Politique de confidentialité

Dernière mise à jour : 18 septembre 2026

Santéloop, exploitée par M2R GROUP SAS (RCS Clermont-Ferrand 108 498 031), dont le siège social est situé Le PIC, 34 Rue du Clos Four, 63100 Clermont-Ferrand, attache une importance primordiale à la protection des données personnelles. La présente politique est conforme au Règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée (Informatique et Libertés).

Responsable du traitement : M2R GROUP SAS, représentée par Matthieu Roman, Président : contact@santeloop.fr

Délégué à la protection des données (DPO) : contactable à dpo@santeloop.fr pour toute question relative au traitement de vos données ou à l’exercice de vos droits (articles 37 à 39 RGPD).

Registre des traitements (art. 30 RGPD) : Santéloop tient à jour un registre interne des activités de traitement, recensant pour chacune la finalité, la base légale, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité. Ce registre est tenu à disposition de la CNIL sur demande.

Article 1 : Données collectées

1.1 Pour tous les utilisateurs

Nom et prénom : identification du compte
Adresse email : connexion et communications
Ville et code postal : localisation des annonces
Photo de profil : identification visuelle (facultative)
Données de navigation : adresse IP, cookies techniques

1.2 Pour les professionnels de santé uniquement

Numéro RPPS ou ADELI : vérification auprès de l’Annuaire Santé (ANS)
Profession : catégorisation du compte professionnel
Établissement ou société : identification professionnelle

1.2 bis Vérification renforcée des inscriptions

À l’inscription, Santéloop effectue des contrôles automatiques auprès de registres publics (Annuaire Santé de l’ANS pour le numéro RPPS ou ADELI, répertoire Sirene de l’INSEE pour le SIRET) afin de prévenir l’usurpation d’identité, sur la base de son intérêt légitime à lutter contre la fraude (RGPD article 6.1.f) et de son obligation de traçabilité des vendeurs professionnels (DSA article 30). Une pièce justificative (pièce d’identité, ou extrait KBIS et pièce d’identité du représentant légal pour une entreprise) n’est demandée que si une incohérence est détectée, et uniquement pour pouvoir vendre. Ces documents sont conservés le seul temps de la vérification, puis supprimés dès que la décision est rendue ; nous ne conservons que le statut de la vérification et sa date.

1.3 Données relatives aux annonces

Titre, description, prix, catégorie, ville, photographies
Messagerie entre utilisateurs
Avis et évaluations
Source de la description (saisie utilisateur, reformulation avec l’assistant Loopi) : à des fins de traçabilité probatoire

1.4 Données de livraison (transactions avec expédition)

Transmission au vendeur pour exécution de la commande

Lorsque vous choisissez la livraison lors d’un achat, les données suivantes sont collectées et transmises au vendeur via la messagerie sécurisée Santéloop, ainsi qu’à notre prestataire d’expédition Boxtal et au transporteur retenu lorsque l’étiquette est achetée depuis Santéloop, aux fins exclusives d’expédition de votre commande, sur la base légale de l’exécution du contrat (RGPD article 6.1.b) :

Prénom et nom : identification du destinataire
Adresse postale complète : adresse de livraison
Numéro de téléphone : requis par les transporteurs pour la notification de livraison
Adresse email : jointe à l’étiquette d’expédition, pour les avis de passage et le suivi du colis

Ces données sont visibles par le vendeur concerné et, lorsque l’étiquette d’expédition est achetée depuis Santéloop, transmises à Boxtal qui les communique au transporteur retenu. Elles ne sont partagées avec aucun autre tiers. Elles sont conservées le temps nécessaire à l’exécution et au suivi de la commande, puis archivées conformément aux obligations légales.

