La présente politique explique quelles données personnelles Mentup collecte, pourquoi elle les collecte, avec qui elle les partage et quels sont vos droits. Elle est fournie conformément aux art. 13 et 14 du Règlement (UE) 2016/679 (« RGPD ») et au décret législatif italien 196/2003, tel que modifié par le décret législatif 101/2018.
Nous l'avons écrite pour qu'elle se comprenne. Là où un mot technique est inévitable, nous l'expliquons.
1. Qui est le responsable du traitement
Mentup Solutions
Via Romana 75 · 42028 Poviglio (RE) · Italia
N° de TVA 03156100350
E-mail: privacy@mentup.eu
PEC: mentup@pec.it
2. À qui s'adresse Mentup
Mentup peut être utilisée par les personnes ayant 16 ans révolus.
Si vous avez 16 ou 17 ans, l'activation de votre compte requiert le consentement d'un parent ou du titulaire de l'autorité parentale : sans ce consentement, le compte reste inactif et vous ne pouvez pas utiliser le service. Le fonctionnement est expliqué au point 6.
La loi italienne permettrait de consentir au traitement des données dès 14 ans (art. 8 RGPD et art. 2-quinquies du Code de la protection des données). Nous avons choisi un seuil plus élevé pour deux raisons : Mentup traite des données de santé, et l'abonnement est un contrat qu'un mineur ne peut pas conclure seul. Le seuil de 16 ans correspond à celui prévu par le RGPD en l'absence de dispositions nationales différentes, et à celui en vigueur en Allemagne et aux Pays-Bas. Lorsque la loi de votre pays prévoit un âge supérieur, c'est celui-ci qui s'applique.
3. Quelles données nous collectons
3.1 Données que vous nous fournissez à la création du compte
Nom, prénom, adresse e-mail, mot de passe (que nous conservons uniquement sous forme chiffrée et qu'aucun d'entre nous ne peut lire), date de naissance, genre, numéro de téléphone, langue préférée, pays et — si vous choisissez de la téléverser — une photo de profil.
La date de naissance nous sert à une fin précise : déterminer si vous êtes mineur et déclencher la procédure de consentement parental.
3.2 Données sur votre bien-être — la partie la plus sensible
En utilisant Mentup, vous enregistrez :
- les actions quotidiennes que vous choisissez et accomplissez, dans les quatre domaines (famille, relations, développement personnel, santé) ;
- les notes du journal ;
- les décharges d'anxiété et les décharges de colère, avec les valeurs correspondantes ;
- la note de satisfaction quotidienne, avec les remarques et les photographies que vous choisissez d'y joindre ;
- l'organisme caritatif que vous désignez comme bénéficiaire des dons générés par vos actions.
Ce sont des données relatives à votre santé, qui relèvent des « catégories particulières de données à caractère personnel » de l'art. 9 RGPD. Ce sont les données les plus protégées que le Règlement connaisse, et nous ne les traitons que sur la base de votre consentement explicite, que vous pouvez retirer à tout moment (point 5).
3.3 Données du parent ou du tuteur (uniquement pour les utilisateurs mineurs)
Nom, prénom et adresse e-mail du parent ou du tuteur, collectés à seule fin de demander, de recevoir et de conserver la preuve du consentement.
3.4 Données techniques
Adresse IP, type de navigateur ou d'appareil (user agent), ainsi que la date et l'heure auxquelles vous avez donné ou retiré chaque consentement. Nous les conservons pour pouvoir démontrer, si nécessaire, qu'un consentement a effectivement été recueilli : c'est une obligation que le RGPD met à notre charge (art. 7.1).
3.5 Données de paiement
Mentup ne voit pas et ne conserve pas les données de votre carte. L'abonnement s'achète via l'App Store d'Apple, Google Play ou — sur le site — via Stripe. Nous ne recevons du prestataire que l'information nécessaire au maintien de votre abonnement : s'il est actif, quand il expire, s'il a été renouvelé ou résilié, et un identifiant de transaction.
3.6 Ce que nous ne collectons PAS — et ce n'est pas une formalité
À la date de la présente politique, Mentup :
- n'utilise aucun outil de mesure d'audience (ni Google Analytics, ni Firebase Analytics) ;
- n'utilise aucun pixel publicitaire ni SDK d'attribution ;
- ne suit pas votre activité sur d'autres applications ou sites et ne demande pas l'IDFA sur iOS ;
- n'utilise pas d'outils de remontée de plantages ;
- ne profile pas les utilisateurs et ne prend aucune décision automatisée vous concernant ;
- ne vend pas, ne cède pas et ne loue pas vos données, à personne ;
- n'utilise pas vos données émotionnelles à des fins publicitaires, ni pour nous-mêmes ni pour autrui — et ne le fera pas : la publicité ciblée fondée sur des données de catégorie particulière est interdite de manière absolue par l'art. 26(3) du règlement sur les services numériques (DSA), même en présence d'un consentement.
