Politique de confidentialité

1. Responsable du traitement

2. Données collectées

Nous distinguons deux catégories de données : les données de navigation sur le site vitrine ConstApp.fr, et les données utilisateur du service applicatif (l'application ConstApp).

2.1 Site vitrine ConstApp.fr

La simple consultation du site ne nécessite aucune création de compte. Les données collectées sont limitées à :

• Données de connexion techniques : adresse IP, type de navigateur, système d'exploitation, pages consultées, date et heure de connexion (logs serveur conservés 12 mois)
• Données de formulaire de contact : nom, email, téléphone, entreprise, secteur, contenu du message - uniquement si vous remplissez volontairement le formulaire
• Cookies : voir section 5 ci-dessous

2.2 Service applicatif ConstApp

L'utilisation de l'application ConstApp (mobile + dashboard) requiert un compte. Nous collectons :

• Données d'identification : nom, prénom, email professionnel, mot de passe (chiffré bcrypt avec sel)
• Données de facturation : raison sociale, adresse, SIRET, numéro de TVA intracommunautaire
• Données de contenu : photos, vidéos, documents et formulaires capturés via l'application - qui sont la finalité même du service
• Données techniques de capture : géolocalisation GPS, métadonnées EXIF, hash SHA-256, jeton d'horodatage qualifié
• Données de signature électronique : nom, email, IP, horodatage et empreinte de la signature

3. Finalités du traitement

Vos données sont traitées pour les finalités suivantes, sur les bases légales du RGPD indiquées :

• Exécution du contrat de service (art. 6.1.b RGPD) - fourniture du service de capture probatoire, scellement eIDAS, archivage, vérification
• Obligations légales (art. 6.1.c) - conservation des preuves probatoires (10 ans minimum), facturation, lutte contre le blanchiment
• Intérêt légitime (art. 6.1.f) - sécurité du service, prévention de la fraude, amélioration du produit (sur données agrégées et anonymes uniquement)
• Consentement explicite (art. 6.1.a) - envoi de newsletters commerciales, cookies non essentiels (analytics)

4. Durée de conservation

• Comptes utilisateurs actifs : pendant toute la durée du contrat + 3 ans après résiliation
• Données probatoires (captures scellées) : 10 ans à compter de la date de scellement (durée minimale légale pour les preuves civiles), 30 ans sur option Enterprise
• Données de facturation : 10 ans (obligation comptable)
• Logs de connexion technique : 12 mois (LCEN)
• Données du formulaire de contact : 3 ans à compter du dernier contact
• Cookies : 13 mois maximum (recommandation CNIL)

5. Cookies et traceurs

ConstApp.fr utilise un nombre minimal de cookies, conformément à la délibération CNIL n°2020-091. Aucun cookie publicitaire n'est déposé.

Les cookies essentiels sont strictement nécessaires au fonctionnement du site et déposés sans demande de consentement. Les cookies de mesure d'audience utilisent Matomo en mode anonymisé (IP tronquée, pas de croisement cross-site, exempté de consentement selon recommandation CNIL).

Aucun cookie de réseau social tiers (Facebook Pixel, LinkedIn Insight, Google Analytics, etc.) n'est utilisé sur ce site.

6. Destinataires des données

Vos données ne sont jamais vendues, ni cédées, ni louées à des tiers à des fins commerciales. Elles peuvent être communiquées :

• Aux collaborateurs habilités de Fidealis SAS, dans la stricte limite nécessaire à l'exécution de leurs missions
• À nos sous-traitants techniques - exclusivement sur la base d'un contrat de sous-traitance conforme à l'article 28 RGPD : OVHcloud (hébergement, France), Outscale (hébergement réplication, France), Brevo (emailing transactionnel, France), Stripe (paiement, Irlande/UE)
• Aux autorités judiciaires ou administratives, sur réquisition légale uniquement
• Aux commissaires de justice partenaires dans le cadre du service de capture probatoire (240 études en France, signataires d'une convention de confidentialité)

Aucune donnée n'est transférée hors de l'Union européenne. Aucun service Cloud Act (AWS, Azure, GCP) n'est utilisé pour aucun composant - y compris les composants accessoires (logs, monitoring, e-mails).

7. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données :

• Chiffrement at-rest : AES-256-GCM pour toutes les données stockées
• Chiffrement in-transit : TLS 1.3 minimum pour toutes les communications
• Hébergement : datacenters haute disponibilité certifiés ISO 27001, France exclusivement
• Authentification : mots de passe hashés bcrypt avec sel, MFA disponible, SSO SAML 2.0 sur Enterprise
• Sauvegardes : chiffrées, hors site, retention 90 jours minimum

8. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès - obtenir la confirmation que vos données sont traitées et en obtenir une copie
• Droit de rectification - corriger des données inexactes ou incomplètes
• Droit à l'effacement (« droit à l'oubli ») - sous réserve des obligations légales de conservation des preuves probatoires
• Droit à la limitation du traitement
• Droit à la portabilité - récupérer vos données dans un format structuré
• Droit d'opposition au traitement
• Droit de retirer votre consentement à tout moment, pour les traitements fondés sur le consentement
• Droit de définir des directives relatives au sort de vos données après votre décès

Pour exercer ces droits, vous pouvez écrire à notre DPO à l'adresse dpo@fidealis.com ou par courrier postal à Fidealis SAS - DPO, 320 rue Saint-Honoré, 75001 Paris.

Une réponse vous sera apportée sous un délai maximal d'un mois.

Si vous estimez que vos droits ne sont pas respectés, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 - www.cnil.fr.

9. Modification de la politique

Cette politique de confidentialité peut être modifiée à tout moment pour refléter des évolutions réglementaires, techniques ou de notre activité. Toute modification substantielle sera notifiée aux utilisateurs actifs par email avec un préavis de 30 jours minimum.