Politique deconfidentialité.

1Objet et responsable du traitement #

La présente politique décrit les traitements de données à caractère personnel mis en œuvre sur le site ibmyko.com, conformément au règlement (UE) 2016/679 dit « RGPD » et à la loi n° 78-17 du 6 janvier 1978 modifiée.

Le responsable du traitement est IBM GROUP, éditeur du site, établi en France. Toute demande relative aux données est adressée à contact@ibmyko.com.

L'éditeur n'a pas désigné de délégué à la protection des données, cette désignation n'étant pas requise au regard de la nature et du volume des traitements.

2Principes #

Les données collectées se limitent à ce qui est nécessaire aux finalités énoncées à l'article 4. Aucune donnée n'est vendue, louée ni cédée. Le site ne met en œuvre aucune publicité, aucun profilage à des fins commerciales et aucun outil de mesure d'audience appartenant à un tiers.

La liste de l'article 3 est exhaustive : une donnée qui n'y figure pas n'est pas collectée.

3Données traitées #

• Demande d'accès : prénom, nom, adresse électronique, numéro de téléphone, identifiant de messagerie déclaré, réponse au champ libre du formulaire, adresse IP de dépôt, date et heure. Ces données sont communiquées par la personne elle-même ;
• Indicateur de cohérence : un indicateur est calculé automatiquement à partir des informations communiquées dans le formulaire. Il sert au classement des demandes. Il ne fonde aucune décision automatisée au sens de l'article 22 du RGPD : chaque demande est examinée par une personne ;
• Journal de sécurité : adresse IP, date et heure, nature de la tentative (saisie d'un code, dépôt d'une demande, connexion à l'interface d'administration) et résultat de celle-ci ;
• Journal de fréquentation : date et heure, adresse IP, page consultée, agent utilisateur déclaré, langue déclarée et page de provenance. Ce journal est tenu sans cookie et sans service tiers ;
• Regroupement pseudonymisé : les lignes du journal de fréquentation sont rattachées à un identifiant technique dérivé de données de connexion. Cet identifiant ne reprend jamais l'adresse IP complète, ne vaut que sur ce site et ne permet aucun recoupement avec un autre service. Le regroupement conserve la première et la dernière visite, le nombre de pages consultées, le dernier agent utilisateur déclaré, la provenance initiale, la dernière adresse IP et le dernier accès utilisé ;
• Adresses bloquées : adresse IP, date du blocage, motif interne et nombre de tentatives ultérieures ;
• Preuve de commande : identifiant de l'accès ouvert, prestation retenue, montant, adresse IP, agent utilisateur déclaré, identifiant technique de visite, version des conditions générales de vente en vigueur, indicateurs relatifs à l'affichage de la mention d'acceptation et à la clause d'exécution immédiate, date et heure ;
• Journal des opérations d'administration : actions effectuées par l'éditeur sur les accès et les demandes, avec leur date ;
• Réclamations et litiges : la réclamation, les pièces transmises, les échanges qui s'y rapportent et la décision rendue ;
• Messagerie : lorsqu'une personne écrit au robot de messagerie du site, l'identifiant de la conversation, le pseudonyme et le prénom déclarés auprès de ce service ;
• Session : un cookie technique, indispensable au fonctionnement de l'espace privé. C'est le seul cookie déposé par le site.

4Finalités et bases légales #

• Traitement des demandes d'accès et prise de contact : consentement de la personne concernée (art. 6.1.a) ;
• Conclusion et exécution des prestations commandées, et suivi de la relation contractuelle : exécution du contrat (art. 6.1.b) ;
• Sécurité du site, prévention et détection des usages abusifs, limitation des tentatives automatisées et blocage des adresses concernées : intérêt légitime (art. 6.1.f) ;
• Mesure de la fréquentation et compréhension des parcours de consultation : intérêt légitime ;
• Constitution et conservation de la preuve de l'acceptation des conditions et de la commande : intérêt légitime et constatation, exercice ou défense d'un droit en justice ;
• Gestion des réclamations et des litiges : intérêt légitime et constatation, exercice ou défense d'un droit en justice ;
• Notifications internes de fonctionnement adressées à l'éditeur : intérêt légitime ;
• Tenue des documents comptables : obligation légale (art. 6.1.c).

5Destinataires #

Les données ne sont accessibles qu'à l'éditeur. Deux prestataires interviennent, chacun pour une opération déterminée :

• Stripe Payments Europe, Ltd. assure l'encaissement des paiements. Les données de paiement sont collectées directement par ce prestataire ; elles ne transitent pas par le site et n'y sont pas conservées. Stripe agit en qualité de responsable de traitement pour ces opérations, selon sa propre politique de confidentialité ;
• Telegram sert de support aux notifications internes de fonctionnement adressées à l'éditeur : dépôt d'une demande, départ en paiement, ouverture d'une session privée. Le message correspondant reprend les informations concernées, soit, pour une demande, l'identité, les coordonnées et la réponse au champ libre du formulaire.

