La présente politique a pour objectif de vous informer sur les engagements et les mesures pratiques pris par la société RGPD Chatain & Associés (désignée sous la dénomination de la société R.C.A. France ci-après) dans le cadre du déploiement de sa Conciergerie RGPD, agissant comme un chatbot par e-mail ou messagerie, afin de veiller en toutes circonstances au respect de vos données à caractère personnel.
Dans le cadre de son activité, la société R.C.A. France est amenée à collecter et à traiter des données à caractère personnel relatives aux contacts, prospects, clients, prestataires et partenaires. L’objectif principal de ce document est de regrouper dans un format concis, transparent, compréhensible et aisément accessible les informations concernant les traitements de données mis en œuvre, pour vous permettre de comprendre dans quelles conditions vos données sont traitées.
La société R.C.A. France s’engage à ce que la collecte et le traitement de vos données soient conformes au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés. Nous appliquons nativement les principes de Privacy by Design et veillons à ne collecter que les données strictement nécessaires aux objectifs poursuivis.
À titre préliminaire, il convient d’observer que la Conciergerie RGPD (chatbot par e-mail) ne collecte aucune information lors de ses prestations en dehors de celles imposées règlementairement dans le cadre d’éléments probatoires nécessaires à la réalisation de prestations contractuelles digitales.
Toutefois, consciente de l’importance d’assurer la confidentialité et la sécurité des données qui lui sont transmises de façon générale, la société R.C.A. France prend des engagements forts en termes de confidentialité et vis-à-vis de la protection des données à caractère personnel.
Dans un souci de loyauté et de transparence, la société R.C.A. France prend soin d’informer les personnes concernées susmentionnées de chaque traitement qu’elle met en œuvre, par des mentions d’information.
Ces données sont collectées loyalement. Aucune collecte n’est effectuée à l’insu des personnes et sans qu’elles en soient informées.
La société R.C.A. France veille, de façon générale et a fortiori dans le cadre de sa Conciergerie RGPD, à ne collecter et ne traiter que des données strictement nécessaires au regard de la finalité pour laquelle elles le sont.
Lorsque la société R.C.A. France est amenée à traiter des données, elle le fait pour des finalités spécifiques : chaque traitement de données mis en œuvre poursuit une finalité légitime, déterminée et explicite.
Pour chacun des traitements mis en œuvre, la société R.C.A. France s’engage à ne collecter et n’exploiter que des données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
La société R.C.A. France veille à ce que les données soient mises à jour et à mettre en œuvre des procédés pour permettre l’effacement ou la rectification des données inexactes.
Dans le cadre des traitements de données à caractère personnel dont les finalités vous sont présentées ci-après, la société R.C.A. France collecte et traite les catégories de données suivantes :
Le détail des données effectivement collectées, la base juridique qui les justifie et leur durée de conservation sont les suivants :
| Données collectées | Base juridique | Durée de conservation |
|---|---|---|
| Nom, prénom et fonction de la personne engageant l’organisme, nom de l’organisme contractant ; e-mail du compte maître | Obligation précontractuelle ou contractuelle | 10 ans, puis suppression |
| Nom et prénom du responsable de traitement ; organisme, nom, prénom, e-mail et adresse professionnels du référent RGPD ou du délégué à la protection des données ; e-mail du référent RGPD des organismes mutualisés ; e-mail des bénéficiaires internes | Consentement, pour délivrer des documents complets | Jusqu’au retrait du consentement ou à la fin du contrat |
| Logs de connexion, horodatage | Obligation légale | 10 ans, puis suppression |
| Données générées par l’utilisation des services : e-mail, date, question et réponse | Intérêt légitime tenant à l’amélioration des services et au contrôle qualité | 1 mois, puis suppression définitive |
| Données personnelles figurant dans les documents produits pour le client et déposés dans sa bibliothèque (registres, bilans d’audit, analyses d’impact, formulaires) : e-mail et adresse du responsable de traitement et du référent RGPD ou du délégué à la protection des données | Consentement | Jusqu’au retrait du document par le client ou jusqu’à la fin du contrat, puis suppression définitive |
| Nom, prénom, profession, e-mail et téléphone des personnes de la cellule de crise | Consentement | Jusqu’au retrait du consentement ou à la fin du contrat, puis suppression définitive |
