Politique de protection des données à caractère personnel
1. Préambule et engagement de conformité
La présente politique a pour objectif de vous informer sur les engagements et les mesures pratiques pris par la société RGPD Chatain & Associés (désignée sous la dénomination de la société R.C.A. France ci-après) dans le cadre du déploiement de sa Conciergerie RGPD, agissant comme un chatbot par e-mail ou messagerie, afin de veiller en toutes circonstances au respect de vos données à caractère personnel.
Dans le cadre de son activité, la société R.C.A. France est amenée à collecter et à traiter des données à caractère personnel relatives aux contacts, prospects, clients, prestataires et partenaires. L’objectif principal de ce document est de regrouper dans un format concis, transparent, compréhensible et aisément accessible les informations concernant les traitements de données mis en œuvre, pour vous permettre de comprendre dans quelles conditions vos données sont traitées.
La société R.C.A. France s’engage à ce que la collecte et le traitement de vos données soient conformes au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés. Nous appliquons nativement les principes de Privacy by Design et veillons à ne collecter que les données strictement nécessaires aux objectifs poursuivis.
À titre préliminaire, il convient d’observer que la Conciergerie RGPD (chatbot par e-mail) ne collecte aucune information lors de ses prestations en dehors de celles imposées règlementairement dans le cadre d’éléments probatoires nécessaires à la réalisation de prestations contractuelles digitales.
Toutefois, consciente de l’importance d’assurer la confidentialité et la sécurité des données qui lui sont transmises de façon générale, la société R.C.A. France prend des engagements forts en termes de confidentialité et vis-à-vis de la protection des données à caractère personnel.
2. Une collecte loyale, transparente et minimisée
Dans un souci de loyauté et de transparence, la société R.C.A. France prend soin d’informer les personnes concernées susmentionnées de chaque traitement qu’elle met en œuvre, par des mentions d’information.
Ces données sont collectées loyalement. Aucune collecte n’est effectuée à l’insu des personnes et sans qu’elles en soient informées.
La société R.C.A. France veille, de façon générale et a fortiori dans le cadre de sa Conciergerie RGPD, à ne collecter et ne traiter que des données strictement nécessaires au regard de la finalité pour laquelle elles le sont.
Lorsque la société R.C.A. France est amenée à traiter des données, elle le fait pour des finalités spécifiques : chaque traitement de données mis en œuvre poursuit une finalité légitime, déterminée et explicite.
Pour chacun des traitements mis en œuvre, la société R.C.A. France s’engage à ne collecter et n’exploiter que des données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
La société R.C.A. France veille à ce que les données soient mises à jour et à mettre en œuvre des procédés pour permettre l’effacement ou la rectification des données inexactes.
3. Les données à caractère personnel que nous traitons
Dans le cadre des traitements de données à caractère personnel dont les finalités vous sont présentées ci-après, la société R.C.A. France collecte et traite les catégories de données suivantes :
- Des données d’identification des personnes concernées telles que votre civilité, vos nom et prénom, vos coordonnées électroniques, téléphoniques et postales ;
- Des données relatives à la situation professionnelle de la personne concernée telles que la profession ou encore les coordonnées professionnelles ;
- Des données d’ordre économique et financier ;
- Des données de connexion et de log.
