Politique de confidentialité

1. Responsable du traitement et contact

Le responsable des traitements de données personnelles réalisés pour la plateforme PEATI est la SCIC « Marie-Galante au Cœur de l’Entrepreneuriat », dont le siège social est situé Section Desmarais, 97134 Saint-Louis, Guadeloupe. Pour toute question relative à la protection des données, écrivez à contact@scic-mg.fr.

2. Données traitées

• Compte : nom, prénom, adresse e-mail et informations de connexion nécessaires à la gestion et à la sécurité du compte.
• Profil : informations facultatives saisies par l’utilisateur (photo, téléphone, fonction, présentation, ville) et organisations qu’il déclare.
• Adhésion : catégorie, organisation et relation déclarées, informations utiles fournies à l’appui d’une demande de rattachement et décision de la SCIC, état de la demande et de sa vérification, carte adhérent numérique et journal des vérifications de cette carte. La page de vérification ouverte par le code de la carte affiche à la personne qui le lit le prénom et l’initiale du nom de l’adhérent, son numéro d’adhérent, le type d’adhésion et sa date de validité ou d’expiration ; l’adresse IP et le navigateur de cette personne sont enregistrés sous forme d’empreinte. Aucun justificatif n’est demandé pour déposer une demande d’adhésion ni pour la payer ; si une vérification l’exige, une pièce peut être demandée au cas par cas et transmise par un moyen sécurisé indiqué par la SCIC. Le nom des organisations adhérentes qui ouvrent droit au tarif réduit de l’adhésion particulier est visible des membres connectés, pour leur permettre de choisir l’une d’elles dans une demande de rattachement.
• Abonnements et paiements : formule, montants, contribution volontaire, crédits, dates, statut des paiements et références techniques du prestataire Stripe, sans conservation des numéros de carte bancaire.
• Demandes, candidatures et messages : informations transmises dans les formulaires de demande de service, de candidature, de contact et de rétractation.
• Utilisation des contenus : articles mis en favori et historique de lecture dans l’espace membre.
• Annuaire des acteurs : fiches de structures (exploitations, entreprises, associations, coopératives, commerces, institutions) établies par la SCIC, comprenant le nom, le type, la catégorie, la commune, une description, la mention de la qualité de membre de la SCIC, l’indication d’une fiche vérifiée et, selon le niveau d’accès du lecteur, des coordonnées professionnelles (téléphone, adresse e-mail, site internet). Le nom, le type, la catégorie, la commune, la qualité de membre de la SCIC et l’indication d’une fiche vérifiée sont consultables publiquement. Ces informations sont communiquées par les structures elles-mêmes ou proviennent de sources publiquement accessibles. Leur traitement repose sur l’intérêt légitime de la SCIC à faire connaître les acteurs du territoire. Toute personne concernée peut s’opposer à ce traitement ou demander la rectification de ces informations en écrivant à contact@scic-mg.fr.
• Consentements et préférences : versions des conditions acceptées et dates d’acceptation, ainsi que, le cas échéant, l’adresse IP et l’identification du navigateur enregistrées lors de l’acceptation ; préférences de notification et, lorsqu’il a été donné, consentement distinct à la lettre d’information.
• Données techniques : journaux de sécurité, traces des opérations sensibles et données de fonctionnement strictement nécessaires à la protection et au bon fonctionnement du service.

Les données du compte sont nécessaires à sa création et à son utilisation ; pour une adhésion ou un abonnement, les informations de la demande et du paiement sont nécessaires à la conclusion et à l’exécution du contrat. Sans elles, le compte ne peut pas être créé, ni la demande d’adhésion déposée, ni l’abonnement souscrit. Les informations du profil et l’inscription à la lettre d’information sont facultatives.

