Politique de confidentialité

Identité du responsable

Activités où RGPD START détermine les finalités

RGPD START détermine les finalités et les moyens des traitements lorsque ceux-ci concernent les activités suivantes :

• la gestion du site et des services associés,
• la gestion de la relation commerciale,
• la prospection B2B,
• l'organisation de webinaires ou événements,
• la gestion contractuelle et administrative des clients, partenaires et candidats.

Délégué à la Protection des Données (DPO)

Rôle de sous-traitant

Dans ce cas :

• le client reste responsable de traitement,
• RGPD START agit en sous-traitant,
• les traitements sont strictement encadrés par un accord de traitement des données (DPA),
• le client demeure maître des données qu'il renseigne dans la Plateforme.

Visiteurs du site web

Prospects

Abonnés newsletter et communications

Participants à nos événements / webinaires

Demandeurs de contenus / téléchargements (livrables, ebooks, guides)

Clients et représentants du client

Collaborateurs des clients (dans le cadre des missions RGPD / DPO externalisé)

Partenaires / sous-traitants

Candidats au recrutement

Utilisateurs de la Plateforme RGPD START

Destinataires internes

Vos données peuvent être accessibles uniquement aux collaborateurs de RGPD START qui ont besoin d'y accéder dans le cadre de leurs fonctions :

• équipes opérationnelles en charge de l'accompagnement client,
• équipe juridique,
• équipe support,
• direction et fonctions support.

L'accès est strictement contrôlé et encadré par des habilitations internes.

Sous-traitants et partenaires

Nous faisons appel à des prestataires spécialisés pour certaines opérations (hébergement, emailing, outils collaboratifs, webinaires, plateforme technique…).

Ils interviennent uniquement pour notre compte et selon nos instructions documentées.

Ils sont contractuellement tenus :

• d'assurer un niveau de sécurité conforme au RGPD,
• de ne pas utiliser les données pour leurs propres finalités,
• de respecter nos engagements en matière de confidentialité,
• et de nous notifier tout incident de sécurité.

La majorité de nos sous-traitants est située dans l'Union européenne.

Lorsque certains prestataires sont situés hors UE, des garanties appropriées sont appliquées : Clauses Contractuelles Types, DPA, certification Data Privacy Framework, et réalisation d'un Transfer Impact Assessment (TIA).

Clients (dans le cadre de la sous-traitance RGPD)

Lorsque nous agissons comme sous-traitant, les données personnelles que nous traitons pour le compte d'un client peuvent être transmises aux personnes habilitées au sein de ce même client (DPO, direction, services concernés).

Autorités administratives ou judiciaires

Nous pouvons être amenés à communiquer certaines données si la loi nous y oblige ou à la demande d'une autorité compétente, conformément au cadre légal applicable.

Transferts internes : qui peut accéder à vos données ?

Les données ne sont accessibles qu'aux collaborateurs habilités de RGPD START, dans la limite de leurs missions (support, exécution contractuelle, facturation, sécurité, assistance clients).

Nous appliquons un principe strict de moindre privilège et un contrôle régulier des habilitations.

Transferts au sein de l'Union européenne

Lorsque nous faisons appel à des partenaires ou sous-traitants situés dans l'Union européenne, leurs opérations sont intégralement soumises au RGPD.

Nous sélectionnons nos prestataires avec soin, en nous assurant qu'ils offrent des garanties équivalentes aux nôtres en matière de sécurité et de confidentialité.

Chaque sous-traitant :

• intervient sur instruction documentée,
• est soumis à des clauses contractuelles,
• applique des mesures de sécurité solides,
• fait l'objet d'une analyse de conformité.

Transferts hors de l'Union européenne : dans quels cas et avec quelles garanties ?

Certains de nos outils peuvent impliquer des transferts de données en dehors de l'EEE.

Ces transferts ne sont réalisés que lorsqu'ils sont indispensables au fonctionnement de nos services et toujours sous garanties appropriées, telles que :

Transparence et localisation des sous-traitants

Nous nous engageons à informer nos clients de l'identité de nos principaux sous-traitants et de leurs zones d'hébergement, conformément à l'article 28 du RGPD.

La liste actualisée de nos sous-traitants est disponible dans notre Trust Center et peut être mise à jour dans le respect de nos obligations contractuelles.

Données de navigation et cookies

Les données collectées lors de la navigation sur notre site (dont les cookies) sont conservées pour des durées limitées indispensables au fonctionnement, à la sécurité et à la mesure d'audience, telles que précisées dans notre Politique de gestion des cookies.