| Nom, prénom, adresse postale, e-mail, téléphone, canal de la demande, droit exercé et observations des personnes qui exercent leurs droits auprès de nos clients | Obligation légale | 5 ans à compter de la réception de la demande |
| E-mail, nom de l’organisme, notes et commentaire de l’auteur d’un avis client publié sur notre site | Consentement | Jusqu’au retrait du consentement ou à la fin de la prestation, puis suppression définitive |
| Nom, adresse, responsable de traitement, téléphone et e-mail des contacts inscrits au registre du sous-traitant | Consentement | Jusqu’au retrait du consentement ou à la fin de la prestation, puis suppression définitive |
| E-mail de la personne à qui un questionnaire d’audit est transmis : prestataire informatique ou personne en charge | Consentement | 30 jours, puis suppression définitive |
| Données de facturation : SIRET, adresse postale de l’organisme, numéro d’engagement, nom et fonction du signataire du devis | Obligation légale | 10 ans, puis suppression |
| Réclamations et échanges de courriers électroniques : e-mail, objet et contenu du message | Obligation légale | 3 ans après la clôture du sujet traité |
| Demandes de connexion : e-mail, horodatage et codes à usage unique émis | Intérêt légitime tenant à la sécurisation des accès | 10 ans pour les abonnés, 5 ans pour les hors contrat et les essais gratuits, puis suppression définitive |
| Changement de compte maître : ancien e-mail, nouvel e-mail, e-mail du demandeur et tiers autorisés | Obligation précontractuelle ou contractuelle | 10 ans, puis suppression |
| Trace de la suppression d’un compte : e-mail d’origine, nom et secteur d’activité de l’organisme, dates d’inscription et de suppression | Obligation légale | 10 ans à compter de la suppression du compte, puis suppression définitive |
Quel que soit le cadre dans lequel ils interviennent, les traitements mis en œuvre par la société R.C.A. France répondent à une finalité explicite, légitime et déterminée. Ces traitements ont les finalités et les bases juridiques suivantes :
| Finalité | Base juridique |
|---|---|
| Gestion des fournisseurs | Intérêt légitime du responsable de traitement d’exécuter les mesures précontractuelles ou contractuelles en BTOB quand le cocontractant est une personne morale. Exécution des mesures précontractuelles ou du contrat quand une personne physique est directement partie au contrat |
| Gestion et suivi des contrats et des commandes | Intérêt légitime du responsable de traitement d’exécuter les mesures précontractuelles ou contractuelles en BTOB quand le cocontractant est une personne morale. Exécution des mesures précontractuelles ou du contrat quand une personne physique est directement partie au contrat |
| Gestion et suivi des factures, comptabilité | Obligation légale |
| Gestion administrative et financière | Obligations légales et contractuelles |
| Gestion de la production et suivi des dossiers confiés par les clients et de la relation clients | Intérêt légitime du responsable de traitement d’exécuter les mesures précontractuelles ou contractuelles en BTOB quand le cocontractant est une personne morale. Exécution des mesures précontractuelles ou du contrat quand une personne physique est directement partie au contrat |
| Gestion, développement, maintenance d’un chatbot | Intérêt légitime du responsable de traitement d’exécuter les mesures précontractuelles ou contractuelles en BTOB quand le cocontractant est une personne morale. Exécution des mesures précontractuelles ou du contrat quand une personne physique est directement partie au contrat |
| Informer de l’ouverture des services | Consentement |
| La fourniture du service de Conciergerie RGPD (chatbot par e-mail) et la réponse à vos requêtes | Obligation contractuelle |
| La sécurisation de votre accès via le système d’authentification par « Lien Magique » | Intérêt légitime |
| Gérer le paiement, les impayés et le recouvrement des abonnements. Gestion de la facturation des abonnements | Obligation légale pour la facturation. Intérêt légitime du responsable de traitement de piloter l’activité, de communiquer et de développer son activité. Consentement pour la prospection directe par voie électronique |
| Réalisation, à la demande de l’utilisateur, des bilans d’évaluation accessibles en accès libre et remise du document de restitution correspondant | Consentement de la personne concernée, recueilli par la communication volontaire de son adresse de courrier électronique et son acceptation expresse préalable ; consentement retirable à tout moment, le retrait emportant la suppression de l’espace et des bilans édités |
