Politique de confidentialité

La société exploitant la plateforme Adoubé, dont les informations d’immatriculation doivent être complétées avant publication définitive, agit en qualité de responsable de traitement pour les traitements décrits dans la présente politique.

Pour toute question relative à la protection des données personnelles ou pour exercer un droit, l’utilisateur peut écrire à [email protected]. La désignation d’un DPO externe ou d’un référent protection des données doit être confirmée avant lancement public.

Selon l’usage du service, Adoubé peut traiter : coordonnées d’identification et de contact ; réponses au questionnaire ; préférences de rendez-vous ; ville ou zone de recherche ; note libre destinée à l’expert ; historique de réservation ; informations nécessaires à la garantie de présence ; retours post-rendez-vous ; échanges de support ; journaux techniques, sécurité et audit.

Les réponses au questionnaire peuvent révéler des éléments fiscaux, patrimoniaux, familiaux ou professionnels. Elles ne sont pas destinées à collecter des pièces justificatives ni des montants détaillés en version initiale. Aucun document fiscal ou patrimonial n’est stocké par la plateforme en V1 : la transmission éventuelle se fait directement par email entre le client et l’expert après réservation.

Les données sont traitées pour : fournir le service de qualification et de mise en relation ; créer et sécuriser le compte ; gérer la réservation, les rappels, la garantie de présence et les litiges ; transmettre un brief à l’expert ; permettre les retours post-rendez-vous ; administrer les experts ; produire des indicateurs internes ; assurer la sécurité, l’audit et la conformité légale.

Selon les traitements, les bases légales sont l’exécution de mesures précontractuelles ou contractuelles, l’intérêt légitime de Adoubé à sécuriser, améliorer et piloter le service, le respect d’obligations légales, et le consentement lorsque celui-ci est requis, notamment pour certains traceurs ou communications non strictement nécessaires.

Les données sont accessibles uniquement aux personnes et prestataires qui en ont besoin : équipe habilitée de Adoubé, experts sélectionnés pour préparer et réaliser le rendez-vous, prestataires techniques, prestataire de paiement, hébergeur, outil de réservation, prestataire email, observabilité et sécurité. Les experts ne reçoivent que les informations nécessaires à la préparation de la consultation et restent responsables de leurs propres obligations professionnelles et déontologiques.

Les principaux prestataires techniques envisagés pour l’exploitation du service sont :

• OVHcloud (hébergement principal et infrastructure applicative, y compris l’instance de mesure d’audience Matomo auto-hébergée - France)
• Stripe (paiements, empreinte bancaire et facturation - États-Unis, Data Privacy Framework et garanties contractuelles)
• Cal.com (gestion des agendas, créneaux, invitations et liens de visio - États-Unis, garanties contractuelles à finaliser avant lancement)
• Brevo (emails transactionnels et suivi des bounces - France / Union européenne)
• Sentry (supervision des erreurs et diagnostics techniques - Union européenne, Francfort)
• Cloudflare (le cas échéant, sécurité, proxy, diffusion et protection d’accès à l’espace d’administration - États-Unis, Data Privacy Framework et garanties contractuelles)

Certains prestataires peuvent impliquer un transfert ou un accès depuis un pays situé hors Union européenne. Ces transferts doivent être encadrés avant lancement par les mécanismes appropriés : décision d’adéquation, Data Privacy Framework, clauses contractuelles types, mesures complémentaires et accords de sous-traitance. La liste définitive des sous-traitants et DPA signés doit être conservée dans le registre de conformité.

Les opérations liées à la carte bancaire sont traitées par Stripe. Adoubé ne stocke jamais le numéro complet de carte ni le cryptogramme. La plateforme conserve uniquement les références techniques nécessaires au suivi de la réservation, à la preuve du mandat et, le cas échéant, au traitement d’un no-show validé. Les références de paiement sont purgées ou détachées lorsqu’elles ne sont plus nécessaires, sous réserve des obligations légales et de la gestion des litiges.

Le site vise une configuration sans bandeau cookies en n’utilisant que des traceurs strictement nécessaires et une mesure d’audience Matomo configurée selon les conditions d’exemption de consentement de la CNIL : finalité limitée à la mesure d’audience, absence de recoupement publicitaire, anonymisation ou minimisation des identifiants, durée limitée et possibilité d’opposition.

La mesure d’audience est réalisée au moyen d’une instance Matomo auto-hébergée sur la propre infrastructure de la plateforme, en France : les données d’audience ne sont pas transmises à un éditeur d’analytics tiers et ne sont pas utilisées à des fins publicitaires.

Cette configuration doit faire l’objet d’une auto-évaluation et d’un contrôle technique avant mise en production. L’utilisateur peut s’opposer à la mesure d’audience ci-dessous ou écrire à [email protected].

Les données sont conservées pendant une durée proportionnée à la finalité poursuivie : sessions de questionnaire abandonnées et notes libres selon des durées courtes ; données de compte pendant la durée d’utilisation du service puis anonymisation après inactivité ; données de réservation et éléments de preuve pendant la durée nécessaire à la gestion du contrat, des réclamations et obligations légales ; factures et pièces comptables pendant 10 ans.

Les durées opérationnelles précises, les règles d’archivage intermédiaire et les purges automatisées doivent être documentées dans la matrice de conservation et validées avant lancement par le conseil juridique et/ou le DPO.

Adoubé met en œuvre des mesures techniques et organisationnelles adaptées : accès restreints par rôle, authentification sans mot de passe par code à usage unique, chiffrement des flux, hébergement sécurisé, journalisation d’audit, limitation des données collectées, séparation des espaces client/expert/admin, revue des webhooks et procédures de purge. Ces mesures sont réévaluées au regard de la sensibilité des données fiscales et patrimoniales traitées.

Les personnes concernées disposent, dans les conditions prévues par le RGPD et la loi Informatique et Libertés, des droits d’accès, de rectification, d’effacement, d’opposition, de limitation, de portabilité et du droit de définir des directives relatives au sort de leurs données après décès.

La suppression du compte est proposée en self-service lorsque cela est possible. Elle entraîne l’anonymisation des données d’identification, sous réserve des données dont la conservation demeure nécessaire pour respecter une obligation légale, établir une preuve ou traiter un litige. Les demandes peuvent être adressées à [email protected] et reçoivent une réponse dans les délais légaux. Une réclamation peut être introduite auprès de la CNIL.

Compte tenu de la nature potentiellement sensible des situations fiscales et patrimoniales traitées, Adoubé doit tenir à jour un registre des traitements, finaliser les accords de sous-traitance, documenter les mesures de sécurité et réaliser ou confirmer l’analyse d’impact relative à la protection des données avant le lancement public.