Politique de confidentialité

Chez MentraNova, nous prenons votre vie privée au sérieux. Cette Politique de confidentialité explique comment nous collectons, utilisons, partageons et protégeons vos données personnelles lorsque vous utilisez notre plateforme, notre site web, notre application mobile et nos services associés (collectivement, la « Plateforme »).

MentraNova exerce ses activités au sein de l'Espace économique européen (EEE) et se conforme pleinement au Règlement général sur la protection des données (RGPD) ainsi qu'aux lois nationales applicables en matière de protection des données.

1. Responsable du traitement

MentraNova est le responsable du traitement de vos données personnelles. Vous pouvez nous contacter à l'adresse :

2. Informations que nous collectons

2.1 Informations que vous fournissez directement

Informations de compte :

• Nom, adresse e-mail, numéro de téléphone
• Informations de profil (photo, biographie, préférences)
• Identifiants d'authentification (en cas d'utilisation d'e-mail/mot de passe)
• Informations de paiement (traitées de manière sécurisée via Apple/Google)

Profil et préférences :

• Objectifs, défis et domaines d'intérêt
• Préférences et disponibilités de coaching
• Données démographiques (âge, lieu, profession)
• Informations sur la santé et le bien-être (fournies volontairement)

Communications et contenus :

• Messages échangés avec les coachs et le support
• Notes de séance et données de suivi des progrès
• Avis, évaluations et témoignages
• Réponses aux enquêtes et participation à la recherche

2.2 Informations issues d'authentifications tierces

Lorsque vous vous connectez via Google, Facebook, Apple ou X (Twitter), nous recevons :

• Informations de profil de base (nom, e-mail, photo de profil)
• Identifiant de compte et jetons d'authentification
• Les informations que vous avez autorisées à partager

2.3 Informations collectées automatiquement

Données d'utilisation :

• Pages consultées, fonctionnalités utilisées et actions effectuées
• Durée, fréquence et schémas de session
• Interactions avec les coachs et indicateurs d'engagement
• Requêtes de recherche et préférences fonctionnelles

Informations sur l'appareil et techniques :

• Type d'appareil, système d'exploitation, type de navigateur
• Adresse IP et localisation générale (ville/pays)
• Identifiants d'appareil (lorsque cela est autorisé)
• Informations sur le réseau et la connexion

Cookies et technologies de suivi :

• Cookies de session pour l'authentification et le fonctionnement
• Cookies analytiques pour comprendre les usages (avec consentement)
• Cookies de préférences pour mémoriser vos paramètres
• Cookies marketing (uniquement avec votre consentement explicite)

3. Base légale du traitement (RGPD)

Conformément au RGPD, nous traitons vos données personnelles sur les bases légales suivantes :

Base légale	Finalité
Exécution du contrat (art. 6, 1, b)	Fournir les services de coaching que vous avez demandés et exécuter nos Conditions générales
Consentement (art. 6, 1, a)	Communications marketing, fonctionnalités optionnelles, cookies non essentiels, traitement de données sensibles
Intérêts légitimes (art. 6, 1, f)	Amélioration du service, prévention de la fraude, sécurité, analyses (lorsque vos droits ne prévalent pas)
Obligation légale (art. 6, 1, c)	Respect des lois de l'UE, requêtes légales, obligations fiscales, lutte contre le blanchiment

Lorsque nous nous fondons sur l'intérêt légitime, nous avons mis en balance ces intérêts avec vos droits et libertés. Vous avez le droit de vous opposer à un traitement fondé sur l'intérêt légitime.

4. Comment nous utilisons vos informations

4.1 Fournir et améliorer nos services

• Créer et gérer votre compte
• Vous mettre en relation avec des coachs et mentors adaptés
• Faciliter les séances de coaching et la communication
• Traiter les paiements et gérer les abonnements
• Suivre vos progrès et fournir des recommandations personnalisées
• Développer et améliorer nos fonctionnalités de coaching IA
• Analyser les usages pour améliorer l'expérience utilisateur

4.2 Communication et support

• Envoyer des e-mails transactionnels (confirmations, reçus, mises à jour)
• Fournir un support client et répondre aux demandes
• Vous informer des changements importants du service
• Recueillir des retours et mener des enquêtes
• Envoyer des communications marketing (uniquement avec votre consentement)

