Politique de confidentialité

Sommaire

1. Qui traite vos données
2. Les données que nous traitons
3. Finalités, bases légales et durées
4. Les destinataires et les sous-traitants
5. Les transferts hors de l'Union européenne
6. Durées de conservation
7. La durée de vie de votre dossier
8. Responsable de traitement, ou sous-traitant
9. La sécurité de vos données
10. Les violations de données
11. Vos droits
12. Cookies et traceurs
13. Décision automatisée
14. Ce qui est obligatoire et ce qui est facultatif
15. Modifications de cette politique

1. Qui traite vos données

Le responsable du traitement est DATIVO, SIREN 105 137 061, éditrice du site resilience-act.fr. Son identification complète, son siège et son représentant légal figurent dans les mentions légales.

DATIVO a désigné un délégué à la protection des données et l'a notifié à la Commission nationale de l'informatique et des libertés.

Les données que nous traitons viennent de vous, avec une exception. Quand vous créez un compte, vous indiquez le numéro SIREN de votre entreprise. Nous interrogeons alors l'API Recherche d'entreprises de l'État (recherche-entreprises.api.gouv.fr), qui diffuse les données publiques du répertoire SIRENE de l'Insee.

Nous en reprenons la dénomination, l'adresse du siège, la commune, le code d'activité (NAF), la tranche d'effectif et l'état administratif, pour préremplir la fiche de votre entreprise.

Vous pouvez corriger chacun de ces champs. Pour une entreprise individuelle, la dénomination est votre nom : c'est alors une donnée personnelle, et sa source est ce répertoire public. En dehors de cette consultation, nous n'achetons aucune donnée, nous n'en collectons auprès d'aucun tiers et nous ne complétons aucun fichier à partir de sources extérieures.

2. Les données que nous traitons

Huit catégories.

Vos réponses au diagnostic et à l'auto-évaluation. Elles portent sur votre produit : sa nature, sa connectivité, sa famille au regard des annexes III et IV, votre rôle face à lui, la taille de votre entreprise, son état de commercialisation, et, pour l'auto-évaluation, l'état déclaré de chaque exigence de l'annexe I.

Ce ne sont pas des données d'identité. Tant que vous ne les avez pas rattachées à un rapport ou à un compte, elles ne sont associées à aucun nom.

Vos coordonnées professionnelles, pour recevoir votre rapport ou le résultat de votre auto-évaluation. Pour le rapport : prénom, nom, société, adresse électronique professionnelle, et téléphone si vous choisissez de le renseigner.

Le téléphone est facultatif, y compris si vous acceptez d'être recontacté : le rapport part par courriel, et le téléphone n'est pas nécessaire à cette finalité. Pour le résultat de l'auto-évaluation : votre adresse électronique professionnelle, et, si vous les donnez, votre prénom et votre société.

Votre compte d'accès. Prénom, nom, adresse électronique professionnelle, téléphone, mot de passe, l'entreprise à laquelle le compte est rattaché (son numéro SIREN et sa fiche, voir la section 1), et votre rôle dans le compte de cette entreprise : administrateur ou membre. Le mot de passe n'est jamais conservé en clair, seulement son empreinte.

Le téléphone est facultatif : si vous le donnez, il sert à vous joindre au sujet de vos dossiers quand un échange par courriel ne suffit pas, et n'est jamais utilisé pour de la prospection.

Nous gardons aussi la trace de vos dix dernières connexions : date, méthode de connexion (mot de passe, ou confirmation d'adresse à l'inscription), type de navigateur et adresse IP tronquée, jamais complète. Cette trace sert à vous montrer qui s'est connecté à votre compte.

Votre demande d'être prévenu de l'ouverture. Votre adresse électronique professionnelle, votre entreprise (numéro SIREN et fiche) et, si vous le donnez, votre prénom. Elle ne sert qu'à vous prévenir de l'ouverture des inscriptions.

Les données de votre dossier technique. L'essentiel n'est pas personnel : un produit, ses versions, ses composants, sa nomenclature logicielle (SBOM), vos réponses d'évaluation.

Une part l'est, parce que le règlement (UE) 2024/2847 l'exige : le nom du responsable produit, le point de contact public de signalement prévu à l'article 14, le signataire de la déclaration UE de conformité, et les personnes qui accèdent à votre espace.

Sur cette part, nous n'agissons pas comme responsable du traitement mais comme votre sous-traitant : voir la section 8.

Vos données de commande et de facturation. Identité de facturation, produit commandé, montant, date, statut du paiement. Les données de votre carte bancaire ne transitent pas par nos serveurs et ne sont jamais enregistrées par nous.

Vos échanges avec nous. Le contenu des messages envoyés par le formulaire de contact, et nos réponses.

Les données techniques de connexion. Adresse IP, horodatage, page appelée, type de navigateur. Elles servent à faire fonctionner le service et à détecter les abus.

3. Finalités, bases légales et durées

Une finalité, une base légale, une durée. Lorsque la base est l'intérêt légitime, l'intérêt poursuivi est nommé, comme l'article 13, paragraphe 1, point d, l'impose.

Deux bases légales ne s'additionnent pas sur une même finalité. Nous n'invoquons donc pas un intérêt légitime « en appui » de l'exécution d'une demande : chaque ligne de ce tableau porte une base et une seule.

