytics, toujours actif : d’après Vercel, il mesure la fréquentation sans cookie tiers, et reconnaît un visiteur, le temps d’une journée, par une empreinte calculée à partir de la requête, effacée après 24 heures. Qu’il n’écrive ni ne lise rien d’autre sur votre appareil reste à vérifier. Ce que nous lui envoyons est décrit plus haut (section 2).
• Google Analytics, sans votre accord : sa balise se charge quand même, réglée sur « refusé » (Consent Mode v2 de Google). Elle ne dépose pas ses cookies et n’envoie que ce que ce mode autorise dans cet état, ce qui permet à Google de modéliser la fréquentation des visiteurs qui ont refusé. Avec votre accord, elle dépose les cookies ci-dessus. Google traite ces données selon sa politique de confidentialité.
• Aucune mesure sur les pages privées : administration, connexion, compte.

Stockage et contenus de tiers

• Le stockage de session de votre navigateur garde votre dernière recherche dans l’annuaire, pour le lien de retour, et vos réponses au questionnaire d’orientation, pour les retrouver en revenant sur la page (« Recommencer » les efface). Rien ne nous en est transmis, et tout s’efface à la fermeture de l’onglet.
• Plan des fiches : ses images viennent des serveurs de la Fondation OpenStreetMap, qui reçoivent votre adresse IP comme pour toute image hébergée ailleurs, selon sa politique de confidentialité. Aucun cookie n’est déposé.
• Avis Google : sur les fiches qui l’affichent, jamais celles d’un médecin ou d’un établissement médical en France, l’encadré est chargé depuis les serveurs de Google quand vous en approchez. Google reçoit votre adresse IP et les informations techniques de votre navigateur, et les traite selon sa politique de confidentialité. L’encadré ne dépose aucun cookie. Son usage est soumis aux conditions d’utilisation additionnelles de Google Maps.
• Itinéraire : le lien ouvre Google Maps seulement si vous cliquez dessus.

6. Ce que nous ne faisons pas

• Nous ne vendons aucune donnée et n’affichons aucune publicité.
• Aucun profilage des visiteurs, et aucune décision automatisée qui les affecte de manière significative (RGPD, art. 22) : seules les limites contre les abus décrites plus haut s’appliquent automatiquement.
• Vos déclarations de prix ne sont jamais rattachées à un compte, même si vous êtes connecté.
• Ce qui peut toucher à votre santé (déclaration de prix, justificatif) ne sert qu’à l’observatoire.

7. Sécurité

Connexion chiffrée (HTTPS) ; codes de connexion et adresses IP enregistrés seulement sous forme d’empreintes ; justificatifs gardés dans la base de données, jamais dans un espace public ; espace d’administration réservé à l’équipe, contrôlé page par page ; images reprises des sites réencodées, sans leurs métadonnées. En cas de violation de données présentant un risque, nous prévenons la CNIL dans les 72 heures et, si le risque est élevé, les personnes concernées.

8. Vos droits

Vous pouvez à tout moment :

• accéder à vos données, les faire rectifier ou effacer, en limiter l’usage ;
• recevoir les données que vous nous avez fournies, dans un format courant (portabilité) ;
• vous opposer à un traitement fondé sur notre intérêt légitime ;
• retirer votre consentement, sans effet sur ce qui a été fait avant ; pour les cookies de mesure d’audience, à tout moment par le lien « Gérer les cookies », en bas de chaque page ;
• donner des directives sur le sort de vos données après votre décès.

Écrivez à contact@capilatlas.com. Nous répondons sous 1 mois au plus ; ce délai peut être prolongé de deux mois pour une demande complexe, et nous vous le disons alors. Nous ne demandons un justificatif d’identité qu’en cas de doute raisonnable. Une déclaration de prix ne porte ni nom ni adresse e-mail : pour la retrouver, donnez-nous la solution, le montant, le mois et l’établissement.

Vous pouvez aussi adresser une réclamation à la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne : cnil.fr/fr/plaintes.