Politique de confidentialite

3.1 Donnees des Utilisateurs (responsable de traitement)

Note : les donnees de carte bancaire sont traitees exclusivement par Stripe et ne transitent jamais par les serveurs de DéclarPro.

3.2 Donnees des Clients Finaux (sous-traitant)

3.3 Donnees sensibles

DéclarPro ne collecte aucune donnee sensible au sens de l'article 9 du RGPD (donnees de sante, origine ethnique, opinions politiques, convictions religieuses, donnees biometriques, orientation sexuelle, etc.).

3.4 Donnees relatives aux mineurs

Le Service est destine exclusivement aux professionnels dans le cadre de leur activite. DéclarPro ne collecte pas sciemment de donnees relatives a des mineurs de moins de 16 ans. Si nous decouvrons qu'un mineur a cree un compte, celui-ci sera supprime immediatement.

4.1 Traitements des donnees Utilisateurs (responsable)

4.2 Traitements des donnees des Clients Finaux (sous-traitant)

4.3 Interet legitime — Mise en balance

Lorsque le traitement est fonde sur l'interet legitime (art. 6.1.f), DéclarPro a procede a une mise en balance entre l'interet de DéclarPro (ameliorer le Service, assurer sa securite, communiquer sur ses offres) et les droits et libertes des personnes concernees (minimisation des donnees, pseudonymisation, possibilite d'opposition a tout moment). Les traitements fondes sur l'interet legitime sont proportionnes et ne portent pas une atteinte excessive aux droits des personnes concernees, compte tenu du contexte B2B et de la nature professionnelle des donnees.

5.3 Sort des donnees en fin de conservation

A l'expiration des durees indiquees ci-dessus, les donnees sont supprimees de maniere irreversible (effacement technique des bases de donnees et des sauvegardes dans un delai raisonnable) ou, lorsque cela est possible et pertinent, anonymisees de maniere irreversible pour ne constituer que des statistiques agregees ne permettant aucune identification.

5.4 Archivage intermediaire

Les donnees en archivage intermediaire sont separees logiquement des donnees en base active, accessibles uniquement aux personnes habilitees pour les finalites justifiant leur conservation (contentieux, controle, obligation legale), et supprimees a l'expiration de la duree d'archivage.

6.1 Principe

DéclarPro ne vend, ne loue et ne cede jamais les donnees personnelles de ses Utilisateurs ou de leurs Clients Finaux a des tiers a des fins commerciales ou publicitaires.

6.2 Sous-traitants techniques

Les donnees peuvent etre traitees par les sous-traitants techniques suivants, lies par des accords de traitement des donnees (DPA) conformes a l'article 28 du RGPD :

Aucune solution d'analytics n'est deployee a la date de la presente Politique.

6.3 Autres destinataires

Les donnees peuvent egalement etre communiquees a :

1. Les autorites administratives et judiciaires competentes, en reponse a une obligation legale, une requisition judiciaire ou une demande des autorites de regulation (CNIL, DREAL, etc.) ;
2. Les conseils juridiques et comptables de DéclarPro, dans la stricte mesure necessaire a l'exercice de leur mission et sous obligation de confidentialite ;
3. Un eventuel acquereur ou successeur, en cas de restructuration, fusion ou cession d'activite, dans le respect de la reglementation et sous reserve d'information prealable des personnes concernees.

6.4 API tierces etatiques

Dans le cadre de certaines fonctionnalites du Service, des donnees sont transmises a des API gerees par des organismes publics :

Ces transmissions sont effectuees sur instruction de l'Utilisateur et constituent l'execution d'une obligation legale.

7.1 Principe

DéclarPro privilegie systematiquement l'hebergement et le traitement des donnees au sein de l'Union europeenne ou de l'Espace Economique Europeen.

7.2 Transferts encadres

Certains de nos sous-traitants sont des societes americaines dont les services peuvent impliquer un transfert de donnees vers les Etats-Unis :

7.3 Decision d'adequation

Les Etats-Unis beneficient du Data Privacy Framework (DPF) adopte par la Commission europeenne le 10 juillet 2023 (decision d'adequation C(2023) 4745). Les sous-traitants certifies DPF offrent un niveau de protection adequat. DéclarPro verifie regulierement le statut de certification DPF de ses sous-traitants. En cas d'invalidation du DPF, DéclarPro s'engage a basculer sur les clauses contractuelles types et, si necessaire, a migrer vers des sous-traitants exclusivement europeens dans un delai raisonnable.

7.4 Analyse d'impact du transfert (TIA)

Conformement aux recommandations de l'EDPB, DéclarPro a realise une analyse d'impact des transferts vers les Etats-Unis. Cette analyse est disponible sur demande aupres du referent protection des donnees.

8.1 Mesures techniques

• Chiffrement en transit : toutes les communications sont chiffrees via TLS 1.2 minimum (TLS 1.3 privilegie) ;
• Chiffrement au repos : les donnees stockees sont chiffrees (AES-256) ;
• Hachage des mots de passe : algorithmes robustes (bcrypt ou Argon2), jamais stockes en clair ;
• Controle d'integrite : chaque document genere est associe a une empreinte numerique (hash SHA-256) ;
• Sauvegardes : quotidiennes avec redondance geographique (minimum 2 zones de disponibilite), chiffrees et testees regulierement ;
• Hebergement certifie : centres de donnees certifies ISO 27001 et SOC 2 Type II ;
• Certificat SSL/TLS : valide et renouvele automatiquement ;
• Chiffrement local sur appareil mobile : les donnees sensibles stockees sur les applications iOS et Android sont protegees via SecureStore (chiffrement natif du systeme d'exploitation) et la file de synchronisation hors-ligne est chiffree.

