Confidentialité & protection des données

Le responsable du traitement des données est ADN36, représenté par son entrepreneur individuel :

Pour toute question relative à vos données, vous pouvez écrire à l'adresse ci-dessus.

Lorsque vous utilisez le formulaire de demande, les informations suivantes peuvent être collectées :

• Identité (nom et prénom) ;
• Coordonnées (téléphone, et email lorsqu'il est communiqué) ;
• Commune et informations liées à votre demande (type de demandeur, sujet, message) ;
• Le contenu de votre message, qui décrit votre besoin ;
• Pour les professionnels et associations : la raison sociale et votre fonction, lorsque vous les renseignez ;
• Des pièces jointes lorsque vous choisissez d'en transmettre (voir section dédiée) ;
• Une empreinte technique liée à votre adresse IP, utilisée uniquement pour protéger le formulaire contre les envois abusifs. Elle est traitée comme une donnée technique personnelle, n'est pas utilisée pour vous recontacter ni pour vous profiler, et est supprimée avec la demande correspondante.

Les pièces jointes sont facultatives. Merci de limiter les documents transmis à ce qui est strictement nécessaire au traitement de votre demande et d'éviter, autant que possible, l'envoi de documents sensibles non indispensables.

Vos données sont utilisées pour :

• Répondre à vos demandes et vous recontacter ;
• Organiser les rendez-vous et les prestations ;
• Gérer la relation client (suivi, échanges, devis et facturation) ;
• Assurer la sécurité du service et respecter les obligations légales applicables.

Deux situations sont à distinguer :

• Demandes de contact ou demandes ponctuelles qui ne débouchent pas sur une relation commerciale : elles servent uniquement à répondre à votre message et à gérer votre demande. Elles ne sont pas utilisées à des fins de prospection commerciale. Base légale : l'intérêt légitime d'ADN36 à répondre aux sollicitations reçues.
• Demandes de devis ou de prestation (prospects commerciaux) : elles servent à préparer puis, le cas échéant, à exécuter la prestation. Base légale : mesures précontractuelles ou exécution du contrat.

Destinataires : les demandes reçues via le formulaire sont destinées uniquement à ADN36. Une notification est envoyée à l'adresse de gestion d'ADN36 pour que votre demande soit traitée rapidement ; elle reprend les informations que vous avez saisies, sans les pièces jointes, qui restent dans l'espace de stockage privé. Aucune donnée n'est revendue ni partagée à des fins commerciales ou publicitaires. Seuls les prestataires techniques nécessaires au fonctionnement du site (hébergement, base de données, stockage sécurisé, acheminement des e-mails) peuvent traiter ces données pour le compte d'ADN36, sur instruction et dans le respect du RGPD (voir section 14).

Le traitement s'appuie sur les bases légales suivantes, selon le contexte :

• L'exécution de mesures précontractuelles ou du contrat (demande de devis, prestation) : c'est la base légale habituelle des informations transmises via le formulaire, pièces jointes incluses ;
• Le respect d'obligations légales (facturation, comptabilité) ;
• L'intérêt légitime, lorsque pertinent, pour la gestion de la relation client ;
• Le consentement, uniquement dans les cas où il est réellement requis (par exemple une communication non nécessaire au traitement de votre demande).

Les pièces jointes ne reposent donc pas, par principe, sur le consentement : lorsqu'elles sont fournies pour préparer ou exécuter une prestation, elles relèvent de la demande (mesures précontractuelles) ou du contrat, selon le contexte.

Les pièces jointes sont facultatives. Lorsque vous en transmettez, elles sont stockées dans un espace de stockage privé (non accessible publiquement) et consultables uniquement dans le cadre du traitement de votre demande. Les limites techniques appliquées par le formulaire sont les suivantes :

• 3 fichiers maximum par demande ;
• 3 Mo maximum par fichier ;
• 6 Mo maximum pour l'ensemble des fichiers d'une même demande ;
• Formats acceptés : PDF, JPG, PNG, WebP, HEIC.

Je vous invite à ne pas envoyer de documents sensibles qui ne seraient pas nécessaires au traitement de votre demande (par exemple un document d'identité complet lorsqu'il n'est pas requis).

Les pièces jointes sont supprimées automatiquement dès que la demande est traitée et, si elle ne l'a pas été plus tôt, au plus tard 7 jours après réception. La suppression est réalisée côté serveur, sur l'espace de stockage privé ; seuls le nom et la taille du fichier reçu restent visibles dans l'historique de la demande, sans son contenu.

