Politique de confidentialité

Avec la présente politique de confidentialité, orva (ci-après « nous ») explique comment nous traitons vos données personnelles. Cela concerne la visite de notre site web, l’utilisation de notre plateforme de télémédecine, le recours à nos prestations ainsi que toute prise de contact avec nous.

La présente politique de confidentialité suit exclusivement les prescriptions du droit suisse, en particulier la loi fédérale sur la protection des données (LPD).

Si nous devions traiter des données à des fins qui ne sont pas décrites ici, nous vous en informerions séparément.

Par données personnelles, nous entendons toutes les informations se rapportant à une personne identifiée ou identifiable. Il s’agit d’indications permettant de vous reconnaître directement ou indirectement.

Les données sensibles bénéficient d’une protection accrue. Dans le contexte de nos services de télémédecine, il s’agit notamment des informations relatives à la santé.

Par traitement, on entend toute opération en lien avec des données personnelles. En font partie la collecte, l’enregistrement, l’utilisation, la communication, l’anonymisation et l’effacement.

Le responsable des traitements de données décrits ci-après est:

Pour toute question relative à la protection des données ou à l’exercice de vos droits, vous pouvez nous joindre par e-mail.

E-mail: privacy@orva.ch

Pour certains traitements, des tiers peuvent également être responsables (voir sections 6, 13 et 14). Pour toute question concernant leur traitement des données, veuillez vous adresser directement à eux.

Selon la nature de votre interaction avec nous, nous traitons différentes catégories de données:

Informations de compte et d’inscription

Pour utiliser nos services, nous avons besoin d’indications telles que le nom d’utilisateur, l’adresse e-mail, un mot de passe chiffré, votre nom et votre adresse. Au besoin, nous collectons en outre des justificatifs d’identité. Nous conservons habituellement ces informations pendant cinq ans après la fin de l’utilisation.

Correspondance et communication

Si vous nous contactez par e-mail, formulaire, chat ou par un autre moyen, nous enregistrons le contenu ainsi que les métadonnées associées. Il en va de même pour les échanges avec le personnel médical via notre plateforme. Nous conservons la correspondance par e-mail pendant au moins dix ans.

Données de base relatives à la personne

En font partie des informations essentielles telles que le nom, les coordonnées, la date de naissance, le sexe et les informations de paiement. Nous les recevons directement de vous ou, dans le cadre autorisé, de tiers. La durée de conservation est en règle générale de dix ans à compter du dernier contact.

Données contractuelles et transactionnelles

Les données générées lors de la conclusion et de l’exécution du contrat comprennent les commandes, les opérations de paiement, les livraisons, les factures et les indications issues des questionnaires médicaux. Dans le cadre de prestations de télémédecine, des données de santé telles que des ordonnances peuvent également en faire partie. Le délai de conservation est d’au moins dix ans après la fin du contrat.

Données techniques d’utilisation

Lors de la visite de notre site web, nous collectons automatiquement des informations techniques telles que l’adresse IP, le type de navigateur et d’appareil, le système d’exploitation, les heures d’accès, les pages consultées et les URL de provenance. Ces données servent au bon fonctionnement et à la sécurité et sont conservées pendant douze mois.

Comportement d’utilisation et intérêts

Afin d’optimiser nos offres, nous analysons votre comportement d’utilisation, par exemple les schémas de clics, le comportement de défilement, la durée de consultation et les réactions aux communications. Nous utilisons ces enseignements à des fins de personnalisation et d’analyses de marché. Les données sont anonymisées ou effacées dès qu’elles n’ont plus de valeur informative, typiquement après 24 mois.

Indications relatives à la santé

Les données de santé sont considérées comme des données personnelles sensibles (art. 5 let. c LPD). Dans le cadre de nos services de télémédecine, nous traitons de telles données issues de questionnaires, de consultations et d’ordonnances. Nous les transmettons aux destinataires nécessaires à votre prise en charge médicale, tels que les médecins et les pharmacies. Pour toute utilisation allant au-delà de la prise en charge médicale, nous recueillons votre consentement.

Secret médical

Le personnel médical intervenant via notre plateforme est soumis au secret professionnel selon l’art. 321 ch. 1 CP. Les collaboratrices et collaborateurs d’orva peuvent être associés en tant qu’auxiliaires dans la mesure nécessaire et sont tenus à la confidentialité en conséquence. Vos informations de santé ne sont communiquées que dans le cadre de la prise en charge médicale et conformément aux prescriptions légales.