| Communications commerciales de la société R.C.A. France auprès des utilisateurs du chatbot Conciergerie RGPD en essai gratuit sans engagement | Consentement pour la collecte de l’e-mail. Intérêt légitime de la société R.C.A. France pour l’envoi de ses communications commerciales |
| Gestion et suivi de la liste d’opposition | Obligation légale |
| Archivage et conservation | Intérêt légitime du responsable de traitement de conserver des éléments de preuve en cas de potentiel contentieux, pour défendre ses droits et intérêts |
| Chatbot Conciergerie : 1. Demandes d’informations 2. Gestion de la période d’essai 3. Gestion des abonnements 4. Suivi des demandes d’assistance 5. Historisation | Exécution des mesures précontractuelles ou du contrat quand la personne est une personne physique (BTOC). Intérêt légitime du responsable de traitement d’exécuter les mesures précontractuelles ou contractuelles en BTOB quand le cocontractant est une personne morale |
| 1. Réception des demandes d’exercice des droits 2. Instruction et suivi des demandes 3. Historisation et archivage 4. Gestion des réclamations DPO 5. Gestion des opt-in et opt-out 6. Élaboration de données d’activité | Obligation légale. Intérêt légitime d’assurer le pilotage et le reporting de l’activité en matière de protection des données |
Ces finalités et traitements ont été formellement portés à la connaissance et validés par notre Délégué à la Protection des Données via les formalités préalables effectuées auprès de ce dernier.
Conformément à la Réglementation Informatique et Libertés, la société R.C.A. France vous informe sur les traitements de données à caractère personnel qu’elle met en œuvre. Le responsable du traitement est PIERRE CHATAIN, représentant légal de la société R.C.A. France.
Ainsi, la société R.C.A. France vous informe, de manière claire, lors de chaque collecte de données à caractère personnel notamment :
La société R.C.A. France ne communique vos données à caractère personnel qu’à des destinataires habilités et déterminés. Sont destinataires de vos données, chacun pour ce qui le concerne :
Vos données font l’objet d’un traitement informatisé sans prise de décision automatisée ni profilage. Les transferts en dehors de l’Union européenne sont décrits au paragraphe 7.
La rédaction assistée par intelligence artificielle décrite au paragraphe 10 ne constitue pas une décision automatisée : elle produit des projets de documents, dépourvus de tout effet tant qu’une personne physique ne les a pas validés.
Nous veillons à ce que seules les personnes habilitées puissent avoir accès à ces données. La société R.C.A. France applique une politique d’habilitation stricte qui permet que les données qu’elle traite ne soient transmises qu’aux seules personnes autorisées à y avoir accès.
Lorsque la société R.C.A. France recourt à un prestataire, elle ne lui communique des données à caractère personnel qu’après avoir obtenu de ce dernier un engagement et des garanties sur sa capacité à répondre à ces exigences de sécurité et de confidentialité.
Nous concluons avec nos sous-traitants, dans le respect de nos obligations légales et réglementaires, des contrats définissant précisément les conditions et modalités de traitement des données personnelles par ces derniers, en conformité avec la réglementation sur la protection des données personnelles.
Vos données sont hébergées et traitées en France. La société R.C.A. France n’effectue aucun transfert de données vers un pays tiers ou une organisation internationale, à la seule exception décrite ci-après.
L’acheminement des connexions entre votre navigateur et la plateforme est assuré par un relais technique exploité par la société ngrok Inc., établie aux États-Unis, dont le point d’entrée européen se situe à Francfort (Allemagne). Ce transfert est encadré par la certification Data Privacy Framework UE–États-Unis dont bénéficie cette société et par les clauses contractuelles types de la Commission européenne, prévues à l’accord de traitement qui nous lie à elle. Ce relais assure l’acheminement des connexions ; il n’héberge ni vos documents, ni votre registre, ni votre bibliothèque, qui demeurent en France.
Les moteurs d’intelligence artificielle auxquels la société R.C.A. France fait appel — Anthropic pour la rédaction, Google pour l’indexation des questions — sont établis hors de l’Union européenne. Ils ne reçoivent que le texte de la question ou du document à traiter, à l’exclusion de tout élément d’identification : ni nom, ni adresse électronique, ni adresse IP, ni identifiant de session. En l’absence de tout moyen raisonnable, pour leur destinataire, de rattacher ce texte à une personne, ce flux ne constitue pas un transfert de données à caractère personnel au sens du RGPD (CJUE, 19 octobre 2016, Breyer, C-582/14). La bibliothèque documentaire interne, elle, ne quitte jamais le territoire national.