3. Finalités et bases légales

La gestion des comptes, des demandes, des abonnements et des adhésions repose principalement sur l’exécution du contrat ou de mesures précontractuelles. La conservation des éléments de facturation et de comptabilité répond aux obligations légales. La sécurité des comptes, la prévention de la fraude, l’exploitation technique du service et la tenue de l’annuaire des acteurs relèvent de l’intérêt légitime de la SCIC. L’envoi de la lettre d’information repose sur le consentement, qui peut être retiré à tout moment. Les données ne sont pas réutilisées pour une finalité incompatible avec celles-ci.

4. Destinataires et prestataires

Hors les informations rendues visibles décrites ci-dessus (annuaire des acteurs, page de vérification de la carte adhérent, nom des organisations proposées pour une demande de rattachement), les données ne sont accessibles qu’aux personnes habilitées de la SCIC et aux prestataires nécessaires au fonctionnement du service, chacun pour sa mission :

• Supabase : base de données, authentification et stockage des fichiers ;
• Vercel : hébergement et exécution de l’application web ;
• Stripe : paiement en ligne ;
• Brevo : envoi des e-mails de service et de la lettre d’information ;
• Hetzner : serveur situé en Finlande, qui exécute l’outil de gestion des contenus éditoriaux et l’outil d’automatisation des traitements internes ; les données de ces outils sont enregistrées dans la base de données Supabase ;
• Sentry : détection des erreurs techniques ;
• Backblaze : conservation des sauvegardes chiffrées de la base de données ;
• Healthchecks : supervision des sauvegardes ; ce service ne reçoit aucune donnée personnelle des utilisateurs de la plateforme ;
• LWS (Ligne Web Services) : messagerie électronique de la SCIC, qui reçoit les messages de contact, les demandes de rétractation et les notifications d’adhésion, sur des serveurs situés en France.

Certaines données sont hébergées ou traitées en dehors de l’Espace économique européen, notamment la base de données, l’authentification et le stockage des fichiers (Supabase), ainsi que l’exécution de l’application web (Vercel), situés aux États-Unis. Les garanties qui encadrent ces transferts sont les suivantes :

• Supabase : le contrat est conclu avec la société Supabase Pte. Ltd., établie à Singapour ; les données sont hébergées aux États-Unis (région Oregon) ; les transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914), intégrées à l’accord de traitement des données qui fait partie des conditions de service de ce prestataire.
• Vercel : la société Vercel Inc. est établie aux États-Unis ; elle déclare adhérer au cadre de protection des données UE–États-Unis (Data Privacy Framework) ; l’accord de traitement des données proposé par ce prestataire prévoit l’application des clauses contractuelles types de la Commission européenne.
• Stripe : le contrat est conclu avec Stripe Payments Europe, Limited, établie en Irlande ; les données sont transférées à Stripe, LLC, aux États-Unis, qui déclare adhérer au cadre de protection des données UE–États-Unis (Data Privacy Framework) ; l’accord de traitement des données de Stripe prévoit que ces transferts reposent sur ce cadre et, à défaut, sur les clauses contractuelles types de la Commission européenne.
• Sentry : la société Functional Software, Inc. est établie aux États-Unis ; elle déclare adhérer au cadre de protection des données UE–États-Unis (Data Privacy Framework) ; l’accord de traitement des données proposé par ce prestataire fait reposer les transferts sur ce cadre et prévoit l’application des clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914) si ce cadre est invalidé ou ne s’applique pas.
• Backblaze : la société Backblaze, Inc. est établie aux États-Unis ; les sauvegardes lui sont confiées après avoir été chiffrées par la SCIC, qui détient les clés de chiffrement ; les transferts sont encadrés par les clauses contractuelles types de la Commission européenne, intégrées à l’accord de traitement des données qui fait partie des conditions de service de ce prestataire, et la société déclare adhérer au cadre de protection des données UE–États-Unis (Data Privacy Framework).
• Brevo : le contrat est conclu avec la société française Brevo (anciennement Sendinblue) ; selon ce prestataire, les données sont hébergées dans l’Union européenne. Certains de ses sous-traitants, notamment des sociétés de son groupe et des fournisseurs techniques établis aux États-Unis ou en Inde, peuvent y accéder ou les traiter en dehors de l’Espace économique européen ; selon l’accord de traitement des données de ce prestataire, ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, complétées selon le destinataire par des règles d’entreprise contraignantes ou, pour certains destinataires établis aux États-Unis, par le cadre de protection des données UE–États-Unis (Data Privacy Framework).
• Healthchecks.io (SIA Monkey See Monkey Do, établie en Lettonie) : selon ce prestataire, ses données sont traitées et stockées sur des serveurs situés en Allemagne ; la SCIC ne lui transmet que des signaux techniques sur l’exécution des sauvegardes (pour l’un d’eux, l’empreinte de l’archive et un identifiant d’exécution), sans aucune donnée personnelle des utilisateurs de la plateforme.
• Hetzner et LWS : les serveurs sont situés dans l’Union européenne (Finlande et France).