Si l'un de ces points venait à changer, la présente politique serait mise à jour avant que le changement ne prenne effet, et un nouveau consentement vous serait demandé là où cela est prévu.
4. Pourquoi nous traitons vos données et sur quelle base juridique
| Finalité | Données utilisées | Base juridique |
|---|---|---|
| Créer et gérer votre compte, vous permettre de vous connecter | 3.1 | Exécution du contrat — art. 6.1.b |
| Vous permettre d'utiliser les fonctions de bien-être (actions, journal, anxiété, colère, satisfaction, statistiques) | 3.2 | Consentement explicite — art. 9.2.a |
| Vérifier votre âge et recueillir le consentement parental si vous êtes mineur | 3.1, 3.3 | Obligation légale — art. 6.1.c et art. 8 |
| Gérer l'abonnement, les renouvellements, les reçus et l'assistance | 3.1, 3.5 | Exécution du contrat — art. 6.1.b |
| Montrer vos données au professionnel de santé que vous avez désigné | 3.2 | Consentement explicite et spécifique — art. 9.2.a |
| Produire des statistiques agrégées et anonymes pour votre entreprise ou votre école | 3.2 sous forme agrégée | Consentement explicite — art. 9.2.a |
| Enregistrer et conserver la preuve des consentements | 3.4 | Obligation légale — art. 6.1.c |
| Vous envoyer des communications de service (vérification de l'e-mail, alertes de sécurité, échéances de l'abonnement) | 3.1 | Exécution du contrat — art. 6.1.b |
| Vous envoyer des communications promotionnelles sur Mentup | Consentement — art. 6.1.a, révocable d'un clic dans chaque message | |
| Garantir la sécurité du service et prévenir les abus | 3.4 | Intérêt légitime — art. 6.1.f |
| Faire valoir un droit en justice | selon le cas | Intérêt légitime / art. 9.2.f |
Les communications de service ne sont pas de la publicité et ne peuvent pas être désactivées tant que vous avez un compte actif : sans elles, nous ne pourrions pas vous dire que votre abonnement est sur le point d'être prélevé ou que quelqu'un a demandé la réinitialisation de votre mot de passe.
5. Le consentement aux données de bien-être, et comment le retirer
Le consentement aux données de l'art. 9 est explicite, distinct et spécifique : il n'est pas dissimulé dans l'acceptation des Conditions, il n'est pas précoché, et il porte sur une finalité à la fois.
Vous pouvez le retirer à tout moment, depuis les Réglages de l'application, sans avoir à vous justifier et sans que cela ne vous coûte quoi que ce soit. Le retrait :
- prend effet immédiatement pour l'avenir ;
- ne rend pas illicite le traitement effectué jusqu'à ce moment ;
- interrompt aussitôt le partage avec le professionnel, l'entreprise ou l'école, si vous l'aviez autorisé.
Il faut le dire honnêtement : les données de bien-être sont le service. En retirant ce consentement, les fonctions de journal, de statistiques et de suivi cessent de fonctionner, et le compte se limite aux seules fonctions de base.
6. Si vous avez 16 ou 17 ans
- Lors de l'inscription, nous vous demandons l'adresse e-mail d'un parent ou du titulaire de l'autorité parentale.
- Votre compte est créé mais reste inactif : vous ne pouvez pas vous connecter et aucune donnée de bien-être n'est collectée.
- Nous envoyons au parent un message contenant la demande de consentement et le lien vers la présente politique.
- Le compte n'est activé que lorsque le parent confirme.
- Si le consentement n'arrive pas dans un délai de 30 jours, la demande expire et les données collectées jusque-là sont supprimées.
Le parent peut retirer son consentement à tout moment en écrivant à l'adresse indiquée au point 1 ; le compte est alors désactivé et les données supprimées.
Nous ne faisons pas de publicité auprès des mineurs et nous ne profilons pas les utilisateurs mineurs, à quelque fin que ce soit.
7. Avec qui nous partageons vos données
Nous ne partageons rien par défaut. Chacun des partages ci-dessous n'a lieu que si c'est vous qui l'activez, et il est révocable.
