Politique de confidentialité

Viktoria Sargsyan Zaduryan, nom commercial Diagnostic Station.

NIF : 60737332J.

Adresse : Carrer d'Almogàvers 60, 08018 Barcelone, Espagne.

E-mail : hello@diagnosticstation.com.

Téléphone : +34 684 782 711.

Nous traitons tes données conformément au règlement (UE) 2016/679 (RGPD) et à la loi organique 3/2018 (LOPDGDD).

Cette politique s’applique à :

Contact : nom, e-mail, téléphone facultatif et message. La case « J’ai lu la politique de confidentialité » est la preuve que nous t’avons informé avant l’envoi. Ce n’est pas un consentement. La base pour te répondre est ta propre demande. Si nous t’écrivons en premier, au sujet de ta commande ou de quelque chose que tu nous as demandé par téléphone ou WhatsApp, nous gardons ton e-mail, ton nom si nous l’avons, et les messages. La base est ta commande ou ta demande.

Nouveautés par e-mail : ton adresse e-mail, la date et l’heure où tu as coché la case, le texte exact de la case, la page depuis laquelle tu t’es inscrit et la langue du site. Nous conservons aussi l’état de l’inscription (en attente, confirmée ou retirée), l’heure de confirmation, la version de cette politique en vigueur ce jour-là et une empreinte chiffrée du lien de confirmation. L’ensemble est la preuve de ton consentement. Personne n’entre dans la liste d’envoi avant d’avoir cliqué sur le lien de confirmation que nous envoyons par e-mail.

Devis sur mesure : ton prénom, ton nom, ton e-mail, les marqueurs que tu as choisis, des notes facultatives et ton consentement explicite, signé avec ton nom dans le formulaire.

Achat : ton nom, ton e-mail, la commande, les analyses achetées, les quatre cases que tu coches avant de payer (conditions et confidentialité, données de santé, début du service, et que tu as 18 ans ou plus) et, si tu demandes une facture, ton NIF.

Les messages de contact et les demandes de devis sont enregistrés dans notre base d’opérations. L’équipe reçoit seulement une alerte par e-mail avec l’identifiant de la demande et un lien vers notre panneau interne. Ton nom, ton e-mail, ton message, les marqueurs choisis et les notes ne sont pas dans cette alerte. Ils existent seulement dans la base. Inscriptions aux nouveautés : la preuve de ton consentement est enregistrée dans la base d’opérations, et ton e-mail entre dans la liste d’envoi de notre prestataire d’e-mail seulement quand tu confirmes ton inscription.

Nous répondons aux messages de contact et aux demandes de devis depuis ce panneau interne. Notre réponse t’arrive par e-mail depuis hello@diagnosticstation.com, via notre prestataire d’e-mail. Nous enregistrons le texte de la réponse et son heure sur la même demande, et ils sont supprimés avec elle. Si tu réponds à cet e-mail, ta réponse arrive dans notre panneau interne, sur la même demande, et elle est supprimée avec elle. Nous ne gardons pas les fichiers que tu joins.

Données techniques de la visite : adresse IP, agent du navigateur, type d’appareil, et les cookies ds_locale, ds_location, ds_consent et, seulement sur un navigateur de l’équipe, ds_staff_visit.

Analyse : URL de la page, référent, type d’appareil, navigateur, système d’exploitation et une localisation approximative (pays ou région). Le prestataire d’analyse identifie la visite par un hachage de la requête et l’écarte au bout de 24 heures. Ce n’est pas un profil marketing.

Blog : nous ajoutons 1 au compteur de visites de l’article dans la base d’opérations. L’IP sert un instant pour limiter les abus en mémoire du serveur, puis elle est écartée. Le compteur n’inclut pas de profil visiteur. Cette mesure n’a pas besoin de ton consentement.

Tests : nous ajoutons 1 au compteur de visites de chaque test dans la base d’opérations. L’IP sert un instant pour limiter les abus en mémoire du serveur. Elle n’est pas conservée. Il n’y a pas de profil visiteur. Cette mesure n’a pas besoin de ton consentement.

Villes : nous ajoutons 1 au compteur de visites de la page d’accueil de chaque ville dans la base d’opérations. L’IP sert un instant pour limiter les abus en mémoire du serveur. Elle n’est pas conservée. Il n’y a pas de profil visiteur. Cette mesure n’a pas besoin de ton consentement.

Stockage de session dans le navigateur (ce n’est pas un cookie) : se souvient si tu as fermé la bannière de lancement. C’est nécessaire. Il s’efface à la fermeture de l’onglet.

Le même onglet garde une marque pour éviter un second comptage de la visite d’un article du blog, de la page d’une ville ou d’une page de test. C’est un stockage de session. La mesure court dès la première visite.

Les champs marqués comme obligatoires sur chaque formulaire sont nécessaires pour traiter ta demande ou ton achat. Si tu ne les fournis pas, nous ne pouvons pas te répondre, préparer le devis ni traiter la commande. Les autres champs sont facultatifs. Nous te demandons que les données que tu nous donnes soient exactes, et de nous prévenir si elles changent.