Ce que nous ne faisons pas. Vos données ne sont ni vendues, ni louées, ni échangées. Elles ne servent à aucune publicité, à aucune segmentation comportementale et à aucun profilage. Vos réponses de diagnostic et d'auto-évaluation et le contenu de vos dossiers ne sont pas utilisés pour enrichir un service destiné à d'autres clients, ni pour entraîner un modèle.

4. Les destinataires et les sous-traitants

Trois catégories de destinataires.

• DATIVO. L'accès aux données est limité aux personnes qui en ont besoin pour fournir le service. Compte tenu de la taille de la structure, ce cercle est étroit et il est nominatif.
• Nos sous-traitants techniques liés par un contrat conforme à l'article 28 du règlement (UE) 2016/679 et qui n'agissent que sur nos instructions.

Les autorités et les tiers habilités, lorsqu'une disposition légale nous l'impose, et dans la seule mesure de cette obligation.

Cette liste ne compte que ce qui traite effectivement des données. Quatre points méritent d'être expliqués.

• Le service public que nous consultons. Pour préremplir la fiche de votre entreprise, notre serveur interroge l'API Recherche d'entreprises, opérée par la direction interministérielle du numérique. Seul le terme recherché lui est transmis : le numéro SIREN ou le nom que vous saisissez. La requête part de notre serveur et non de votre navigateur : votre adresse IP ne lui est pas communiquée. Ce service n'est pas notre sous-traitant : il diffuse des données publiques, que nous consultons.
• Le prestataire de paiement. Le paiement se fait par carte, sur une page hébergée par Stripe Payments Europe, Limited, établie en Irlande. Pour ouvrir cette page, nous transmettons à Stripe le libellé et le montant hors taxes de votre commande, son numéro, le numéro SIREN et la raison sociale de votre entreprise, l'identifiant de votre compte, la version des conditions générales de vente que vous avez acceptées avec la date de cette acceptation, et votre adresse électronique, pour préremplir le formulaire. Sur la page de Stripe, vous saisissez vous-même votre carte, votre adresse de facturation et, le cas échéant, votre numéro de TVA. Les données de votre carte ne passent pas par nos serveurs et nous ne les connaissons pas. Stripe nous renvoie le résultat du paiement, le montant de la taxe, votre adresse de facturation et votre numéro de TVA : ils figurent sur votre facture. Pour la veille réglementaire, payée à chaque échéance, Stripe conserve votre moyen de paiement afin de prélever les échéances suivantes. Nous n'y avons pas accès.

Stripe agit en deux qualités, que son accord de traitement des données fixe. Il est notre sous-traitant pour faire fonctionner sa plateforme et fournir ses services, dont l'encaissement, pour notre compte et sur nos instructions.

Il est responsable du traitement, pour son propre compte, quand il choisit les banques et les moyens de paiement, prévient et détecte la fraude, prévient les pertes et les risques de sécurité, tient ses processus internes, respecte ses obligations légales, dont la lutte contre le blanchiment, et analyse et améliore ses services.

Pour ces traitements-là, c'est la politique de confidentialité de Stripe qui s'applique.

Stripe conserve ce qu'il traite pour notre compte pendant la durée de notre contrat avec lui, puis le temps d'exécuter les obligations qui lui survivent. Pour ses traitements propres, il ne publie pas de durée unique : sa politique renvoie à ses obligations légales et à la prévention de la fraude.

• Les destinataires des factures. Pour la même raison, aucune facture n'a encore été émise. Les factures sont produites par notre propre outil de gestion, hébergé sur notre infrastructure. Elles seront transmises à notre cabinet d'expertise comptable et, au titre de la facturation électronique entre entreprises, à la plateforme agréée que nous utilisons. Ces destinataires seront nommés dans cette section avant la première facture.
• La mesure d'audience. Elle est assurée par une instance Matomo que nous hébergeons sur notre propre infrastructure. Les mesures ne sortent pas de chez nous et ne sont transmises à personne. Ce n'est donc pas une sous-traitance, et c'est l'une des raisons pour lesquelles ce site n'affiche aucune bannière.

La protection des formulaires du diagnostic, de l'auto-évaluation et de contact

Les formulaires qui vous permettent de recevoir votre rapport de diagnostic ou le résultat de votre auto-évaluation, et celui par lequel vous nous écrivez, sont protégés par Turnstile, un composant édité par Cloudflare, Inc. Il remplace le test d'images qu'on vous demande ailleurs de résoudre, et il sert à une seule chose : distinguer une soumission humaine d'une soumission automatisée.

• Ce qui part, et ce qui ne part pas. Le composant est chargé depuis les serveurs de son éditeur au moment où la page du formulaire s'affiche. Quatre éléments lui sont transmis : votre adresse IP, l'empreinte TLS de votre connexion, l'en-tête User-Agent de votre navigateur, et l'identifiant public de notre site avec le domaine d'où l'appel est fait. Vos réponses, vos coordonnées et le texte que vous saisissez ne lui sont ni transmis, ni accessibles. Votre verdict, votre résultat et votre rapport ne passent à aucun moment par cette société.
• L'entité est américaine. Notre contrat est conclu avec Cloudflare, Inc., société de droit américain établie 101 Townsend Street, San Francisco, Californie 94107. Ce n'est pas une filiale européenne, et nous le précisons parce que cela change la lecture de la section 5.
• Cette société n'est pas seulement notre sous-traitant. Pour protéger nos formulaires, elle traite ces signaux pour notre compte et sur nos instructions : elle est sous-traitante, et le contrat de l'article 28 s'applique. Elle traite également ces mêmes signaux pour améliorer ses propres algorithmes de détection, et pour cette finalité elle agit comme responsable du traitement, sur le fondement de son propre intérêt légitime. Nous ne le commandons pas et nous ne pouvons pas nous engager à votre place sur ce qu'elle en fait. Nous vous renvoyons à l'addendum de confidentialité Turnstile qu'elle publie, cité en fin de document. Ce que nous rapportons de sa part est sa déclaration, pas une garantie de la nôtre.

