Politique de confidentialité et mentions légales

1. Mentions légales et éditeur du site

Ce site est un outil interne édité et exploité par l'agence Marque Média (groupe Group Emotion), accessible à l'adresse demo-p2m.infra-tok.fr.

Les mentions ci-dessus sont requises par l'article 6 III de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN) dès lors que le site est accessible publiquement, même s'il est réservé à des utilisateurs authentifiés.

2. Responsable du traitement

Le responsable du traitement, au sens de l'article 4.7 du RGPD, est l'entité éditrice du site identifiée au point 1 ([À COMPLÉTER : raison sociale exacte du responsable de traitement et adresse postale à laquelle une demande peut être envoyée par courrier]).

Pour toute question relative au traitement de vos données, le point de contact opérationnel est :

• Théo Girondel, responsable du projet — [email protected]
• Martial Viot, contact technique — [email protected]

Délégué à la protection des données (DPO)

[À COMPLÉTER : indiquer si un délégué à la protection des données a été désigné ; si oui, son nom, son adresse électronique de contact et, le cas échéant, son numéro de désignation auprès de la CNIL. Si aucun DPO n'est désigné, remplacer cette section par la mention « Aucun délégué à la protection des données n'a été désigné ; les demandes sont traitées par le contact indiqué ci-dessus. »]

3. Données collectées

Le site ne collecte que les données strictement nécessaires à son fonctionnement. Aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions, origine, orientation, biométrie) n'est traitée. Aucun profilage ni décision automatisée n'est mis en œuvre.

Les journaux techniques du serveur web peuvent contenir l'adresse IP de connexion, dans la limite nécessaire à la sécurité et pour une durée courte : voir le point 6. [À COMPLÉTER : confirmer la configuration réelle de journalisation du serveur web (adresse IP conservée ou anonymisée, durée de rétention) et aligner cette mention]

4. Finalité du traitement

Les données sont traitées exclusivement pour :

• authentifier les utilisateurs et contrôler l'accès au site interne ;
• gérer les droits d'accès selon le rôle attribué ;
• permettre la consultation et la mise à jour du planning de l'agence ;
• assurer la traçabilité des modifications du planning, afin de pouvoir identifier qui a modifié quelle ligne et quand, et corriger une erreur ;
• assurer la sécurité du service (détection de connexions anormales).

Les données ne sont utilisées à aucune autre fin : ni prospection, ni publicité, ni mesure d'audience, ni évaluation individuelle des personnes, ni revente.

5. Base légale

Le traitement repose sur l'intérêt légitime du responsable de traitement (article 6.1.f du RGPD) : disposer d'un outil interne de planification fiable, dont l'accès est restreint aux personnes habilitées et dont les modifications sont traçables.

Pour la part des données qui découle directement de la relation de travail ou du contrat d'alternance (identification de la personne, attribution d'un rôle), le traitement peut également être fondé sur l'exécution du contrat et sur les obligations de l'employeur (articles 6.1.b et 6.1.c du RGPD).

Le consentement n'est pas la base légale retenue : l'accès au site est nécessaire à l'activité professionnelle des personnes concernées, et un consentement ne serait pas librement donné dans un contexte de subordination. [À COMPLÉTER : vérifier avec le responsable juridique ou RH la base légale finalement retenue et, si l'intérêt légitime est maintenu, verser au registre des traitements le test de mise en balance (balancing test) correspondant]

6. Durée de conservation

Au terme de ces durées, les données sont supprimées. Lorsque la traçabilité du planning doit être conservée plus longtemps pour des raisons opérationnelles, l'identité de l'auteur de la modification est remplacée par une valeur anonyme.

7. Destinataires et sous-traitants

Les données sont accessibles uniquement :

• aux utilisateurs habilités du site, dans la limite de leur rôle ;
• aux administrateurs techniques du site, pour l'exploitation et la maintenance (voir contacts au point 1) ;
• à l'hébergeur, en sa qualité de sous-traitant, pour la seule fourniture de l'infrastructure (voir point 8).

Aucune donnée n'est communiquée à un tiers à des fins commerciales, publicitaires ou statistiques. Aucune donnée n'est vendue, louée ou échangée.

[À COMPLÉTER : lister tout autre sous-traitant éventuel (prestataire de sauvegarde, service d'envoi d'e-mails transactionnels pour la réinitialisation de mot de passe, supervision) et confirmer qu'un contrat conforme à l'article 28 du RGPD est signé avec chacun]

8. Hébergement et localisation des données

Le site et sa base de données sont hébergés sur un serveur privé virtuel (VPS) fourni par OVH, dont les centres de données utilisés pour ce projet sont situés en France.

9. Transferts et intermédiaires techniques

Le site est publié derrière le réseau de diffusion de Cloudflare, Inc., qui agit comme sous-traitant technique (protection contre les attaques, chiffrement TLS, acheminement du trafic). À ce titre, Cloudflare traite nécessairement l'adresse IP de connexion et les métadonnées de la requête (date, URL demandée, navigateur) pour acheminer votre visite. Ces données ne sont pas conservées par l'éditeur du site.

