Politique de confidentialité

1. Responsable de traitement

2. Les deux parties du service

Le site public

Pages d'information, sans compte ni cookie. Son formulaire de demande de devis envoie votre demande directement à ROSA : elle est enregistrée sur le serveur de ROSA puis traitée par ROSA et ses outils de gestion internes, pour vous répondre. Les données transmises, leurs destinataires et leur durée de conservation sont indiqués à la ligne « Messages de contact » du tableau ci-dessous.

L'espace client

Application distincte, accessible avec un compte, qui dispose d'une base de données. L'espace client est ouvert à la date de mise en ligne du site indiquée en tête de cette politique.

3. Traitements réalisés

Les durées marquées « automatique » sont appliquées par une purge programmée sur le serveur. Tant que cette purge n'est pas active sur le serveur, ces durées sont appliquées par une revue mensuelle.

Notifications

Les notifications de l'espace client (type, titre, contenu, lien, date de lecture) sont conservées avec le compte et supprimées à sa suppression.

Limitation des abus

L'adresse IP est aussi utilisée en mémoire, sans être enregistrée, pour limiter le nombre de tentatives de connexion, d'inscription, de dépôt et d'envoi.

Caractère obligatoire des données

Les champs signalés comme obligatoires dans l'espace client sont nécessaires à la création du compte, au suivi du projet ou à l'établissement du contrat ; sans eux, le service correspondant ne peut pas être rendu. Le SIREN et la raison sociale sont exigés à la souscription parce que les offres sont réservées aux professionnels.

Absence de décision automatisée

ROSA ne prend aucune décision produisant des effets juridiques fondée exclusivement sur un traitement automatisé au sens de l'article 22 du RGPD. Le contrôle du SIREN porte sur son format ; un refus éventuel de contracter relève d'une décision humaine.

Assistant automatisé

Les demandes reçues par e-mail ou par l'espace client peuvent recevoir une première réponse d'un assistant automatique, signalé comme tel. Il ne prend aucune décision engageant la personne ; toute question qu'il ne peut pas traiter est transmise à l'équipe de ROSA.

Prospection

ROSA n'utilise pas les données de l'espace client pour de la prospection commerciale. Par ailleurs, ROSA peut adresser des e-mails de prospection aux adresses professionnelles génériques publiées par des entreprises (par exemple contact@), sur le fondement de son intérêt légitime, pour des offres en rapport avec leur activité. Chaque message identifie ROSA, indique l'origine de l'adresse et contient un moyen simple et gratuit de s'opposer (réponse « STOP ») ; une opposition est enregistrée et respectée sans délai, et l'entreprise n'est plus sollicitée.

4. Mesure d'audience sans cookie

Méthode

Aucun cookie, script, pixel ou service tiers n'est ajouté aux pages pour mesurer la fréquentation. Un programme exécuté chaque heure sur le serveur, sans accès au réseau, lit les journaux techniques du serveur web et produit des statistiques agrégées : nombre de pages vues, nombre estimé de visiteurs, pages consultées, nom de domaine du site de provenance (jamais l'adresse complète), type d'appareil (mobile ou ordinateur), pages introuvables.

Pour estimer le nombre de visiteurs, une empreinte est calculée à partir de l'adresse IP et du type de navigateur, avec une valeur aléatoire tirée à chaque calcul et jamais enregistrée ; cette empreinte n'existe que le temps du calcul et ne permet aucun rapprochement entre deux jours. Les statistiques produites ne contiennent ni adresse IP ni type de navigateur. Les lignes représentant moins de trois consultations sont regroupées pour éviter qu'une visite isolée soit reconnaissable. Les robots sont exclus.

Ce que cela ne signifie pas

L'absence de cookie ne dispense pas des règles de protection des données : les journaux bruts contiennent l'adresse IP, qui est une donnée personnelle. C'est pourquoi ce traitement est décrit ici et inscrit au registre de ROSA.

Vous opposer à la mesure d'audience

Si votre navigateur envoie le signal Global Privacy Control (GPC) ou Do Not Track (DNT), vos visites sont automatiquement exclues des statistiques. Vous pouvez aussi vous opposer à ce traitement en écrivant à agence.rosa.contact@gmail.com (article 21 du RGPD). L'opposition porte sur la mesure d'audience ; les journaux techniques restent conservés pour la sécurité du site pendant la durée indiquée, sauf si votre situation particulière justifie qu'il en soit autrement.

5. Cookies

Site public

Aucun cookie. Le configurateur conserve vos choix en cours (prestations, options, aucun prix) dans le stockage de session de l'onglet (sessionStorage), pour les retrouver si vous actualisez la page ou revenez en arrière. Il est effacé à la fermeture de l'onglet, n'est lu par aucun tiers et n'est jamais transmis au serveur ; il ne requiert pas de consentement (article 82 de la loi Informatique et Libertés). Aucun autre stockage (ni localStorage, ni base locale) sur le site public, hormis l'origine de la visite décrite ci-dessous.