Le détail des données effectivement collectées, la base juridique qui les justifie et leur durée de conservation sont les suivants :
| Données collectées | Base juridique | Durée de conservation |
|---|---|---|
| Nom, prénom et fonction de la personne engageant l’organisme, nom de l’organisme contractant ; e-mail du compte maître | Obligation précontractuelle ou contractuelle | 10 ans, puis suppression |
| Nom et prénom du responsable de traitement ; organisme, nom, prénom, e-mail et adresse professionnels du référent RGPD ou du délégué à la protection des données ; e-mail du référent RGPD des organismes mutualisés ; e-mail des bénéficiaires internes | Consentement, pour délivrer des documents complets | Jusqu’au retrait du consentement ou à la fin du contrat |
| Logs de connexion, horodatage | Obligation légale | 10 ans, puis suppression |
| Données générées par l’utilisation des services : e-mail, date, question et réponse | Intérêt légitime tenant à l’amélioration des services et au contrôle qualité | 1 mois, puis suppression définitive |
| Données personnelles figurant dans les documents produits pour le client et déposés dans sa bibliothèque (registres, bilans d’audit, analyses d’impact, formulaires) : e-mail et adresse du responsable de traitement et du référent RGPD ou du délégué à la protection des données | Consentement | Jusqu’au retrait du document par le client ou jusqu’à la fin du contrat, puis suppression définitive |
| Nom, prénom, profession, e-mail et téléphone des personnes de la cellule de crise | Consentement | Jusqu’au retrait du consentement ou à la fin du contrat, puis suppression définitive |
| Nom, prénom, adresse postale, e-mail, téléphone, canal de la demande, droit exercé et observations des personnes qui exercent leurs droits auprès de nos clients | Obligation légale | 3 ans |
| E-mail, nom de l’organisme, notes et commentaire de l’auteur d’un avis client publié sur notre site | Consentement | Jusqu’au retrait du consentement ou à la fin de la prestation, puis suppression définitive |
| Nom, adresse, responsable de traitement, téléphone et e-mail des contacts inscrits au registre du sous-traitant | Consentement | Jusqu’au retrait du consentement ou à la fin de la prestation, puis suppression définitive |
| E-mail de la personne à qui un questionnaire d’audit est transmis : prestataire informatique ou personne en charge | Consentement | 30 jours, puis suppression définitive |
| Données de facturation : SIRET, adresse postale de l’organisme, numéro d’engagement, nom et fonction du signataire du devis | Obligation légale | 10 ans, puis suppression |
| Réclamations et échanges de courriers électroniques : e-mail, objet et contenu du message | Obligation légale | 3 ans après la clôture du sujet traité |
| Demandes de connexion : e-mail, horodatage et codes à usage unique émis | Intérêt légitime tenant à la sécurisation des accès | 10 ans pour les abonnés, 5 ans pour les hors contrat et les essais gratuits, puis suppression définitive |
| Changement de compte maître : ancien e-mail, nouvel e-mail, e-mail du demandeur et tiers autorisés | Obligation précontractuelle ou contractuelle | 10 ans, puis suppression |
| Trace de la suppression d’un compte : e-mail d’origine, nom et secteur d’activité de l’organisme, dates d’inscription et de suppression | Obligation légale | 10 ans à compter de la suppression du compte, puis suppression définitive |
4. Les finalités et les bases juridiques de nos traitements
Quel que soit le cadre dans lequel ils interviennent, les traitements mis en œuvre par la société R.C.A. France répondent à une finalité explicite, légitime et déterminée. Ces traitements ont les finalités et les bases juridiques suivantes :
| Finalité | Base juridique |
|---|---|
| Gestion des fournisseurs | Intérêt légitime du responsable de traitement d’exécuter les mesures précontractuelles ou contractuelles en BTOB quand le cocontractant est une personne morale. Exécution des mesures précontractuelles ou du contrat quand une personne physique est directement partie au contrat |
| Gestion et suivi des contrats et des commandes | Intérêt légitime du responsable de traitement d’exécuter les mesures précontractuelles ou contractuelles en BTOB quand le cocontractant est une personne morale. Exécution des mesures précontractuelles ou du contrat quand une personne physique est directement partie au contrat |
| Gestion et suivi des factures, comptabilité | Obligation légale |
| Gestion administrative et financière | Obligations légales et contractuelles |