La société R.C.A. France fait en sorte que les données ne soient conservées sous une forme permettant l’identification des personnes concernées que pendant une durée nécessaire au regard des finalités pour lesquelles elles sont traitées. Les durées de conservation que nous appliquons à vos données à caractère personnel sont proportionnées aux finalités pour lesquelles elles ont été collectées, ainsi que dans le respect de la législation en vigueur :
| Finalités | Durée de conservation |
|---|---|
| Gestion des contacts et prospects | 3 ans à compter du dernier contact entrant de la personne |
| Contacts non contractuels | 3 ans maximum à compter du dernier contact entrant de la personne |
| Prospection commerciale | 3 ans à compter du dernier contact entrant de la personne |
| Facturation et comptabilité | 10 ans |
| Données d’abonnement | Conservées selon les durées légales en vigueur |
| Gestion des clients | 3 ans à compter de la fin du mandat confié à la société R.C.A. France. Les données pourront être conservées au-delà des 3 ans dans des cas particuliers. |
| Gestion des partenaires et prestataires | 3 ans à compter de la fin de la relation contractuelle |
| Utilisateurs du chatbot Conciergerie RGPD 24/7 | Clients : pendant toute la durée de l’abonnement, puis 3 ans après son terme. Prospects : 3 ans à compter du dernier contact entrant de la personne |
| Gestion des demandes d’informations d’ouverture d’un GUICHET associé à une activité | 3 mois après l’ouverture du service considéré |
| Réponses aux requêtes de fonctionnement de la conciergerie | 3 mois |
| Adresse de courrier électronique de l’utilisateur de la Conciergerie RGPD en essai gratuit sans engagement, réponses aux questionnaires d’évaluation et bilans édités en accès libre | Un (1) an à compter de la date de la dernière utilisation du service, au terme duquel l’espace est supprimé dans son intégralité |
| Espace de conformité et registre personnalisé non rattachés à un abonnement | 1 an à compter de la date de la dernière utilisation |
| Copie du registre remplacé par une nouvelle lecture du site internet du client (traitement des réclamations et des demandes particulières) | 6 mois à compter du remplacement |
| Registre des demandes de droits : suivi et contrôle des demandes d’exercice de droits adressées à nos clients | 5 ans à compter de la réception de la demande |
| Fiches de référence | Durée de conservation légale aux fins probatoires |
Les données personnelles des personnes sans lien contractuel avec la société R.C.A. France — délégué à la protection des données, référents RGPD, bénéficiaires internes — sont supprimées immédiatement à la fin du contrat.
Les données traitées dans le cadre de l’essai gratuit sans engagement — adresse de courrier électronique, réponses aux questionnaires d’évaluation et bilans édités — sont conservées un (1) an à compter de la dernière utilisation du service. À l’expiration de ce délai, elles sont effacées dans leur intégralité, aucune copie n’étant conservée en archivage intermédiaire, sous la seule réserve des conservations imposées par une obligation légale ou nécessaires à la constatation, à l’exercice ou à la défense d’un droit en justice.
La société R.C.A. France accorde une importance particulière à la sécurité des données personnelles. Elle assure la sécurité de vos données à caractère personnel en mettant en place une protection des données renforcée par l’utilisation de moyens de sécurisation logiques et organisationnels.
Elle a mis en place des mesures techniques et organisationnelles adaptées au degré de sensibilité des données personnelles, en vue d’assurer l’intégrité et la confidentialité des données et de les protéger contre toute intrusion malveillante, toute perte, altération ou divulgation à des tiers non autorisés.
Conscients de l’importance de la souveraineté numérique, nous avons fait le choix d’un fonctionnement en environnement interne, au sein de la société R.C.A. France. Contrairement aux solutions d’hébergement externes, le traitement de vos requêtes est opéré exclusivement chez nous, sur nos serveurs internes, situés en France : vos documents, votre registre et votre bibliothèque n’en sortent pas. Seul l’acheminement des connexions jusqu’à ces serveurs passe par le relais technique décrit aux paragraphes 6 et 7.
