Dernière mise à jour : [JJ/MM/AAAA]
La présente politique décrit la manière dont [REP·Pro] (ci-après « REP·Pro », « nous ») collecte, utilise et protège les données à caractère personnel des utilisateurs et clients de son service REP·Pro (ci-après le « Service »), conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »).
Le responsable de traitement est :
Pour toute question relative à vos données ou pour exercer vos droits, vous pouvez contacter notre DPO à l'adresse ci-dessus.
Nous collectons et traitons les catégories de données suivantes :
| Catégorie | Exemples de données |
|---|---|
| Identité de l'entreprise cliente | Dénomination sociale, SIREN/SIRET, forme juridique, code APE, adresse, nom du dirigeant/représentant légal (issus notamment de l'API publique recherche-entreprises.api.gouv.fr) |
| Données de contact et de compte | Nom, prénom, fonction, adresse électronique, numéro de téléphone professionnel |
| Données d'authentification | Adresse email (OTP), secret/statut d'authentification à double facteur (TOTP), codes de secours (sous forme hachée), journaux de connexion |
| Données métier (emballages) | Nature, matériaux, quantités et poids d'emballages mis sur le marché, catégories de produits, données servant au calcul de l'éco-contribution |
| Données de facturation et de paiement | Coordonnées de facturation, historique d'abonnement et de factures, identifiant de transaction Stripe (les données complètes de carte bancaire sont traitées directement par Stripe et ne sont pas conservées par REP·Pro) |
| Données de déclaration | Contenu des déclarations préparées et, le cas échéant, déposées auprès d'un éco-organisme |
| Données techniques et d'usage | Adresse IP, logs, type de navigateur, données de navigation, cookies (voir Article 11) |
| Données de prospection (le cas échéant) | Coordonnées professionnelles, préférences de contact, historique d'échanges commerciaux |
Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale déterminée :
| Finalité | Base légale |
|---|---|
| Création et gestion du compte, authentification (OTP / TOTP) | Exécution du contrat (art. 6.1.b) — fourniture du Service |
| Calcul de l'éco-contribution, préparation et dépôt de la déclaration REP | Exécution du contrat (art. 6.1.b) ; Obligation légale du Client au titre de la filière REP dont REP·Pro facilite le respect (art. 6.1.c pour la part relevant d'obligations légales) |
| Facturation et gestion des abonnements | Exécution du contrat (art. 6.1.b) et obligation légale de conservation comptable (art. 6.1.c) |
| Sécurité du Service, prévention de la fraude, journalisation | Intérêt légitime (art. 6.1.f) — garantir la sécurité et l'intégrité du Service |
| Amélioration du Service, statistiques agrégées | Intérêt légitime (art. 6.1.f) |
| Prospection commerciale et communications marketing | Consentement (art. 6.1.a) lorsqu'il est requis ; intérêt légitime pour la prospection B2B de produits analogues auprès de clients existants, avec droit d'opposition |
| Veille réglementaire et alertes | Exécution du contrat (art. 6.1.b) et/ou consentement selon le canal |
| Cookies non essentiels | Consentement (art. 6.1.a) |
Les données sont destinées aux services habilités de REP·Pro. Nous faisons appel aux sous-traitants et destinataires suivants, encadrés par des accords conformes à l'article 28 du RGPD :
| Destinataire / Sous-traitant | Rôle | Données concernées |
|---|---|---|
| Stripe (Stripe Payments Europe, Ltd.) | Prestataire de paiement | Données de facturation et de transaction |
| Supabase (base de données, authentification, fonctions serveur) | Hébergement des données, comptes et traitements applicatifs | Ensemble des données du Service (comptes, emballages, déclarations) |
| Connecteurs comptables — Pennylane, MyUnisoft, Chift (agrégateur Cegid / ACD / Sage…) | Import du portefeuille clients des cabinets (sur connexion volontaire du cabinet) | Dénomination, SIREN/SIRET, coordonnées et données d'entreprise des clients du cabinet |
| [Hébergeur d'infrastructure — ex. OVH / Scaleway / AWS EMEA, si distinct de Supabase] | Hébergement de l'infrastructure | Ensemble des données du Service |
| Éco-organisme(s) agréé(s) [ex. CITEO / Adelphe / autre] | Destinataire de la déclaration (en cas de dépôt) | Données de déclaration et d'entreprise nécessaires au dépôt |
| API publique recherche-entreprises.api.gouv.fr (DINUM) | Source de pré-remplissage des données d'entreprise | Requêtes sur SIREN/SIRET, données publiques d'entreprise |
| [Prestataire d'emailing / notifications] | Envoi d'emails transactionnels et, le cas échéant, marketing | Email, nom, contenu des messages |
| [Outil de support / CRM] | Support client et suivi commercial | Coordonnées, échanges |
Aucune donnée n'est vendue à des tiers. Les données peuvent être communiquées aux autorités administratives ou judiciaires lorsque la loi l'exige.
| Catégorie de données | Durée de conservation |
|---|---|
| Données de compte et d'identité | Durée de la relation contractuelle, puis suppression ou anonymisation dans un délai de [3] mois après clôture du compte |
| Données d'authentification et logs de connexion | [12] mois (sécurité), les logs techniques jusqu'à [12] mois |
| Données métier (emballages) et déclarations | Durée de la relation contractuelle + durée nécessaire à la preuve de conformité, dans la limite de [6] ans (aligné sur les obligations liées à la déclaration) |
| Données de facturation et pièces comptables | [10] ans à compter de la clôture de l'exercice (obligation légale — art. L.123-22 Code de commerce) |
| Données de prospection (prospects) | [3] ans à compter du dernier contact resté sans suite |
| Cookies non essentiels | [13] mois maximum pour le consentement ; durée de vie des cookies conforme aux recommandations CNIL |
À l'issue de ces durées, les données sont supprimées ou anonymisées.
REP·Pro privilégie un hébergement et un traitement des données au sein de l'Union européenne. Lorsqu'un sous-traitant est susceptible de traiter des données en dehors de l'UE/EEE (par exemple certains services de Stripe ou d'infrastructure), le transfert est encadré par des garanties appropriées au sens des articles 44 et suivants du RGPD, notamment des Clauses Contractuelles Types (CCT) de la Commission européenne et/ou une décision d'adéquation, assorties de mesures supplémentaires le cas échéant. Une copie de ces garanties peut être obtenue auprès du DPO.
REP·Pro met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données, notamment :
En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, REP·Pro notifie la CNIL dans les 72 heures et, le cas échéant, informe les personnes concernées, conformément aux articles 33 et 34 du RGPD.
Conformément au RGPD, vous disposez des droits suivants sur vos données :
Vous pouvez exercer ces droits en écrivant à [[email protected]] ou par courrier à [adresse]. Une preuve d'identité pourra être demandée en cas de doute raisonnable. Nous répondons dans un délai d'un mois, prolongeable de deux mois en cas de complexité.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
Le Service utilise des cookies et traceurs. Lors de votre première visite, un bandeau de consentement vous permet d'accepter, de refuser ou de paramétrer les cookies non essentiels.
Vous pouvez à tout moment modifier vos choix via le lien « Gérer les cookies » présent sur le Service. La durée de conservation du consentement est de [13] mois maximum.
REP·Pro peut modifier la présente politique pour l'adapter aux évolutions légales ou du Service. La version applicable est celle publiée sur le Service à la date de la consultation. Les modifications substantielles sont notifiées aux clients.
Pour toute question : [[email protected]] — [REP·Pro], [adresse complète].