| Gestion de la production et suivi des dossiers confiés par les clients et de la relation clients | Intérêt légitime du responsable de traitement d’exécuter les mesures précontractuelles ou contractuelles en BTOB quand le cocontractant est une personne morale. Exécution des mesures précontractuelles ou du contrat quand une personne physique est directement partie au contrat |
| Gestion, développement, maintenance d’un chatbot | Intérêt légitime du responsable de traitement d’exécuter les mesures précontractuelles ou contractuelles en BTOB quand le cocontractant est une personne morale. Exécution des mesures précontractuelles ou du contrat quand une personne physique est directement partie au contrat |
| Informer de l’ouverture des services | Consentement |
| La fourniture du service de Conciergerie RGPD (chatbot par e-mail) et la réponse à vos requêtes | Obligation contractuelle |
| La sécurisation de votre accès via le système d’authentification par « Lien Magique » | Intérêt légitime |
| Gérer le paiement, les impayés et le recouvrement des abonnements. Gestion de la facturation des abonnements | Obligation légale pour la facturation. Intérêt légitime du responsable de traitement de piloter l’activité, de communiquer et de développer son activité. Consentement pour la prospection directe par voie électronique |
| Communications commerciales de la société R.C.A. France auprès des utilisateurs du chatbot Conciergerie RGPD en essai libre et en essai gratuit 7 jours sans engagement | Consentement pour la collecte de l’e-mail. Intérêt légitime de la société R.C.A. France pour l’envoi de ses communications commerciales |
| Gestion et suivi de la liste d’opposition | Obligation légale |
| Archivage et conservation | Intérêt légitime du responsable de traitement de conserver des éléments de preuve en cas de potentiel contentieux, pour défendre ses droits et intérêts |
| Chatbot Conciergerie : 1. Demandes d’informations 2. Gestion de la période d’essai 3. Gestion des abonnements 4. Suivi des demandes d’assistance 5. Historisation | Exécution des mesures précontractuelles ou du contrat quand la personne est une personne physique (BTOC). Intérêt légitime du responsable de traitement d’exécuter les mesures précontractuelles ou contractuelles en BTOB quand le cocontractant est une personne morale |
| 1. Réception des demandes d’exercice des droits 2. Instruction et suivi des demandes 3. Historisation et archivage 4. Gestion des réclamations DPO 5. Gestion des opt-in et opt-out 6. Élaboration de données d’activité | Obligation légale. Intérêt légitime d’assurer le pilotage et le reporting de l’activité en matière de protection des données |
Ces finalités et traitements ont été formellement portés à la connaissance et validés par notre Délégué à la Protection des Données via les formalités préalables effectuées auprès de ce dernier.
5. Information des personnes concernées
Conformément à la Réglementation Informatique et Libertés, la société R.C.A. France vous informe sur les traitements de données à caractère personnel qu’elle met en œuvre. Le responsable du traitement est PIERRE CHATAIN, représentant légal de la société R.C.A. France.
Ainsi, la société R.C.A. France vous informe, de manière claire, lors de chaque collecte de données à caractère personnel notamment :
- l’identité et les coordonnées du responsable du traitement ;
- les coordonnées du délégué à la protection des données ;
- les finalités du traitement ainsi que la base juridique du traitement ;
- le cas échéant les intérêts légitimes poursuivis par la société R.C.A. France ou par un tiers ;
- les destinataires ou les catégories de destinataires des données à caractère personnel ;
- la société R.C.A. France n’effectue aucun transfert de données vers un pays tiers ou une organisation internationale ;
- la durée de conservation des données à caractère personnel ;
- l’existence du droit de demander à la société R.C.A. France l’accès aux données, la rectification ou l’effacement de celles-ci, ou une limitation du traitement, ou du droit de s’opposer au traitement et du droit à la portabilité des données ainsi la possibilité de définir le sort de ses données après son décès ;
- l’existence du droit de retirer son consentement à tout moment ;
- le droit d’introduire une réclamation auprès d’une autorité de contrôle (CNIL) ;
- l’existence d’une prise de décision automatisée, y compris un profilage.
6. Les destinataires de vos données et la sous-traitance
La société R.C.A. France ne communique vos données à caractère personnel qu’à des destinataires habilités et déterminés. Sont destinataires de vos données, chacun pour ce qui le concerne :
- les services internes concernés et les membres habilités de la société R.C.A. France ;
- les prestataires de la société R.C.A. France ;
- notre partenaire Stripe, pour la gestion sécurisée des règlements.