Nous ne prenons pas de décisions automatisées et nous n’établissons pas de profils à partir de tes données.

Pour fournir le service, nous faisons appel à des prestataires qui traitent des données pour notre compte, avec un contrat de sous-traitance :

Certains prestataires ont leur siège aux États-Unis. Nous n’utilisons que des prestataires adhérant au cadre de protection des données UE-États-Unis, qui bénéficie d’une décision d’adéquation de la Commission européenne (décision 2023/1795), et aussi de clauses contractuelles types (décision 2021/914). Notre base de données est dans l’Union européenne.

WhatsApp (Meta), OpenAI et Anthropic peuvent traiter des données aux États-Unis. Le transfert repose sur le Data Privacy Framework UE-États-Unis ou sur les clauses contractuelles types de la Commission européenne, selon le fournisseur.

Contact : nous gardons ton message, ou l’e-mail que nous t’avons écrit, et les réponses dans la base d’opérations au maximum 90 jours à partir du premier message. Nous pouvons le supprimer avant. À l’échéance, la base le supprime automatiquement. Les copies de sauvegarde sont supprimées automatiquement après 7 jours, donc la suppression complète a lieu au plus tard 97 jours après le premier message. L’alerte reçue par l’équipe porte seulement l’identifiant, sans données personnelles.

Devis sur mesure : nous gardons la demande dans la base d’opérations 90 jours à partir de sa réception. À l’échéance, la base la supprime automatiquement. Les copies de sauvegarde sont supprimées automatiquement après 7 jours, donc la suppression complète a lieu au plus tard 97 jours après la réception. L’alerte reçue par l’équipe porte seulement l’identifiant, sans données personnelles. Nous gardons la preuve de ton consentement (nom, e-mail, date et version du document) 3 ans.

Devis envoyés par lien : quand nous te préparons un devis (par exemple sur WhatsApp), nous gardons dans la base d’opérations les analyses, le prix, la langue du lien, et si le lien a été ouvert, accepté ou payé. Nous ne gardons ni ton nom ni ton numéro de téléphone dans le devis. Le lien fonctionne 7 jours, sauf si nous le prolongeons, et la base supprime le devis automatiquement après 30 jours (ou 23 jours après l’expiration du lien, si c’est plus tard). Pour garder des prix cohérents, nous conservons pendant un an un registre des prix par analyse qui ne contient aucune donnée sur toi ni le lien. Si tu nous envoies ta demande par message, nous gardons une copie de ce message et la réponse de notre outil de devis pendant 90 jours, uniquement pour vérifier que nos devis sont corrects. Ensuite, la base la supprime automatiquement. Si tu paies, les données de ton achat suivent les règles des achats.

Nos réponses et les tiennes : le texte et l’heure de chaque message sont enregistrés sur la même demande et supprimés avec elle. Nous ne gardons pas les pièces jointes.

Analyse du site : le prestataire écarte le hachage du visiteur au bout de 24 heures. Les rapports agrégés restent dans son tableau de bord pendant la fenêtre de reporting de l’offre.

Compteur du blog : le nombre agrégé reste sur le document de l’article tant que l’article existe. Nous ne conservons ni IP ni profil.

Compteur des tests : le nombre agrégé reste sur le document du test tant que le test existe. Nous ne conservons ni IP ni profil.

Compteur des villes : le nombre agrégé reste sur le document de la ville tant que la ville est sur le site. Nous ne conservons que le nombre.

Commandes et factures : nous les conservons 6 ans (art. 30 du Code de commerce espagnol). Puis nous les supprimons.

Nouveautés par e-mail : si tu ne confirmes pas ton inscription, nous supprimons l’enregistrement après 30 jours. Les copies de sauvegarde sont supprimées automatiquement après 7 jours, donc la suppression complète a lieu au plus tard 37 jours après l’inscription. Si tu la confirmes, ton e-mail reste dans la liste d’envoi jusqu’à ce que tu te désabonnes. Le lien de désabonnement est dans chaque e-mail. Quand tu l’utilises, notre enregistrement conserve la date du retrait comme preuve pendant 3 ans, le délai de prescription le plus long en protection des données. Ensuite il se supprime automatiquement, et les copies de sauvegarde disparaissent au plus tard 7 jours après.

Le site est servi en HTTPS.

Les cookies ds_locale, ds_location et ds_staff_visit sont httpOnly et SameSite=Lax.

Le cookie ds_consent enregistre ton choix sur les cookies tiers pendant 12 mois. Si tu acceptes, la carte se charge seule sur chaque page. Si tu refuses ou si tu ne choisis pas, un clic sur Afficher la carte charge la carte pendant cette visite et ne change pas ce cookie. La mesure d’audience ne dépend pas de ce cookie.

Ton message de contact et les marqueurs que tu as choisis dans un devis sont enregistrés seulement dans la base d’opérations, avec un accès restreint à l’équipe. L’alerte à l’équipe ne les contient pas.