4.3 Sécurité et sûreté

• Vérifier l'identité et prévenir la fraude
• Détecter et empêcher abus, spam et infractions
• Protéger contre les menaces de sécurité et incidents techniques
• Faire respecter nos Conditions d'utilisation
• Respecter nos obligations légales

4.4 Recherche et analyses

• Mener des recherches pour améliorer les méthodes de coaching
• Analyser des données agrégées pour identifier des tendances
• Générer des rapports statistiques anonymisés

5. Avec qui nous partageons vos informations

5.1 Avec les coachs et mentors

Lorsque vous êtes mis en relation avec un coach ou réservez une séance, nous partageons les informations de profil, les objectifs et les préférences pertinents pour permettre un coaching efficace. Les coachs sont tenus à des obligations de confidentialité.

5.2 Prestataires de services (sous-traitants)

Nous partageons des données avec des prestataires tiers de confiance qui nous aident à exploiter la Plateforme. Tous les sous-traitants sont liés par des accords de traitement conformes au RGPD :

• Traitement des paiements : Apple App Store / Google Play (achats intégrés)
• Hébergement cloud : Railway (hébergement applicatif)
• Services d'IA : OpenAI Ireland Ltd. (coaching IA, mise en relation, embeddings — le traitement des données EEE/suisses est contracté avec OpenAI Ireland Ltd. dans le cadre d'un DPA signé ; les éventuels transferts hors EEE sont encadrés par des CCT. OpenAI n'utilise pas les données API pour entraîner ses modèles.)
• Analyses : Google Analytics 4, Firebase Analytics, PostHog
• E-mail : Resend (livraison d'e-mails transactionnels — États-Unis, CCT en place)
• Stockage de médias : Cloudinary (téléversements d'images et documents — États-Unis, CCT en place)
• Suivi des erreurs : Sentry (surveillance des erreurs applicatives — États-Unis, CCT en place)
• Notifications push : Expo, Firebase Cloud Messaging (notifications push mobiles)

5.3 Transferts d'entreprise

Si MentraNova est impliquée dans une fusion, acquisition ou cession d'actifs, vos informations pourront être transférées. Nous vous en informerons et veillerons à ce que la nouvelle entité continue de respecter le RGPD.

5.4 Obligations légales

Nous pouvons divulguer vos informations lorsque cela est exigé par le droit de l'UE ou national, ou en réponse à :

• Décisions de justice ou procédures légales émanant d'autorités compétentes
• Demandes gouvernementales ou réglementaires
• Protection de nos droits, biens ou de la sécurité
• Prévention de la fraude ou d'activités illégales

5.5 Données agrégées et anonymisées

Nous pouvons partager des données agrégées et anonymisées qui ne permettent pas de vous identifier avec des chercheurs, partenaires ou le public à des fins d'analyse et de reporting. Ces données ne sont plus considérées comme des données personnelles au regard du RGPD.

5.6 Avec votre consentement

Nous pouvons partager vos informations avec d'autres parties lorsque vous y consentez explicitement, par exemple lorsque vous choisissez de partager des témoignages ou de participer à des études de cas.

6. Transferts internationaux de données

Nous stockons et traitons principalement vos données au sein de l'Espace économique européen (EEE). Lorsque nous utilisons des prestataires en dehors de l'EEE, nous veillons à ce que des garanties appropriées soient en place :

• Clauses contractuelles types (CCT) : Approuvées par la Commission européenne
• Décisions d'adéquation : Transferts vers des pays jugés adéquats par l'UE
• Garanties supplémentaires : Mesures complémentaires requises par l'arrêt Schrems II
• Votre consentement explicite : Lorsque cela est requis et approprié

Vous avez le droit d'obtenir des informations sur ces garanties en nous contactant.

7. Conservation des données

Nous conservons vos données personnelles uniquement aussi longtemps que nécessaire pour atteindre les finalités décrites dans cette politique et nous conformer à nos obligations légales :

Durées de conservation :

• Comptes actifs : Pendant la durée de votre compte plus les délais légaux applicables
• Comptes supprimés : 30 jours pour la récupération, puis suppression définitive (sauf obligation légale)
• Documents financiers : 7 ans pour des raisons fiscales et d'audit (comme requis par les lois UE et nationales)
• Communications : Aussi longtemps que nécessaire pour le support, le juridique et la conformité
• Données analytiques : Anonymisées dans un délai de 26 mois
• Cookies : Comme indiqué dans notre politique cookies (généralement 12 à 26 mois)

À l'expiration de ces durées, nous supprimons ou anonymisons vos données de manière sécurisée afin qu'elles ne puissent plus vous identifier.