Vos données font l’objet d’un traitement informatisé sans prise de décision automatisée ni profilage, et ne font l’objet d’aucun transfert en dehors de l’Union européenne.
Nous veillons à ce que seules les personnes habilitées puissent avoir accès à ces données. La société R.C.A. France applique une politique d’habilitation stricte qui permet que les données qu’elle traite ne soient transmises qu’aux seules personnes autorisées à y avoir accès.
Lorsque la société R.C.A. France recourt à un prestataire, elle ne lui communique des données à caractère personnel qu’après avoir obtenu de ce dernier un engagement et des garanties sur sa capacité à répondre à ces exigences de sécurité et de confidentialité.
Nous concluons avec nos sous-traitants, dans le respect de nos obligations légales et réglementaires, des contrats définissant précisément les conditions et modalités de traitement des données personnelles par ces derniers, en conformité avec la réglementation sur la protection des données personnelles.
7. Les transferts de vos données
Aucune donnée personnelle n’est transférée en dehors de l’Union européenne. La société R.C.A. France n’effectue aucun transfert de données vers un pays tiers ou une organisation internationale.
8. Les durées pour lesquelles nous conservons vos données
La société R.C.A. France fait en sorte que les données ne soient conservées sous une forme permettant l’identification des personnes concernées que pendant une durée nécessaire au regard des finalités pour lesquelles elles sont traitées. Les durées de conservation que nous appliquons à vos données à caractère personnel sont proportionnées aux finalités pour lesquelles elles ont été collectées, ainsi que dans le respect de la législation en vigueur :
| Finalités | Durée de conservation |
|---|---|
| Gestion des contacts et prospects | 3 ans à compter du dernier contact entrant de la personne |
| Contacts non contractuels | 3 ans maximum à compter du dernier contact entrant de la personne |
| Prospection commerciale | 3 ans à compter du dernier contact entrant de la personne |
| Facturation et comptabilité | 10 ans |
| Données d’abonnement | Conservées selon les durées légales en vigueur |
| Gestion des clients | 3 ans à compter de la fin du mandat confié à la société R.C.A. France. Les données pourront être conservées au-delà des 3 ans dans des cas particuliers. |
| Gestion des partenaires et prestataires | 3 ans à compter de la fin de la relation contractuelle |
| Utilisateurs du chatbot Conciergerie RGPD 24/7 | Clients : pendant toute la durée de l’abonnement, puis 3 ans après son terme. Prospects : 3 ans à compter du dernier contact entrant de la personne |
| Gestion des demandes d’informations d’ouverture d’un GUICHET associé à une activité | 3 mois après l’ouverture du service considéré |
| Réponses aux requêtes de fonctionnement de la conciergerie | 3 mois |
| E-mail de l’utilisateur du chatbot Conciergerie RGPD en essai libre, e-mail de l’utilisateur en essai gratuit 7 jours sans engagement | 12 mois à compter de la date de la dernière connexion |
| Fiches de référence | Durée de conservation légale aux fins probatoires |
Les données personnelles des personnes sans lien contractuel avec la société R.C.A. France — délégué à la protection des données, référents RGPD, bénéficiaires internes — sont supprimées immédiatement à la fin du contrat.
9. La sécurité des données et l’hébergement interne
La société R.C.A. France accorde une importance particulière à la sécurité des données personnelles. Elle assure la sécurité de vos données à caractère personnel en mettant en place une protection des données renforcée par l’utilisation de moyens de sécurisation logiques et organisationnels.
Elle a mis en place des mesures techniques et organisationnelles adaptées au degré de sensibilité des données personnelles, en vue d’assurer l’intégrité et la confidentialité des données et de les protéger contre toute intrusion malveillante, toute perte, altération ou divulgation à des tiers non autorisés.
