1. Responsable et périmètre
La présente politique décrit les traitements prévus pour S-Carole. SCAROLE SAS deviendra responsable des traitements liés aux comptes, à la facturation, à la sécurité et au pilotage du service après finalisation de son identité juridique. Aucune ouverture pilote externe ne doit intervenir avant publication de ses coordonnées complètes.
Lorsqu’une entreprise cliente utilise S-Carole pour gérer ses propres prospects et documents, elle détermine les finalités de cette utilisation et agit comme responsable de traitement ; S-Carole agit alors comme sous-traitant dans les limites de ses instructions.
2. Catégories de données
- identité professionnelle des utilisateurs : nom, e-mail, fonction, entreprise et journaux de connexion ;
- identité et réglages de l’organisation : SIREN/SIRET, activité, territoires, cibles et préférences Radar ;
- données commerciales importées ou issues de sources publiques : organisation, projet, source, coordonnées professionnelles, statut et historique d’action ;
- documents déposés volontairement dans la bibliothèque privée ;
- données d’abonnement et de facturation, à l’exclusion des numéros de carte conservés par Stripe ;
- journaux techniques, de sécurité et de preuve des choix contractuels.
3. Finalités et bases légales
- Créer et sécuriser les comptes
- Exécution du contrat et intérêt légitime de sécurité
- Exécuter le Radar et organiser le suivi
- Exécution du contrat ; instructions du client pour ses données
- Facturer et conserver les preuves
- Exécution du contrat et obligations légales
- Prévenir les abus et diagnostiquer les incidents
- Intérêt légitime de sécurité et de continuité
- Améliorer les scores à partir des retours
- Exécution du service et intérêt légitime d’amélioration, sans décision produisant un effet juridique
- Prospection professionnelle du client
- Sous la responsabilité du client ; intérêt légitime possible lorsque la sollicitation est liée à la profession et assortie d’une opposition simple
4. Sources publiques et transparence
S-Carole peut afficher des informations professionnelles provenant notamment de BOAMP, BODACC, de l’Annuaire des Entreprises, de collectivités, de chambres consulaires, de fédérations et de publications de presse accessibles publiquement. La source et son lien doivent rester visibles afin que l’utilisateur vérifie le fait avant d’agir.
Aucune donnée sensible, donnée privée obtenue par contournement ou information inventée ne doit être intégrée. Une personne peut signaler une erreur, exercer son opposition à la prospection ou demander l’examen de ses données professionnelles.
5. Destinataires et prestataires
- personnes habilitées de l’entreprise cliente, selon leur rôle ;
- personnel strictement habilité de S-Carole pour le support, la sécurité et la facturation ;
- Cloudflare pour l’hébergement applicatif, la base D1 et le stockage R2 ;
- WorkOS pour l’authentification et la gestion sécurisée des sessions ;
- Stripe pour la souscription, le paiement et les factures.
6. Durées de conservation prévues
- Comptes et réglages actifs
- Pendant la relation contractuelle
- Données de prospects
- Durée paramétrée par le client, sans dépasser en principe 3 ans depuis la collecte ou le dernier contact émanant du prospect
- Oppositions à la prospection
- Au moins 3 ans dans une liste d’exclusion limitée à cette finalité
- Journaux de sécurité
- Durée proportionnée à la sécurité, cible maximale de 12 mois
- Données de facturation
- 10 ans lorsque la conservation comptable est obligatoire
- Données opérationnelles après résiliation
- Suppression ou restitution selon le contrat, puis effacement des copies résiduelles selon les cycles techniques
7. Droits
Selon la situation, toute personne peut demander l’accès, la rectification, l’effacement, la limitation ou la portabilité de ses données, et s’opposer à un traitement fondé sur l’intérêt légitime. L’opposition à la prospection est absolue, simple et gratuite. Une réclamation peut être adressée à la CNIL.
L’adresse d’exercice des droits sera publiée avant l’ouverture du pilote externe. Une vérification raisonnable de l’identité peut être demandée lorsque cela est nécessaire pour éviter une divulgation à un tiers.
8. Sécurité et transferts
S-Carole met en œuvre une isolation par organisation, des accès nominatifs, une authentification sécurisée, des journaux d’audit et des restrictions de rôle. Les prestataires susceptibles de traiter des données hors de l’Espace économique européen doivent fournir un mécanisme de transfert reconnu et des garanties contractuelles appropriées.