Squelette à valider juridiquement. Les sections marquées
[A COMPLETER] doivent être remplies par le DPO ou un avocat
RGPD avant toute mise en production commerciale.
1. Responsable du traitement
[A COMPLETER — Raison sociale, forme juridique]
Adresse : [A COMPLETER]
SIRET / SIREN : [A COMPLETER]
Email : [A COMPLETER — contact@…]
2. Délégué à la protection des données (DPO)
[A COMPLETER — Nom, fonction, email DPO. Si pas de DPO désigné : indiquer le contact en charge des questions RGPD.]
3. Données collectées et finalités
| Donnée | Finalité | Base légale (Art. 6) | Conservation |
|---|---|---|---|
| Nom, email, mot de passe (haché) | Création et accès au compte | Exécution du contrat (Art. 6.1.b) | Jusqu'à suppression du compte |
| Adresse IP, user-agent (table sessions) | Sécurité, anti-fraude, détection compromission | Intérêt légitime (Art. 6.1.f) | 120 minutes d'inactivité |
| Logs applicatifs | Traçabilité, audit, debug | Intérêt légitime (Art. 6.1.f) | 14 jours (rotation) |
| [A COMPLETER — données métier du SaaS dérivé] | [A COMPLETER] | [A COMPLETER] | [A COMPLETER] |
4. Destinataires et sous-traitants
Voir le détail dans docs/SUB-PROCESSORS.md (interne).
Principaux sous-traitants :
- Scaleway (hébergement, France, UE) — DPA : [A COMPLETER — date signature]
- GitHub (hébergement code source, USA) — Data Privacy Framework
- [A COMPLETER — autres sous-traitants au cas par cas]
5. Transferts hors Union européenne
[A COMPLETER — décrire si des données sont transférées hors UE (ex. via une API IA américaine). Mentionner les garanties : Standard Contractual Clauses (SCC), Data Privacy Framework, ou autres mesures appropriées.]
6. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- Accès (Art. 15) — consulter vos données : page Profil + export ci-dessous
- Rectification (Art. 16) — modifier nom et email depuis votre Profil
- Effacement (Art. 17) — supprimer votre compte depuis votre Profil (suppression immédiate, non réversible)
- Portabilité (Art. 20) — télécharger vos données au format JSON : Exporter mes données
- Opposition (Art. 21) — contactez le DPO à l'adresse ci-dessus
- Plainte CNIL — vous pouvez introduire une réclamation auprès de la CNIL
7. Cookies
Seul un cookie de session strictement nécessaire (authentification, protection CSRF) est utilisé. Aucun cookie analytique ou marketing n'est déposé à ce jour. [A COMPLETER si des cookies tiers sont ajoutés ultérieurement.]
8. Sécurité
Chiffrement en transit (HTTPS/TLS), mots de passe hachés (bcrypt), session HTTP-only,
en-têtes HSTS et CSP, isolement multi-tenant par base de données dédiée.
En cas de violation de données, la procédure interne docs/BREACH-RESPONSE.md
prévoit la notification à la CNIL sous 72 h conformément à l'article 33.
9. Modification de la politique
Cette politique peut être mise à jour. La date en haut de page indique la dernière révision. [A COMPLETER — modalités de notification aux utilisateurs en cas de changement substantiel.]