Le détail de l'hébergement, des accès et des mesures de sécurité figure sur la page de confiance, qui sert d'annexe technique à ce document.

5. Les transferts hors de l'Union européenne

L'hébergement, la base et les sauvegardes sont en France. Vos dossiers ne quittent pas l'Union européenne.

Trois traitements en sortent, et aucun ne porte votre dossier.

• La réception des courriels que vous nous adressez par Infomaniak Network SA, en Suisse, qui héberge nos boîtes de réception. Ce qui lui transite est ce que contient le message que vous nous envoyez : votre adresse électronique et le texte du message. Les courriels que nous vous envoyons sont acheminés par OVH, en France, et ne passent pas par la Suisse. La Suisse bénéficie d'une décision d'adéquation de la Commission européenne, la décision 2000/518/CE du 26 juillet 2000, modifiée par la décision d'exécution (UE) 2016/2295 et maintenue en vigueur par l'article 45, paragraphe 9, du règlement (UE) 2016/679. La Commission en a confirmé la validité dans son réexamen du 15 janvier 2024. Ce transfert ne requiert donc aucune garantie supplémentaire au titre du chapitre V du règlement. Ce prestataire documente héberger les données dans ses propres centres de données situés en Suisse.
• La protection des formulaires du diagnostic, de l'auto-évaluation et de contact par Cloudflare, Inc., aux États-Unis. Ce qui lui est transmis est décrit à la section 4 : votre adresse IP, l'empreinte TLS de votre connexion, l'en-tête User-Agent de votre navigateur et l'identifiant public de notre site. Ni vos réponses, ni vos coordonnées, ni votre message, ni votre rapport.

Le mécanisme est une décision d'adéquation, et non des clauses contractuelles types. Cette société est certifiée au cadre de protection des données UE - États-Unis, pour les données autres que de ressources humaines.

La décision applicable est la décision d'exécution (UE) 2023/1795 de la Commission du 10 juillet 2023. Un transfert vers une organisation certifiée à ce cadre ne requiert aucune garantie supplémentaire au titre du chapitre V du règlement.

Le paiement, par Stripe. Notre contrat est conclu avec Stripe Payments Europe, Limited, en Irlande. Son accord de traitement des données prévoit que les données nécessaires au service sont transférées à Stripe, LLC, aux États-Unis, et qu'elles peuvent l'être aux sociétés affiliées de Stripe et à ses propres sous-traitants dans d'autres pays.

Ce qui est transmis est décrit à la section 4 : les données du paiement. Ni vos réponses, ni votre dossier.

Le mécanisme est d'abord la décision d'adéquation : Stripe, LLC est certifiée au cadre de protection des données UE - États-Unis, décision d'exécution (UE) 2023/1795 de la Commission du 10 juillet 2023.

L'addendum de Stripe sur les transferts de données retient, en second rang, les clauses contractuelles types de la décision d'exécution (UE) 2021/914, modules 1, 2 et 3 : elles s'appliqueraient si cette certification tombait. Les deux précisions qui suivent valent pour Cloudflare comme pour Stripe.

Deux précisions, parce qu'une adéquation citée sans son état réel ne vaut pas grand-chose. D'abord, l'état d'une certification change sans nous prévenir : la liste tenue par le département du commerce des États-Unis est publique, son adresse figure en fin de document, et c'est elle qui fait foi à la date où vous la consultez, pas cette page.

Ensuite, la décision d'adéquation elle-même est contestée devant le juge de l'Union. Le Tribunal a rejeté le recours en annulation par un arrêt du 3 septembre 2025, affaire T-553/23, Latombe contre Commission.

Un pourvoi contre cet arrêt a été formé devant la Cour de justice le 31 octobre 2025, affaire C-703/25 P. À la date de cette version, il n'a pas été jugé, et la décision d'adéquation reste en vigueur.

Aucun autre transfert hors de l'Union n'est mis en oeuvre. Le jour où un outil supplémentaire en impliquerait un, cette politique serait mise à jour avant sa mise en service, et non après : c'est la règle de la section 15.

6. Durées de conservation

Une durée arrive à terme, les données sont supprimées ou anonymisées. Chacune de ces durées est appliquée par une rotation ou une purge automatique, et non par une intervention manuelle.

La preuve du consentement survit au consentement. Elle court trois ans à compter du retrait, et non du dernier contact. Une preuve qui s'efface en même temps que ce qu'elle prouve ne prouve rien le jour où on la demande.

Les journaux ne sont pas une seule chose et n'ont pas une seule durée. Les journaux système, trente jours. Les journaux d'accès au service, qui portent votre adresse IP, six mois.

