Politique de confidentialité

1. Objet

La présente politique décrit la manière dont les données personnelles sont traitées dans le cadre du site et du service CSE+, plateforme en ligne destinée aux Comités Sociaux et Économiques (CSE) et à leurs salariés. Elle est conforme au Règlement (UE) 2016/679 (RGPD) et à la loi « Informatique et Libertés ».

2. Qui est responsable des données ?

Le rôle de CSE+ dépend du type de données :

• Données du site et des prospects : pour les données collectées via le site vitrine (formulaire de contact, demande de démonstration, prise d'abonnement), Brieuc Genot (CSE+) agit en qualité de responsable de traitement.
• Données de la plateforme : pour les données des salariés et des élus saisies dans la plateforme par un CSE client, le CSE est responsable de traitement et CSE+ agit comme sous-traitant, dans le cadre de l'accord de traitement des données (DPA) conclu avec le CSE.

3. Données collectées

3.1 Visiteurs et prospects

Nom, prénom, adresse e-mail, nom de l'organisation et messages transmis via les formulaires.

3.2 Comptes élus et administrateurs

Nom, prénom, adresse e-mail, téléphone, titre et fonction au sein du CSE, biographie éventuelle, et données de connexion. Le CSE peut également enregistrer le mandat exercé au bureau (président, secrétaire, trésorier, référent, etc.).

Deux de ces mandats — représentant syndical et délégué syndical — sont susceptibles de révéler une appartenance syndicale, catégorie particulière de données au sens de l'article 9 du RGPD. Leur enregistrement relève de la responsabilité du CSE, sur le fondement de l'article 9, paragraphe 2, point b (obligations en matière de droit du travail). Aucune autre catégorie particulière de données n'est requise par le service.

3.3 Salariés (utilisateurs de la plateforme)

Nom, prénom, adresse e-mail, ainsi que les contenus produits dans la plateforme : messages adressés au CSE, idées (le cas échéant anonymes), réponses aux sondages (dissociées de l'identité du répondant), inscriptions aux événements, ainsi que les petites annonces publiées (titre, description, photo éventuelle, prix et coordonnées de contact que le salarié choisit de rendre visibles aux autres salariés de son organisation).

3.4 Proches déclarés par un salarié

Pour s'inscrire à un événement avec sa famille ou ses invités, un salarié déclare les personnes qui l'accompagnent : nom, prénom, lien (conjoint, enfant, invité) et date de naissance. La date de naissance est exigée pour les enfants et les invités, parce que les événements d'un CSE sont fréquemment réservés à une tranche d'âge.

Ces personnes sont des tiers, souvent mineurs, qui ne disposent d'aucun compte sur la plateforme. Les données sont saisies par le salarié sous sa responsabilité, ne servent qu'à l'organisation de l'événement concerné, et ne sont accessibles qu'à lui-même et aux élus de son CSE. Le salarié peut les modifier ou les supprimer à tout moment depuis son espace.

3.5 Remontées de bugs et demandes d'assistance

Le signalement d'un dysfonctionnement depuis la plateforme transmet à l'éditeur l'adresse e-mail de l'auteur, son rôle, l'organisation concernée, la description saisie, l'adresse de la page consultée et quelques éléments techniques de contexte. Ces données sont traitées par CSE+ en qualité de responsable de traitement, aux fins de correction, et ne sont pas transmises au CSE.

3.6 Données techniques

Données strictement nécessaires au fonctionnement et à la sécurité : cookie de session et journaux d'activité. Les formulaires d'envoi de code de connexion enregistrent en outre des empreintes cryptographiques(HMAC) de l'adresse IP et de l'adresse e-mail, aux seules fins de limitation du débit ; ni l'IP ni l'adresse ne sont conservées en clair.

3.7 Mesure d'audience du site vitrine

Les pages publiques de cseplus.app (accueil, tarifs, pages de présentation des fonctionnalités, contact, pages légales) font l'objet d'une mesure d'audience limitée à des statistiques agrégées : page consultée, page d'origine, pays, type d'appareil, navigateur et système d'exploitation. Cette mesure ne dépose aucun cookie et ne crée aucun identifiant permettant de reconnaître un visiteur d'un jour sur l'autre ou d'un site à l'autre. Les espaces salarié et élu de la plateforme en sont exclus : la navigation des utilisateurs d'un CSE client n'est pas mesurée.

4. Finalités et bases légales

• Fourniture du service CSE+ et gestion des comptes : exécution du contrat.
• Réponse aux demandes de contact et de démonstration : mesures précontractuelles / intérêt légitime.
• Facturation et obligations comptables : obligation légale.
• Sécurité et prévention des abus : intérêt légitime.
• Traitement des remontées de bugs et assistance : exécution du contrat et intérêt légitime (corriger le service).
• Mesure d'audience du site vitrine : intérêt légitime (comprendre la fréquentation des pages publiques et améliorer le site).