Une copie de ces garanties peut être obtenue sur demande adressée à contact@scic-mg.fr.

Les données d’une organisation ne sont pas accessibles à une autre organisation sans autorisation applicable.

5. Durées de conservation

Les durées et critères ci-dessous constituent la politique de conservation cible de la SCIC pour la plateforme PEATI, sous réserve des délais légaux impératifs plus longs. Ils ne correspondent pas tous à des durées fixées par la loi. L’application ne supprime aucune donnée automatiquement à l’expiration de ces durées : leur mise en œuvre repose sur des opérations réalisées par la SCIC.

• Compte et profil (profil, organisations déclarées, préférences, notifications, articles en favori et historique de lecture) : pendant l’existence du compte, puis suppression, ou archivage des éléments nécessaires à la gestion d’une obligation ou d’un litige. Le compte est supprimé sur demande (point 6), une fois traités l’abonnement en cours, le litige ou l’obligation qui s’y opposeraient ; les éléments dont la conservation reste nécessaire, décrits ci-dessous, sont alors détachés du compte ou archivés.
• Données d’adhésion et relations contractuelles (adhésions, abonnements, demandes de rétractation) : pendant la relation contractuelle, puis cinq ans après sa fin, sous réserve des pièces relevant d’une durée légale plus longue.
• Registre des paiements d’adhésion et demandes de rétractation : conservés après la suppression du compte, pour la durée applicable à chaque élément selon la présente section. Selon la commande d’adhésion, le registre comprend les montants, les références du paiement chez Stripe lorsqu’un paiement y a été engagé, l’organisation et la relation déclarées lorsque le rattachement à cette organisation fonde un tarif réduit, ainsi que la version et la date des conditions générales de vente acceptées lorsqu’elles ont été enregistrées avec la commande. Les demandes de rétractation conservent les informations saisies dans le formulaire, dont le nom, le prénom et l’adresse e-mail.
• Factures et pièces comptables : les documents comptables et les pièces justificatives sont conservés pendant dix ans, conformément à l’article L. 123-22 du code de commerce.
• Preuves de commande et documents contractuels soumis à une conservation légale spécifique : pendant la durée légale applicable, notamment dix ans pour les contrats électroniques conclus avec des consommateurs et concernés par l’article L. 213-1 du code de la consommation.
• Demandes de contact sans relation contractuelle : trois ans après le dernier contact provenant de la personne. Les messages du formulaire de contact ne sont pas enregistrés dans la base de données de la plateforme ; ils sont transmis par e-mail à la messagerie de la SCIC.
• Candidatures à des programmes et à des appels à manifestation d’intérêt, et demandes de service : pendant le traitement du dossier, puis jusqu’à trois ans après sa clôture, sauf obligation contractuelle ou financière imposant une durée différente. Le contenu du dossier reste conservé pendant cette durée si le compte est supprimé.
• Journaux techniques ordinaires et journaux d’accès, dont les journaux de sécurité, les traces des opérations sensibles et le journal des vérifications de la carte : six mois, sauf nécessité de sécurité, incident, obligation légale ou preuve à conserver.
• Preuves de consentement : pendant la durée où le traitement fondé sur ce consentement est réalisé, puis pendant le délai nécessaire à la preuve ou à la défense des droits.
• Lettre d’information : le consentement est utilisé jusqu’à son retrait ; son acceptation et son retrait restent enregistrés avec le compte.
• Réclamations et demandes d’exercice des droits : pendant leur traitement, puis archivage restreint pendant la durée nécessaire à justifier le traitement de la demande et à défendre les droits de la SCIC.

