Politique de confidentialité
Politique de confidentialité — EcoSuivi
La présente Politique de confidentialité décrit comment la société EcoSuivi (SASU au capital de 1 000 €, RCS Paris 103 668 943, 47 rue Vivienne 75002 Paris) collecte, utilise et protège les données à caractère personnel des utilisateurs du site ecosuivi.com et de l'application EcoSuivi.
Elle est rédigée conformément :
- au Règlement général sur la protection des données (RGPD — règlement UE 2016/679) ;
- à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (loi « Informatique et Libertés ») ;
- aux lignes directrices de la Commission Nationale de l'Informatique et des Libertés (CNIL).
1. Responsable de traitement
Pour les données personnelles liées à la gestion du Compte utilisateur (adresse e-mail, nom, organisation, logs de connexion, préférences) :
EcoSuivi est Responsable de traitement au sens de l'article 4.7 du RGPD.
Contact : contact@ecosuivi.com
Pour les données saisies par l'Utilisateur dans le cadre de ses missions (par exemple coordonnées d'un porteur de projet personne physique, photos pouvant identifier des opérateurs terrain) :
EcoSuivi intervient comme Sous-traitant (au sens de l'article 4.8 du RGPD) de l'Organisation utilisatrice, qui est Responsable de traitement. Les engagements d'EcoSuivi en cette qualité sont formalisés dans le DPA.
2. Données collectées
2.1 Données fournies par l'Utilisateur
| Catégorie | Exemples | Source | Obligatoire ? |
|---|---|---|---|
| Identification | Nom, prénom, fonction | Formulaire d'inscription | Recommandé |
| Contact | Adresse e-mail professionnelle | Formulaire d'inscription | Obligatoire (login) |
| Organisation | Raison sociale, SIRET, adresse | Formulaire d'inscription | Recommandé |
| Authentification | Mot de passe (haché, jamais stocké en clair) | Formulaire d'inscription | Obligatoire |
| Facturation (si offre payante) | Adresse de facturation, numéro TVA | Formulaire d'abonnement | Obligatoire pour les offres payantes |
| Support | Contenu des échanges avec le support | Tickets et e-mails | — |
2.2 Données collectées automatiquement
| Catégorie | Exemples | Finalité |
|---|---|---|
| Logs techniques serveur | Adresse IP, date/heure de connexion, user-agent, URL consultée, code HTTP | Sécurité, audit, détection d'intrusions, obligation LCEN |
| Journal d'activité applicatif | Actions dans l'Application, Projets consultés, exports effectués | Traçabilité métier, support |
| Cookies strictement nécessaires | Session de connexion, jeton CSRF, préférences d'affichage | Fonctionnement de l'Application — liste exhaustive dans la Politique cookies |
EcoSuivi ne dépose aucun cookie de mesure d'audience ni aucun traceur publicitaire (cf. Politique cookies). L'analyse de l'usage du Service s'appuie exclusivement sur les journaux techniques du serveur, qui ne sont pas des cookies.
2.3 Données saisies par l'Utilisateur sur des tiers
Les données que l'Utilisateur saisit dans ses Projets peuvent, dans certains cas, constituer des données à caractère personnel relatives à des tiers (par exemple : le nom du porteur de projet lorsqu'il s'agit d'une personne physique, le nom d'un exploitant agricole, les coordonnées GPS d'opérateurs terrain dans les métadonnées de photos, etc.).
Pour ces données, l'Utilisateur (ou plus précisément l'Organisation) est Responsable de traitement. Il lui appartient de :
- disposer d'une base légale pour le traitement (mission d'intérêt public, contrat, consentement…) ;
- informer les personnes concernées ;
- respecter leurs droits RGPD.
EcoSuivi agit en qualité de sous-traitant dans ce cadre, selon les termes du DPA.
3. Finalités du traitement
Les données personnelles sont traitées pour les finalités suivantes :
| Finalité | Base légale (art. 6 RGPD) |
|---|---|
| Gestion du Compte utilisateur (création, authentification, support) | Exécution du contrat (art. 6.1.b) |
| Fourniture du Service EcoSuivi | Exécution du contrat (art. 6.1.b) |
| Facturation et comptabilité | Obligation légale (art. 6.1.c) — 10 ans |
| Envoi d'e-mails transactionnels (confirmation d'inscription, notifications) | Exécution du contrat (art. 6.1.b) |
| Envoi de communications commerciales | Consentement (art. 6.1.a) — retirable à tout moment |
| Mesure d'audience du site | Intérêt légitime si anonymisée (art. 6.1.f) / consentement sinon |
| Sécurité, détection et investigation d'incidents | Intérêt légitime (art. 6.1.f) |
| Réponse à une obligation légale (réquisition judiciaire) | Obligation légale (art. 6.1.c) |
4. Destinataires des données
Les données personnelles sont accessibles uniquement :
- au personnel habilité d'EcoSuivi, selon le principe du besoin d'en connaître ;
- aux autres membres de l'Organisation de l'Utilisateur disposant des droits d'accès sur les Projets concernés ;
- aux sous-traitants techniques d'EcoSuivi, strictement encadrés par des contrats de sous-traitance RGPD (cf. § 5) ;
- aux autorités compétentes sur réquisition légale.
Les données ne font l'objet d'aucune cession à des tiers à des fins commerciales.