5. Destinataires et sous-traitants

Les données ne sont jamais vendues. Elles sont accessibles à l'éditeur et aux sous-traitants techniques strictement nécessaires :

• Supabase / AWS (base de données, authentification, stockage) — Union européenne (Irlande, eu-west-1).
• Vercel (hébergement et diffusion du site et de l'application ; mesure d'audience sans cookie des pages publiques, via Vercel Web Analytics).
• Resend (envoi d'e-mails transactionnels).
• Cloudflare (acheminement des e-mails reçus à contact@cseplus.app, service DNS et protection réseau).

Pour les données de la plateforme, l'accès est cloisonné par organisation : un CSE ne peut accéder qu'à ses propres données.

6. Localisation et transferts

La base de données et les fichiers de la plateforme sont hébergés au sein de l'Union européenne (Irlande). Les éventuels traitements réalisés par des sous-traitants établis hors UE sont encadrés par des garanties appropriées au sens du RGPD, telles que la certification au cadre de protection des données UE–États-Unis (Data Privacy Framework), dont Vercel et Resend sont certifiés, et les clauses contractuelles types de la Commission européenne.

7. Durées de conservation

• Données des prospects : jusqu'à 3 ans après le dernier contact.
• Données des comptes et de la plateforme : durée du contrat, puis suppression ou restitution (au plus tard 90 jours après la fin du contrat).
• Données de facturation : 10 ans (obligation comptable).
• Petites annonces : suppression automatique et définitive 90 jours après leur publication.
• Proches déclarés par un salarié : jusqu'à leur suppression par le salarié, et au plus tard à la fin du contrat du CSE.
• Remontées de bugs : 24 mois à compter de leur clôture.
• Journaux d'activité : 12 mois maximum, purge automatique quotidienne.
• Empreintes de limitation du débit : 7 jours.

8. Vos droits et leur mise en œuvre

Conformément au RGPD, toute personne dispose sur ses données d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives à leur sort après son décès (article 85 de la loi « Informatique et Libertés »).

8.1 À qui adresser sa demande

Pour les données saisies dans la plateforme d'un CSE, le responsable de traitement est le CSE: c'est à lui que la demande doit être adressée. Une demande reçue à contact@cseplus.app est transmise au CSE concerné dans un délai de sept (7) jours, et son auteur en est informé. CSE+, en qualité de sous-traitant, assiste le CSE dans le traitement de la demande.

Pour les données du site vitrine et des prospects, dont CSE+ est responsable de traitement, la demande est traitée directement par l'éditeur.

8.2 Modalités et délais

• La demande s'adresse par e-mail à contact@cseplus.app, sans formalisme particulier.
• L'exercice des droits est gratuit.
• Une réponse est apportée dans un délai d'un mois à compter de la réception de la demande, prolongeable de deux mois si elle est complexe ou nombreuse ; la personne est alors informée de la prolongation et de ses motifs dans le délai d'un mois.
• En cas de doute raisonnable sur l'identité du demandeur, des informations complémentaires peuvent être sollicitées. Aucune pièce d'identité n'est conservée au-delà du traitement de la demande.
• En cas de refus, les motifs sont indiqués, ainsi que les voies de recours.

8.3 Droit d'opposition à la mesure d'audience

La mesure d'audience décrite au point 3.7 repose sur l'intérêt légitime : chacun peut s'y opposer. Elle ne dépose ni cookie ni identifiant persistant et ne produit que des statistiques agrégées ; l'éditeur n'est donc pas en mesure d'identifier un visiteur au sein de ces données au sens de l'article 11 du RGPD, et il n'existe aucun profil individuel à consulter, rectifier ou supprimer. Une opposition peut être adressée à contact@cseplus.app ; la mesure peut également être neutralisée depuis le navigateur au moyen d'un bloqueur de scripts.

8.4 Décision automatisée

Le service ne met en œuvre aucune prise de décision automatisée produisant des effets juridiques ou affectant de manière significative une personne, ni aucun profilage, au sens de l'article 22 du RGPD.

8.5 Réclamation

Toute personne dispose du droit d'introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75334 Paris Cedex 07 — www.cnil.fr), sans préjudice de tout autre recours juridictionnel.

9. Sécurité

CSE+ met en œuvre des mesures techniques et organisationnelles adaptées : cloisonnement des données par organisation (Row Level Security), chiffrement des communications (HTTPS/TLS), authentification sans mot de passe par code à usage unique envoyé par e-mail, dissociation des réponses aux sondages de l'identité du répondant, et hébergement chez des prestataires conformes.

10. Cookies et mesure d'audience

Seuls des cookies strictement nécessaires au fonctionnement (session d'authentification) sont utilisés. Aucun traceur publicitaire n'est déposé, et aucune donnée n'est transmise à une régie ou à un réseau social.

La mesure d'audience des pages publiques décrite au point 3.7 n'utilise ni cookie, ni stockage local, ni identifiant persistant : elle relève des traitements exemptés de consentement au sens des recommandations de la CNIL sur la mesure d'audience. C'est la raison pour laquelle aucun bandeau de consentement n'est affiché. Si un outil déposant un traceur devait être mis en place à l'avenir, un recueil du consentement préalable serait mis en œuvre.

11. Modifications

La présente politique peut être mise à jour. La version applicable est celle publiée sur cseplus.app à la date de consultation.