1.6 Données de mesure d’audience (analytics)

Santéloop mesure l’usage de la plateforme pour comprendre les parcours utilisateurs et améliorer le service, au moyen de deux dispositifs installés sur notre propre serveur et exploités par Santéloop seule. Aucun service de mesure tiers n’est utilisé et aucune donnée de fréquentation ne sort de nos serveurs :

Mesure d’audience interne (sans cookies) : douze événements techniques (page vue, inscription, connexion, publication d’annonce, paiement, mise en avant lancée, offre de prix vue, offre de prix choisie, fiche d’annonce affichée, carte d’annonce cliquée, encart publicitaire affiché, encart publicitaire cliqué) stockés dans la base Santéloop. Aucun cookie n’est déposé et rien n’est lu ni écrit sur votre appareil : l’article 82 de la loi Informatique et Libertés, qui impose le recueil du consentement, ne s’applique donc pas à ce dispositif. L’adresse IP est immédiatement tronquée (deux derniers octets remplacés par 0). Chaque événement retient la page consultée, la page de provenance, le type d’appareil déduit de l’en-tête envoyé par votre navigateur et, si vous êtes connecté, l’identifiant de votre compte. Les données sont conservées 90 jours (voir le détail à l’article « Mesure d’audience interne » ci-dessous).
Mesure de fréquentation Umami (sans cookies) : Umami est un logiciel libre de mesure d’audience, installé sur notre propre serveur et exploité par Santéloop seule ; son éditeur n’a aucun accès à vos données. Aucun cookie n’est déposé et rien n’est lu ni écrit sur votre appareil : l’article 82 de la loi Informatique et Libertés ne s’applique donc pas davantage à ce dispositif. Sont enregistrés : la page consultée et les paramètres présents dans son adresse, le titre de la page, la page de provenance, les paramètres de campagne (y compris les identifiants de clic publicitaire de Google, Facebook, Microsoft, TikTok, LinkedIn et X, lorsque vous arrivez depuis une publicité), le navigateur, le système d’exploitation, le type d’appareil, la résolution de l’écran, la langue, la localisation déduite de votre adresse IP (pays, région et ville) et des indicateurs de vitesse d’affichage. Votre adresse IP n’est stockée dans aucune colonne : elle n’est utilisée que le temps de la requête. Pour relier entre elles les pages d’une même visite sans déposer de cookie, un identifiant est en revanche calculé sur notre serveur à partir de votre adresse IP et de votre navigateur : cette empreinte ne quitte jamais notre serveur, n’est pas déposée sur votre appareil et ne permet pas de suivre votre navigation en dehors de Santéloop. S’y ajoutent des événements nommés décrivant l’étape atteinte dans le parcours de création de compte, qui ne contiennent jamais le contenu d’un champ (détail ci-dessous). Ces données sont conservées deux ans, puis supprimées automatiquement. Un résumé mensuel en est tiré et conservé sans limite de durée : il ne contient que des comptages et des libellés non ré-identifiants, aucun identifiant ni empreinte, et ne permet donc de remonter à personne.

1.5 Données fiscales (obligation DAC7)

Obligation légale de reporting fiscal (DAC7)

Conformément à la directive (UE) 2021/514 (DAC7) et aux articles 1649 ter A à 1649 ter E du Code général des impôts (loi de finances pour 2023), Santéloop collecte et déclare annuellement à l’administration fiscale française les informations suivantes pour tout vendeur, particulier comme professionnel, ayant dépassé les seuils légaux (30 ventes ou 2 000 € encaissés sur l’année) :

Identité et coordonnées complètes du vendeur
Numéro d’identification fiscale (NIF) et pays de résidence fiscale
Montant total des transactions réalisées via la plateforme
Nombre de transactions effectuées