8.2 Mesures organisationnelles

• Principe du moindre privilege : acces restreint aux seules personnes dont les fonctions le necessitent ;
• Authentification renforcee : acces administratifs proteges par 2FA ;
• Politique de mots de passe : les Utilisateurs doivent utiliser un mot de passe robuste (minimum 8 caracteres dont au moins 1 caractere special). Verrouillage apres tentatives echouees ;
• Journalisation : logs d'audit des acces et actions critiques ;
• Sensibilisation : les personnes ayant acces aux donnees sont soumises a une obligation de confidentialite ;
• Tests de securite : audits et tests de penetration reguliers, au minimum une fois par an ;
• PCA/PRA : procedure de reprise documentee et testee.

8.3 Gestion des violations de donnees

En cas de violation de donnees personnelles :

1. DéclarPro met en oeuvre sa procedure de gestion des incidents pour contenir la violation et en evaluer la portee ;
2. Si risque pour les droits et libertes : notification de la CNIL dans un delai maximum de 72 heures (art. 33 RGPD) ;
3. Si risque eleve : information des personnes concernees dans les meilleurs delais (art. 34 RGPD) ;
4. En qualite de sous-traitant : notification de l'Utilisateur dans un delai maximum de 48 heures ;
5. Un registre des violations est tenu conformement a l'article 33.5 du RGPD.

9.1 Droits des Utilisateurs

Conformement aux articles 15 a 22 du RGPD :

9.2 Droits des Clients Finaux

Les Clients Finaux peuvent s'adresser directement a l'Utilisateur (leur prestataire, responsable de traitement) ou a DéclarPro a l'adresse privacy@declarpro.fr. Dans ce cas, DéclarPro transmettra la demande a l'Utilisateur concerne dans un delai de cinq (5) jours ouvres et assistera l'Utilisateur dans le traitement de la demande.

9.3 Modalites d'exercice

Les demandes d'exercice de droits peuvent etre adressees :

La demande doit etre accompagnee d'un justificatif d'identite lorsque DéclarPro a un doute raisonnable sur l'identite du demandeur (art. 12.6 RGPD). Reponse sous 30 jours, prolongeable de 2 mois en cas de complexite (art. 12.3 RGPD).

9.4 Reclamation aupres de la CNIL

En cas de non-reponse ou de reponse insatisfaisante, toute personne concernee peut introduire une reclamation aupres de la Commission Nationale de l'Informatique et des Libertes (CNIL) :

10.1 Qu'est-ce qu'un cookie ?

Un cookie est un petit fichier texte depose sur le terminal de l'utilisateur lors de la visite d'un site web. Il permet au site de memoriser des informations sur la visite (preferences, identifiants de session, etc.).

10.2 Cookies utilises par DéclarPro

10.3 Gestion du consentement (CMP)

DéclarPro utilise un bandeau de consentement conforme aux lignes directrices de la CNIL (deliberation n° 2020-091 du 17 septembre 2020) :

• Le bandeau apparait lors de la premiere visite et informe de l'utilisation des cookies ;
• Les cookies non essentiels ne sont deposes qu'apres consentement explicite (opt-in) ;
• L'utilisateur peut accepter, refuser ou parametrer ses choix ;
• Le refus des cookies non essentiels ne bloque pas l'acces au Service ;
• Modification possible a tout moment via « Gerer mes cookies » en pied de page ;
• Consentement renouvele tous les 13 mois maximum.

10.4 Stockage local sur les applications mobiles

Les applications mobiles iOS et Android n'utilisent pas de cookies. Elles recourent a des mecanismes de stockage local equivalents : AsyncStorage pour les preferences et donnees non sensibles, SecureStore (chiffrement natif iOS Keychain / Android Keystore) pour les jetons d'authentification et donnees sensibles. Ces donnees sont stockees exclusivement sur l'appareil de l'Utilisateur et ne sont pas partagees avec des tiers.

10.5 Parametrage du navigateur

Independamment du bandeau, l'utilisateur peut configurer son navigateur pour accepter, refuser ou supprimer les cookies. La desactivation des cookies essentiels peut alterer le fonctionnement du Service.

11.1 Communications relatives au Service

DéclarPro peut envoyer des communications necessaires a l'execution du contrat :

• Confirmations de creation de compte et d'abonnement ;
• Alertes reglementaires et mises a jour du Service ;
• Alertes d'echeances (certifications, entretiens clients) ;
• Notifications de securite ;
• Informations sur les modifications des CGU/CGV.

Ces communications ne necessitent pas de consentement specifique et ne peuvent pas faire l'objet d'une opposition (sauf resiliation du contrat).

11.2 Communications commerciales

DéclarPro peut envoyer des communications commerciales (nouvelles fonctionnalites, promotions, newsletter) sur le fondement de l'interet legitime (relation B2B existante) conformement a l'article L.34-5 du Code des postes et des communications electroniques.

L'Utilisateur peut s'opposer a ces communications a tout moment :

• En cliquant sur le lien de desinscription present dans chaque email ;
• En modifiant ses preferences dans son espace client ;
• En ecrivant a contact@declarpro.fr.

L'opposition prend effet immediatement et sans frais.