Néanmoins, la sécurité et la confidentialité des données personnelles reposent sur les bonnes pratiques de chacun, ainsi la personne concernée est invitée à rester vigilante sur la question.
Le service de Conciergerie RGPD repose sur un système d’intelligence artificielle au sens du règlement (UE) 2024/1689 du 13 juin 2024. Ce système rédige les réponses de l’assistant et pré-rédige les documents remis aux clients : fiches de traitement, registres, mentions d’information, formulaires mis en conformité, analyses d’impact et politiques de confidentialité.
Toute personne qui s’adresse à l’assistant en est informée avant sa première question. Chaque document produit porte la mention de sa rédaction assistée.
Aucune donnée à caractère personnel n’est nécessaire pour interroger l’assistant, et il est interdit d’en introduire dans une question. Avant toute soumission au moteur de rédaction, l’adresse électronique du demandeur est séparée de sa question par un traitement interne : le moteur ne reçoit que le texte de la question, sans nom, sans adresse électronique, sans adresse IP et sans identifiant de session.
Les données traitées par la société R.C.A. France ne servent ni à entraîner ni à améliorer un modèle d’intelligence artificielle, ni chez elle, ni chez ses prestataires.
Aucune décision produisant des effets juridiques ou affectant de manière significative une personne n’est prise sur le seul fondement d’un traitement automatisé. Les documents produits sont des projets soumis à la validation d’une personne physique au sein de l’organisme client.
Toute personne peut demander qu’une réponse ou un document produit par le système soit réexaminé par une personne physique, à l’adresse dpo@rcafrance.fr.
L’utilisateur est informé que, lors de ses visites sur le site, un cookie peut s’installer automatiquement sur son logiciel de navigation. Les règles applicables aux cookies sont accessibles dans la politique cookies (Gestion des cookies) disponible sur notre site internet.
La société R.C.A. France est particulièrement soucieuse du respect des droits qui vous sont accordés dans le cadre des traitements de données qu’elle met en œuvre, pour vous garantir des traitements équitables et transparents compte tenu des circonstances particulières et du contexte dans lesquels vos données personnelles sont traitées.
En application de la réglementation Informatique et Libertés, vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation du traitement, à la portabilité, d’opposition et de définir le sort de vos données après votre décès.
A ce titre, vous avez la confirmation que vos données personnelles sont ou ne sont pas traitées et lorsqu’elles le sont, vous disposez du droit de demander une copie de vos données et des informations concernant les finalités, les catégories concernées, les destinataires et la durée de conservation.
Vous pouvez nous demander à ce que vos données personnelles soient, selon les cas, rectifiées, complétées si elles sont inexactes, incomplètes, équivoques, périmées.
Vous pouvez nous demander l’effacement de vos données personnelles dans les cas prévus par la législation et la réglementation.
Vous pouvez demander la limitation du traitement de vos données personnelles dans les cas prévus par la législation et la réglementation.
Vous disposez du droit de vous opposer à tout moment, pour des raisons tenant à votre situation particulière, à un traitement de vos données à caractère personnel dont la base juridique est l’intérêt légitime poursuivi par le responsable du traitement.
Ce droit est limité aux traitements dont la base juridique est votre consentement ou l’exécution des mesures précontractuelles ou d’un contrat.
Lorsque les traitements de données que nous mettons en œuvre sont fondés sur votre consentement, vous pouvez le retirer à n’importe quel moment.
Vous avez le droit d’introduire une réclamation auprès de la Cnil (3 place de Fontenoy 75007 Paris).
Vous avez la possibilité de définir des directives particulières relatives à la conservation, à l’effacement et à la communication de vos données personnelles après votre décès.
Tous les droits énumérés ci-avant peuvent être exercés en contactant la société R.C.A. France :
La demande doit être accompagnée d’un justificatif d’identité, par tous moyens, notamment une copie d’un titre d’identité signé.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), en ligne sur www.cnil.fr ou par voie postale : CNIL – 3 place de Fontenoy – TSA 80715 – 75334 Paris Cedex 07.
Pour toutes demandes d’information concernant la politique de protection des données à caractère personnel mise en œuvre par la société R.C.A. France, vous pouvez vous adresser à : dpo@rcafrance.fr
Nous vous invitons à consulter régulièrement cette politique sur notre site internet. Elle pourra faire l’objet de mises à jour.