8. Vos droits en vertu du RGPD

En vertu du Règlement général sur la protection des données, vous disposez des droits suivants :

8.1 Droit d'accès (art. 15)

• Demander confirmation que nous traitons vos données personnelles
• Obtenir une copie de vos données personnelles
• Recevoir des informations sur les finalités, catégories, destinataires et durées de conservation

8.2 Droit de rectification (art. 16)

• Corriger des données personnelles inexactes ou incomplètes
• Mettre à jour vos informations de profil directement dans les paramètres de votre compte

8.3 Droit à l'effacement / « Droit à l'oubli » (art. 17)

• Demander l'effacement de vos données personnelles lorsque :
• Elles ne sont plus nécessaires aux finalités pour lesquelles elles ont été collectées
• Vous retirez votre consentement (lorsque le consentement est la base légale)
• Vous vous opposez au traitement et qu'aucun motif légitime impérieux ne prévaut
• Les données ont été traitées illégalement
• L'effacement est requis par une obligation légale
• Remarque : Nous pouvons conserver des données si la loi l'exige ou pour la constatation de droits en justice

8.4 Droit à la limitation du traitement (art. 18)

• Demander la limitation du traitement lorsque :
• Vous contestez l'exactitude de vos données (en attente de vérification)
• Le traitement est illicite mais vous préférez la limitation à l'effacement
• Nous n'avons plus besoin des données mais vous en avez besoin pour des actions en justice
• Vous vous êtes opposé au traitement (en attente de vérification)

8.5 Droit à la portabilité des données (art. 20)

• Recevoir vos données dans un format structuré et lisible par machine (JSON, CSV)
• Transférer vos données vers un autre prestataire
• S'applique aux données traitées sur la base du consentement ou du contrat

8.6 Droit d'opposition (art. 21)

• Vous opposer à un traitement fondé sur l'intérêt légitime (art. 6, 1, f)
• Vous opposer à tout moment au marketing direct (droit absolu)
• Vous opposer au profilage à des fins de marketing direct

8.7 Droit de retirer son consentement (art. 7, 3)

• Retirer votre consentement à tout moment (lorsque le consentement est la base légale)
• Le retrait n'affecte pas la licéité du traitement antérieur
• Des mécanismes simples de retrait sont mis à disposition

8.8 Droit de ne pas faire l'objet d'une décision automatisée (art. 22)

• Ne pas faire l'objet de décisions fondées exclusivement sur un traitement automatisé (y compris le profilage) produisant des effets juridiques ou significatifs
• Demander une intervention humaine et l'explication des décisions automatisées

8.9 Comment exercer vos droits

Pour exercer l'un de ces droits :

• E-mail : [email protected]
• Paramètres de compte : De nombreux droits peuvent être exercés directement depuis votre compte
• Délai de réponse : Nous répondons sous 1 mois (prolongeable à 3 mois pour les demandes complexes)
• Vérification : Nous pouvons demander une pièce d'identité pour vérifier votre identité
• Gratuité : La première demande est gratuite ; des frais administratifs peuvent s'appliquer pour des demandes excessives

9. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'art. 32 du RGPD :

9.1 Mesures techniques

• Chiffrement en transit (TLS 1.3) et au repos (AES-256)
• Authentification sécurisée (OAuth 2.0, jetons JWT avec rotation)
• Audits de sécurité et tests d'intrusion réguliers
• Systèmes de détection et de prévention d'intrusion
• Procédures automatisées de sauvegarde et de reprise après sinistre
• Pseudonymisation et anonymisation lorsque cela est approprié

9.2 Mesures organisationnelles

• Contrôles d'accès et principe du moindre privilège
• Formation régulière du personnel sur le RGPD et la protection des données
• Accords de confidentialité avec tout le personnel et les sous-traitants
• Analyses d'impact relatives à la protection des données (AIPD) pour les traitements à haut risque
• Procédures de réponse aux incidents et de notification de violations
• Registre documenté des traitements (art. 30)

