Politique de Confidentialité

Version en vigueur au [DATE DE MISE EN VIGUEUR].

La présente Politique de confidentialité décrit la manière dont Altrust collecte, utilise et protège les données à caractère personnel traitées dans le cadre du Service, conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi Informatique et Libertés modifiée.

1. Responsable de traitement

Le responsable du traitement est [RAISON SOCIALE], [ADRESSE DU SIÈGE SOCIAL]. Pour toute question relative à vos données personnelles : [EMAIL DU DÉLÉGUÉ À LA PROTECTION DES DONNÉES OU CONTACT RGPD].

2. Données collectées

Selon votre usage du Service, Altrust traite les catégories de données suivantes :

• Données de compte : nom, prénom, adresse e-mail professionnelle, fonction, informations relatives à l'entreprise (raison sociale, secteur d'activité, taille) des personnes créant ou utilisant un compte Client.
• Données renseignées dans les questionnaires et diagnostics : réponses aux questionnaires de maturité et de conformité, documents éventuellement importés, informations relatives aux pratiques de l'entreprise cliente.
• Données de session anonyme (« raccourcis ») : avant toute création de compte, un identifiant de session (cookie) et les informations saisies lors d'un échange guidé sont conservés temporairement afin de générer l'aperçu de document demandé, puis rattachés au compte si celui-ci est créé, ou supprimés à l'expiration du délai de conservation.
• Données de facturation : informations nécessaires à la gestion de l'abonnement et de la facturation [PRÉCISER SI ALTRUST STOCKE LES DONNÉES DE PAIEMENT OU SI UN PRESTATAIRE TIERS (ex. Stripe) LES TRAITE DIRECTEMENT].
• Données de connexion et d'usage : journaux techniques, adresse IP, données de navigation nécessaires à la sécurité et au bon fonctionnement du Service.

3. Finalités et bases légales du traitement

• Fourniture du Service et gestion du compte Client : exécution du contrat (CGU).
• Génération des documents, diagnostics et statistiques : exécution du contrat.
• Fonctionnement des sessions anonymes avant création de compte : intérêt légitime d'Altrust à proposer une démonstration du Service, limité dans le temps et dans son objet.
• Gestion de la facturation et obligations comptables : exécution du contrat et obligation légale.
• Amélioration du Service, statistiques et benchmarks sectoriels anonymisés : intérêt légitime d'Altrust.
• Communications commerciales : consentement du destinataire ou intérêt légitime dans les limites permises par la réglementation applicable, avec possibilité de désinscription à tout moment.

4. Durées de conservation

• Données de session anonyme non rattachées à un compte : [DURÉE (ex. 24 à 48 heures)], puis suppression automatique.
• Données de compte et documents générés : pendant toute la durée de la relation contractuelle, puis [DURÉE D'ARCHIVAGE APRÈS RÉSILIATION (à définir avec le juriste, ex. 3 ans à des fins probatoires)].
• Données de facturation : durée légale de conservation des documents comptables (en principe 10 ans).
• Données de connexion : [DURÉE (en principe jusqu'à 1 an conformément à la réglementation applicable)].

5. Destinataires des données

Les données sont accessibles aux équipes habilitées d'Altrust et, dans la stricte mesure nécessaire à l'exécution de leurs prestations, aux sous-traitants suivants :

• [Supabase Inc.] — hébergement de la base de données.
• [Vercel Inc.] — hébergement de l'application.
• [PRESTATAIRE DE PAIEMENT (ex. Stripe), le cas échéant]
• [AUTRES SOUS-TRAITANTS (emailing, analytics, etc.), à lister précisément]

Les données ne sont ni vendues ni cédées à des tiers à des fins commerciales.

6. Transferts hors Union européenne

Si tout ou partie des sous-traitants mentionnés à l'article 5 traitent des données en dehors de l'Union européenne, ces transferts sont encadrés par les garanties appropriées prévues par le RGPD (clauses contractuelles types de la Commission européenne, décision d'adéquation, ou mécanisme équivalent). [À COMPLÉTER PRÉCISÉMENT SELON LA RÉGION D'HÉBERGEMENT RÉELLE DU PROJET SUPABASE ET DE VERCEL — POINT PRIORITAIRE POUR LA RELECTURE JURIDIQUE]

7. Sécurité des données

Altrust met en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données contre tout accès non autorisé, perte, altération ou divulgation, notamment : chiffrement des données en transit, contrôle d'accès aux comptes, cookies de session sécurisés (httpOnly).

8. Droits des personnes concernées

Conformément au RGPD, toute personne dont les données sont traitées dispose des droits suivants : accès, rectification, effacement, limitation du traitement, opposition et portabilité de ses données, ainsi que du droit de définir des directives relatives au sort de ses données après son décès.

Ces droits peuvent être exercés en écrivant à [EMAIL DU DÉLÉGUÉ À LA PROTECTION DES DONNÉES OU CONTACT RGPD]. En cas de réponse insatisfaisante, chaque personne concernée dispose du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — www.cnil.fr.

9. Cookies et traceurs

Le Service utilise des cookies strictement nécessaires à son fonctionnement (authentification, gestion de session, y compris pour l'usage sans compte décrit à l'article 2) et, le cas échéant, des cookies de mesure d'audience ou de personnalisation soumis au consentement préalable de l'utilisateur, paramétrable à tout moment.

[SI DES COOKIES NON ESSENTIELS SONT UTILISÉS (analytics, marketing), UN BANDEAU DE CONSENTEMENT CONFORME À LA RÉGLEMENTATION (CNIL) DOIT ÊTRE MIS EN PLACE — À VÉRIFIER AVEC LE PRESTATAIRE TECHNIQUE]

10. Modification de la présente politique

Altrust peut modifier la présente Politique de confidentialité pour tenir compte d'évolutions légales, réglementaires ou techniques. La version en vigueur est celle publiée sur le Service à la date de connexion de l'utilisateur.

11. Contact

Pour toute question relative à la présente Politique de confidentialité : [EMAIL DE CONTACT / DPO].