1. Qui est responsable de vos données ?

Responsable de traitement : EDUSKALE, SARL, 5 allée Alan Turing, 63170 Aubière, RCS Clermont-Ferrand 891 089 732, représentée par son gérant, Laurent SANSELME.

Contact pour vos données personnelles : [À COMPLÉTER : par exemple [email protected]], ou par courrier à l’adresse ci-dessus.

Délégué à la protection des données : EDUSKALE n’a pas désigné de délégué, car elle n’y est pas tenue par l’article 37 du RGPD [À VALIDER PAR UN JURISTE : le suivi régulier et systématique, à grande échelle, de personnes physiques (entrepreneurs individuels) pourrait rendre la désignation obligatoire].

2. Deux catégories de personnes concernées

Novessor traite :

les données de ses utilisateurs : visiteurs, titulaires de compte, abonnés, destinataires de newsletters ;
les données de personnes physiques mentionnées dans les sources publiques, principalement des entrepreneurs individuels et des dirigeants cités dans les annonces du BODACC, ainsi que les administrateurs et mandataires judiciaires désignés dans ces annonces.

3. Données des utilisateurs

Finalité	Données	Base légale (RGPD, art. 6)	Durée de conservation
Création et gestion du compte, connexion, vérification de l’adresse	Adresse électronique, empreinte du mot de passe (Argon2, jamais le mot de passe en clair), dates de création et de vérification, rôle, réglages (fuseau, heure de newsletter)	Exécution du contrat (6.1.b)	Pendant la vie du compte. Un compte gratuit sans connexion depuis 3 ans est supprimé après un préavis de 30 jours [À VALIDER].
Sessions	Empreinte du jeton de session, navigateur (en-tête User-Agent), empreinte de l’adresse IP, dates de création et de dernière activité ; cookie d’appareil reconnu (signé)	Exécution du contrat (6.1.b)	12 heures par défaut, 7 jours au plus, ou 2 heures sans activité ; cookie d’appareil : 180 jours
Jetons de vérification et de réinitialisation	Empreinte du jeton, date d’expiration	Exécution du contrat (6.1.b)	24 heures (vérification et changement d’adresse), 1 heure (réinitialisation)
Fourniture du service : veilles, dossiers, notes, contacts, tâches, documents, imports	Critères de veille, contenus saisis ou déposés par l’utilisateur	Exécution du contrat (6.1.b)	Jusqu’à leur suppression par l’utilisateur ou celle du compte
Envoi des newsletters, rappels et courriers de service	Adresse du ou des destinataires, contenu des envois, état d’envoi	Exécution du contrat (6.1.b)	File d’envoi : [À COMPLÉTER, par exemple 90 jours] après l’envoi
Confirmation des destinataires supplémentaires (offres Cabinet, Réseau)	Adresse du destinataire, date de confirmation ou de désinscription	Consentement du destinataire (6.1.a)	Jusqu’à la désinscription, puis 3 ans pour la preuve du consentement [À CONFIRMER]
Abonnement, facturation, comptabilité	Identité ou dénomination, adresse de facturation, n° de TVA, offre, historique de paiement, identifiants Stripe (client, abonnement). Aucune donnée de carte bancaire.	Exécution du contrat (6.1.b) et obligation légale (6.1.c)	Factures et pièces comptables : 10 ans (article L. 123-22 du Code de commerce)
Sécurité, prévention des abus, limitation de débit	Adresse IP (journal du serveur web), empreinte salée de l’adresse IP (journal de sécurité de l’application), date et heure, action (connexion, échec, réinitialisation, export des données, refus par une limite de débit), identifiant du compte	Intérêt légitime (6.1.f) : protéger le service et les comptes	Journal du serveur web : 14 jours, sans les termes recherchés (adresses des requêtes conservées sans leurs paramètres). Journal de sécurité : 12 mois au plus [À VALIDER : la CNIL recommande en général 6 mois à 1 an pour les journaux de sécurité]. Compteurs de tentatives de connexion : 1 jour
Exercice de vos droits, réclamations	Échanges, pièces fournies	Obligation légale (6.1.c)	Durée du traitement de la demande, puis 5 ans au titre de la prescription [À VALIDER]
Information commerciale sur Novessor (nouveautés, offres)	Adresse électronique	Clients : intérêt légitime pour des services analogues, avec opposition possible à tout moment. Autres personnes : consentement. Article L. 34-5 du Code des postes et des communications électroniques.	3 ans après le dernier contact

Visiteurs sans compte. Le serveur reçoit l’adresse IP et les en-têtes techniques de chaque requête. Ils servent à limiter le débit de l’exploration publique et à assurer la sécurité. L’adresse IP est conservée 14 jours dans les journaux du serveur web ; l’application n’en garde qu’une empreinte salée, dans les conditions ci-dessus. Aucun outil de mesure d’audience n’est utilisé.