Si vous nous communiquez des données concernant des tiers (par exemple des membres de votre famille), nous partons du principe que vous y êtes autorisé et que les indications sont correctes. Veuillez informer ces personnes de nos pratiques en matière de protection des données.

Le traitement de vos données poursuit les finalités suivantes:

• Fourniture, administration et développement de nos services
• Exploitation et optimisation technique de notre site web et de notre plateforme
• Permettre des consultations de télémédecine et l’établissement d’ordonnances
• Traitement des commandes, des paiements et des livraisons
• Communication avec la clientèle et support
• Envoi de notifications transactionnelles
• Vérification d’identité conformément aux exigences réglementaires
• Communication marketing (dans la mesure où elle est autorisée et en l’absence d’opposition)
• Analyses visant à améliorer l’expérience utilisateur
• Prévention de la fraude et garantie de la sécurité
• Respect des obligations légales
• Exercice ou défense de prétentions juridiques
• Préparation et réalisation de transactions d’entreprise (p. ex. tours de financement, achat ou vente de secteurs d’activité)

Nous fondons notre traitement de données sur les motifs justificatifs applicables selon la LPD: l’exécution du contrat, des intérêts privés ou publics prépondérants, des obligations légales ou votre consentement exprès, dans la mesure où celui-ci est requis.

Nous communiquons des données personnelles à des tiers dans la mesure où cela est nécessaire à la fourniture de nos services, à l’exécution du contrat ou en raison d’obligations légales. Dans les autres cas, nous recueillons votre consentement. Selon la configuration, les destinataires agissent en tant que sous-traitants, responsables distincts ou responsables conjoints.

Catégories de destinataires

• Personnel médical: médecins et pharmacies pour les prestations de télémédecine
• Prestataires techniques: hébergement, bases de données, envoi d’e-mails, analyse web
• Prestataires de paiement: traitement des paiements et des abonnements
• Services de vérification d’identité: services de vérification
• Partenaires d’analyse: services d’analyse web
• Autorités: dans la mesure prévue par la loi

Nos partenaires technologiques et de services

Des contrats de sous-traitance ou des accords de protection des données équivalents existent avec les sous-traitants. Les sous-traitants peuvent à leur tour recourir à des sous-traitants ultérieurs, contractuellement tenus à des obligations équivalentes en matière de protection et de sécurité des données. Pour les responsables conjoints ou les responsables distincts, leurs propres politiques de confidentialité s’appliquent en outre.

Bien que nous privilégiions, pour des services comme Supabase et Vercel, des centres de données situés en Suisse ou à Francfort, un accès des autorités aux données à l’étranger ne peut pas être totalement exclu chez des prestataires actifs à l’échelle internationale.

Des données personnelles peuvent être transférées vers des États dont le niveau de protection des données n’est pas jugé adéquat du point de vue suisse, en particulier vers les États-Unis.

Lors de tels transferts, nous garantissons une protection adéquate au moyen d’accords contractuels, des clauses contractuelles types (SCC) de la Commission européenne avec annexe suisse ou de garanties comparables, pour autant qu’aucune exception légale ne s’applique.

Malgré ces précautions, tous les risques ne peuvent pas être éliminés, en particulier le risque d’accès des autorités à l’étranger.

Dans certains cas, nous analysons des données de manière automatisée afin d’identifier des schémas d’utilisation, de garantir la sécurité, de prévenir les abus ou d’améliorer techniquement notre plateforme.

De telles analyses ne servent ni au diagnostic médical, ni à la recommandation thérapeutique, ni au choix automatisé d’un traitement. Les décisions médicales sont prises exclusivement par des médecins.

Si des décisions individuelles automatisées produisant des effets juridiques ou vous affectant de manière significative devaient être utilisées, nous vous en informerions séparément et vous permettrions la vérification prévue par la loi.

Nous conservons vos données aussi longtemps que l’exigent les finalités de traitement concernées, les délais légaux de conservation, la durée d’éventuels délais de prescription pour des prétentions à l’encontre d’orva ou des intérêts légitimes de documentation.

À l’expiration des délais, les données sont effacées ou anonymisées, à moins que des motifs juridiques, contractuels ou probatoires ne s’y opposent.