Article 2 : Finalités et bases légales

Finalité	Base légale
Création et gestion du compte	Exécution du contrat (art. 6.1.b)
Vérification identité professionnelle (RPPS/ADELI)	Intérêt légitime + consentement
Publication et gestion des annonces	Exécution du contrat (art. 6.1.b)
Messagerie entre utilisateurs	Exécution du contrat (art. 6.1.b)
Transmission données livraison au vendeur	Exécution du contrat (art. 6.1.b)
Modération automatisée (assistant Loopi)	Intérêt légitime + obligation légale DSA
Assistance à la rédaction (assistant Loopi)	Consentement (activation sur demande)
Sécurité et lutte contre la fraude	Intérêt légitime (art. 6.1.f)
Amélioration des services	Intérêt légitime (art. 6.1.f)
Emails transactionnels	Exécution du contrat (art. 6.1.b)
Connexion avec un compte Google (facultative)	Consentement (art. 6.1.a)
Achat d’étiquette et suivi d’expédition	Exécution du contrat (art. 6.1.b)
Offres de prix entre utilisateurs	Exécution du contrat (art. 6.1.b)
Location de matériel entre utilisateurs	Exécution du contrat (art. 6.1.b)
Avis et évaluations après commande	Exécution du contrat (art. 6.1.b)
Droit de rétractation	Obligation légale (art. L221-18 et s. code de la consommation)
Facturation et comptabilité	Obligation légale (art. L123-22 code de commerce)
Traitement des signalements de contenu	Obligation légale (DSA art. 16)
Statistiques d’audience par annonce	Intérêt légitime (art. 6.1.f)
Mise en avant payante et encarts internes	Intérêt légitime (art. 6.1.f)
Liste d’attente pré-lancement (notification d’ouverture)	Consentement (art. 6.1.a)
Relance « message non lu » (une fois, à 24h)	Intérêt légitime (art. 6.1.f), opposition possible
Reporting fiscal DAC7 (vendeurs au-dessus des seuils)	Obligation légale (art. 1649 ter A et s. CGI)
Conservation registre DAC7	Obligation légale (conservation 10 ans)

Article 3 : Sous-traitants et transferts

Santéloop fait appel à des sous-traitants soumis à des obligations contractuelles de confidentialité et de conformité au RGPD. Les transferts éventuels hors Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne (décision 2021/914) et, le cas échéant, par le Data Privacy Framework (DPF) UE–États-Unis.

Hébergement et infrastructure

Scaleway SAS (France) : hébergement de l’intégralité de la plateforme (base de données, authentification, stockage des fichiers, fonctions serveur et site web) sur un serveur situé à Paris (zone fr-par-1). Aucune donnée ne quitte l’Union européenne. Politique Scaleway
Logiciel auto-hébergé : la base de données, l’authentification et le stockage reposent sur le logiciel Supabase, et la mesure de fréquentation sur le logiciel libre Umami. Tous deux sont installés sur ce serveur et exploités par Santéloop seule. Leurs éditeurs n’ont aucun accès à vos données, et ne sont donc pas des sous-traitants : aucune donnée ne leur est transmise.
Scaleway Transactional Email (France, région fr-par) : acheminement des emails du service. Votre adresse email, votre nom et le contenu du message sont traités pour l’envoi, qui est journalisé afin de pouvoir vérifier qu’un message vous est bien parvenu.

Paiements

Stripe Payments Europe, Limited (Irlande) : traitement des paiements sécurisés, gestion des comptes vendeurs (Stripe Connect) et lutte contre la fraude. Certifié PCI DSS niveau 1. Des transferts vers les autres entités du groupe Stripe, dont Stripe, Inc. (États-Unis), peuvent intervenir pour la fourniture du service ; ils sont encadrés par les clauses contractuelles types mentionnées ci-dessus. Politique Stripe

Expédition

Boxtal SAS (France) : recherche des points relais et achat des étiquettes d’expédition. Lorsqu’une étiquette est achetée depuis Santéloop, les nom et prénom, adresse postale, numéro de téléphone et adresse email de l’acheteur comme du vendeur sont transmis à Boxtal, qui les communique au transporteur retenu pour réaliser la livraison. Le titre de l’annonce accompagne l’étiquette, en description du contenu du colis. Ces données ne servent qu’à l’expédition et à son suivi.

Connexion avec un compte Google

Google Ireland Limited (Irlande) : si vous choisissez le bouton « Google » pour vous inscrire ou vous connecter, Google nous transmet votre adresse email et les informations de base de votre compte, et Google est informé de votre connexion à Santéloop. Cette option est facultative : la création de compte par email et mot de passe reste disponible et n’implique aucun échange avec Google. Politique Google

Intelligence artificielle (assistants Loopi)

Mistral AI (France) : fournisseur du modèle d’intelligence artificielle générative utilisé par les assistants Loopi (modération automatisée et aide à la rédaction). Lorsque vous demandez à l’assistant de rédiger ou reformuler une annonce, le contenu que vous avez saisi (titre, description, photos éventuelles, catégorie, prix, état) est transmis à Mistral tel quel. Nous vous recommandons de ne pas inclure de données concernant votre santé ni de données d’identification personnelle (nom, adresse, numéro de téléphone) dans la description : le champ étant libre, ces informations seraient transmises au prestataire. Un filtrage automatique côté Loopi vise à exclure ces éléments du résultat généré, mais ne peut pas empêcher leur transmission initiale. Traitement réalisé dans l’Union européenne, sans transfert hors UE. Conditions Mistral

Le traitement est encadré par les conditions de sous-traitance de Mistral AI, en vigueur depuis le 27 juillet 2026. L’utilisation de vos contenus pour l’entraînement des modèles est désactivée sur notre compte.