5. Sous-traitants et transferts
| Sous-traitant | Rôle | Localisation | Transfert hors UE |
|---|---|---|---|
| OVH SAS (RCS Lille 424 761 419) | Hébergement des serveurs applicatifs et de la base de données PostgreSQL | France (Roubaix) | Non |
| OVH Object Storage | Stockage des photos de sondages pédologiques et des exports SIG | France | Non |
| Brevo (choix à confirmer — alternative OVH Email Pro) | Envoi des e-mails transactionnels (confirmation d'inscription, réinitialisation de mot de passe, notifications) | France (Paris) | Non |
EcoSuivi s'engage à héberger l'ensemble des données sur des infrastructures situées en France ou dans l'Union européenne. Aucun transfert hors UE n'est prévu en V1. Tout changement fera l'objet d'une mise à jour de la présente politique et d'une information des Utilisateurs.
Chaque sous-traitant est lié par un contrat de sous-traitance RGPD intégrant les clauses de l'article 28 du RGPD, garantissant un niveau de protection conforme.
6. Durée de conservation
| Donnée | Durée de conservation |
|---|---|
| Données de Compte actif | Tant que le Compte est actif |
| Données de Compte inactif (aucune connexion) | Suppression / anonymisation après 3 ans d'inactivité, après relance préalable |
| Projets et Contenu Utilisateur | Tant que le Compte est actif, puis 90 jours après résiliation (période d'export) |
| Logs de connexion | 12 mois (recommandation CNIL) |
| Données de facturation | 10 ans (obligation comptable — article L123-22 Code de commerce) |
| Données de support | 3 ans à compter du dernier contact |
| Données issues d'une obligation légale | Durée légale applicable |
7. Droits de la personne concernée
Conformément aux articles 15 à 22 du RGPD, toute personne concernée dispose des droits suivants :
- Droit d'accès (art. 15) : obtenir confirmation que des données la concernant sont traitées et en recevoir copie ;
- Droit de rectification (art. 16) : faire corriger des données inexactes ou incomplètes ;
- Droit à l'effacement (art. 17) : faire supprimer des données, sous réserve des obligations légales de conservation ;
- Droit à la limitation du traitement (art. 18) ;
- Droit à la portabilité (art. 20) : récupérer les données dans un format structuré, couramment utilisé et lisible par machine (Excel, CSV, JSON, GeoJSON) ;
- Droit d'opposition (art. 21) : s'opposer à un traitement fondé sur l'intérêt légitime ou à des communications commerciales ;
- Droit de définir des directives post-mortem relatives à la conservation, l'effacement et la communication des données après décès.
Pour exercer ces droits, l'Utilisateur peut :
- utiliser les fonctionnalités dédiées de l'Application (export, suppression de Compte) ;
- écrire à contact@ecosuivi.com avec un justificatif d'identité le cas échéant.
EcoSuivi s'engage à répondre dans un délai maximal d'un mois (prolongeable de deux mois en cas de complexité ou de demandes multiples).
Réclamation auprès de la CNIL : tout utilisateur peut adresser une réclamation à la Commission Nationale de l'Informatique et des Libertés (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr).
8. Sécurité
EcoSuivi met en œuvre les mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD, notamment :
- chiffrement HTTPS / TLS des communications ;
- hachage des mots de passe avec un algorithme moderne (Argon2 ou équivalent) ;
- cloisonnement des environnements (développement / recette / production) ;
- authentification forte recommandée (mot de passe de 12 caractères minimum) ;
- sauvegardes quotidiennes de la base de données avec rotation 7 jours ;
- journalisation des accès sensibles ;
- mises à jour régulières des composants logiciels ;
- sensibilisation du personnel habilité.
En cas de violation de données à caractère personnel, EcoSuivi notifie la CNIL dans un délai de 72 heures conformément à l'article 33 du RGPD, et informe sans délai les personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (article 34 RGPD).
9. Cookies
L'utilisation des cookies est décrite dans la Politique cookies.
10. Délégué à la Protection des Données (DPO)
À la date de publication de la présente politique, EcoSuivi n'est pas tenu de désigner un Délégué à la Protection des Données au sens de l'article 37 du RGPD (ni traitement à grande échelle de données sensibles ni suivi systématique à grande échelle).
Néanmoins, un point de contact unique pour toutes questions relatives aux données personnelles est disponible : contact@ecosuivi.com.
Si EcoSuivi désigne ultérieurement un DPO, la présente politique sera mise à jour.
11. Évolutions de la présente politique
EcoSuivi se réserve le droit de modifier la présente Politique de confidentialité pour tenir compte des évolutions législatives, jurisprudentielles ou techniques. Les utilisateurs seront informés de toute modification substantielle par courrier électronique et via une bannière d'information dans l'Application.
Version : v0.2 — 2026-04-19 Évolutions v0.1 → v0.2 :
- § 2.2 : suppression de la ligne « cookies de mesure d'audience » (décision du 19/04 : logs serveur uniquement, pas de cookie analytique) ;
- § 5 : OVH confirmé comme hébergeur (applicatif + Object Storage pour les photos/SIG), Brevo pressenti comme fournisseur e-mail transactionnel (à confirmer) ;
- § 5 : retrait de la ligne Matomo (aucune mesure d'audience).
Document à soumettre à la relecture d'un avocat ou d'un DPO externe avant publication (cf. TODO_FUTUR.md), notamment pour :
- confirmer le choix définitif du fournisseur e-mail transactionnel (Brevo vs OVH Email Pro) et signer le DPA correspondant ;
- valider la cartographie responsable / sous-traitant (EcoSuivi / Organisation utilisatrice) au regard du cas précis des bureaux d'études ;
- confirmer la non-désignation obligatoire d'un DPO au regard du périmètre V1.