Une conservation plus longue peut s’imposer en cas de contentieux, d’obligation fiscale ou de justificatif exigé pour une subvention.

Les données détenues par les prestataires cités au point 4, notamment Stripe (paiements et factures), Brevo (contacts et journaux d’envoi) et Sentry (erreurs techniques), suivent aussi les durées et les obligations propres à chacun d’eux. La SCIC n’en maîtrise pas la suppression automatique ; elle effectue ou demande auprès d’eux les suppressions possibles lorsqu’une demande le justifie.

Les données effacées peuvent subsister dans les sauvegardes et copies de la base de données jusqu’à leur expiration ou leur destruction.

6. Droits des personnes

Dans les conditions et limites prévues par la réglementation, chaque personne peut demander l’accès à ses données, leur rectification, leur effacement, la limitation de leur traitement ou, selon les cas, leur portabilité, s’opposer à certains traitements et retirer son consentement lorsque celui-ci fonde le traitement. Les demandes, dont la demande de suppression du compte, sont adressées à contact@scic-mg.fr. Une vérification raisonnable de l’identité peut être demandée en cas de doute.

Le consentement à la lettre d’information peut être retiré à tout moment depuis la rubrique « Préférences » de l’espace membre, ou en écrivant à contact@scic-mg.fr. Toute personne peut introduire une réclamation auprès de la CNIL (www.cnil.fr).

7. Cookies et technologies similaires

Le site utilise les traceurs suivants :

• des cookies d’authentification, dont le nom commence par « sb- », déposés par le module de connexion (Supabase) : ils conservent la session du compte connecté et, le cas échéant, un code temporaire de vérification lors d’une inscription ou d’une réinitialisation du mot de passe ;
• un stockage limité à l’onglet du navigateur, qui conserve un parcours d’achat en cours pour le retrouver au retour du paiement et disparaît à la fermeture de l’onglet ;
• sur la page de choix d’une offre de l’espace membre, le module de paiement de Stripe (Stripe.js), chargé depuis les serveurs de Stripe.

Les cookies d’authentification et le stockage de l’onglet, indispensables au service demandé, ne nécessitent pas de consentement. Sur la page de choix d’une offre de l’espace membre, le module de paiement de Stripe (Stripe.js) est chargé dès l’affichage de la page ; il peut déposer des traceurs liés à la sécurité des paiements et à la prévention de la fraude ; les pages de paiement de Stripe relèvent de la politique de confidentialité de Stripe. Le module de détection des erreurs techniques transmet à Sentry les erreurs survenues dans le navigateur, sans enregistrement des sessions de navigation. Les polices de caractères sont servies par le site lui-même. Le site n’utilise pas le stockage local permanent du navigateur. Aucun outil de mesure d’audience ni de publicité n’est utilisé. Tout traceur soumis à consentement ferait l’objet d’un recueil du choix de l’utilisateur avant son dépôt.

8. Sécurité et évolution de la politique

La SCIC met en œuvre des mesures techniques et organisationnelles proportionnées, notamment l’authentification des utilisateurs, le contrôle des accès, le chiffrement des échanges, des sauvegardes chiffrées et la journalisation des opérations sensibles. La présente politique peut être mise à jour en cas d’évolution du service ; chaque version est datée et les changements significatifs sont portés à la connaissance des utilisateurs, notamment dans leur espace membre.