Mesure d’audience interne

Mesure d’événements — Santéloop opère sa propre mesure d’audience, hébergée sur notre propre serveur Scaleway (Paris, zone fr-par-1), sans recours à un service tiers de type Google Analytics. Les événements collectés sont limités à douze catégories techniques : page vue, inscription, connexion, annonce postée, mise en avant lancée, paiement, offre de prix vue, offre de prix choisie, fiche d’annonce affichée, carte d’annonce cliquée, encart publicitaire affiché, encart publicitaire cliqué. Chaque événement retient la page consultée, la page de provenance, le type d’appareil déduit de l’en-tête envoyé par votre navigateur et, si vous êtes connecté, l’identifiant de votre compte. Ce dispositif ne calcule aucune empreinte. L’adresse IP est tronquée à la collecte (deux derniers octets remplacés par 0 pour l’IPv4, préfixe /64 conservé pour l’IPv6) pour prévenir toute réidentification directe. Base légale : article 6.1.f RGPD (intérêt légitime), finalité de mesure d’audience et de pilotage produit. Conservation : 90 jours, purge automatique quotidienne au-delà.
Mesure de fréquentation (Umami) — Umami est un logiciel libre installé sur ce même serveur et exploité par Santéloop seule : son éditeur n’a aucun accès à vos données, et aucune donnée de fréquentation n’est transmise à quiconque. Il sert à comprendre par quels chemins vous arrivez sur le site et où les parcours s’interrompent. Il ne dépose aucun cookie. Sont enregistrés : la page consultée et les paramètres présents dans son adresse, le titre de la page, la page de provenance, les paramètres de campagne (y compris les identifiants de clic publicitaire de Google, Facebook, Microsoft, TikTok, LinkedIn et X, lorsque vous arrivez depuis une publicité), le navigateur, le système d’exploitation, le type d’appareil, la résolution de l’écran, la langue, la localisation déduite de votre adresse IP (pays, région et ville) et des indicateurs de vitesse d’affichage. Votre adresse IP n’est stockée dans aucune colonne : elle n’est utilisée que le temps de la requête, pour en déduire la localisation et l’identifiant de visite. Pour relier entre elles les pages d’une même visite sans déposer de cookie, cet identifiant est calculé sur notre serveur à partir de votre adresse IP et de votre navigateur : c’est une empreinte, qui ne quitte jamais notre serveur et n’est pas déposée sur votre appareil. L’enregistrement vidéo de la navigation (rejeu de session), que ce logiciel sait faire, est désactivé ; il ne serait activé qu’après modification de la présente page. Base légale : article 6.1.f RGPD (intérêt légitime). Conservation : deux ans, purge automatique quotidienne au-delà. Un résumé mensuel en est tiré chaque nuit — nombre de pages vues, de visites, répartition par page, source, pays, appareil, et compteurs d’étapes de parcours. Ce résumé ne contient que des comptages et des libellés non ré-identifiants : un chemin de page normalisé (les adresses qui désignent une annonce, une conversation, une commande ou une fiche vendeur y sont remplacées par une forme générique), un domaine de provenance, un pays, un type d’appareil, un nom d’étape. Aucun identifiant, aucune empreinte : n’étant pas une donnée personnelle, il est conservé sans limite, pour permettre les comparaisons d’une année sur l’autre.
Étapes des parcours — depuis le 17 septembre 2026, ce même dispositif enregistre des événements nommés décrivant l’étape atteinte, afin de comprendre où les parcours s’interrompent. Pour la création de compte : page de connexion ou d’inscription atteinte et action qui y a conduit, passage de la connexion vers l’inscription, refus du formulaire avec son motif (mot de passe trop simple, mots de passe différents, conditions non acceptées), refus opposé par le serveur avec son motif, départ vers la connexion Google et échec éventuel de celle-ci, compte créé, attente de confirmation par courriel, renvoi du lien de confirmation et son résultat, confirmation de l’adresse, puis les étapes de la finalisation du profil et le type de compte choisi. Pour la connexion : la réussite ou l’échec, avec son motif. Pour un mot de passe oublié : la demande de réinitialisation et son résultat, le refus du nouveau mot de passe avec son motif, et le changement effectif. Pour le dépôt d’une annonce : l’écran atteint, le refus de passer à l’écran suivant avec le nom des champs à compléter, le refus au moment de publier, la reprise d’un brouillon, la mise en ligne, ainsi que les obstacles rencontrés en chemin — le motif de refus d’une photo (format, poids, nombre) et l’échec de son envoi, le motif d’un refus opposé par nos contrôles de conformité, l’échec d’un paiement d’option et son motif, un stock non enregistré, et l’indisponibilité de l’assistant de rédaction ou l’échec d’enregistrement de votre accord pour l’utiliser. Ni le nom de vos fichiers, ni le contenu de votre annonce, ni le terme qu’un contrôle aurait signalé ne sont enregistrés. Pour un achat : l’écran atteint dans le tunnel, le refus d’avancer avec son motif, le départ vers notre prestataire de paiement et le résultat au retour. Dans tous les cas, seuls le nom de l’étape, celui d’un champ à compléter, un motif codé et quelques indicateurs techniques (méthode de connexion, création ou retouche, origine d’un brouillon, type de publication, résultat d’un paiement) sont enregistrés : jamais le contenu de ce que vous saisissez, et jamais le montant de votre commande ni la liste de ce qu’elle contient. Ces événements ne contiennent jamais le contenu d’un champ : ni adresse électronique, ni mot de passe, ni nom, ni numéro de téléphone. Les messages d’erreur renvoyés par le serveur sont classés en motifs courts et ne sont pas recopiés, précisément parce qu’ils citent parfois l’adresse saisie.
Dans les deux cas, votre navigation en dehors de Santéloop n’est jamais suivie et aucune donnée n’est vendue, louée ni transmise à des fins publicitaires.