Les copies de sauvegarde de la base sont conservées 7 jours chez Google Cloud, dans la même région de l’Union européenne que la base, puis supprimées automatiquement.

Nous appliquons des mesures techniques et organisationnelles adaptées au risque : accès restreint aux comptes avec vérification en deux étapes, chiffrement en transit (HTTPS) et prestataires liés par des accords de sous-traitance.

Diagnostic Station vend des tests en ligne. Tu achètes le test sur ce site et tu paies par carte. Le paiement est traité par un prestataire de paiement par carte, établissement de paiement agréé dans l’Union européenne. Il traite les données de ta carte. Nous ne les voyons pas.

Ton achat est le test que tu paies sur ce site. Tu te rends ensuite au laboratoire partenaire pendant les horaires de prélèvement. À Barcelone et à Madrid, sans rendez-vous. À Valence et à Málaga, sur rendez-vous. Tu appelles le laboratoire pour le prendre. Le numéro est sur l’autorisation que nous envoyons après le paiement. Ce n’est pas un créneau médical.

Le laboratoire prélève l’échantillon, l’analyse et gère les résultats. Diagnostic Station ne reçoit, ne stocke et n’envoie pas le rapport de résultats.

Nous gardons ta commande avec ton nom, ton e-mail, les analyses achetées et ton code. Nous envoyons au laboratoire partenaire ces quatre mêmes données : ton nom, ton e-mail, les analyses et ton code. Il en a besoin pour réaliser le service que tu nous achètes. À ton arrivée au laboratoire, tu signes sur place son propre document de protection des données.

Nous travaillons avec des laboratoires partenaires dans plusieurs villes. Nous ne publions pas la liste. Le tien figure sur l’autorisation que nous envoyons après le paiement.

Nous avons un profil sur Instagram, un réseau de Meta Platforms Ireland Limited. Lorsque tu nous suis, commentes, réagis ou nous écris en message privé, nous traitons les données que tu publies ou nous envoies : ton nom d’utilisateur, ta photo de profil et le contenu de tes messages et commentaires.

Finalité : répondre à tes messages et commentaires, et afficher notre contenu. Base légale : intérêt légitime (art. 6.1.f) pour gérer le profil, et mesures précontractuelles (art. 6.1.b) si tu nous poses une question sur une analyse.

Les données de santé passent par e-mail, à hello@diagnosticstation.com, et restent hors d’Instagram. Cela comprend les symptômes, les résultats et les analyses qui t’intéressent. Si nous recevons des données de santé par Instagram, nous ne les utilisons pas et nous te demandons de nous écrire par e-mail.

Meta reçoit des statistiques agrégées de notre profil (Insights). Pour cela, Meta et nous sommes responsables conjoints du traitement, selon l’accord de Meta pour les pages et les profils. Meta traite en outre tes données selon sa propre politique de confidentialité, et peut les transférer hors de l’UE avec les garanties qu’elle y indique.

Conservation : les commentaires et messages restent sur Instagram tant que toi ou nous ne les supprimons pas. Nous ne les copions pas dans nos systèmes, sauf s’ils sont nécessaires pour traiter ta demande.

Droits : tu peux les exercer auprès de nous à hello@diagnosticstation.com. Pour les données que Meta contrôle, exerce-les aussi auprès de Meta depuis les paramètres de ton compte.

Tu peux nous écrire sur WhatsApp (WhatsApp Ireland Limited, du groupe Meta). Si tu nous demandes un devis, avant d’utiliser ce que tu nous envoies, nous t’envoyons un lien vers notre site ou nous te le demandons dans la fenêtre qui s’ouvre quand tu touches le bouton WhatsApp, où tu lis ces informations et donnes ton consentement explicite. Jusque-là, nous n’utilisons pas les analyses ni les documents que tu nous as envoyés. Si tu n’acceptes pas, nous les supprimons.

Données : ton numéro, ton nom WhatsApp, tes messages, et les analyses ou documents que tu nous envoies, qui peuvent être des données de santé.

Preuve : nous gardons ton nom, ton numéro, la date et la version du texte que tu as accepté.

Ton consentement vaut pour tes prochains devis sur WhatsApp pendant 3 ans, ou jusqu’à ce que tu le retires.

WhatsApp traite tes données selon ses propres conditions et peut les transférer aux États-Unis dans le cadre du Data Privacy Framework UE-États-Unis.

Durées : nous supprimons les chats après 90 jours. Nous gardons la trace de ton consentement 3 ans.

Retirer ton consentement : écris STOP sur WhatsApp ou à hello@diagnosticstation.com.

Tu peux demander l’accès, la rectification, l’effacement, la limitation, la portabilité ou t’opposer au traitement.

Tu peux retirer ton consentement à tout moment. Cela n’affecte pas les traitements déjà licites.

Tu peux introduire une réclamation auprès de l’AEPD (Espagne) : www.aepd.es.

Pour exercer tes droits : hello@diagnosticstation.com.

Nous pouvons mettre à jour cette politique si nos pratiques changent. La version en vigueur est toujours sur cette page.