Conscients de l’importance de la souveraineté numérique, nous avons fait le choix d’un fonctionnement en environnement interne, au sein de la société R.C.A. France. Contrairement aux solutions d’hébergement externes, le traitement de vos requêtes est opéré exclusivement chez nous, sur nos serveurs internes. Cet environnement cloisonné limite structurellement les risques d’exposition aux législations extra-territoriales.
Néanmoins, la sécurité et la confidentialité des données personnelles reposent sur les bonnes pratiques de chacun, ainsi la personne concernée est invitée à rester vigilante sur la question.
10. Les cookies
L’utilisateur est informé que, lors de ses visites sur le site, un cookie peut s’installer automatiquement sur son logiciel de navigation. Les règles applicables aux cookies sont accessibles dans la politique cookies (Gestion des cookies) disponible sur notre site internet.
11. Les droits qui vous sont reconnus
La société R.C.A. France est particulièrement soucieuse du respect des droits qui vous sont accordés dans le cadre des traitements de données qu’elle met en œuvre, pour vous garantir des traitements équitables et transparents compte tenu des circonstances particulières et du contexte dans lesquels vos données personnelles sont traitées.
En application de la réglementation Informatique et Libertés, vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation du traitement, à la portabilité, d’opposition et de définir le sort de vos données après votre décès.
11.1 Votre droit d’accès
A ce titre, vous avez la confirmation que vos données personnelles sont ou ne sont pas traitées et lorsqu’elles le sont, vous disposez du droit de demander une copie de vos données et des informations concernant les finalités, les catégories concernées, les destinataires et la durée de conservation.
11.2 Votre droit à la rectification de vos données
Vous pouvez nous demander à ce que vos données personnelles soient, selon les cas, rectifiées, complétées si elles sont inexactes, incomplètes, équivoques, périmées.
11.3 Votre droit à l’effacement de vos données
Vous pouvez nous demander l’effacement de vos données personnelles dans les cas prévus par la législation et la réglementation.
11.4 Votre droit à la limitation des traitements de données
Vous pouvez demander la limitation du traitement de vos données personnelles dans les cas prévus par la législation et la réglementation.
11.5 Votre droit de vous opposer aux traitements de données
Vous disposez du droit de vous opposer à tout moment, pour des raisons tenant à votre situation particulière, à un traitement de vos données à caractère personnel dont la base juridique est l’intérêt légitime poursuivi par le responsable du traitement.
11.6 Votre droit à la portabilité de vos données
Ce droit est limité aux traitements dont la base juridique est votre consentement ou l’exécution des mesures précontractuelles ou d’un contrat.
11.7 Votre droit de retirer votre consentement
Lorsque les traitements de données que nous mettons en œuvre sont fondés sur votre consentement, vous pouvez le retirer à n’importe quel moment.
11.8 Votre droit d’introduire un recours
Vous avez le droit d’introduire une réclamation auprès de la Cnil (3 place de Fontenoy 75007 Paris).
11.9 Votre droit de définir des directives post-mortem
Vous avez la possibilité de définir des directives particulières relatives à la conservation, à l’effacement et à la communication de vos données personnelles après votre décès.
12. Les modalités d’exercice de vos droits
Tous les droits énumérés ci-avant peuvent être exercés en contactant la société R.C.A. France :
- par courrier électronique à l’adresse suivante : dpo@rcafrance.fr ;
- ou par courrier postal à l’adresse suivante : la société R.C.A. France, 20 rue de la République, Le Cèdre – A1, 69270 Couzon au Mont d’Or.
La demande doit être accompagnée d’un justificatif d’identité, par tous moyens, notamment une copie d’un titre d’identité signé.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), en ligne sur www.cnil.fr ou par voie postale : CNIL – 3 place de Fontenoy – TSA 80715 – 75334 Paris Cedex 07.
13. Contact
Pour toutes demandes d’information concernant la politique de protection des données à caractère personnel mise en œuvre par la société R.C.A. France, vous pouvez vous adresser à : dpo@rcafrance.fr
14. Modification du présent document
Nous vous invitons à consulter régulièrement cette politique sur notre site internet. Elle pourra faire l’objet de mises à jour.