Les données ne sont pas conservées plus longtemps que nécessaire au regard des finalités décrites ci-dessus :

• Demandes de contact ou demandes ponctuelles ne débouchant pas sur une relation commerciale : conservées le temps nécessaire au traitement de la demande, puis supprimées, et au plus tard dans le délai technique maximal actuel de 3 ans. Elles ne sont pas utilisées à des fins de prospection commerciale.
• Prospects commerciaux (demandes de devis ou de prestation) qui ne deviennent pas clients : jusqu'à 3 ans à compter de la collecte ou du dernier contact émanant du prospect (recommandation CNIL). La suppression est automatisée : une tâche planifiée quotidienne supprime définitivement les demandes arrivées à échéance (contenu du message, identité et coordonnées compris). Une demande d'effacement de votre part est traitée plus tôt.
• Données de gestion de la relation client : pendant toute la durée de la relation, puis selon les obligations applicables (notamment preuve et suivi).
• Pièces comptables, devis et factures : conservation selon les obligations légales, notamment 10 ans lorsqu'elles relèvent des documents et pièces comptables.
• Pièces jointes reçues via le formulaire : conservées uniquement le temps nécessaire au traitement de la demande, puis supprimées automatiquement dès que la demande est traitée et, à défaut, au plus tard 7 jours après réception. La suppression est inconditionnelle : aucun fichier reçu via le formulaire n'est conservé au-delà de ce délai.
• Empreinte technique liée à votre adresse IP, utilisée uniquement pour protéger le formulaire contre les envois abusifs : elle est traitée comme une donnée technique personnelle, n'est pas utilisée pour vous recontacter ni pour vous profiler, et est supprimée avec la demande correspondante.
• Journal de suppression : lorsqu'une demande est supprimée à l'échéance des 3 ans, seule une trace non nominative est conservée (type de demandeur, date de réception, date de suppression), afin de pouvoir justifier de la politique de conservation. Elle ne contient ni identité, ni coordonnées, ni message.

Transparence technique : la suppression des pièces jointes est automatisée. Elle est déclenchée immédiatement lorsque la demande est marquée comme traitée, et un mécanisme de secours supprime les fichiers des demandes non traitées au-delà de 7 jours (contrôle exécuté côté serveur à chaque nouvelle demande et à chaque consultation des demandes, ainsi que par une tâche planifiée quotidienne). La même tâche planifiée supprime définitivement les demandes de plus de 3 ans. Vous pouvez en outre demander à tout moment la suppression de vos données et de vos pièces jointes.

Dans le cadre d'une prestation à domicile ou à distance, ADN36 peut être amené à voir temporairement des données présentes sur votre appareil ou sur les services que vous utilisez, afin de réaliser la prestation demandée.

• Le travail est effectué directement sur votre appareil : dans le fonctionnement normal, vos documents restent chez vous et ne sont ni copiés ni conservés sur le matériel d'ADN36 ;
• Si une nécessité exceptionnelle imposait un transfert temporaire (par exemple une opération de sauvegarde ou de récupération que vous demandez), elle serait traitée séparément, avec votre accord, limitée au strict nécessaire, puis les données seraient restituées ou supprimées ;
• Les informations vues pendant une prestation ne sont pas réutilisées à des fins commerciales ou personnelles ;
• Vous restez maître de vos comptes et de vos accès.

La pratique privilégiée est que vous saisissiez vous-même vos identifiants et vos mots de passe. C'est la manière la plus sûre de rester seul détenteur de vos accès.

Toutefois, à votre demande et lorsque c'est nécessaire au bon déroulement de la prestation, ADN36 peut être amené à saisir exceptionnellement un identifiant ou un mot de passe pour vous. Dans ce cas :

• La saisie se fait uniquement pour réaliser la prestation en cours, en votre présence ou avec votre accord explicite ;
• Le mot de passe n'est ni noté, ni enregistré, ni conservé, ni transmis à un tiers ;
• Il n'est pas réutilisé en dehors de la prestation concernée ;
• Il vous est recommandé de modifier votre mot de passe après l'intervention si vous le souhaitez.

Si une situation très particulière semblait justifier une conservation temporaire d'un accès, elle ne serait envisagée qu'avec votre accord exprès, encadrée par écrit et limitée au strict nécessaire.

Pour certaines prestations, ADN36 peut traiter des données personnelles pour le compte du client et selon ses instructions (par exemple lors d'un appui technique pour un professionnel ou une association sur ses propres outils). Dans ces situations, les obligations RGPD relatives à la sous-traitance peuvent s'appliquer.

