Politique de confidentialité

Échéant édite un logiciel de suivi des contrats et de leurs échéances, proposé aux professionnels en ligne. La présente politique indique quelles données personnelles Échéant traite pour son propre compte, dans quel but, sur quel fondement, pendant combien de temps, et comment exercer vos droits. Elle s'applique au site echeant.fr (le « Site »), à l'application Échéant (l'« Application ») et à nos relations avec nos clients, prospects et utilisateurs.

1. Responsable du traitement#

Échéant, société par actions simplifiée au capital de 2,00 euros, immatriculée au registre du commerce et des sociétés d'Amiens sous le numéro 131 490 351, dont le siège est situé 5 rue des Indes Noires, Immeuble Grand Large, 80440 Boves.

Pour toute question relative à vos données : contact@echeant.fr, ou par courrier au siège, à l'attention du « Contact données personnelles ». Échéant n'a pas désigné de délégué à la protection des données, cette désignation n'étant pas obligatoire pour son activité.

2. Responsable ou sous-traitant : deux situations distinctes#

Échéant est responsable du traitement des données qu'il traite pour son propre compte : visites du Site, comptes utilisateurs, sécurité, relation commerciale, support et prospection. C'est l'objet de la présente politique.

Échéant est sous-traitant des données que ses clients enregistrent dans l'Application : contrats, tiers et leurs contacts, documents, rappels, justificatifs de vigilance, titres de propriété intellectuelle, appels d'offres, évaluations, fichiers déposés par des tiers. Pour ces données, l'organisation cliente est responsable du traitement ; Échéant n'agit que sur ses instructions, dans le cadre d'un accord de traitement annexé à ses conditions générales de vente.

Si vos données figurent dans l'espace d'un de nos clients (par exemple parce que vous êtes l'interlocuteur d'un de ses fournisseurs), adressez-vous d'abord à ce client. Si votre demande nous parvient, nous la lui transmettons et l'aidons à y répondre.

3. Données traitées, finalités, fondements et durées#

3.1 Fonctionnement et sécurité du Site et de l'Application#

Données

adresse IP, type de navigateur, pages demandées, date et heure de la requête (journaux techniques de l'hébergeur)

Fondement

intérêt légitime d'Échéant à assurer le fonctionnement et la sécurité de ses services (art. 6, § 1, f RGPD)

Durée

30 jours

3.2 Protection contre les robots#

Données

adresse IP et signaux techniques du navigateur, analysés par Cloudflare Turnstile lors de l'inscription et de la connexion

Fondement

intérêt légitime d'Échéant à empêcher les inscriptions et connexions automatisées (art. 6, § 1, f RGPD)

Durée

analyse au moment de la vérification ; conservation côté Cloudflare selon la durée fixée par Cloudflare

3.3 Demandes de contact et d'audit gratuit#

Données

nom, adresse électronique, société, message, informations sur votre organisation ; le cas échéant, documents transmis pour l'audit

Fondement

mesures précontractuelles prises à votre demande (art. 6, § 1, b RGPD)

Durée

trois ans à compter du dernier contact ; documents transmis pour un audit : supprimés au plus tard trente jours après la remise de l'état des lieux ; traces anti-abus du formulaire : 7 jours

3.4 Prospection commerciale auprès des professionnels#

Données

nom, prénom, adresse électronique professionnelle, société, fonction

Fondement

intérêt légitime d'Échéant à faire connaître ses services à des professionnels, pour des offres en rapport avec leur activité (art. 6, § 1, f RGPD)

Durée

trois ans à compter du dernier contact émanant de la personne

Opposition

vous pouvez vous opposer à tout moment, sans justification, grâce au lien présent dans chaque message ou en nous écrivant

3.5 Comptes utilisateurs#

Données

adresse électronique, nom, prénom, mot de passe (conservé sous forme hachée, jamais en clair), secret de double authentification, rôle, organisation de rattachement, groupes d'accès, dates de création et de dernière connexion, préférences d'affichage