7.1 Avec votre professionnel (psychologue, médecin, coach)
Si vous reliez votre compte à un professionnel, celui-ci peut voir vos notes de satisfaction quotidiennes et leur évolution, vos décharges d'anxiété et de colère — date, intensité et aussi le texte que vous avez écrit — et recevoir une alerte si vous cessez d'utiliser l'application.
- Le journal reste le vôtre : le professionnel ne le voit pas.
- Un consentement explicite et spécifique est nécessaire, distinct de tous les autres.
- Chaque accès du professionnel à vos données est enregistré dans un journal technique avec la date, l'heure, l'adresse IP et le type d'accès.
- Vous pouvez interrompre le partage à tout moment, avec effet immédiat.
- Mentup montre les données au professionnel : elle ne les interprète pas, n'attribue aucun score clinique et ne suggère pas quand intervenir.
7.2 Avec votre entreprise
Votre entreprise ne voit jamais vos données individuelles. Jamais. Ce n'est pas une promesse : c'est ainsi que le système est construit.
L'entreprise reçoit uniquement la moyenne de satisfaction de l'ensemble de ses salariés et son évolution dans le temps. Aucune donnée par personne, par service ou par groupe plus restreint que l'entreprise entière. La moyenne n'est calculée que si les salariés inscrits sont au moins 3 : avec moins de personnes, une donnée « agrégée » resterait rattachable à quelqu'un. Pour la même raison, une entreprise ne peut activer Mentup qu'avec au moins 3 salariés. Vous pouvez en outre demander à être exclu même de la moyenne.
Mentup et votre entreprise sont responsables conjoints du traitement au sens de l'art. 26 RGPD, sur la base d'un accord écrit dont vous pouvez demander copie à l'adresse indiquée au point 1.
7.3 Avec votre école
La même règle s'applique : l'école ne reçoit que des données agrégées et anonymes — la satisfaction moyenne et le nombre de décharges enregistrées — par classe et pour l'école entière, jamais par élève. Une donnée de classe n'est affichée que si les élèves inscrits dans cette classe sont au moins 3. La participation est volontaire et n'a aucune incidence sur l'évaluation scolaire. Pour les élèves mineurs, la procédure du point 6 s'applique.
7.4 Avec nos prestataires
Voir le point 8. Ils agissent en qualité de sous-traitants et sont liés par contrat au sens de l'art. 28 RGPD.
7.5 Avec les autorités
Uniquement si et dans la mesure où la loi l'impose.
7.6 Organismes caritatifs
Les organismes bénéficiaires des dons reçoivent le don, pas vos données. Ils ne savent pas qui vous êtes.
8. Les prestataires auxquels nous faisons appel
| Prestataire | À quoi il sert | Où | Rôle |
|---|---|---|---|
| Netsons S.r.l. | Serveurs de l'application et de la base de données | UE (Italie) | Sous-traitant, art. 28 |
| Netsons S.r.l. | Envoi des e-mails de service (SMTP) | UE (Italie) | Sous-traitant, art. 28 |
| Apple — App Store | Achat et renouvellement de l'abonnement sur iOS | — | Responsable de traitement autonome pour le paiement |
| Google — Google Play | Achat et renouvellement de l'abonnement sur Android | — | Responsable de traitement autonome pour le paiement |
| Stripe | Paiements effectués depuis le site | UE / États-Unis | Sous-traitant, art. 28 |
| RevenueCat | Vérification que l'abonnement acheté sur les stores est actif | États-Unis | Sous-traitant, art. 28 |
Nous ne transmettons jamais vos données de bien-être aux prestataires. Ils ne reçoivent que ce qui est nécessaire à leur fonction : un identifiant utilisateur et l'état de l'abonnement.
9. Cookies et données conservées sur votre appareil
9.1 Sur nos sites
Le détail des cookies — nom, finalité, durée et éditeur de chacun — figure dans la Politique relative aux cookies. Nous n'utilisons aujourd'hui qu'un seul cookie, technique. Si nous devions à l'avenir introduire des cookies non techniques, ils ne seraient déposés qu'après votre consentement, que vous pourriez modifier ou retirer à tout moment.
