Politique de confidentialité

1. Identité du responsable de traitement

Le responsable du traitement de vos données personnelles, au sens de l'article 4, point 7) du RGPD, est :

2. Contact protection des données

Bien que la désignation d'un délégué à la protection des données ne soit pas obligatoire pour TrustProtect SASU au sens de l'article 37 du RGPD, un point de contact dédié est mis à votre disposition :

3. Données collectées et finalités

Conformément à l'article 13 du RGPD, vous trouverez ci-dessous le détail des données collectées, des finalités poursuivies et des bases légales applicables.

4. Récapitulatif des bases légales

5. Durées de conservation

À l'expiration de ces délais, les données sont soit supprimées de manière sécurisée, soit anonymisées de façon irréversible. Les sauvegardes sont conservées 35 jours puis purgées.

6. Destinataires et sous-traitants

Vos données peuvent être communiquées aux destinataires et sous-traitants suivants. Tous sont liés par un accord de traitement (DPA) conforme à l'article 28 du RGPD. La liste exhaustive est disponible sur la page Sous-traitants RGPD.

7. Transferts hors de l'Union européenne

Certains de nos sous-traitants (Stripe, Google, OpenAI) peuvent traiter vos données depuis les États-Unis ou un autre pays tiers. Ces transferts sont encadrés par les outils suivants, conformément au chapitre V du RGPD :

• Clauses contractuelles types (CCT) adoptées par la Commission européenne — Décision 2021/914 du 4 juin 2021.
• Adhésion au Data Privacy Framework (DPF) UE-États-Unis pour les sous-traitants éligibles.
• Mesures supplémentaires techniques et organisationnelles : chiffrement en transit (TLS 1.2+) et au repos, journalisation, accès restreint.
• Analyses d'impact sur les transferts (TIA) pour les transferts à risque élevé.

Une copie de ces garanties peut être obtenue sur demande à [email protected].

8. Profilage et décisions automatisées

Conformément à l'article 22 du RGPD, vous êtes informé que :

• Anti-fraude / KYC : Stripe opère un score automatisé de risque (Stripe Radar) et de conformité KYC. Les décisions de blocage ou d'ouverture de compte de paiement relèvent exclusivement de Stripe en tant que prestataire réglementé.
• Profilage marketing (intent) : TrustProtect SASU met en œuvre un moteur déterministe d'estimation d'intention visiteur (cf. art. 3.6). Ce traitement ne prend aucune décision juridique à votre égard.
• Vous disposez d'un droit d'intervention humaine, de contestation et d'exposition de votre point de vue pour toute décision automatisée produisant des effets juridiques (art. 22.3 RGPD). Contactez [email protected].

9. Vos droits

Conformément aux articles 15 à 22 du RGPD et à la loi Informatique et Libertés modifiée, vous disposez des droits suivants. Pour la procédure complète, consultez la page Vos droits RGPD.

• Droit d'accès (art. 15) : Obtenir confirmation que des données vous concernent et en recevoir une copie.
• Droit de rectification (art. 16) : Faire corriger des données inexactes ou incomplètes.
• Droit à l'effacement (art. 17) : Demander la suppression, dans les limites de nos obligations légales (LCB-FT, comptabilité).
• Droit à la limitation (art. 18) : Demander le gel temporaire du traitement.
• Droit à la portabilité (art. 20) : Recevoir vos données dans un format structuré et lisible par machine.
• Droit d'opposition (art. 21) : Vous opposer au traitement fondé sur l'intérêt légitime, notamment au profilage marketing.
• Droit de retrait du consentement : Retirer à tout moment votre consentement (cookies, newsletter), sans effet sur les traitements antérieurs.
• Directives post-mortem (Loi Lemaire) : Définir des instructions sur la conservation, l'effacement ou la communication de vos données après votre décès.

10. Sécurité des données

TrustProtect SASU met en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données contre toute perte, accès non autorisé, divulgation, altération ou destruction (art. 32 RGPD) :

• Chiffrement des communications par TLS 1.2+ (HTTPS obligatoire)
• Hachage irréversible des mots de passe (bcrypt 12 rounds)
• Authentification par token JWT en cookie HttpOnly + Secure
• Authentification à 2 facteurs (TOTP) disponible
• Cloisonnement des accès par rôle (RBAC : utilisateur, support, administrateur)
• Journalisation des accès aux données sensibles (audit trail)
• Sauvegardes chiffrées quotidiennes, conservées 35 jours
• Politique de gestion des vulnérabilités et patch management
• Sécurité par conception (privacy by design / by default — art. 25 RGPD)
• Aucun stockage de coordonnées bancaires sur nos serveurs

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, TrustProtect SASU s'engage à notifier la CNIL dans les 72 heures (art. 33 RGPD) et, si le risque est élevé, à vous en informer dans les meilleurs délais (art. 34 RGPD).

11. Politique de gestion des cookies

12. Données relatives aux mineurs

La Plateforme TrustProtect SASU est exclusivement destinée aux personnes physiques majeures (18 ans révolus) ou aux mineurs émancipés. Conformément à l'article 8 du RGPD et à l'article 45 de la loi Informatique et Libertés, TrustProtect SASU ne collecte pas sciemment de données personnelles concernant des mineurs non émancipés.

Si vous êtes parent ou tuteur légal et que vous pensez qu'un mineur nous a communiqué des données sans autorisation, contactez [email protected] pour suppression.

13. Droit de réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

Avant tout recours auprès de la CNIL, nous vous encourageons à nous contacter directement afin de trouver une solution amiable.

14. Modifications de la présente politique

TrustProtect SASU se réserve le droit de modifier la présente politique pour se conformer à l'évolution de la réglementation, des recommandations CNIL ou des pratiques internes. En cas de modification substantielle, les Utilisateurs en seront informés par e-mail au moins 30 jours avant l'entrée en vigueur ou via une notification sur la Plateforme.