Le journal des accès de nos administrateurs à vos données, douze mois. Cette dernière durée est la plus longue à dessein : pouvoir reconstituer, sur un exercice complet, qui a consulté quoi est une garantie pour vous.

Une durée de ce tableau n'est pas la nôtre. Les signaux transmis à Cloudflare sont conservés par cette société, selon une durée qu'elle ne publie pas. Nous préférons écrire que nous ne la connaissons pas plutôt qu'une formule vague qui serait exacte et ne vous apprendrait rien.

De notre côté, nous ne conservons aucun de ces signaux : le jeton délivré par le composant est vérifié auprès de l'éditeur au moment de l'envoi du formulaire, puis abandonné. Seul le résultat de cette vérification, réussite ou échec, figure dans nos journaux d'accès et suit leur durée de six mois.

7. La durée de vie de votre dossier

C'est la première question que pose un acheteur sérieux.

Nous ne conservons pas votre dossier « tant que votre compte existe ». Cette formule fait dépendre la durée de vie de vos données d'un événement que personne ne date. Ici, la durée est rattachée à votre produit, et vous pouvez la calculer vous-même.

• La règle. Les données d'un dossier sont conservées pendant la période d'assistance que vous avez déclarée pour le produit concerné, majorée du délai pendant lequel la documentation technique doit rester disponible.
• D'où vient cette durée. Elle n'est pas un choix commercial, elle découle du règlement (UE) 2024/2847. La période d'assistance est d'au moins cinq ans, sauf lorsque la durée d'utilisation prévue du produit est plus courte (art. 13, paragraphe 8) ; c'est vous qui la déclarez. La documentation technique et la déclaration UE de conformité doivent être tenues à la disposition des autorités de surveillance du marché pendant dix ans après la mise sur le marché du produit, ou pendant la période d'assistance si celle-ci est plus longue (art. 13, paragraphe 13).

Autrement dit, nous gardons votre dossier aussi longtemps que vous pouvez avoir besoin de le produire devant une autorité au sujet de ce produit, et pas au-delà.

• C'est une durée par défaut, et elle reste la vôtre. Sur les données personnelles de votre dossier, vous êtes responsable du traitement et nous sommes votre sous-traitant (section 8). La durée ci-dessus est donc une durée contractuelle par défaut, que vous pouvez raccourcir à tout moment par instruction, sans avoir à la motiver. Votre dossier est par ailleurs exportable à tout moment, dans un format que vous conservez chez vous.
• La fin d'un compte, et celle de votre entreprise sur le service. Vos produits et vos dossiers appartiennent au compte de votre entreprise, pas à un compte individuel. La suppression d'un compte, à votre demande ou pour inactivité, a donc des effets différents selon la situation :

• d'autres comptes actifs restent rattachés à votre entreprise : seul votre compte est supprimé, et les données de l'entreprise restent à ses autres membres ;
• vous êtes le dernier administrateur et d'autres membres restent : la suppression est refusée tant qu'un autre administrateur n'a pas été désigné, pour que le compte de l'entreprise ne reste pas sans personne pour le gérer ;
• vous êtes le dernier compte et aucun dossier n'a été acheté : votre compte et toutes les données de l'entreprise sont supprimés, produits, évaluations, pièces et fichiers compris ;
• vous êtes le dernier compte et au moins un dossier a été acheté : votre compte est supprimé, mais les dossiers sont conservés pour la durée décrite ci-dessus, parce que c'est pendant cette durée que l'entreprise peut avoir à les produire. Un nouveau compte ne peut y accéder qu'après vérification de son rattachement à l'entreprise ;
• vous êtes le dernier compte, aucun dossier n'a été acheté, mais des opérations ont été facturées : seule la trace comptable décrite à la section 6 est conservée, sans aucune donnée personnelle. Tout le reste est supprimé.

L'inactivité. Un compte resté vingt-quatre mois sans connexion est supprimé selon les règles ci-dessus. Au vingt-troisième mois, un courriel vous prévient, vous indique la date de suppression et vous rappelle qu'une simple connexion l'annule. Un compte qui n'a pas reçu cet avertissement n'est pas supprimé, même passé le terme.

Un compte rattaché à une entreprise qui porte au moins un dossier acheté n'est jamais supprimé pour inactivité. Au terme de la durée de conservation de ses dossiers, l'entreprise est prévenue avant toute suppression, et l'export complet lui est proposé.

• Le sort des sauvegardes. Une suppression exécutée dans la base active ne retire pas instantanément vos données des sauvegardes, qui servent à restaurer le service après un incident. Elles en disparaissent au fil de la rotation : trente jours pour les sauvegardes quotidiennes, douze semaines pour les hebdomadaires, vingt-quatre mois pour les mensuelles. S'y ajoutent les sauvegardes automatiques du serveur, tenues par notre hébergeur et conservées sept jours. Chaque sauvegarde est aussi copiée, chiffrée, sur un second serveur de DATIVO, où la copie est gardée trente jours. Les sauvegardes faites avant une intervention sur le service sont gardées trente jours ; la plus récente est conservée jusqu'à l'intervention suivante. Toutes nos sauvegardes sont chiffrées. Aucune n'est conservée au-delà de vingt-quatre mois, et aucune n'est utilisée à une autre fin que la restauration après incident.
• Notre délai d'exécution. Une demande de suppression est exécutée dans un délai d'un mois à compter de sa réception, conformément à l'article 12, paragraphe 3, du règlement (UE) 2016/679. C'est le délai du texte, et nous n'annonçons pas mieux : une structure de notre taille qui promettrait soixante-douze heures se mettrait en faute le jour d'un déplacement. Dans les faits, une suppression demandée depuis votre espace est exécutée immédiatement ; c'est l'engagement qui est d'un mois, pas la pratique. Ce délai court sur la base active ; la disparition des sauvegardes suit le cycle ci-dessus, qui n'est pas un délai d'exécution mais une conséquence physique.