9.3 Notification de violation de données

En cas de violation de données personnelles présentant un risque pour vos droits et libertés :

• Nous en informerons l'autorité de contrôle compétente dans un délai de 72 heures
• Nous informerons les personnes concernées sans retard injustifié si la violation présente un risque élevé
• Les notifications préciseront la nature de la violation, ses conséquences probables et les mesures prises

10. Catégories particulières de données personnelles

Certaines informations que vous fournissez peuvent être considérées comme des « catégories particulières » de données personnelles au sens de l'art. 9 du RGPD, notamment des données de santé ou révélant des aspects de votre bien-être mental. Nous :

• Traitons les catégories particulières uniquement avec votre consentement explicite (art. 9, 2, a)
• Les utilisons uniquement pour fournir les services de coaching que vous avez demandés
• Mettons en œuvre des mesures de sécurité et de confidentialité renforcées
• Limitons l'accès au personnel autorisé ayant un besoin légitime
• Vous permettons de retirer votre consentement et de demander la suppression à tout moment

Important : MentraNova n'est pas un prestataire de soins de santé et les séances de coaching ne constituent pas un traitement médical ou psychologique. Ne partagez pas d'informations médicales nécessitant une confidentialité clinique.

11. Cookies et technologies de suivi

Nous utilisons des cookies et technologies similaires conformément à la directive ePrivacy et au RGPD. Une bannière de consentement aux cookies vous sera présentée lors de votre première visite.

Type de cookie	Finalité	Base légale
Strictement nécessaires	Authentification, sécurité, fonctionnalité	Intérêt légitime (sans consentement)
Analytiques	Analyse d'usage, suivi des performances	Consentement requis
Préférences	Mémoriser vos paramètres et choix	Consentement requis (ou intérêt légitime)
Marketing	Publicité ciblée, retargeting	Consentement explicite requis

Vous pouvez gérer vos préférences cookies via :

• Notre bannière de consentement aux cookies (lors de la première visite)
• Le centre de préférences cookies dans les paramètres de votre compte
• Les paramètres de votre navigateur

12. Vie privée des enfants

MentraNova n'est pas destinée aux personnes de moins de 18 ans. Nous ne collectons et ne traitons pas sciemment de données personnelles d'enfants. Si vous pensez que nous avons collecté par inadvertance des informations d'un enfant, veuillez nous contacter immédiatement à [email protected] et nous prendrons les mesures pour supprimer ces informations dans les 72 heures.

13. Liens et services tiers

La Plateforme peut contenir des liens vers des sites tiers ou s'intégrer à des services tiers (tels que des fournisseurs OAuth). Nous ne sommes pas responsables des pratiques de confidentialité de ces tiers. Nous vous encourageons à consulter leur politique de confidentialité avant de fournir des informations.

14. Modifications de la présente Politique

Nous pouvons mettre à jour cette Politique de confidentialité de temps à autre pour refléter des changements dans nos pratiques, notre technologie, des exigences légales ou d'autres facteurs. Lors de modifications :

• Nous publierons la politique mise à jour avec une nouvelle date « Dernière mise à jour »
• Pour des modifications substantielles, nous vous informerons par e-mail ou par une notification visible sur la Plateforme au moins 30 jours avant leur entrée en vigueur
• Lorsque la loi l'exige, nous obtiendrons votre consentement pour les modifications substantielles
• L'utilisation continue après la période de notification vaut acceptation de la politique mise à jour

15. Autorité de contrôle et droit d'introduire une réclamation

Vous avez le droit d'introduire une réclamation auprès de votre autorité nationale de contrôle de la protection des données si vous estimez que nous avons violé vos droits en matière de vie privée au titre du RGPD.

Nous vous encourageons toutefois à nous contacter en premier lieu afin que nous puissions traiter directement vos préoccupations.

16. Nous contacter

Si vous avez des questions, des préoccupations ou des demandes concernant cette Politique de confidentialité ou nos pratiques en matière de données, veuillez nous contacter :

Nous répondrons à toutes les demandes légitimes dans un délai d'un mois conformément aux exigences du RGPD.