PROJET — à valider par l’avocat avant publication

Mon Injonction — Politique de confidentialité

Dernière mise à jour : [À FOURNIR PAR DINO : date]

1. Responsable du traitement

• EPICURE, SAS, 136 rue d’Assas, 75006 Paris, RCS Paris 890 815 640.
• Contact pour vos données : contact@copilote-services.fr [À FOURNIR PAR DINO : adresse dédiée éventuelle].
• Délégué à la protection des données : [À FOURNIR PAR DINO : nom et contact, ou « non désigné »].

[À VALIDER PAR L’AVOCAT] Pour les données du débiteur, EPICURE agit-elle comme responsable du traitement, ou comme sous-traitant de l’utilisateur créancier (RGPD art. 4 et 28) [À VÉRIFIER] ?

2. Données que nous traitons

Les vôtres (utilisateur créancier)

• Identité : nom, prénom, forme juridique, raison sociale, SIRET, adresse, email.
• Qualité : professionnel ou consommateur.
• Créance : nature (prestation, vente), montants HT et TTC, numéro et date de facture, échéance, relances envoyées, taux conventionnel éventuel.
• Pièces déposées : facture, bon de commande, devis signé, accusés de réception.
• Achat : montant, date, facture. Votre carte bancaire reste chez Stripe.
• Preuve des cases cochées au paywall : texte, version, date et heure.
• Journaux techniques : adresse IP, date et heure, pages appelées.

Celles de votre débiteur (un tiers)

• Identité : nom et prénom s’il s’agit d’un particulier, ou raison sociale et SIRET s’il s’agit d’une entreprise ; adresse.
• Votre débiteur peut être un particulier : ses données sont alors des données personnelles d’une personne physique, traitées selon les règles du §4.
• Créance qui le concerne : montants, dates, factures, relances.
• Éventuellement : email ou téléphone figurant sur vos pièces.

Nous ne demandons aucune autre donnée du débiteur. Ne saisissez ni son numéro de sécurité sociale, ni ses données bancaires, ni aucune donnée de santé.

Nous ne contactons jamais votre débiteur.

Caractère obligatoire (RGPD art. 13.2.e [À VÉRIFIER])

• Les champs marqués * sont nécessaires pour générer vos documents. Sans eux, la mise en demeure et la requête ne peuvent pas être produites.
• Les autres champs sont facultatifs. Aucune donnée n’est exigée par la loi pour utiliser le service.

3. Finalités, bases légales et durées

« Dernière activité » : dernière connexion ou dernier document généré, selon le plus récent. [À FOURNIR PAR DINO : confirmer le critère]

D’où viennent ces durées (CNIL, référentiel « gestion des activités commerciales », section 7 « Durées de conservation », p. 11 ; 10 ans : section 4, p. 4)

• Données du contrat : la CNIL retient « la durée de la relation contractuelle », puis un archivage intermédiaire « pour un délai raisonnable », dans la limite de la prescription.
• Prospection : 3 ans à compter de la fin de la relation commerciale (clients) ou de la collecte ou du dernier contact (prospects). « La simple ouverture d’un courriel » ne vaut pas contact.
• Comptes inactifs : la CNIL juge « proportionné » un délai de deux ans.
• Comptabilité : « obligation comptable de 10 ans ».

Les 3 ans après la dernière activité retenus pour le quiz, le dossier et le support sont un choix propre d’EPICURE, et non une durée fixée par la CNIL. [À VALIDER PAR L’AVOCAT : 3 ans ou 2 ans d’inactivité, durée de la relation puis archive]

4. Les données du débiteur : nos règles

• Elles servent uniquement à générer vos documents (mise en demeure, requête, checklist).
• Elles ne sont ni réutilisées, ni croisées, ni vendues, ni utilisées pour constituer un fichier de mauvais payeurs.
• Elles sont supprimées avec votre dossier.
• Vous transmettez les documents au débiteur, au greffe et au commissaire de justice. Nous n’envoyons rien.