Origine

vous-même ; ou l'administrateur de votre organisation, lorsqu'il vous invite (il nous communique alors votre adresse électronique)

Fondement

exécution des conditions générales d'utilisation que vous acceptez (art. 6, § 1, b RGPD)

Durée

voir l'article 4 ci-dessous

3.6 Sécurité, journalisation et traçabilité#

Données

adresse électronique de l'auteur d'une action, nature de l'action, date et heure, anciennes valeurs des champs modifiés ; adresse IP en cas de tentatives répétées ou de blocage

Fondement

intérêt légitime d'Échéant et de ses clients à sécuriser le service et à conserver la preuve des actions (art. 6, § 1, f RGPD), en exécution de l'obligation de sécurité (art. 32 RGPD)

Durée

historique des modifications et traces des suppressions : cinq ans, durée de la prescription de droit commun en matière contractuelle, puis anonymisation ; incidents techniques : 90 jours ; tentatives d'inscription : 30 jours ; tentatives de connexion : un an ; tentatives sur les formulaires publics : 7 jours ; tentatives de dépôt de fichiers : 24 heures

3.7 Support#

Données

identité du demandeur, organisation, contenu des échanges et pièces jointes

Fondement

exécution du contrat (art. 6, § 1, b RGPD)

Durée

cinq ans à compter de la clôture de la demande, puis anonymisation

3.8 Sauvegardes#

Données

l'ensemble des données de l'Application

Fondement

intérêt légitime d'Échéant à garantir la continuité du service, en exécution de l'obligation de sécurité (art. 32 RGPD)

Durée

30 jours

3.9 Exercice de vos droits#

Données

votre demande, notre réponse, les éléments nécessaires à la vérification de votre identité en cas de doute raisonnable

Fondement

obligation légale (art. 6, § 1, c RGPD)

Durée

cinq ans à compter de la réponse ; une pièce d'identité éventuellement demandée est supprimée dès la vérification faite

4. Durée de vie d'un compte utilisateur#

• Compte actif : les données sont conservées tant que le compte est utilisé.
• Compte supprimé : l'accès cesse immédiatement ; les données du compte sont effacées définitivement 90 jours après la suppression.
• Compte inactif : un compte sans connexion pendant trois ans est anonymisé automatiquement. Vous en êtes prévenu par courriel sept jours avant ; une connexion pendant ce délai suffit à l'éviter.
• Inscription jamais confirmée : elle est effacée 30 jours après sa création.
• Anonymisation à la demande : vous pouvez demander l'anonymisation de votre compte, et l'administrateur de votre organisation peut la demander pour l'un de ses membres. Elle prend effet après un délai d'un mois, pendant lequel elle peut être annulée. Au-delà, elle est irréversible.
• Effets de l'anonymisation : le compte de connexion est supprimé et vos données d'identification sont effacées. Les données qui appartiennent à votre organisation (contrats, documents, historique) sont conservées par elle ; vous y apparaissez comme « Utilisateur anonymisé ». Si vous revenez, vous créez un nouveau compte, sans historique.

5. Caractère obligatoire des données#

Les champs signalés comme obligatoires dans nos formulaires sont nécessaires pour créer votre compte ou répondre à votre demande. À défaut, nous ne pourrons pas y donner suite.

6. Destinataires#

Vos données sont accessibles :

• aux membres habilités de l'équipe d'Échéant, tenus à la confidentialité, dans la limite de leurs attributions ;
• au sein de votre organisation, à ses administrateurs, qui voient la liste des membres et le journal des actions effectuées dans l'espace de l'organisation ;
• aux prestataires techniques d'Échéant (tableau ci-dessous), qui agissent sur ses instructions ;
• le cas échéant, à nos conseils et professionnels réglementés (expert-comptable, avocat), ainsi qu'aux autorités administratives ou judiciaires, sur demande légalement fondée.

Échéant ne vend ni ne loue vos données.

L'Institut national de la statistique et des études économiques (INSEE) n'est pas destinataire : l'Application se borne à télécharger des indices publics, sans lui transmettre aucune donnée. Pappers fournit des informations publiques sur les entreprises ; l'Application ne lui transmet que le numéro SIREN de l'entreprise recherchée.