Ce n'est pas le cas de toutes les données : pour ses propres traitements (demandes reçues via le site, gestion de la relation client, facturation), ADN36 agit en tant que responsable du traitement. La qualification dépend donc de la prestation concernée.

Lorsque la prestation relève réellement de la sous-traitance, les modalités exigées par l'article 28 du RGPD (objet, durée, nature et finalités, instructions documentées, confidentialité, sécurité, sous-traitants ultérieurs, assistance, violations de données, sort des données en fin de prestation) sont encadrées par un Accord de sous-traitance RGPD distinct, annexable au devis : consulter l'Accord de sous-traitance RGPD.

ADN36 met en œuvre des mesures techniques et organisationnelles raisonnables, adaptées aux risques et proportionnées à la nature des données traitées, afin d'en assurer la confidentialité, l'intégrité et la disponibilité. Aucune mesure de sécurité n'étant absolue, ces mesures visent un niveau de protection raisonnable sans garantie de sécurité totale ; une vigilance partagée reste de mise, notamment sur le choix des informations que vous transmettez.

• Équipements professionnels. Les données professionnelles sont principalement traitées depuis un PC professionnel sous Windows 11 Pro. L'accès à ce PC est protégé par mot de passe et par authentification biométrique (empreinte digitale).
• Chiffrement des données. Le disque système du PC est chiffré avec BitLocker. Le disque dur externe utilisé pour les sauvegardes est également chiffré.
• Authentification renforcée. Les comptes et services professionnels utilisent, lorsque cette fonctionnalité est disponible, une authentification renforcée combinant mot de passe, authentification à deux facteurs (2FA) et clé d'accès (passkey).
• Protection des équipements et du réseau. Les équipements utilisés dans le cadre professionnel sont protégés par Windows Defender et utilisent NordVPN pour sécuriser les connexions réseau.
• Stockage et sauvegardes. Les données professionnelles sont stockées sur Google Drive et font l'objet de sauvegardes quotidiennes vers l'environnement Google prévu à cet effet ainsi que vers un disque dur externe chiffré. Ces sauvegardes sont destinées à assurer la continuité et la récupération des données en cas de perte, de panne ou d'incident.
• Centralisation des services. Les services professionnels sont centralisés autour du compte Google professionnel gestion@adn36.org, notamment Google Drive et Google Agenda. Indy est utilisé pour la gestion comptable, bancaire, administrative et la facturation de l'activité.
• Accès limité et espace d'administration. L'accès aux données est limité, autant que possible, aux informations nécessaires à la réalisation des prestations et à la gestion de l'activité. Les pièces jointes reçues via le formulaire sont stockées dans un espace de stockage privé (liens de téléchargement temporaires, jamais publics), et l'espace d'administration est protégé par authentification.

L'utilisation de services tiers (notamment d'hébergement, de stockage, d'acheminement des e-mails et de gestion comptable) implique que certaines données peuvent être traitées par leurs prestataires techniques conformément à leurs propres conditions d'utilisation et aux garanties applicables en matière de protection des données. Les transferts éventuels hors de l'Espace économique européen qui en résultent sont encadrés conformément aux garanties prévues par le RGPD (notamment clauses contractuelles types), comme indiqué à la section « Hébergement du site ».

Incidents de sécurité. En cas d'incident de sécurité affectant des données personnelles traitées pour le compte d'un client professionnel (ADN36 agissant alors comme sous-traitant), ADN36 informe le responsable de traitement sans retard injustifié après en avoir pris connaissance, en utilisant les coordonnées de contact que celui-ci a communiquées, et lui transmet les informations disponibles nécessaires à la gestion de l'incident (nature de l'incident, données et personnes potentiellement concernées, mesures prises ou envisagées). Les notifications à l'autorité de contrôle et, le cas échéant, aux personnes concernées relèvent du responsable de traitement. Les modalités détaillées figurent dans l'Accord de sous-traitance RGPD.

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès à vos données ;
• Droit de rectification ;
• Droit à l'effacement (« droit à l'oubli ») ;
• Droit à la limitation du traitement ;
• Droit d'opposition, lorsque applicable ;
• Droit à la portabilité, lorsque applicable ;
• Droit de retirer votre consentement à tout moment, lorsque le traitement repose sur celui-ci.

Pour exercer ces droits, écrivez à gestion@adn36.org en précisant votre demande. Une réponse vous sera apportée dans les délais légaux.

Si vous estimez, après avoir contacté ADN36, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL).

