Politique de confidentialité

1.1La présente politique de confidentialité (ci-après la « Politique ») décrit la manière dont Alma d’Orage collecte, utilise, communique, conserve et protège les données à caractère personnel des personnes qui consultent le site internet accessible à l’adresse https://www.almadorage.fr (ci-après le « Site »).

1.2Elle est établie en application du règlement (UE) 2016/679 du 27 avril 2016 (le « Règlement ») et de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (la « loi Informatique et Libertés »), et constitue l’information due aux personnes concernées. Elle couvre les seuls traitements mis en œuvre par l’intermédiaire du Site, à l’exclusion des sites tiers vers lesquels il renvoie ; la version applicable est celle publiée sur le Site à la date de la collecte.

• « Donnée à caractère personnel » : toute information se rapportant à une personne physique identifiée ou identifiable, notamment par un nom, une adresse électronique ou une adresse IP.
• « Sous-traitant » : la personne qui traite des données pour le compte du responsable du traitement, sur son instruction documentée, dans les conditions prévues par l’article 28 du Règlement.
• « Éditeur » : Alma d’Orage, entrepreneur individuel, responsable du traitement pour l’ensemble des traitements décrits à l’article 4, à l’exception de celui mentionné à la phrase suivante.
• « Prestataire technique » : SANFYTECH, sous-traitant de l’Éditeur pour la conception, l’hébergement, l’exploitation et la maintenance du Site. Par exception, le Prestataire technique agit en qualité de responsable du traitement pour la journalisation technique et de sécurité des systèmes qu’il administre ; les demandes relatives à ce traitement sont adressées à rgpd@sanfytech.com, celles relatives à tous les autres à contact@almadorage.fr.

3.1Le responsable des traitements décrits par la Politique est l’Éditeur, sous réserve de l’exception énoncée à l’article 2, identifié comme suit.

3.2L’Éditeur n’a pas désigné de délégué à la protection des données, cette désignation n’étant pas obligatoire au regard de l’article 37 du Règlement. Toute demande est adressée à contact@almadorage.fr. Les mentions légales du Site complètent la Politique sans s’y substituer.

4.1Les traitements suivants sont mis en œuvre.

4.2Aucune donnée relevant des catégories particulières de l’article 9 du Règlement ni relative à des condamnations pénales n’est collectée par l’intermédiaire du Site. Les données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales ou publicitaires.

4.3Le Site ne comporte qu’un formulaire, le formulaire de contact ; il ne comporte ni compte utilisateur, ni espace de commentaires, ni lettre d’information, ni paiement en ligne : aucune donnée n’est collectée auprès du visiteur autrement que par ce formulaire, la mesure d’audience et la journalisation technique décrites ci-dessus. Les échanges avec l’Éditeur qui ont lieu hors du Site (courriel, message privé sur Instagram) ne sont pas couverts par la Politique ; ceux passant par Instagram relèvent de la politique de confidentialité de ce service, exploité dans l’Espace économique européen par Meta Platforms Ireland Limited.

Les données sont collectées directement auprès de la personne concernée lorsqu’elle remplit le formulaire de contact, ainsi que par l’observation technique de la navigation dans les seules limites décrites ci-après ; aucune n’est acquise auprès d’un courtier ni collectée par moissonnage. Les champs signalés par un astérisque (*) sont obligatoires pour permettre à l’Éditeur de répondre ; les autres sont facultatifs. Personne n’est tenu d’utiliser le formulaire : l’Éditeur peut aussi être joint directement par courriel.

6.1Les données sont accessibles au personnel de l’Éditeur habilité, selon le principe du besoin d’en connaître, ainsi qu’aux intervenants énumérés ci-après. Le Prestataire technique agit sur l’instruction documentée de l’Éditeur, sous un contrat de sous-traitance conclu en application de l’article 28 du Règlement. Les sous-traitants ultérieurs auxquels il a recours sont soumis à des obligations de protection des données équivalentes, le Prestataire technique demeurant responsable devant l’Éditeur de leur exécution.