Données de contact, de prospection et de téléchargements

Les données collectées via les formulaires (contact, démo, téléchargements, événements) sont conservées jusqu'à trois ans après le dernier échange, ou jusqu'au retrait du consentement lorsqu'il est requis.

Les abonnés à notre newsletter peuvent se désinscrire à tout moment ; les éléments nécessaires à la preuve du consentement peuvent être conservés jusqu'à trois ans.

Données contractuelles et d'exécution des prestations

Les données relatives à la relation contractuelle et à l'exécution de nos prestations sont conservées pendant toute la durée du contrat, puis archivées pour :

• 5 ans au titre de la prescription civile (gestion des litiges),
• 10 ans pour les documents comptables obligatoires.

Données issues de la Plateforme RGPD START

Les données générées via la Plateforme RGPD START sont conservées pendant toute la durée de la prestation.

À l'issue du contrat, elles sont restituées, puis archivées pendant cinq ans dans la limite de ce qui est nécessaire à la gestion de la preuve, au respect des obligations légales ou à la défense en cas de litige.

Journaux techniques (logs)

Les journaux techniques (logs de connexion et d'activité) sont conservés pour les durées strictement nécessaires à la sécurité et au bon fonctionnement du service, soit entre 6 et 12 mois, puis supprimés de manière sécurisée.

Recrutement

Les données des candidats non retenus sont conservées six mois, ou jusqu'à deux ans avec leur accord pour figurer dans notre vivier.

Les données des candidats recrutés sont intégrées au dossier du collaborateur et conservées conformément aux obligations légales en vigueur.

Partenaires et sous-traitants

Les données relatives à nos partenaires et sous-traitants (coordonnées professionnelles, informations contractuelles, suivi des missions) sont conservées pendant la durée de la relation contractuelle, puis archivées pour les durées légales applicables, notamment :

• 5 ans au titre de la prescription civile,
• 10 ans pour les documents comptables.

Mesures techniques de sécurité

Nous appliquons des standards reconnus pour protéger les données contre toute perte, accès non autorisé ou altération, notamment :

• chiffrement des données en transit et, lorsque nécessaire, au repos,
• systèmes de détection et prévention des intrusions,
• pare-feu et solutions anti-malware,
• surveillance continue de nos infrastructures pour identifier les anomalies,
• journalisation sécurisée des accès et actions techniques,
• sauvegardes régulières et sécurisées.

Ces mesures sont adaptées en fonction de la sensibilité des données traitées et de leur exposition aux risques.

Mesures organisationnelles internes

La sécurité des données repose également sur des processus internes solides, notamment :

• politique stricte de contrôle des accès et de gestion des habilitations,
• application du principe de moindre privilège et revue régulière des droits,
• procédures documentées encadrant les traitements, la gestion des incidents et les demandes de droits,
• gestion sécurisée des mots de passe et authentification renforcée lorsque nécessaire,
• évaluations régulières des risques et mises à jour des mesures de sécurité.

Formation et sensibilisation des équipes

Tous nos collaborateurs impliqués dans le traitement de données reçoivent une formation régulière sur :

• les bonnes pratiques de cybersécurité,
• les règles de confidentialité,
• les obligations liées au RGPD,
• la gestion des incidents de sécurité.

Cette sensibilisation continue fait partie intégrante de notre démarche de conformité.

Gestion des incidents de sécurité

En cas d'incident susceptible d'affecter les données personnelles, RGPD START applique un protocole strict :

• identification et sécurisation immédiate de l'incident,
• analyse de l'impact et mesures correctives,
• documentation complète de l'événement,
• notification à la CNIL et, le cas échéant, aux personnes concernées, conformément aux articles 33 et 34 du RGPD.

Sécurité chez nos sous-traitants et partenaires

Tous nos sous-traitants sont sélectionnés pour leur capacité à garantir un niveau de sécurité approprié.

Ils sont contractuellement tenus :

• d'assurer une protection équivalente à celle de RGPD START,
• de traiter les données exclusivement sur instruction,
• de mettre en œuvre des mesures techniques et organisationnelles solides,
• de nous notifier toute violation de données,
• de permettre les audits nécessaires.

Comment les mises à jour de cette Politique sont-elles effectuées ?

Nous pouvons mettre à jour cette Politique pour refléter les évolutions légales, techniques ou organisationnelles.

En cas de modification importante, nous vous en informerons par les moyens habituels (email, notification sur le site ou sur la Plateforme).

La date de mise à jour figure toujours en haut du document.

Comment nous contacter ?

Pour toute question relative à cette politique ou à la protection de vos données :

contact@rgpd-start.com

Si votre demande concerne des données traitées pour le compte d'un client (ex. via la Plateforme RGPD START), nous vous invitons à contacter directement ce client, responsable du traitement.