Données obligatoires. L’adresse électronique et le mot de passe sont nécessaires pour créer un compte. Les informations de facturation sont nécessaires pour souscrire. Les autres données sont facultatives.

Suppression du compte. À la suppression, l’abonnement Stripe est résilié. Les veilles, dossiers, documents, sessions et courriers en attente sont effacés de la base de production. Seules les données de facturation sont conservées, pour la durée légale. Les données subsistent dans les sauvegardes jusqu’à leur rotation : 7 jours sur le serveur, 35 jours pour les copies quotidiennes chiffrées hors du serveur et 12 mois pour une copie mensuelle chiffrée [À CONFIRMER au paramétrage du serveur de production]. Si une sauvegarde antérieure devait être restaurée, la suppression serait appliquée de nouveau [À CONFIRMER : procédure manuelle d’exploitation].

4. Données des personnes mentionnées dans les sources publiques

Origine. Les annonces du BODACC sont publiées par la DILA en application du Code de commerce. Elles peuvent contenir le nom, le prénom, l’adresse et l’activité d’un entrepreneur individuel, ainsi que les noms des dirigeants et des administrateurs ou mandataires judiciaires désignés. Novessor les complète avec les données de l’INSEE (Sirene) et de l’API Recherche d’entreprises, diffusées sous Licence Ouverte 2.0.

Finalité. Permettre aux utilisateurs d’identifier et de suivre des entreprises faisant l’objet d’une procédure collective, en vue d’une éventuelle reprise, d’une mission de conseil ou d’une veille sectorielle.

Base légale. Intérêt légitime d’EDUSKALE et de ses utilisateurs à accéder à une information légale publiée pour être connue des tiers (article 6.1.f du RGPD). [À VALIDER PAR UN JURISTE : mise en balance documentée ; analyse d’impact (AIPD) à envisager, la liste de la CNIL visant notamment les traitements de données publiques à grande échelle et les évaluations de personnes.]

Minimisation. Les mesures suivantes sont appliquées :

seuls les champs utiles à la finalité sont conservés : identité de l’entreprise, nature de la procédure, dates, juridiction, mandataire, localisation des établissements, activité ;
les publications qui ne sont pas liées à un dossier suivi sont purgées 30 jours après leur dernière information utile, sauf une offre ouverte dont l’échéance future est confirmée ;
l’exploration sans compte, comme celle d’un compte dont l’adresse n’est pas encore confirmée, est limitée aux 90 derniers jours et à une liste fermée de champs ;
les pages publiques indexables par les moteurs de recherche ne contiennent aucun nom d’entrepreneur individuel ;
les données des personnes ayant demandé une diffusion partielle dans Sirene ne sont pas affichées ;
aucune décision automatisée ni aucun profilage produisant des effets juridiques n’est réalisé. Le service ne calcule aucun score de solvabilité des personnes.

Durée. 30 jours après la dernière information utile pour une publication non suivie. Pour une entreprise suivie dans un dossier, la durée de conservation du dossier s’applique, et l’utilisateur peut supprimer le dossier à tout moment.

Information des personnes. Ces données ne sont pas collectées auprès des personnes concernées. Les informer individuellement exigerait des efforts disproportionnés (article 14.5.b du RGPD). La présente politique publique tient lieu d’information. [À VALIDER PAR UN JURISTE]

Droit d’opposition. Toute personne concernée peut s’opposer au traitement de ses données par Novessor (article 21 du RGPD) en écrivant à l’adresse de contact. Ses données sont alors masquées ou supprimées de la base de Novessor. Cette démarche n’a aucun effet sur la publication officielle au BODACC, qui relève de la DILA. Novessor ne peut pas la modifier.