Aucun autre intervenant que ceux énumérés ci-dessus n’accède aux données traitées par l’intermédiaire du Site ; le recours à un réseau de distribution de contenu ou à un service de protection périmétrique exploité par un tiers donnerait lieu à l’ajout d’une ligne au présent tableau.

6.2Les données peuvent en outre être communiquées aux autorités habilitées et aux conseils de l’Éditeur tenus au secret professionnel. Tout ajout d’un sous-traitant ultérieur par le Prestataire technique est préalablement notifié à l’Éditeur, qui dispose de dix (10) jours pour s’y opposer, et donne lieu à une mise à jour de la Politique.

7.1Les serveurs de production du Site sont situés en France, dans les centres de données de Strasbourg, Roubaix et Gravelines (France) exploités par OVHcloud SAS ; les sauvegardes sont réalisées selon les modalités suivantes : sauvegardes chiffrées à la source avant transfert ; copie primaire conservée dans l’Union européenne (Allemagne) et copie miroir conservée en France. Les données applicatives du Site et ses sauvegardes sont ainsi hébergées et conservées dans l’Union européenne. Aucun transfert de données à caractère personnel vers un pays tiers situé hors de l’Union européenne n’est réalisé.

7.2Toute évolution de la localisation des données ou tout nouveau transfert vers un pays tiers donne lieu à une mise à jour de la Politique préalablement à sa mise en œuvre.

8.1Le Site ne dépose aucun cookie ni aucun traceur : ni identifiant de session, ni préférence mémorisée, ni traceur de mesure d’audience, la mesure décrite au 8.3 fonctionnant sans inscrire ni lire aucune information dans le terminal. Aucun traceur soumis à consentement n’étant utilisé, aucun bandeau de consentement n’est présenté.

8.2Le Site n’intègre ni cookie publicitaire, ni pixel de réseau social, ni dispositif de reciblage, ni enregistrement de session de navigation, ni technique d’empreinte de terminal ; il n’appelle aucune police, aucune bibliothèque, aucune image et aucune carte hébergées par un tiers. Si l’Éditeur venait à intégrer un dispositif soumis à consentement, un mécanisme de recueil, aussi simple à refuser qu’à accepter, serait mis en place préalablement à tout dépôt et la Politique serait modifiée.

8.3Mesure d’audience. La fréquentation du Site est mesurée au moyen d’une instance Matomo auto-hébergée sur l’infrastructure du Prestataire technique, pour le seul compte de l’Éditeur. Le script de mesure et les données transitent par l’adresse du Site lui-même, sans appel à un service tiers. Cette mesure ne dépose aucun cookie ; l’adresse IP est tronquée de ses deux derniers octets avant tout enregistrement ; les données ne sont ni recoupées avec d’autres traitements ni transmises à des tiers. Réunissant l’ensemble des critères fixés par la CNIL, ce traitement bénéficie d’une exemption de consentement. Toute personne peut s’y opposer en écrivant à contact@almadorage.fr.

8.4Protection du formulaire. Le formulaire de contact est protégé contre les envois automatisés par le mécanisme de preuve de travail ALTCHA, auto-hébergé : le navigateur résout un calcul vérifié localement par le serveur du Site, sans dépôt de cookie, sans appel à un service tiers et sans reconnaissance d’image.

9.1Conformément à l’article 32 du Règlement, l’Éditeur et le Prestataire technique mettent en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, portant notamment sur : le chiffrement des communications par le protocole TLS ; le cloisonnement du Site par rapport aux autres systèmes exploités par le Prestataire technique ; le contrôle des accès d’administration, réservés au personnel habilité et authentifiés par clé cryptographique ; la journalisation des accès et des événements de sécurité, ainsi que la détection et, selon la configuration retenue, le blocage automatique des adresses IP à l’origine de comportements malveillants ; des sauvegardes quotidiennes chiffrées avant tout transfert et conservées sur un second site ; le suivi des correctifs de sécurité. Le détail technique de ces mesures est communiqué à l’Éditeur sur demande motivée.

9.2Ces mesures constituent une obligation de moyens : aucun système d’information ne peut être garanti à l’abri de toute attaque, de tout dysfonctionnement ni de tout accès non autorisé.