Les pièces comptables attachées à une commande échappent à cette règle et suivent la leur : dix ans, parce que la loi l'impose.

8. Responsable de traitement, ou sous-traitant

Cette qualification change selon le traitement, et la confondre serait une faute.

Pour le diagnostic, l'auto-évaluation, le rapport de qualification, le recontact commercial, la gestion des comptes et des entreprises, la consultation du répertoire SIRENE, la facturation, la sécurité du service et la mesure d'audience, DATIVO est responsable du traitement. C'est nous qui définissons la finalité et les moyens : nous décidons des questions posées, des règles de qualification, du contenu du rapport, du fonctionnement des comptes et de l'usage fait de vos coordonnées.

Vous nous demandez un service, vous ne nous confiez pas un traitement.

Pour les données personnelles que vous saisissez dans votre dossier au sujet de vos propres collaborateurs, DATIVO agit comme sous-traitant au sens de l'article 28 du règlement (UE) 2016/679. Le responsable, c'est votre entreprise : elle décide quelles personnes désigner comme responsable produit, comme point de contact de signalement ou comme signataire de la déclaration UE, et pourquoi.

Nous nous bornons à héberger et à traiter ces données selon ses instructions, pour la fourniture du service. Les durées, les suppressions et les restitutions qui s'y rattachent suivent ses instructions et le contrat, pas nos préférences.

Un accord de sous-traitance est tenu à votre disposition. Il fixe l'objet et la durée du traitement, les catégories de personnes concernées, nos obligations de confidentialité et de sécurité, le régime de la sous-traitance ultérieure, l'assistance que nous vous devons en cas de demande de droits ou de violation, le sort des données au terme de la prestation, et vos droits d'information et d'audit.

Il est remis sur simple demande, avant la commande si vous le souhaitez. Son contenu n'est pas publié ici : c'est un document contractuel distinct, et il se signe.

9. La sécurité de vos données

Un dossier technique décrit votre produit, ses composants et ses faiblesses. Il n'est pas moins sensible parce qu'il n'est pas nominatif.

Les mesures techniques et organisationnelles appliquées au service sont énumérées ci-dessous. Elles sont nommées plutôt qu'affirmées en bloc, pour que vous puissiez les vérifier et, le cas échéant, nous les opposer. Aucune n'est écrite parce qu'elle est usuelle : chacune a été constatée avant d'être publiée, et aucune n'est écrite au futur.

Le transport est chiffré, sans exception. Le site n'est accessible qu'en HTTPS. Il demande au navigateur de ne jamais l'appeler en clair pendant un an, sous-domaines compris. Une adresse tapée en http:// est corrigée avant même qu'une requête parte.

La base est chiffrée au repos. Les fichiers de la base et son journal de transactions sont chiffrés en AES par le moteur. La clef ne vit pas dans la base. Quelqu'un qui repartirait avec les fichiers de données n'aurait pas les données.

Les sauvegardes sont chiffrées. Chaque archive est chiffrée en AES-256. Une archive copiée sans sa clef ne livre rien.

Les sauvegardes sont vérifiées, pas seulement produites. La base est sauvegardée chaque nuit. Chaque archive est contrôlée dès sa production : intégrité, taille minimale, présence des tables qui portent vos données. Une marque de fin d'écriture distingue une sauvegarde complète d'une sauvegarde interrompue.

Une archive refusée est mise à part et signalée, jamais remplacée en silence. Elles sont conservées trente jours au quotidien, douze semaines à l'hebdomadaire et vingt-quatre mois au mensuel. Une restauration d'essai sur une base jetable vérifie régulièrement qu'une archive se relit vraiment.

Et un second contrôle surveille le premier. Un contrôle indépendant s'exécute chaque matin. Il échoue si la dernière sauvegarde a plus de quarante-huit heures ou si elle est illisible. Il est séparé du script de sauvegarde, pour une raison simple : un script qui ne s'exécute plus ne peut pas le signaler lui-même.

Les environnements sont séparés. Le développement et la production ont des bases distinctes et des identités d'accès distinctes. Le développement n'a aucun moyen d'écrire dans la base de production. Cette séparation a déjà été mise à l'épreuve : elle a provoqué une panne d'accès. Nous l'avons gardée, plutôt que de la lever pour faire disparaître un message d'erreur.

L'accès au serveur se fait par clef, jamais par mot de passe. L'authentification par mot de passe est refusée et la connexion directe au compte d'administration est interdite.

Les correctifs de sécurité du système s'installent automatiquement. La liste des paquets est rafraîchie chaque jour et les mises à jour de sécurité sont appliquées sans intervention.

Votre mot de passe n'est jamais stocké. Seule une empreinte l'est, produite par l'algorithme de hachage recommandé par la plateforme. Elle est recalculée automatiquement si cette recommandation évolue.