Nous mettons en œuvre des mesures de protection techniques et organisationnelles pour préserver vos données de la perte, de l’accès non autorisé et des abus.

Nos mesures de sécurité comprennent:

• Chiffrement systématique lors de la transmission (TLS) et du stockage
• Contrôles d’accès basés sur les rôles
• Journalisation des accès aux données sensibles
• Authentification à plusieurs niveaux pour les systèmes critiques
• Audits de sécurité réguliers
• Accords de confidentialité avec les collaborateurs et les prestataires

Malgré toutes ces mesures, une sécurité absolue ne peut être garantie. Veuillez également protéger soigneusement vos identifiants d’accès et nous informer en cas d’activités suspectes.

Pour que nous puissions vous donner accès à la plateforme et vous proposer nos prestations, vous devez fournir les données personnelles nécessaires au démarrage et à l’utilisation de la plateforme ainsi qu’à l’exécution des obligations contractuelles qui y sont liées. Il n’existe en règle générale aucune obligation légale de fournir ces données.

Sans ces données, nous ne pouvons pas conclure le contrat avec vous, assurer la mise en relation en télémédecine ni fournir les services de la plateforme. Le site web ne peut pas non plus être utilisé pleinement si certaines indications techniques (p. ex. l’adresse IP) ne sont pas divulguées.

En vertu de la loi suisse sur la protection des données (LPD), vous disposez notamment des droits suivants:

• Accès (art. 25 LPD): vous pouvez savoir quelles données nous avons enregistrées à votre sujet.
• Rectification (art. 32 LPD): vous pouvez demander la correction de données erronées ou incomplètes.
• Effacement: vous pouvez exiger la suppression de vos données, pour autant qu’aucune obligation de conservation n’existe.
• Limitation: vous pouvez faire limiter le traitement de vos données.
• Remise des données (art. 28 LPD): vous pouvez recevoir vos données dans un format courant.
• Opposition: vous pouvez vous opposer à l’utilisation de vos données à des fins de marketing direct.
• Révocation: vous pouvez retirer à tout moment, avec effet pour l’avenir, un consentement donné.

Pour exercer vos droits, veuillez nous contacter par e-mail à privacy@orva.ch. Nous vérifierons votre identité et traiterons votre demande dans les meilleurs délais.

Possibilité de réclamation: Si vous n’êtes pas d’accord avec notre traitement des données, vous pouvez vous adresser au Préposé fédéral à la protection des données et à la transparence (PFPDT): www.edoeb.admin.ch

Notre site web utilise des cookies et des technologies comparables afin de vous reconnaître lors de l’utilisation, de mettre à disposition des fonctionnalités et d’effectuer des analyses.

Les cookies sont de petits fichiers texte enregistrés par votre navigateur. D’autres procédés peuvent également être utilisés, par exemple l’empreinte de navigateur (combinaison de caractéristiques techniques en un identifiant de reconnaissance) ou des pixels de suivi.

Catégories de cookies

Nous distinguons:

• Cookies techniquement nécessaires: requis pour le fonctionnement de base (p. ex. statut de connexion, préférence de langue). Nous les utilisons sans consentement. Validité: 30 jours au maximum.
• Cookies d’analyse: permettent des analyses visant à optimiser l’offre. Actifs uniquement avec votre accord. Validité: jusqu’à 12 mois.
• Cookies de mesure marketing: permettent la mesure des conversions par des plateformes publicitaires (Google Ads, Meta, TikTok) sur les pages marketing publiques et pour certains événements de conversion. Uniquement avec votre accord. Pas de remarketing, pas de personnalisation des annonces ni de publicité cross-device.
• Cookies de préférences: enregistrent vos réglages pour une utilisation personnalisée. Uniquement avec votre accord.

Gérer les réglages: Via le lien « Paramètres des cookies » dans le pied de page, vous pouvez adapter ou révoquer vos préférences à tout moment. Les cookies peuvent aussi être gérés via les paramètres de votre navigateur.

Pour analyser l’utilisation du site web, améliorer le parcours d’onboarding et mesurer les conversions sur les pages marketing publiques ainsi que certains événements de conversion, nous recourons à des services de prestataires tiers. À l’exception des fonctions techniquement nécessaires, ceux-ci ne sont activés qu’avec votre consentement.