Cloudflare, Inc. est une société de droit états-unien. Les transferts éventuels hors Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne et par l'adhésion de Cloudflare au EU–U.S. Data Privacy Framework. [À COMPLÉTER : confirmer la formule contractuelle Cloudflare souscrite, l'avenant de sous-traitance (article 28 RGPD) signé, et la configuration régionale retenue.]

Cloudflare ajoute également des en-têtes de rapport d'erreurs réseau (NEL, Report-To) qui peuvent amener votre navigateur à signaler des incidents de connexion à Cloudflare. [À COMPLÉTER : désactiver cette fonction dans la console Cloudflare si elle n'est pas souhaitée.]

En dehors de cet intermédiaire, aucune donnée n'est transmise à un tiers : l'intégralité des ressources affichées — feuilles de style, scripts, images et polices de caractères — est servie par le serveur du site lui-même. Les polices Poppins et Inter sont auto-hébergées : aucune requête n'est adressée à fonts.googleapis.com ni à fonts.gstatic.com.

Ce choix répond à la position des autorités européennes sur les polices distantes, notamment le jugement du tribunal régional de Munich I du 20 janvier 2022 (affaire 3 O 17493/20), qui a qualifié la transmission de l'adresse IP d'un visiteur à Google via Google Fonts d'atteinte illicite, ainsi qu'à la doctrine de la CNIL sur la minimisation des connexions à des tiers.

10. Cookies et traceurs

Ce site n'utilise aucun cookie publicitaire, aucun cookie de mesure d'audience, aucun traceur tiers, aucun pixel, aucun réseau social embarqué et aucun outil d'analytique.

Un seul cookie est déposé : le cookie de session, strictement nécessaire au maintien de votre authentification pendant votre visite.

Ce cookie étant strictement nécessaire à la fourniture d'un service expressément demandé par l'utilisateur, il est dispensé de consentement en application de l'article 82 de la loi Informatique et Libertés et des lignes directrices de la CNIL. C'est pourquoi aucune bannière de consentement n'est affichée.

Le refus ou la suppression de ce cookie dans votre navigateur empêche simplement la connexion au site.

11. Sécurité

Les mesures suivantes protègent les données :

• accès au site réservé aux utilisateurs authentifiés par email et mot de passe ;
• mots de passe conservés uniquement sous forme de condensat calculé avec une fonction de hachage adaptée au stockage de mots de passe ;
• chiffrement des échanges entre le navigateur et le serveur (HTTPS) ;
• cloisonnement des droits par rôle ;
• journalisation des connexions et des modifications du planning.

[À COMPLÉTER : préciser l'algorithme de hachage et ses paramètres retenus par l'équipe (par exemple Argon2id ou bcrypt), la politique de mot de passe appliquée, la fréquence et le chiffrement des sauvegardes, et l'existence éventuelle d'une double authentification]

12. Vos droits et comment les exercer

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données :

• Droit d'accès — obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification — faire corriger une donnée inexacte ou incomplète (par exemple une erreur dans votre nom ou votre adresse électronique).
• Droit à l'effacement — demander la suppression de vos données, sous réserve des traçabilités que le responsable de traitement doit conserver pendant la durée indiquée au point 6.
• Droit à la portabilité — recevoir les données que vous avez fournies dans un format structuré et lisible par machine, et les faire transmettre à un autre responsable de traitement.
• Droit d'opposition — vous opposer, pour des motifs tenant à votre situation particulière, au traitement fondé sur l'intérêt légitime.
• Droit à la limitation — demander le gel temporaire du traitement, notamment le temps qu'une contestation soit examinée.

Comment exercer ces droits

Adressez votre demande par courrier électronique à [email protected], en précisant le droit que vous souhaitez exercer. Une demande peut également être envoyée par courrier postal à l'adresse du responsable de traitement indiquée au point 1 ([À COMPLÉTER : adresse postale de réception des demandes d'exercice des droits]).

Si un doute raisonnable existe sur votre identité, un justificatif complémentaire pourra vous être demandé. Une réponse vous sera apportée dans un délai d'un mois à compter de la réception de la demande, délai pouvant être prolongé de deux mois pour les demandes complexes, auquel cas vous en serez informé.

L'exercice de ces droits est gratuit.

13. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) :

• en ligne : https://www.cnil.fr/fr/plaintes
• par courrier : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• par téléphone : 01 53 73 22 22

14. Propriété intellectuelle

Le contenu de ce site interne et les données de planning qu'il héberge sont la propriété de l'éditeur. Les polices de caractères utilisées, Poppins (Indian Type Foundry) et Inter (The Inter Project Authors), sont distribuées sous licence SIL Open Font License 1.1 et auto-hébergées sur le serveur ; le texte de la licence est conservé avec les fichiers de police.

15. Mise à jour de ce document

Cette politique peut être modifiée pour refléter une évolution du site ou de la réglementation. La version applicable est celle publiée à cette adresse.

Dernière mise à jour : [À COMPLÉTER : date de validation de cette version par le responsable de traitement]