Politique de confidentialité

Le responsable de traitement

RETBA AI, 16 cours Albert 1er, 75008 Paris, France, immatriculée sous le numéro 933 650 418 R.C.S. Paris, est responsable des traitements décrits ci-dessous. Toute question s'adresse à cb@cdb.agency.

Les données traitées

Selon la relation, RETBA AI traite :

• pour le visiteur du site : les données techniques de connexion inscrites dans les journaux du serveur, dont l'adresse IP tronquée, la date et la page consultée ;
• pour le visiteur du site, au titre de la mesure d'audience : la page consultée, la page d'origine, le type de navigateur et d'appareil, le pays et des mesures de temps de chargement, que Cloudflare Web Analytics ne restitue qu'en statistiques agrégées ;
• pour la personne qui écrit par les formulaires de contact ou de demande de consultation du site : les informations qu'elle y saisit, décrites à la section consacrée à ces formulaires ;
• pour l'abonné à la lettre de doctrine : l'adresse de courrier électronique et la date d'inscription ;
• pour le client : l'identité, l'adresse, le courriel, les données de facturation et, sans jamais transiter par nos serveurs, les données de paiement traitées par Stripe ;
• pour l'utilisateur de Narval : les identifiants du compte, l'empreinte du mot de passe, les questions posées au logiciel et l'historique des dossiers produits ;
• pour l'abonné du Cercle fondateur : ses réponses au questionnaire hebdomadaire d'évaluation du logiciel ;
• pour la personnalité suivie : les informations publiquement accessibles la concernant, les publications qui la visent et les analyses qui en sont tirées.

Les finalités et les bases légales

• exécuter le contrat d'abonnement et ouvrir l'accès au logiciel, sur la base de l'article 6.1.b du règlement ;
• tenir la comptabilité et répondre aux obligations fiscales, sur la base de l'article 6.1.c ;
• assurer la sécurité du service et prévenir les abus, sur la base de l'intérêt légitime de l'article 6.1.f ;
• mesurer la fréquentation du site cdb.agency, sur la base du même intérêt légitime ;
• corriger et développer le logiciel à partir des questionnaires d'évaluation de la bêta, sur la base du même intérêt légitime ;
• adresser la lettre de doctrine, sur la base du consentement de l'article 6.1.a, révocable à tout moment ;
• conduire la veille demandée par le client sur les personnalités suivies, sur la base de l'intérêt légitime du client et du nôtre, apprécié au regard des droits des personnes concernées.

Lorsqu'une donnée relève des catégories particulières de l'article 9 du règlement, notamment une opinion politique ou une donnée de santé rendue publique, elle est traitée dans la seule mesure où la personne l'a manifestement rendue publique ou lorsque son traitement est nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice.

Les destinataires

Selon le traitement, les données sont communiquées aux destinataires suivants, chacun pour ce qui relève de sa mission :

• les associés et analystes de RETBA AI, tenus au secret ;
• Cloudflare, Inc., pour l'hébergement du site, des fonctions applicatives et des bases de données, et pour la mesure d'audience du site ;
• Stripe Payments Europe, Ltd, pour l'encaissement et la facturation ;
• Resend, pour l'acheminement des courriels ;
• Google, dont le service Google Workspace héberge la messagerie du responsable du traitement, notamment la boîte cb@cdb.agency ;
• les fournisseurs de modèles de langage qui exécutent les analyses, sous contrat interdisant l'entraînement sur les données transmises ;
• les prestataires de données en sources ouvertes et le prestataire spécialisé qui mesure l'exposition d'un identifiant dans les fuites, liés par un accord de confidentialité ;
• les autorités judiciaires ou administratives, sur réquisition régulière.

Aucune donnée n'est vendue ni cédée à des fins de prospection.

Les transferts hors de l'Union européenne

L'hébergement du site, du logiciel et de la messagerie, la mesure d'audience, le paiement, l'acheminement des courriels et l'exécution des analyses peuvent conduire à un transfert vers les États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par la certification du destinataire au cadre de protection des données entre l'Union européenne et les États-Unis.

Les durées de conservation

• journaux techniques : douze mois ;
• demandes reçues par les formulaires du site : vingt-quatre mois au plus à compter de leur réception, un effacement automatique quotidien retirant celles qui ont atteint cette durée ; la copie éventuellement reçue par courriel est conservée dans la messagerie du responsable du traitement pour la même durée au plus ;
• empreinte pseudonymisée de l'adresse IP, qui sert à limiter les envois de formulaires et les tentatives de connexion au logiciel Narval : vingt-quatre heures au plus ;
• réponses aux questionnaires d'évaluation : trois ans ;
• compte client et historique des dossiers : la durée de l'abonnement, puis douze mois ;
• pièces de preuve horodatées : cinq ans, afin qu'elles restent disponibles en cas de contentieux ;
• documents comptables et contrats : dix ans, en application du code de commerce ;
• adresse inscrite à la lettre de doctrine : jusqu'au retrait du consentement, puis trois ans.