Google Analytics

Nous utilisons Google Analytics 4 de Google Ireland Limited (Dublin, Irlande) pour l’analyse web. Le service utilise des cookies et anonymise les adresses IP. Les signaux Google, le remarketing, la personnalisation des annonces et les Enhanced Conversions sont désactivés. Les réponses médicales ne sont pas transmises à Google Analytics. Les données d’analyse liées aux événements et aux utilisateurs sont automatiquement effacées au plus tard après 14 mois. Google peut transférer des données vers les États-Unis (base: Swiss-U.S. Data Privacy Framework ou clauses contractuelles types, selon le cas). Détails: Protection des données Google

Mesure des conversions Google Ads

Nous utilisons la mesure des conversions Google Ads de Google Ireland Limited (Dublin, Irlande) afin de déterminer si nos campagnes génèrent des visites, des interactions et certains événements de conversion. La mesure n’est activée qu’avec votre consentement à la mesure marketing. Les signaux Google, le remarketing, la personnalisation des annonces et les Enhanced Conversions sont désactivés. Les réponses médicales ne sont pas transmises à Google Ads. Google peut transférer des données vers les États-Unis (base: clauses contractuelles types). Détails: Protection des données Google

Mesure des conversions des plateformes publicitaires (Meta, TikTok)

Pour mesurer le succès de nos campagnes publicitaires, nous utilisons, sur les pages marketing publiques et sur la page de confirmation de commande, des pixels de conversion de Meta Platforms Ireland Limited (Dublin, Irlande) et de TikTok Technology Limited (Dublin, Irlande). Les pixels ne sont chargés qu’avec votre consentement à la mesure marketing et ne transmettent que certains événements de conversion (p. ex. la conclusion d’un achat avec montant et devise). Aucune réponse médicale, aucune adresse e-mail ni aucun numéro de téléphone ne sont transmis; l’attribution s’effectue uniquement via les cookies et les identifiants de clic de la plateforme concernée. Pas de remarketing ni de personnalisation des annonces. Les prestataires peuvent transférer des données vers les États-Unis (base: clauses contractuelles types ou Swiss-U.S. Data Privacy Framework, selon le cas). Détails: Protection des données Meta et Protection des données TikTok

Vercel Analytics

Vercel Analytics collecte des statistiques d’utilisation anonymisées (pages vues, temps de chargement, types d’appareils) sans lien avec des personnes. Le traitement a lieu à Francfort. Détails: Protection des données Vercel

Nous sommes présents sur les réseaux sociaux afin de communiquer avec vous et de vous informer sur nos offres. Lors d’interactions sur ces plateformes, tant nous-mêmes que les exploitants collectons des données vous concernant.

Les exploitants des plateformes recueillent notamment des informations techniques, des données d’inscription, des contenus de communication et le comportement d’utilisation. Ils utilisent également ces données à leurs propres fins, comme le marketing et les études de marché.

Pour certaines fonctions d’analyse (par exemple les statistiques de pages), une responsabilité conjointe existe avec les exploitants des plateformes.

Instagram

Nous exploitons un profil Instagram. L’exploitant de la plateforme est Meta Platforms Ireland Limited (Dublin). Pour les statistiques de pages, nous sommes conjointement responsables avec Meta. Des données peuvent être transférées vers les États-Unis. Détails: Protection des données Instagram

LinkedIn

Nous exploitons une page d’entreprise LinkedIn. L’exploitant de la plateforme est LinkedIn Ireland Unlimited Company (Dublin). Pour les statistiques de pages, une responsabilité conjointe existe conformément au Joint Controller Addendum. Des données peuvent être transférées vers les États-Unis. Détails: Protection des données LinkedIn

La présente politique de confidentialité s’applique indépendamment de tout accord contractuel. Nous pouvons l’adapter si notre traitement des données, les prestataires utilisés ou les exigences légales évoluent. La version actuelle est disponible à tout moment sur notre site web.

En cas de modifications importantes, nous informons les utilisatrices et utilisateurs enregistrés de manière appropriée, en règle générale au moins 60 jours avant l’entrée en vigueur, par e-mail ou par une notification sur la plateforme. Cette information ne constitue pas une déclaration d’accord; aucune acceptation n’est recueillie pour la politique de confidentialité.

Si une modification concerne un document accepté, comme les conditions d’utilisation ou l’information aux patients, une nouvelle confirmation peut être requise séparément.