10.1En cas de violation de données à caractère personnel dont le risque pour les droits et libertés des personnes n’est pas improbable, l’Éditeur la notifie à la Commission nationale de l’informatique et des libertés dans les meilleurs délais et, si possible, au plus tard soixante-douze (72) heures après en avoir pris connaissance. Lorsque la violation est susceptible d’engendrer un risque élevé, il en informe individuellement les personnes concernées dans les meilleurs délais, en des termes clairs et simples, en indiquant la nature de la violation, ses conséquences probables, les mesures prises et les coordonnées du point de contact.

10.2Le Prestataire technique notifie à l’Éditeur toute violation affectant les données traitées pour son compte dans les meilleurs délais après en avoir pris connaissance, dans les conditions du contrat de sous-traitance conclu entre eux, et l’assiste dans l’accomplissement de ses obligations.

11.1Aucune décision produisant des effets juridiques à l’égard d’une personne ou l’affectant de manière significative n’est prise sur le seul fondement d’un traitement automatisé, et aucun profilage n’est réalisé à des fins commerciales, publicitaires ou d’évaluation de la personnalité des visiteurs du Site. Lorsqu’il est activé pour le Site, le blocage automatique d’une adresse IP repose sur l’évaluation automatisée du comportement observé depuis cette adresse, à la seule fin de sécurité ; cette mesure est technique, temporaire et réversible. Toute personne bloquée à tort peut le signaler à contact@almadorage.fr, qui transmet le signalement au Prestataire technique, seul en mesure de lever le blocage, et obtenir le réexamen humain de sa situation.

11.2Le Site ne s’adresse pas aux mineurs de moins de quinze (15) ans et ne collecte pas sciemment leurs données ; un tel mineur ne peut consentir seul à un traitement fondé sur le consentement, celui du titulaire de l’autorité parentale étant requis. Toute donnée collectée par mégarde auprès d’un tel mineur est supprimée sans délai sur signalement à contact@almadorage.fr.

12.1Toute personne concernée dispose des droits suivants sur ses données.

12.2Ces droits s’exercent gratuitement par courriel à contact@almadorage.fr ; pour le traitement dont le Prestataire technique est responsable, à rgpd@sanfytech.com. En cas de doute raisonnable sur l’identité du demandeur, le responsable du traitement peut solliciter les informations nécessaires à la confirmer. Il répond dans un délai d’un (1) mois, prolongeable de deux (2) mois compte tenu de la complexité ou du nombre de demandes.

12.3Effacement et sauvegardes. L’effacement demandé est réalisé sur les données actives sans délai et au plus tard dans le mois suivant la demande. Les sauvegardes, qui servent exclusivement à rétablir le Site après un incident, ne sont pas modifiées : les altérer compromettrait leur intégrité. Les données de la personne concernée disparaissent des sauvegardes au fil du renouvellement de celles-ci, selon le cycle de rotation applicable, dont le détail peut être communiqué sur demande. En cas de restauration à partir d’une sauvegarde antérieure à l’effacement, celui-ci est réappliqué sans retard injustifié.

12.4Réclamation. Toute personne concernée qui estime que le traitement de ses données constitue une violation du Règlement peut introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou à l’adresse https://www.cnil.fr/fr/plaintes. Cette réclamation ne fait pas obstacle à l’exercice d’un recours juridictionnel.

13.1La Politique peut être modifiée pour tenir compte de l’évolution des traitements, des fonctionnalités du Site ou de la réglementation. La version en vigueur est celle publiée sur le Site, dont la date et le numéro de version figurent en tête. Toute modification substantielle, notamment l’ajout d’une finalité, le recours à un nouveau sous-traitant, un transfert vers un pays tiers ou l’allongement d’une durée de conservation, est portée à la connaissance des personnes concernées par une mention visible sur le Site.

13.2Toute question relative à la Politique peut être adressée à contact@almadorage.fr. Les questions relatives à l’exploitation technique du Site peuvent être adressées au Prestataire technique à l’adresse contact@sanfytech.com ; celui-ci n’y répond que sur instruction de l’Éditeur, seul responsable du traitement, sous réserve de l’exception de l’article 2.