La sécurité

Les mots de passe sont conservés sous forme d'empreintes dérivées par PBKDF2. Les sessions sont signées et expirent au bout de douze heures. Les comptes clients sont cloisonnés, les accès du cabinet sont distincts et révocables séparément, et les échanges transitent en HTTPS.

Les cookies et autres traceurs

Le site cdb.agency ne dépose aucun cookie et n'enregistre rien dans le stockage du navigateur. Sa fréquentation est mesurée par Cloudflare Web Analytics, service fourni par son hébergeur Cloudflare, Inc.

RETBA AI estime que cette mesure remplit les conditions de l'exemption de consentement que la Commission nationale de l'informatique et des libertés reconnaît aux outils de mesure d'audience : sa finalité est strictement limitée à la mesure de la fréquentation du site ; elle ne produit que des statistiques agrégées ; RETBA AI ne les recoupe avec aucun autre traitement et ne s'en sert pas pour suivre le visiteur d'un site à l'autre ; selon son fournisseur, l'outil ne dépose ni cookie ni aucune autre donnée sur l'appareil du visiteur. C'est pourquoi le site n'affiche pas de bandeau de consentement.

Le logiciel Narval, accessible à l'adresse narval.cdb.agency, dépose deux cookies :

• nv_session, qui maintient la connexion de l'utilisateur et expire au bout de douze heures ;
• nv_langue, qui retient la langue de l'écran pendant douze mois.

Il range en outre dans le stockage du navigateur des préférences d'interface : le thème d'affichage, la langue, l'indication que le guide de prise en main a déjà été vu et le type d'accès du compte, ainsi que, le temps d'une visite, le report du questionnaire d'évaluation. Aucun de ces éléments ne sert à la mesure d'audience ni à la publicité.

Ces cookies et ces données de stockage sont strictement nécessaires au service que l'utilisateur demande ou à la conservation de ses choix d'interface. Ils sont, à ce titre, exemptés de consentement en application de l'article 82 de la loi du 6 janvier 1978 et des lignes directrices de la Commission nationale de l'informatique et des libertés relatives aux cookies et autres traceurs. C'est pourquoi le logiciel n'affiche pas non plus de bandeau de consentement.

Les formulaires de contact et de demande de consultation

Les formulaires de contact et de demande de consultation du site cdb.agency sont reçus et conservés par le logiciel Narval, sous la responsabilité de RETBA AI.

Ils recueillent le nom, l'adresse de courrier électronique, l'organisation lorsqu'elle est indiquée et le message. La demande de consultation recueille en outre le segment, les principaux défis, les objectifs, le délai souhaité et la fourchette budgétaire indiqués. S'y ajoutent le type de demande, la langue de la page, le site d'où le formulaire a été envoyé et la date de réception. L'adresse IP n'est pas enregistrée. Pour limiter les envois abusifs, une empreinte pseudonymisée, calculée avec une clé secrète, en est conservée vingt-quatre heures au plus, séparément de la demande.

Ces données servent à répondre à la demande et, lorsque celle-ci porte sur une prestation, à préparer la relation contractuelle. Le traitement repose, dans ce dernier cas, sur l'exécution de mesures précontractuelles prises à la demande de la personne (article 6.1.b du règlement) et, dans les autres cas, sur l'intérêt légitime de RETBA AI à répondre aux personnes qui lui écrivent (article 6.1.f).

Elles sont communiquées au responsable du traitement et à ses prestataires : Cloudflare, Inc., qui héberge le logiciel et sa base de données ; Resend, service d'envoi de courriel par lequel une copie de la demande peut être transmise à la messagerie du responsable du traitement ; Google, dont le service Google Workspace héberge cette messagerie (cb@cdb.agency). Ces prestataires peuvent traiter les données aux États-Unis, dans les conditions décrites à la section relative aux transferts.

Les demandes sont conservées vingt-quatre mois au plus à compter de leur réception : un effacement automatique, chaque jour, retire celles qui ont atteint cette durée. La copie éventuellement reçue par courriel est conservée dans la messagerie du responsable du traitement pour la même durée au plus.

La personne qui a écrit exerce les droits décrits ci-dessous en s'adressant à cb@cdb.agency.

Les personnes faisant l'objet d'une veille

La personnalité suivie conserve l'ensemble de ses droits. Aucune décision produisant un effet juridique à son égard n'est prise sur le seul fondement d'un traitement automatisé : chaque analyse est relue par un analyste avant d'être remise au client.

Toute demande d'exercice de droits adressée à cb@cdb.agency est instruite, et transmise au client responsable du traitement lorsque la demande le concerne.

Les droits des personnes

Toute personne dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de ses données après son décès.

Ces droits s'exercent auprès de cb@cdb.agency. Une réponse est apportée dans un délai d'un mois, porté à trois mois lorsque la demande est complexe. Une réclamation peut être portée devant la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.