Il en va de même des liens à usage unique envoyés par courriel, pour confirmer une adresse ou renouveler un mot de passe. La base n'en porte que l'empreinte : une base lue ne rend aucun lien utilisable.

Les tentatives de connexion sont limitées, par fenêtre de quelques minutes. Le compteur ne conserve aucune adresse réseau en clair : il travaille sur une empreinte, qui suffit à compter et ne permet pas de remonter.

Le navigateur reçoit les en-têtes qui restreignent ce que la page peut faire. Ils imposent une politique de sécurité du contenu, refusent l'interprétation de type et limitent le cadrage à notre propre domaine. Ils restreignent aussi le référent, et désactivent la géolocalisation, le microphone et la caméra.

Aucun secret ne vit dans le dépôt de code. Mots de passe de base et identifiants d'envoi sont résolus à l'exécution depuis un coffre, par une identité propre à chaque instance. Le dépôt ne porte que des références, jamais des valeurs.

Le panneau d'administration n'est pas exposé en production, et une requête vers son adresse répond comme une page inexistante.

Cette liste est celle des mesures constatées, pas celle de tout ce qui est souhaitable. Des chantiers de sécurité sont ouverts, suivis et datés en interne.

Nous ne les détaillons pas sur une page publique : la liste de ce qui manque à un service est d'abord un mode d'emploi pour qui voudrait s'en servir, et la publier serait une faute au regard de l'article 32 du règlement.

Un client qui a besoin de ce détail l'obtient sous accord de confidentialité, au titre du droit d'audit prévu par l'accord de sous-traitance.

Cette liste est aussi celle de la page de confiance : ce n'est pas une copie mais le même texte, écrit à un seul endroit et repris aux deux. Les deux pages ne peuvent donc pas diverger.

10. Les violations de données

Si une violation de données survient et qu'elle est susceptible d'engendrer un risque pour les droits et libertés des personnes, nous la notifions à la Commission nationale de l'informatique et des libertés dans les 72 heures après en avoir pris connaissance (art. 33 du règlement (UE) 2016/679). Si le délai est dépassé, la notification indique le motif du retard.

Lorsque la violation est susceptible d'engendrer un risque élevé, nous informons également et sans retard injustifié les personnes concernées, en langage clair, en décrivant la nature de la violation, ses conséquences probables et les mesures prises (art. 34).

Lorsque vous êtes vous-même responsable du traitement au sens de la section 8, nous vous alertons dans les 48 heures suivant notre prise de connaissance, afin que vous puissiez tenir vos propres obligations.

L'article 33, paragraphe 2, nous impose de le faire « dans les meilleurs délais » sans fixer de chiffre ; nous en fixons un, parce que c'est ce délai-là qui détermine si vous tiendrez vos 72 heures. Le même engagement figure sur la page de confiance, et ses modalités dans l'accord de sous-traitance.

Toute violation est enregistrée dans un registre interne, qu'elle ait été notifiée ou non.

11. Vos droits

Vous disposez des droits suivants.

• Accès (art. 15) : obtenir la confirmation que des données vous concernant sont traitées, et une copie de ces données.
• Rectification (art. 16) : faire corriger une donnée inexacte ou compléter une donnée incomplète.
• Effacement (art. 17) : obtenir la suppression de vos données, dans les cas prévus par le règlement. Ce droit ne joue pas contre une obligation légale de conservation, notamment comptable.
• Limitation (art. 18) : demander le gel d'un traitement pendant l'examen d'une contestation.
• Portabilité (art. 20) : recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine, ou en demander la transmission directe à un autre responsable.
• Opposition (art. 21) : vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur notre intérêt légitime.
• Retrait du consentement (art. 7, paragraphe 3) : retirer à tout moment votre accord au recontact ou aux informations de DATIVO, aussi facilement que vous l'avez donné. Le retrait vaut pour l'avenir et ne remet pas en cause ce qui a été fait avant.

Vous pouvez également définir des directives relatives au sort de vos données après votre décès, générales ou particulières, en application de l'article 85 de la loi n° 78-17 du 6 janvier 1978 modifiée.

Ce que vous pouvez faire vous-même, sans nous écrire. Si vous avez un compte, votre espace vous permet de corriger vos informations, d'ajouter ou de retirer votre téléphone, de changer votre choix sur les informations de DATIVO, de consulter l'historique de vos connexions, d'exporter vos données dans un format lisible par machine, et de supprimer votre compte selon les règles de la section 7.

Ces outils ne remplacent pas vos droits : ils en facilitent l'exercice, et vous pouvez toujours nous écrire.

Lorsque nous agissons comme sous-traitant (section 8), ces droits s'exercent auprès du responsable du traitement, c'est-à-dire auprès de l'entreprise qui tient le dossier. Une demande qui nous parviendrait directement lui est transmise sans délai, et nous l'assistons pour y répondre.

• Comment les exercer par courriel à dpo@dativo.fr, ou par courrier au siège social. Nous pouvons vous demander un élément permettant de vérifier votre identité, uniquement en cas de doute raisonnable, et cet élément est détruit après vérification.
• Notre délai nous répondons dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prorogé de deux mois si la demande est complexe ou si les demandes sont nombreuses, auquel cas nous vous informons de la prorogation et de son motif dans le mois initial (art. 12, paragraphe 3).
• Réclamation si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l'informatique et des libertés, www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

12. Cookies et traceurs

Ce site n'affiche pas de bandeau de consentement, et ce n'est pas un oubli.