Information du débiteur [À VALIDER PAR L’AVOCAT]

Les données du débiteur ne sont pas collectées auprès de lui. L’article 14 du RGPD [À VÉRIFIER] impose en principe de l’informer dans un délai raisonnable, au plus tard dans le mois, ou dès la première communication.

Options à trancher :

• A. Une mention courte en pied de la mise en demeure, que l’utilisateur envoie. Risque : faire apparaître EPICURE sur un document qui doit porter le seul nom du créancier.
• B. Invoquer une exception de l’article 14.5. Elles sont étroites et doivent être documentées.
• C. Qualifier EPICURE de sous-traitant : l’information incombe alors au créancier.

5. Destinataires et sous-traitants

Seules les personnes d’EPICURE qui en ont besoin accèdent à vos données. Nos sous-traitants sont liés par un contrat conforme à l’article 28 du RGPD [À VÉRIFIER].

Nous ne vendons pas vos données. Nous ne les transmettons à aucune autorité, sauf obligation légale.

6. Transferts hors de l’Union européenne

Certaines données peuvent être traitées aux États-Unis (Vercel, Stripe). Ces transferts reposent :

• sur la décision d’adéquation EU–US Data Privacy Framework, si le prestataire est certifié [À VÉRIFIER : certification de Vercel et de Stripe sur dataprivacyframework.gov] ;
• à défaut, sur les clauses contractuelles types de la Commission européenne (RGPD art. 46) [À VÉRIFIER].

[À VALIDER PAR L’AVOCAT] Héberger la base de données et les pièces dans l’Union.

7. Décisions automatisées

Le quiz et les calculs sont automatiques. Ils ne produisent aucun effet juridique : vous décidez d’envoyer et de déposer, et seul le juge statue.

[À VALIDER PAR L’AVOCAT] Absence de décision automatisée au sens de l’article 22 du RGPD [À VÉRIFIER].

8. Vos droits

• Accès, rectification, effacement, limitation, opposition, portabilité, retrait du consentement à tout moment, et droit de ne pas faire l’objet d’une décision entièrement automatisée (RGPD art. 7.3 et 15 à 22) [À VÉRIFIER].
• Directives sur le sort de vos données après votre décès (loi n° 78-17, art. 85) [À VÉRIFIER].
• Depuis votre espace : « Exporter mes données » et « Demander la suppression de mon dossier ». Délai d’effacement effectif : [À VALIDER PAR L’AVOCAT].
• Ou écrivez à contact@copilote-services.fr. Réponse sous un mois (RGPD art. 12.3 [À VÉRIFIER]).
• Votre débiteur peut exercer les mêmes droits à la même adresse.
• Vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 [À VÉRIFIER : adresse postale].

9. Cookies et traceurs

• Seuls les traceurs nécessaires au fonctionnement (session, sécurité, paiement) sont déposés sans consentement (loi n° 78-17, art. 82) [À VÉRIFIER].
• Cookie mi_account (httpOnly) : il rattache votre navigateur à votre dossier, sans compte ni mot de passe. Nécessaire au service, il n’exige pas de consentement [À VÉRIFIER : loi n° 78-17, art. 82]. Durée : 90 jours [À FOURNIR PAR DINO : confirmer].
• Lien de reprise privé : il vous permet de revenir à votre dossier depuis un autre appareil. Il contient un secret ; ne le partagez pas. Durée de validité : 90 jours [À FOURNIR PAR DINO : confirmer].
• Mesure d’audience : Vercel Web Analytics, présenté par Vercel comme sans cookie. [À VÉRIFIER : exemption de consentement au sens des lignes directrices de la CNIL]
• [À FOURNIR PAR DINO : outil de mesure d’audience éventuel ; bandeau de consentement si non exempté]
• Polices : à héberger sur le site, sans appel à un service tiers.

10. Sécurité

Connexion chiffrée (HTTPS), accès restreints. [À FOURNIR PAR DINO : chiffrement au repos, journal des accès, procédure en cas de violation de données (RGPD art. 33 et 34 [À VÉRIFIER])]

Notes — articles utilisés