5. Destinataires et sous-traitants

Vos données ne sont ni vendues, ni louées, ni cédées. Elles sont accessibles uniquement aux personnes habilitées d’EDUSKALE et aux sous-traitants suivants, dans la limite de leur mission :

Prestataire	Rôle	Données	Localisation
[À COMPLÉTER : hébergeur VPS]	Hébergement du serveur, de la base et des documents	Toutes les données du service	[À COMPLÉTER : pays, Union européenne attendue]
[À COMPLÉTER : prestataire SMTP]	Envoi des courriers électroniques	Adresse du destinataire, contenu des courriers	[À COMPLÉTER]
Stripe Payments Europe, Limited (Dublin, Irlande)	Paiement, abonnements, factures, portail client	Adresse électronique, identité de facturation, n° de TVA, données de paiement (collectées directement par Stripe)	Union européenne, avec des transferts possibles vers Stripe, Inc. (États-Unis)
[À COMPLÉTER : stockage des sauvegardes hors serveur, si utilisé]	Sauvegardes chiffrées	Copie de la base	[À COMPLÉTER]

Stripe agit comme sous-traitant pour la gestion de l’abonnement. Il agit comme responsable de traitement distinct pour ses obligations propres : lutte contre la fraude et contre le blanchiment, obligations réglementaires. Voir stripe.com/fr/privacy. [À VALIDER PAR UN JURISTE]

Les données peuvent être communiquées aux autorités administratives ou judiciaires sur réquisition légale.

6. Transferts hors de l’Union européenne

Le service est hébergé dans l’Union européenne [À CONFIRMER au choix de l’hébergeur et du prestataire SMTP]. Le seul transfert identifié vise Stripe, Inc. aux États-Unis. Il est encadré par la décision d’adéquation de la Commission européenne du 10 juillet 2023 (EU-U.S. Data Privacy Framework), à laquelle Stripe, Inc. est certifiée, et par des clauses contractuelles types [À VÉRIFIER : certification active sur dataprivacyframework.gov au jour de la publication].

7. Sécurité

Les principales mesures sont les suivantes :

connexion chiffrée (HTTPS) ;
mots de passe hachés avec Argon2 ;
cookie de session HttpOnly, Secure et SameSite=Lax ;
jeton anti-CSRF et contrôle de l’origine des requêtes ;
cloisonnement strict des données entre les comptes ;
secrets conservés côté serveur ;
documents privés non accessibles publiquement ;
sauvegardes quotidiennes chiffrées, dont la clé de déchiffrement n’est pas conservée sur le serveur, copiées hors du serveur et vérifiées par des restaurations d’essai [À CONFIRMER à la mise en production].

En cas de violation de données présentant un risque, EDUSKALE la notifie à la CNIL dans les 72 heures et, si le risque est élevé, aux personnes concernées (articles 33 et 34 du RGPD).

8. Vos droits

Vous disposez des droits suivants sur vos données (articles 15 à 22 du RGPD) :

accès ;
rectification ;
effacement ;
limitation ;
portabilité, pour les données que vous avez fournies : bouton « Télécharger mes données » de la page Mon compte (fichier JSON : compte, réglages, veilles, dossiers, notes, tâches, notifications, abonnement ; les documents se téléchargent depuis chaque dossier) ;
opposition aux traitements fondés sur l’intérêt légitime et, à tout moment, à la prospection ;
retrait de votre consentement, sans effet sur la licéité des traitements antérieurs ;
définition de directives relatives au sort de vos données après votre décès (article 85 de la loi « Informatique et Libertés »).

Pour les exercer, écrivez à [À COMPLÉTER]. Une pièce d’identité peut vous être demandée en cas de doute raisonnable sur votre identité. Une réponse vous est apportée dans un délai d’un mois, qui peut être prolongé de deux mois pour une demande complexe.

Réclamation auprès de la CNIL. Vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr/fr/plaintes.

Démarchage téléphonique. Vous pouvez vous inscrire gratuitement sur la liste d’opposition Bloctel (www.bloctel.gouv.fr). EDUSKALE ne pratique pas de démarchage téléphonique [À CONFIRMER].

9. Cookies

Novessor utilise uniquement des cookies strictement nécessaires (session, reconnaissance de l’appareil pour la sécurité de la connexion) et un stockage local de confort. Voir la page Cookies et stockage local.

10. Mineurs

Le service est réservé aux personnes majeures. Aucune donnée n’est collectée sciemment auprès de mineurs.

11. Modifications

Cette politique peut évoluer. En cas de changement substantiel, les titulaires de compte sont prévenus par courrier électronique avant son entrée en vigueur.

Dernière mise à jour : [À COMPLÉTER].