Origine de la visite (liens publiés par ROSA)

Les liens que ROSA publie sur ses réseaux sociaux portent des paramètres utm_source (réseau), utm_medium, utm_campaign et utm_content (publication). Si vous arrivez par un tel lien, ces quatre valeurs (et elles seules : aucun identifiant, ni adresse IP, ni page visitée) sont gardées dans le stockage de session de l'onglet, effacé à sa fermeture. Elles ne sont envoyées que si vous transmettez une demande (contact, configurateur, rendez-vous) : une mention l'indique alors sous le formulaire, avec une case « Ne pas la joindre ». Elles servent à compter, publication par publication, les demandes, devis et commandes obtenus ; ces comptes ne contiennent aucune donnée sur vous. Rien n'est gardé si votre navigateur envoie le signal GPC ou Do Not Track. Aucun cookie, aucun service tiers. Conservation : avec la demande, pour la durée indiquée à la ligne « Messages de contact ».

Espace client

Deux cookies sont déposés uniquement après la connexion. Ils sont strictement nécessaires au service que vous demandez (être connecté de façon sécurisée) et sont donc exemptés de consentement (article 82 de la loi Informatique et Libertés). Ils ne servent ni à la mesure d'audience ni à la publicité. ROSA les mentionne par transparence, comme le recommande la CNIL.

Si un outil de mesure ou de publicité déposant des traceurs était ajouté, un recueil du consentement conforme serait mis en place avant tout dépôt, et cette politique serait mise à jour.

6. Destinataires et sous-traitants

Vos données ne sont ni vendues, ni louées, ni cédées à des fins commerciales. Elles sont accessibles à ROSA et, selon leurs habilitations, aux membres de son équipe, ainsi qu'aux prestataires suivants, liés par un contrat de sous-traitance (article 28 du RGPD) :

Transferts hors de l'Union européenne

L'application de ROSA n'envoie aucune donnée hors de l'Union européenne.

Les données peuvent enfin être communiquées aux autorités administratives ou judiciaires qui les demandent dans le cadre de leurs pouvoirs légaux.

7. Données qui ne sont pas collectées auprès de vous

Certaines données peuvent être transmises à ROSA par un tiers (article 14 du RGPD), notamment :

• par l'entreprise cliente : coordonnées de ses salariés ou interlocuteurs, contenus (textes, photos, vidéos) dans lesquels figurent des personnes, données contenues dans l'archive d'un site existant ;
• par un prestataire de paiement : statut et référence du paiement.

Ces données sont traitées pour les finalités et durées de la section 3. La personne concernée peut exercer ses droits auprès de ROSA (section 9).

8. Sécurité

ROSA met en œuvre des mesures adaptées au risque (article 32 du RGPD), notamment : chiffrement des échanges (HTTPS) ; mots de passe hachés ; secret de double authentification chiffré ; double authentification obligatoire pour l'administration ; contrôle d'accès par rôle et par titulaire ; protection contre la falsification de requête ; limitation des tentatives ; contrôle des fichiers déposés et analyse antivirus ; quarantaine sans extraction ; liens de téléchargement signés et expirant après quelques minutes ; journal de sécurité ; sauvegardes chiffrées ; application des durées de conservation. En cas de violation de données présentant un risque, ROSA notifie la CNIL et, le cas échéant, informe les personnes concernées dans les conditions des articles 33 et 34 du RGPD.

9. Vos droits et comment les exercer

Demande écrite et délai de réponse

Par écrit : à agence.rosa.contact@gmail.com ou par courrier à l'adresse postale de ROSA, communiquée sur demande à cette même adresse e-mail. ROSA peut demander un justificatif d'identité en cas de doute raisonnable. Réponse dans un délai d'un mois à compter de la réception de la demande, prolongeable de deux mois compte tenu de la complexité ou du nombre de demandes, auquel cas vous en êtes informé dans le premier mois (article 12 du RGPD).

Limites

Certaines données ne peuvent pas être effacées tant qu'une obligation légale impose leur conservation (pièces comptables) ou qu'elles sont nécessaires à la constatation, à l'exercice ou à la défense de droits en justice.

10. Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), en ligne sur www.cnil.fr/fr/adresser-une-plainte ou par courrier : CNIL, Service des plaintes, 3 place de Fontenoy, 75007 Paris. Il est recommandé de s'adresser d'abord à ROSA.

11. Mise à jour

Cette politique peut évoluer, notamment en cas de nouveau traitement, de nouveau prestataire ou de changement de durée. La date de mise à jour figure en tête. En cas de changement important, les titulaires d'un compte en sont informés par e-mail ou dans l'espace client avant son application. sur simple demande à agence.rosa.contact@gmail.com