9.2 Dans l'application
Il n'y a pas de cookies dans l'application Mentup. Les cookies sont une technologie du web et parler de cookies dans une application native est techniquement inexact. L'application conserve en revanche certaines informations sur votre appareil :
| Information | À quoi elle sert | Où |
|---|---|---|
| Jeton d'authentification, identifiant utilisateur | Vous garder connecté sans vous demander le mot de passe à chaque lancement | Coffre chiffré du système d'exploitation |
| Langue de l'interface, pays | Vous afficher l'application dans la bonne langue et les organismes caritatifs de votre pays | Mémoire locale de l'application |
| Préférences d'affichage | Se souvenir de ce que vous avez déjà fermé ou masqué | Mémoire locale de l'application |
Tout cela reste sur votre téléphone. Ces informations sont effacées en désinstallant l'application ou en vous déconnectant du compte.
10. Combien de temps nous conservons les données
| Donnée | Conservation |
|---|---|
| Compte et données du profil | Pendant toute la durée du compte. Supprimées dans un délai de 30 jours à compter de la demande de suppression |
| Données de bien-être (journal, décharges, évaluations, photos) | Comme ci-dessus : supprimées avec le compte |
| Données de la relation avec un professionnel de santé | Durée de la relation et 10 ans à compter de sa cessation, conformément aux obligations applicables dans le domaine de la santé |
| Journal des accès du professionnel | 10 ans |
| Preuve des consentements (date, heure, IP, version du document) | 10 ans à compter du retrait ou de la cessation |
| Données dans le cadre d'un programme de bien-être en entreprise | Durée du programme ; anonymisées dans un délai de 90 jours après sa cessation, sauf obligations légales |
| Données fiscales et comptables des abonnements | 10 ans, par obligation légale |
| Données statistiques agrégées et anonymes | Sans limite : elles ne permettent plus de remonter à une personne |
11. Vos droits, et comment les exercer
Vous pouvez à tout moment :
- accéder à vos données et en obtenir copie (art. 15) ;
- les rectifier si elles sont inexactes ou incomplètes (art. 16) ;
- les effacer (art. 17) ;
- en limiter le traitement (art. 18) ;
- les transférer ailleurs dans un format lisible par machine (art. 20) — vous trouverez dans l'application la fonction « Télécharger mes données » ;
- vous opposer aux traitements fondés sur l'intérêt légitime (art. 21) ;
- retirer un consentement à tout moment (art. 7.3).
Comment faire. Depuis les Réglages de l'application, vous trouverez l'export et la suppression du compte. Vous pouvez également écrire à l'adresse indiquée au point 1 ; le site propose par ailleurs une page publique permettant de demander la suppression du compte sans avoir à vous connecter : mentup.eu/cancella-account.
Nous répondons dans un délai d'un mois. Si la demande est complexe, nous pouvons prendre deux mois de plus, en vous en informant.
Si vous estimez que vos données sont traitées de manière incorrecte, vous pouvez introduire une réclamation auprès du Garante per la protezione dei dati personali, l'autorité italienne de protection des données (Piazza Venezia 11, 00187 Rome — garante@gpdp.it — www.garanteprivacy.it), ou auprès de l'autorité du pays dans lequel vous résidez, et saisir l'autorité judiciaire.
12. Comment nous protégeons les données
Communications chiffrées (HTTPS/TLS) ; mots de passe conservés uniquement sous forme de hachage et jamais en clair ; jetons d'accès conservés dans le coffre chiffré de l'appareil ; accès aux données limité aux personnes qui en ont réellement besoin ; chaque accès d'un professionnel tracé et conservé ; sauvegardes périodiques.
Aucun système n'est absolument sûr. Si une violation entraînant un risque élevé pour vos droits devait survenir, nous vous en informerions et nous en informerions l'autorité de contrôle dans les délais légaux (art. 33 et 34 RGPD).
13. Où se trouvent les données
Les données sont conservées sur des serveurs situés dans l'Union européenne.
Certains prestataires indiqués au point 8 (Apple, Google, Stripe, RevenueCat) peuvent traiter des données également en dehors de l'Espace économique européen. Dans ces cas, le transfert a lieu sur la base des garanties prévues au chapitre V du RGPD : décision d'adéquation ou clauses contractuelles types approuvées par la Commission européenne.
Les données de bien-être ne sortent pas de l'Union européenne.
14. Modifications de la présente politique
Si nous la modifions, nous publions la nouvelle version sur cette page avec une nouvelle date et un nouveau numéro de version. Lorsque le changement est important — nouvelles finalités, nouveaux destinataires, nouveaux outils de mesure — nous vous en informons avant qu'il ne prenne effet, et, là où c'est nécessaire, nous vous demandons un nouveau consentement.
Les versions précédentes restent disponibles sur demande.
La présente politique est rédigée en italien. En cas de divergence entre la version italienne et une traduction, la version italienne prévaut.