Vérifications et obligations légales

Agence du Numérique en Santé (ANS) : vérification des numéros RPPS/ADELI via l’API Annuaire Santé
Direction générale des Finances publiques (DGFiP) : destinataire des déclarations annuelles DAC7 pour les vendeurs ayant dépassé les seuils légaux

Santéloop ne vend ni ne loue vos données personnelles à des tiers.

Article 4 : Durée de conservation

Catégorie de données	Durée de conservation
Données de compte actif	Pendant toute la durée d’utilisation
Après suppression du compte	Suppression immédiate, sauf données transactionnelles pseudonymisées et conservées 10 ans (DAC7, comptabilité)
Données de messagerie	1 an après la dernière interaction
Logs de navigation	12 mois maximum
Données de mesure d’audience (dispositif interne)	90 jours, purge automatique quotidienne
Données de fréquentation (Umami)	2 ans, purge automatique quotidienne
Résumé mensuel agrégé (aucun identifiant)	Sans limite : ce n’est pas une donnée personnelle
Numéro RPPS/ADELI	Durée d’activité du compte professionnel
Décisions de modération (Loopi)	6 mois à des fins de traçabilité
Données transactions (DAC7)	10 ans : art. 1649 ter A et s. CGI
Registre DAC7 (diligences)	10 ans après la fin de la relation commerciale
Dossiers de signalement DSA	6 mois pour permettre tout recours
Offres de prix restées sans suite	12 mois, purge automatique
Journal d’envoi des emails	Pendant la durée du compte, supprimé avec lui

DAC7 : information des vendeurs : Les données fiscales collectées dans le cadre de l’obligation de reporting sont conservées 10 ans. Vous serez informé avant toute déclaration. Si votre numéro fiscal ne nous parvient pas, vous recevez une demande puis deux rappels ; au-delà d’un délai de soixante jours à compter de la demande initiale, vos encaissements sont suspendus et votre compte peut être fermé, conformément à l’article 1649 ter D du code général des impôts. Renseigner votre numéro rétablit immédiatement vos encaissements.