Aucun autre destinataire. Aucune cession, aucune mise à disposition à des fins publicitaires, aucune régie.

6Transferts hors de l'Union européenne #

Les données sont hébergées sur des serveurs situés dans l'Union européenne.

Le service de messagerie mentionné à l'article 5 exploite des serveurs situés hors de l'Union européenne, dans des pays ne faisant pas l'objet d'une décision d'adéquation de la Commission européenne. Les notifications décrites au même article y transitent.

Ce transfert repose sur le consentement de la personne concernée, informée par la présente politique avant le dépôt de sa demande, conformément à l'article 49.1.a du RGPD. La personne qui ne souhaite pas que ses informations transitent par ce service peut prendre contact par courrier électronique à l'adresse indiquée à l'article 1.

7Durées de conservation #

• Demandes d'accès : trois ans à compter du dernier contact ;
• Journal de sécurité : trente jours, suppression automatique ;
• Journal de fréquentation : trente jours, suppression automatique ;
• Regroupement pseudonymisé : supprimé après trente jours sans visite ;
• Journal des opérations d'administration : six mois, suppression automatique ;
• Adresses bloquées : durée du blocage ;
• Preuve de commande et d'acceptation des conditions : cinq ans, durée de la prescription de droit commun (art. 2224 du Code civil) ;
• Réclamations et pièces d'un litige : cinq ans à compter de la clôture du dossier ;
• Conversation de messagerie : durée de la relation, suppression sur demande ;
• Cookie de session : fin de la session de navigation ;
• Documents comptables afférents aux paiements : dix ans (art. L. 123-22 du Code de commerce).

8Cookies #

Un seul cookie est déposé : le cookie de session, strictement nécessaire au fonctionnement de l'espace privé. Il est exempté de consentement au titre de l'article 82 de la loi n° 78-17 du 6 janvier 1978 modifiée et ne permet aucun suivi entre sites.

Le site ne dépose aucun cookie publicitaire, aucun cookie de mesure d'audience et aucun traceur de tiers. Aucun bandeau de consentement n'est donc requis.

9Sécurité #

Les échanges entre le navigateur et le serveur sont chiffrés. Les codes d'accès ne sont pas conservés en clair. Les identifiants techniques sensibles sont stockés hors du répertoire public du serveur. L'accès à l'interface d'administration est réservé à l'éditeur et protégé par une authentification, une limitation des tentatives et une expiration automatique de session.

Le détail des mesures techniques n'est pas publié : sa divulgation en réduirait l'efficacité.

10Décision automatisée et profilage #

Aucun traitement ne produit d'effet juridique à l'égard d'une personne, ni ne l'affecte de manière significative, sur le seul fondement d'un traitement automatisé. L'indicateur mentionné à l'article 3 assiste le classement des demandes ; la décision appartient à l'éditeur.

11Droits des personnes concernées #

Toute personne dispose des droits d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition à un traitement fondé sur l'intérêt légitime et de portabilité de ses données. Elle peut retirer son consentement à tout moment, sans que ce retrait n'affecte la licéité du traitement antérieur. Elle peut définir des directives relatives au sort de ses données après son décès (art. 85 de la loi n° 78-17 du 6 janvier 1978 modifiée).

Ces droits s'exercent à contact@ibmyko.com. Une réponse est apportée dans un délai d'un mois à compter de la réception de la demande, prolongeable de deux mois en cas de complexité, la personne concernée en étant alors informée.

Deux limites, énoncées ici plutôt que découvertes ensuite :

• la preuve de commande et les documents comptables ne peuvent être effacés avant l'expiration des durées mentionnées à l'article 7 : ils fondent la constatation et la défense d'un droit, y compris au bénéfice de la personne concernée ;
• une adresse bloquée est conservée pendant la durée du blocage, au titre de la sécurité du site.

12Réclamation auprès d'une autorité de contrôle #

Toute personne peut introduire une réclamation auprès de l'autorité de contrôle de son pays de résidence : la CNIL en France (cnil.fr), l'Autorité de protection des données en Belgique, le Préposé fédéral à la protection des données et à la transparence en Suisse, la Commission d'accès à l'information au Québec, la Commission nationale de contrôle de la protection des données à caractère personnel au Maroc, la Commission nationale pour la protection des données au Luxembourg.

13Modification #

La présente politique peut être modifiée pour tenir compte d'une évolution du site ou de la réglementation. La version applicable est celle publiée sur cette page à la date de la consultation.