Un seul cookie est déposé, lorsque vous utilisez le diagnostic, l'auto-évaluation, votre compte ou votre espace : le cookie de session, strictement nécessaire au fonctionnement du service que vous avez demandé.

Il se nomme PHPSESSID, il est limité à l'hôte exact du service, il n'est pas lisible par les scripts de la page, il n'est transmis que sur une connexion chiffrée, il ne porte qu'un identifiant tiré au hasard et il expire à la fermeture de votre navigateur.

Côté serveur, une session de compte restée deux heures sans activité est fermée. Il relève de l'exemption de l'article 82 de la loi n° 78-17 du 6 janvier 1978 modifiée, telle que précisée par les lignes directrices de la CNIL du 17 septembre 2020.

Vous pouvez le vérifier vous-même dans les outils de développement de votre navigateur : c'est le seul cookie déposé par ce site, et il n'y en a aucun de tiers.

La protection des formulaires ne dépose aucun cookie. Le composant Turnstile délivre un jeton à usage unique, transmis avec votre envoi, vérifié par notre serveur, puis abandonné.

Son éditeur ne dépose un cookie, nommé cf_clearance, que si l'option de pré-autorisation est activée sur le composant. Elle ne l'est pas ici, et son activation ferait l'objet d'une mise à jour de cette section avant toute mise en service.

Ce composant est en revanche servi depuis un domaine tiers, challenges.cloudflare.com. Afficher la page d'un formulaire protégé transmet donc votre adresse IP à son éditeur, avant même que vous n'ayez cliqué.

Ce n'est pas un dépôt sur votre appareil et cela ne relève pas de l'article 82, mais c'est un traitement, et il est décrit aux sections 4 et 5. Sur les autres pages de ce site, ce composant n'est pas chargé et rien n'est transmis.

La mesure d'audience est configurée sans cookie. Elle ne dépose rien sur votre appareil, ne vous suit pas d'une visite à l'autre et ne produit que des statistiques agrégées.

Elle est tenue dans la configuration exemptée de consentement décrite par la CNIL : adresse IP tronquée avant enregistrement, aucun recoupement entre sites ni entre applications, aucune transmission à un tiers, conservation limitée à treize mois, et respect du signal « Do Not Track » de votre navigateur.

Sont mesurées les pages de contenu et les étapes du diagnostic, sous forme d'adresses fixes qui ne contiennent ni vos réponses, ni votre rapport, ni aucun identifiant.

Les pages qui portent un jeton d'accès, comme votre rapport, la confirmation d'une adresse ou le renouvellement d'un mot de passe, ne transmettent jamais leur adresse réelle à l'outil de mesure. Soit elles ne sont pas mesurées, soit une adresse fixe, identique pour tous, est enregistrée à leur place.

Le paiement n'est pas mesuré, à une exception près. Lorsqu'un paiement est confirmé, la page de confirmation transmet à l'outil de mesure un signal unique, « commande payée », une seule fois par commande.

Ce signal ne contient ni montant, ni produit, ni référence de commande, ni identifiant de client, et l'adresse enregistrée est une adresse fixe, identique pour tous. Il nous sert à savoir quelle origine de visite précède un achat. Votre compte, votre espace et les autres pages du paiement ne sont pas mesurés.

La statistique d'usage du diagnostic est tenue autrement, et il faut le dire précisément parce que la formule « statistiques anonymes » sert souvent à couvrir l'inverse : nous comptons combien de parcours sont commencés, jusqu'à quelle question ils vont et combien aboutissent.

Ce compteur ne porte ni identifiant, ni adresse IP, ni en-tête de navigateur, ni aucune de vos réponses. Ce sont des nombres par jour et par question. Un journal technique du parcours complète ce compteur.

Pour chaque parcours, il note les étapes franchies, le code des questions affichées, le temps écoulé, le motif technique d'un éventuel refus d'envoi du formulaire, l'origine de la visite (campagne ou domaine du site d'où vous venez) et la nature probable du visiteur (personne, robot déclaré, essai interne).

Il est rattaché à un identifiant tiré au hasard, propre à ce parcours, qui n'est lié ni à votre adresse IP ni à un compte et qui ne quitte pas notre serveur. Il ne contient ni adresse IP, ni nom, ni adresse de courriel, ni aucune de vos réponses. Il est conservé trente jours, puis effacé.

Aucun autre traceur n'est utilisé : ni publicité, ni réseau social, ni test comportemental, ni stockage local dans votre navigateur. C'est une règle de conception : un seul cookie de confort ferait tomber l'exemption et rendrait un bandeau obligatoire.

13. Décision automatisée

Le diagnostic produit un verdict, et l'auto-évaluation un niveau de maturité, par un calcul. Nous préférons l'expliquer que le taire.

• Comment il fonctionne. Vos réponses sont passées dans des règles écrites à partir du règlement (UE) 2024/2847 : un arbre de qualification pour le diagnostic, une grille par exigence de l'annexe I pour l'auto-évaluation. Le même jeu de réponses donne toujours le même résultat. Aucune donnée extérieure n'est appelée, aucun historique n'est consulté, aucune comparaison avec d'autres utilisateurs n'est faite, et aucun modèle d'intelligence artificielle n'intervient. Le calcul est déterministe, et il se déroule sur nos serveurs, à votre demande.
• Pourquoi ce n'est pas une décision au sens de l'article 22. L'article 22 vise les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques ou qui affectent la personne de manière significative de façon similaire. Trois éléments manquent ici.

