Politique de confidentialité

Responsable de traitement

[RAISON SOCIALE À COMPLÉTER] est responsable du traitement des données personnelles collectées via Balise, au sens du Règlement (UE) 2016/679 (RGPD).

Contact vie privée : juridique@balise-conformite.fr. Point de contact DPO ou référent RGPD : dpo@balise-conformite.fr.

Données collectées et finalités

• Compte utilisateur : nom, prénom et adresse email, pour l'authentification par mot de passe, la vérification de l'adresse et la sécurisation TOTP. Le mot de passe est traité et haché par le fournisseur d'authentification ; il n'est jamais enregistré dans les tables métier de Balise.
• Profil d'organisation : nom, SIREN, secteur d'activité, effectif, chiffre d'affaires, nom du dirigeant et du référent sécurité — pour adapter le questionnaire et pré-remplir les documents générés.
• Réponses d'évaluation et plan d'action — pour calculer un score de maturité et générer des recommandations.
• Documents et preuves de conformité déposés par l'utilisateur — pour constituer le dossier de conformité.
• Journal d'activité (évaluations, actions, documents, incidents et exports) — pour la traçabilité du dossier, à des fins de sécurité et de preuve.
• Formulaire de contact (site public) : identité, email professionnel, profil de demande et message — pour répondre à votre demande commerciale ou de support. Base légale : intérêt légitime (demande entrant) ou mesures précontractuelles.
• Newsletter (site public) : adresse email — pour envoyer des actualités réglementaires facultatives après double opt-in. Base légale : consentement, retirable à tout moment via le lien de désinscription.

Base légale

Les traitements liés au compte et au dossier reposent sur l'exécution du contrat liant l'utilisateur à Balise. Les communications non essentielles (newsletter) reposent sur le consentement. Le formulaire de contact repose sur l'intérêt légitime de répondre aux sollicitations reçues ou, le cas échéant, sur des mesures précontractuelles.

Sous-traitants et hébergement

Les prestataires ci-dessous interviennent dans la fourniture du service. Cette liste est également annexée au DPA pour les clients entreprise. Les entités contractantes exactes doivent être vérifiées sur les contrats du compte de production avant signature client.

• Supabase Inc. — Base de données PostgreSQL, authentification, stockage des fichiers (bucket privé). Localisation : Union européenne (région du projet Supabase — à confirmer sur le tableau de bord production). Transferts : Hébergement prioritaire UE ; transferts hors UE exclus sauf sous-traitance ultérieure documentée.
• Salesforce Heroku — Hébergement et exécution de l'application Next.js, logs techniques. Localisation : Union européenne (région Heroku eu — dynos Ireland) ; siège Salesforce aux États-Unis. Transferts : Clauses contractuelles types (SCC) et DPA Salesforce/Heroku selon contrat.
• Resend Inc. — Envoi des emails transactionnels (confirmation, notifications, contact). Localisation : États-Unis. Transferts : SCC et engagements contractuels Resend ; contenu des emails limité au strict nécessaire.
• Stripe Inc. / Stripe Payments Europe Ltd. — Paiement, facturation et gestion des abonnements. Localisation : Union européenne (Stripe Payments Europe) et États-Unis (Stripe Inc.) selon les flux. Transferts : SCC, certifications PCI-DSS ; Balise ne stocke pas les numéros de carte.
• API Recherche d'Entreprises (data.gouv.fr) — Vérification du SIREN lors de l'inscription organisation. Localisation : France / Union européenne. Transferts : Service public français — pas de transfert hors UE pour cette requête.

Durée de conservation

La suppression d'un compte supprime l'espace dont l'utilisateur est l'unique Owner. Dans un espace partagé, elle retire uniquement son accès afin de préserver les données des autres membres. Un abonnement Stripe actif est annulé avant toute suppression locale.

• Données de compte et dossier métier : pendant la durée du contrat et de l'utilisation active du service.
• Après résiliation ou suppression de compte : restitution ou export des données sur demande dans un délai de 30 jours calendaires, puis suppression des données métier sous 30 jours supplémentaires, sauf obligations légales contraires.
• Factures et éléments comptables liés à Stripe : conservation 10 ans (obligation légale comptable française).
• Journal d'audit et traces de sécurité : 3 ans à compter de l'événement, sauf obligation ou litige en cours.
• Inscriptions newsletter non confirmées : suppression automatique après 30 jours.
• Contenu des notifications techniques terminées (emails système) : anonymisation ou suppression du corps après 90 jours.
• Preuves temporaires de réinitialisation de mot de passe (cookie) : 15 minutes maximum.

Vos droits

Conformément au RGPD, vous disposez notamment de droits d'accès, de rectification, d'effacement, de limitation, d'opposition et, lorsque ses conditions sont réunies, de portabilité. La page Paramètres fournit une archive ZIP contenant les données structurées du dossier, les preuves téléversées, le logo et, lorsqu'il existe, le mandat Cabinet. Les secrets, moyens de paiement et identifiants techniques Stripe en sont exclus. Pour toute demande, contactez juridique@balise-conformite.fr. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).

Violations de données

En cas de violation de données personnelles présentant un risque pour vos droits et libertés, Balise notifie la CNIL dans les 72 heures lorsque la notification est requise, et informe les clients concernés sans retard indu lorsque la violation est susceptible d'engendrer un risque élevé. Les clients B2B agissant en responsables de traitement pour leurs dossiers sont informés conformément à l'article 28 du RGPD.

Mineurs

Balise s'adresse aux professionnels et aux organisations. Le service n'est pas destiné aux personnes de moins de 18 ans. Si vous pensez qu'un mineur nous a transmis des données, contactez-nous pour demander leur suppression.

Cookies et traceurs

Balise n'utilise aucun cookie de mesure d'audience, de publicité ou de réseaux sociaux. Seuls des cookies strictement nécessaires au fonctionnement du service sont déposés. Aucun bandeau de consentement n'est requis dans cette configuration. Si des outils d'analyse ou de marketing étaient ajoutés ultérieurement, un consentement préalable serait mis en place et cette politique serait mise à jour.

Vercel Analytics, Speed Insights ou tout traceur équivalent ne doivent pas être activés en production sans consentement préalable et mise à jour de la présente politique.