Article 5 : Vos droits

Droit d’accès : obtenir une copie de vos données
Droit de rectification : corriger vos données inexactes
Droit à l’effacement : demander la suppression de votre compte
Droit à la portabilité : recevoir vos données dans un format lisible
Droit d’opposition : vous opposer à certains traitements fondés sur l’intérêt légitime, y compris la relance « message non lu » (désactivable à tout moment dans Profil, onglet Notifications)
Droit à la limitation : limiter le traitement de vos données
Droit de retirer votre consentement : à tout moment, pour les traitements fondés sur le consentement
Droit à l’intervention humaine : en cas de décision automatisée (voir Article 6)

Le droit à l’effacement ne s’applique pas aux données conservées au titre d’une obligation légale (DAC7, comptabilité).

Pour exercer vos droits : dpo@santeloop.fr : réponse sous 30 jours. En cas de non-réponse ou de réponse insatisfaisante, vous pouvez saisir la Commission nationale de l’informatique et des libertés (CNIL).

Article 6 : Décisions automatisées et profilage

Conformément à l’article 22 du RGPD, Santéloop informe ses utilisateurs qu’elle met en œuvre des traitements reposant sur des outils automatisés, en particulier les assistants Loopi (modération automatisée et aide à la rédaction).

Nature du traitement

L’assistant de modération analyse chaque annonce après publication afin d’identifier d’éventuels contenus non conformes aux CGU ou à la réglementation applicable. L’assistant d’aide à la rédaction propose, sur demande de l’utilisateur, soit une reformulation de la description d’annonce, soit la préparation d’une annonce complète (titre, catégorie, type de produit, état, marque, prix, description) à partir des photographies et du texte fournis. Ces propositions restent modifiables et ne sont intégrées à l’annonce qu’après validation de l’utilisateur.

Logique sous-jacente

Les assistants Loopi s’appuient sur un modèle d’intelligence artificielle générative fourni par Mistral AI. Les décisions prises par ces outils peuvent conduire à une alerte adressée à l’équipe Santéloop, qui seule peut ensuite décider d’une mesure (contact, dépublication, suspension).

Conséquences potentielles

Les alertes Loopi n’entraînent pas de décision automatique à effet juridique. Toute mesure de modération significative fait l’objet d’un réexamen humain par l’équipe Santéloop avant application.

Droit à l’intervention humaine

Conformément à l’article 22 du RGPD et à l’article 20 du DSA, tout utilisateur faisant l’objet d’une mesure reposant sur un traitement automatisé peut demander un réexamen humain et contester la décision à l’adresse contact@santeloop.fr dans un délai de 30 jours suivant la notification.

Article 7 : Cookies

Santéloop n’utilise que des cookies techniques strictement nécessaires au fonctionnement du site (session, authentification). Aucun cookie d’analyse ou publicitaire n’est déposé : les deux dispositifs de mesure d’audience sont hébergés par nous et fonctionnent sans cookie, sans rien lire ni écrire sur votre appareil. Si un outil soumis à consentement était un jour ajouté, celui-ci serait recueilli via un bandeau de choix avant tout dépôt.

Consulter notre politique de cookies complète

Article 8 : Sécurité des données

Chiffrement des données en transit (HTTPS / TLS 1.2+)
Chiffrement des mots de passe (bcrypt)
Authentification sécurisée via Supabase Auth
Accès aux données restreint par des politiques Row Level Security (RLS) au niveau de la base de données
Vérification des professionnels via l’Annuaire Santé officiel de l’ANS
Stockage physique des données en France (Scaleway, zone fr-par-1, Paris)

Données hébergées en France

Les données personnelles sont stockées sur une infrastructure Scaleway située à Paris (zone fr-par-1), au sein de l’Union européenne.

Article 9 : Violations de données

En cas de violation de données à caractère personnel, Santéloop s’engage à :

Notifier la CNIL dans les 72 heures suivant la détection (RGPD art. 33)
Informer les personnes concernées si la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés (RGPD art. 34)
Documenter toute violation dans un registre interne

Pour signaler une suspicion de violation : dpo@santeloop.fr

Contact

Pour toute question relative à la présente politique : dpo@santeloop.fr

Dernière mise à jour : 18 septembre 2026