Le résultat ne produit aucun effet juridique. Il ne vous accorde rien, ne vous refuse rien, ne conditionne l'accès à aucun service et ne modifie aucune de vos obligations. Vos obligations, si vous en avez, vous les tenez du règlement et non de notre calcul.

Le résultat ne vous affecte pas de manière significative de façon similaire. C'est une orientation, que vous demandez, que vous pouvez refaire, discuter ou ignorer, et qui porte la réserve selon laquelle la qualification définitive dépend de la description technique précise de votre produit.

Le calcul ne repose sur aucun profilage au sens de l'article 4, point 4. Il n'évalue aucun aspect de votre personne : ni comportement, ni fiabilité, ni situation économique. Il qualifie un produit au regard d'un texte.

Ce que vous pouvez faire dans tous les cas. Nous contacter pour contester une qualification ou un niveau, et obtenir qu'une personne le relise. Ce n'est pas une obligation que l'article 22 nous impose ici : c'est un engagement.

14. Ce qui est obligatoire et ce qui est facultatif

Le questionnaire du diagnostic et celui de l'auto-évaluation ne demandent aucune donnée d'identité. Vous pouvez répondre à toutes les questions sans nous dire qui vous êtes.

• Pour recevoir votre rapport de diagnostic quatre données sont nécessaires : prénom, nom, société et adresse électronique professionnelle. Sans elles, le rapport ne peut ni être établi, ni vous être adressé. Le téléphone est facultatif et son absence n'a aucune conséquence.
• Pour recevoir le résultat détaillé de votre auto-évaluation seule votre adresse électronique professionnelle est nécessaire. Le prénom et la société sont facultatifs.
• Pour être prévenu de l'ouverture votre adresse électronique professionnelle et votre entreprise sont nécessaires. Le prénom est facultatif.
• Pour créer un compte sont nécessaires : prénom, nom, adresse électronique professionnelle, entreprise (numéro SIREN), mot de passe, et l'acceptation des conditions générales d'utilisation. Sans elles, le compte ne peut pas être ouvert. Le téléphone est facultatif et son absence n'a aucune conséquence sur l'accès au service.
• La case de prise de connaissance n'est pas un consentement. Le rapport, le résultat ou l'avis d'ouverture ne sont délivrés que si cette case est cochée. Un consentement recueilli dans ces conditions serait vicié : il ne serait pas libre, puisque le service est conditionné à son recueil (art. 4, point 11, et art. 7, paragraphe 4). Nous ne prétendons donc pas nous appuyer dessus.

La base légale du traitement est l'article 6.1.b : vous demandez un service, et fournir les données nécessaires est indispensable à l'exécution de cette demande, qui est une mesure précontractuelle prise à votre initiative.

La case vaut information et prise de connaissance de la présente politique, rien de plus. À la création d'un compte, la case porte en outre l'acceptation des conditions générales d'utilisation : c'est la conclusion d'un contrat, pas un consentement au sens du règlement.

Une conséquence, et elle nous engage : puisque la finalité déclarée est l'établissement et l'envoi du rapport ou du résultat, ou l'avis d'ouverture, les données recueillies à ce titre ne sont pas utilisées pour de la prospection non sollicitée. Toute réutilisation commerciale s'appuie sur la seconde case, et sur elle seule.

• La seconde case est un vrai consentement. Selon le formulaire, elle porte sur le recontact à propos de votre rapport ou de votre résultat, ou sur les informations de DATIVO à la création d'un compte. Elle est facultative, non cochée par défaut, et sans effet sur le service demandé : le rapport, le résultat ou le compte sont délivrés à l'identique, qu'elle soit cochée ou non. Si l'interface la rendait nécessaire d'une quelconque façon, le consentement tomberait. Elle est retirable à tout moment, et le retrait est aussi simple que l'accord.
• La preuve du consentement est conservée faute de quoi il ne serait opposable à personne, pas même à nous. Nous enregistrons la version du texte affiché, l'empreinte numérique du libellé exact tel qu'il vous a été présenté, l'horodatage serveur de votre action et la portée du consentement donné. Cela permet de savoir, des mois plus tard, à quoi exactement vous avez consenti.

Les données du dossier technique relèvent d'une autre logique : elles sont nécessaires à l'exécution du contrat, et leur caractère obligatoire découle du contenu qu'impose l'annexe VII du règlement (UE) 2024/2847. Un dossier incomplet produit un dossier incomplet, et nous vous le signalons plutôt que de le combler.

15. Modifications de cette politique

Cette politique évoluera, parce que le service évoluera. Trois règles s'appliquent.

Chaque version porte un numéro et une date, en pied de page. Chaque version est archivée : le texte qui vous est opposable est celui qui était en vigueur à la date de votre demande, et nous devons pouvoir le produire.

Une modification substantielle, en particulier l'ajout d'une finalité, d'un sous-traitant ou d'un transfert hors de l'Union, est portée à votre connaissance avant sa mise en oeuvre si vous avez un compte. La politique est mise à jour avant le changement technique, jamais après.

Une modification de forme, une correction ou une précision est publiée avec un nouveau numéro de version, sans notification individuelle.