Site officiel de la CNIL : https://www.cnil.fr/

À la date de dernière mise à jour de cette politique : aucun cookie publicitaire, aucun réseau social embarqué et aucun outil de mesure d'audience tiers (type analytics) n'est installé sur les pages publiques. Aucun bandeau de consentement n'est donc affiché, faute de traceur nécessitant votre accord.

Seules des technologies strictement nécessaires sont utilisées :

• Un stockage local technique (dans votre navigateur) uniquement dans l'espace d'administration privé du site, pour maintenir la session de connexion ;
• La vérification anti-robot du formulaire, réalisée sans cookie et sans service tiers (aucun appel à un service externe de type captcha) ;
• Les polices d'écriture (Sora et Inter) sont désormais auto-hébergées sur ce site : votre navigateur ne contacte plus Google Fonts ni aucun serveur tiers pour les afficher.

Des journaux techniques peuvent par ailleurs être produits par l'hébergeur pour des raisons de sécurité et de bon fonctionnement (voir section suivante).

Ce site a été créé et est déployé avec la plateforme Lovable (lovable.dev), éditée par Lovable Labs. L'hébergement du site, ainsi que la base de données et l'espace de stockage privé utilisés pour les demandes et leurs pièces jointes, sont fournis par les infrastructures gérées par cette plateforme et ses prestataires techniques.

Ces prestataires agissent en qualité de sous-traitants techniques, pour les seuls besoins de l'hébergement et du fonctionnement du site. Selon leurs infrastructures, des traitements ou transferts peuvent avoir lieu en dehors de l'Union européenne ; ils sont alors encadrés par les garanties prévues par le RGPD (notamment clauses contractuelles types). Ce point est indiqué en toute transparence, sans affirmer une localisation qui ne serait pas vérifiable ici.

Pour obtenir des précisions sur l'hébergeur ou ses coordonnées, vous pouvez écrire à gestion@adn36.org.

Pour son activité, ADN36 utilise un nombre limité d'outils professionnels. Ils ne jouent pas tous le même rôle : certains traitent des données pour le compte d'ADN36 (sous-traitants), d'autres sont de simples fournisseurs de services, et certains organismes sont des destinataires imposés par la loi.

a. Sous-traitants agissant pour le compte d'ADN36

• Google (Google Workspace) : Gmail, Google Drive et Google Agenda, utilisés via le compte professionnel gestion@adn36.org — échanges par e-mail, documents de travail, organisation des interventions.
• Google (infrastructure de sauvegarde) : sauvegarde des données professionnelles d'ADN36, en complément d'un disque externe chiffré.
• Lovable (Lovable Labs) : création, hébergement et fonctionnement technique du site, du formulaire de contact et du stockage privé associé (voir section 14).
• Indy : gestion comptable, facturation, gestion bancaire et administrative de l'activité.
• OpenAI (ChatGPT) : outil d'assistance. Des données personnelles ne lui sont transmises que lorsque c'est nécessaire, autorisé et compatible avec la prestation concernée. ADN36 limite la transmission au strict nécessaire, privilégie des données anonymisées ou minimisées, et n'utilise pas les données des clients à des fins étrangères à la prestation.

b. Fournisseurs de services (pas sous-traitants des données clients)

• Orange : fournisseur d'accès Internet et de services télécom utilisés pour l'activité. Il n'intervient pas dans le traitement des données des clients pour le compte d'ADN36 et agit selon son propre cadre légal.
• Google Maps et Google Business Profile : cartographie, localisation et présence professionnelle d'ADN36. Aucune donnée confiée par un client n'y est traitée pour son compte.

c. Destinataires imposés par la loi

L'URSSAF et l'administration fiscale peuvent être destinataires de certaines données dans le cadre des obligations légales, sociales et fiscales propres à ADN36. Ces organismes ne sont pas des sous-traitants d'ADN36 et agissent dans le cadre de leurs propres missions.

d. Transferts hors Espace économique européen

Certains de ces prestataires peuvent recourir à leurs propres infrastructures ou sous-traitants situés en dehors de l'Espace économique européen. Lorsque de tels transferts ont lieu, ADN36 veille à ce qu'ils soient encadrés par un mécanisme de transfert conforme au RGPD (notamment une décision d'adéquation ou des clauses contractuelles types de la Commission européenne), lorsque ces mécanismes sont applicables. Aucune localisation précise de serveurs n'est affirmée ici, faute de pouvoir la garantir.

Lorsque la prestation implique qu'ADN36 traite des données pour le compte d'un client professionnel, la liste des sous-traitants ultérieurs et les modalités d'information et d'opposition figurent dans l'Accord de sous-traitance RGPD.