7. Transferts hors de l'Union européenne#

Les données de l'Application sont stockées dans l'Union européenne. Certains prestataires sont toutefois établis hors de l'Union (États-Unis, Singapour) et peuvent accéder aux données pour les besoins de leur service, ou en héberger une partie (métadonnées des courriels, par exemple).

Ces transferts sont encadrés par les garanties prévues dans l'accord de traitement de chacun de ces prestataires (chapitre V du RGPD : décision d'adéquation, notamment le cadre de protection des données UE–États-Unis pour les sociétés qui y adhèrent, ou clauses contractuelles types de la Commission européenne). Vous pouvez en obtenir une copie en nous écrivant.

Les sociétés soumises au droit américain peuvent être tenues de répondre à des demandes d'accès des autorités américaines. Échéant a choisi des régions d'hébergement européennes pour limiter cette exposition.

8. Sécurité#

Échéant met en œuvre des mesures adaptées au risque, notamment : connexions chiffrées (HTTPS, HSTS) ; chiffrement des fichiers au repos (AES-256-GCM), avec une clé conservée hors de l'espace de stockage ; cloisonnement de chaque organisation au niveau de la base de données ; mots de passe hachés ; double authentification disponible pour chaque compte ; limitation des tentatives de connexion ; journalisation des actions sensibles ; corbeille avec purge à 90 jours ; tests de restauration.

En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, nous vous en informons dans les meilleurs délais (art. 34 RGPD).

9. Vos droits#

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition et de portabilité (art. 15 à 21 RGPD), ainsi que du droit de définir des directives relatives au sort de vos données après votre décès (art. 85 de la loi n° 78-17 du 6 janvier 1978). Vous pouvez vous opposer à tout moment à la prospection commerciale, sans avoir à vous justifier. Lorsqu'un traitement repose sur votre consentement, vous pouvez le retirer à tout moment.

Pour exercer ces droits, écrivez à contact@echeant.fr ou au siège. Nous répondons dans un délai d'un mois, prolongeable de deux mois compte tenu de la complexité ou du nombre de demandes, auquel cas nous vous en informons (art. 12, § 3 RGPD). Nous ne vous demandons un justificatif d'identité qu'en cas de doute raisonnable.

Certains droits connaissent des limites : par exemple, les traces de suppression peuvent être conservées pendant leur durée de conservation lorsqu'elles sont nécessaires à la constatation, à l'exercice ou à la défense de droits en justice (art. 17, § 3, e RGPD).

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

10. Décision automatisée#

Échéant ne prend aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard ou vous affectant de manière significative (art. 22 RGPD). L'anonymisation après trois ans d'inactivité est une règle de durée de conservation, annoncée à l'avance et que vous pouvez éviter en vous connectant.

11. Cookies et autres traceurs#

Le Site et l'Application n'utilisent que des traceurs strictement nécessaires au service ou à la mémorisation de vos choix d'affichage. Ils n'utilisent ni mesure d'audience, ni publicité, ni bouton de réseau social. Ces traceurs sont dispensés de consentement (art. 82 de la loi n° 78-17 du 6 janvier 1978 ; lignes directrices de la CNIL du 17 septembre 2020) : aucun bandeau ne vous est donc présenté.

Vous pouvez effacer ces éléments depuis les réglages de votre navigateur ; le blocage des cookies de session empêche toutefois la connexion. Si Échéant ajoute un jour un outil de mesure d'audience ou un autre traceur soumis à consentement, la présente politique sera mise à jour et votre consentement recueilli lorsque la loi l'exige.

12. Modification de la politique#

Échéant peut modifier la présente politique. La date de dernière mise à jour figure en tête du document. En cas de modification substantielle, les utilisateurs en sont informés par courriel ou dans l'Application au moins trente jours avant son entrée en vigueur.

13. Contact#

contact@echeant.fr · Échéant, 5 rue des Indes Noires, Immeuble Grand Large, 80440 Boves