Cette politique explique comment Tahar Ifrah, personne physique, éditeur du site signaux-entreprises.fr et du service Signaux Entreprises en phase de test gratuite (« la bêta », « nous »), traite les données personnelles, conformément au règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés. Pendant la bêta, le responsable du traitement est cette personne : il n’y a pas de société derrière le service. Contact pour toute question ou demande : support@signaux-entreprises.fr.
1. Qui est responsable de quoi
| Traitement | Qui décide des finalités | Rôle de Signaux Entreprises |
|---|---|---|
| Compte, authentification, facturation, support, sécurité, journaux, mesure d’audience | Signaux Entreprises | Responsable de traitement |
| Collecte des annonces publiques du BODACC et du répertoire Sirene, constitution des événements, pages publiques | Signaux Entreprises | Responsable de traitement |
| Segments, paramètres de livraison et URL de webhook saisis par un abonné | L’abonné (votre entreprise) | Responsable de traitement pour le compte ; sous-traitant pour ce que l’abonné y associe lui-même |
Lorsque l’abonné associe aux événements ses propres données (CRM, enrichissement par des outils tiers), il en est le responsable de traitement ; Signaux Entreprises ne fournit pas ces données. L'accord de sous-traitance s’applique alors, le cas échéant.
2. Données traitées
- Données de compte : pour chaque utilisateur, son adresse électronique, son rôle (propriétaire ou membre) et les dates de création et de dernière connexion ; le nom du compte (celui de l’entreprise) et, facultativement, le SIREN. Nous ne demandons ni nom, ni fonction aux utilisateurs.
- Données d’authentification : jetons de connexion à usage unique et de session.
- Preuves d’acceptation : version des conditions acceptées à la création du compte, date et adresse IP.
- Paramètres de livraison : segments (types d’événements, départements, secteur, forme juridique, capital minimum), fréquence des e-mails, URL de webhook et clé de signature, historique des livraisons.
- Données de facturation (à l’ouverture des offres payantes) : identifiant client Stripe, historique des paiements, factures. Nous ne stockons pas les numéros de carte bancaire.
- Demandes de contact de la bêta (formulaire
/beta) : profil, nom de l’entreprise (facultatif), taille, adresse électronique, message libre, date de votre consentement à être recontacté, et une empreinte (hachage salé) de votre adresse IP qui sert à limiter les envois répétés : l’adresse IP elle-même n’est pas conservée. - Réponses aux questions d’intérêt : lorsque vous cliquez sur un bouton d’une fonction pas encore ouverte, nous enregistrons le clic, votre compte, et vos réponses facultatives (souhait d’être prévenu, prix qui vous paraît juste, commentaire).
- Données techniques : adresse IP, type de navigateur, journaux d’accès et d’erreur, événements de sécurité.
- Données publiques traitées : annonces du BODACC et identité des entreprises (Sirene), voir l’article 4.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Fournir le Service (compte, segments, livraisons par e-mail, CSV et webhook) | Exécution du contrat (art. 6.1.b RGPD) |
| Facturation, comptabilité, obligations fiscales | Obligation légale (art. 6.1.c) |
| Sécurité, prévention de la fraude, journalisation, débogage, amélioration du Service | Intérêt légitime (art. 6.1.f) |
| Constitution d’événements et de pages d’information à partir d’annonces publiques | Intérêt légitime de Signaux Entreprises et de ses abonnés à disposer d’informations publiques sur les sociétés (art. 6.1.f) |
| Mesure d’audience sans cookie | Intérêt légitime (art. 6.1.f) |
| Répondre à une demande du formulaire de la bêta et vous recontacter à ce sujet | Votre consentement (art. 6.1.a), donné en cochant la case du formulaire ; vous pouvez le retirer à tout moment |
| Mesurer l’intérêt pour les fonctions à venir (réponses aux questions d’intérêt), préparer les futurs tarifs | Intérêt légitime (art. 6.1.f) : savoir quelles fonctions construire, sans prospection |
| Limiter les envois répétés du formulaire (empreinte de l’adresse IP) | Intérêt légitime (art. 6.1.f) : sécurité et lutte contre les abus |
Pendant la bêta, Signaux Entreprises n’envoie aucune prospection ni lettre d’information. Les e-mails sont des e-mails de service (lien de connexion, invitations, récapitulatifs d’événements que vous avez demandés, désactivation d’un webhook, avertissement avant suppression d’un compte inactif), plus les messages relatifs à la bêta (fin ou évolution, tarifs à venir, annoncés 30 jours à l’avance) adressés aux testeurs et aux personnes qui ont demandé à être recontactées.
4. Données publiques (BODACC, Sirene) : personnes morales uniquement
Le BODACC est une publication officielle de la DILA et Sirene un répertoire de l’Insee ; les deux sont réutilisables sous Licence Ouverte 2.0. Signaux Entreprises en tire des événements concernant des personnes morales (sociétés) et les livre avec : raison sociale, SIREN, forme juridique, capital, adresse du siège ou du fonds, code NAF, date, nature de l’événement, prix de cession et vendeur s’il est une société, et lien vers l’annonce. Pour limiter l’impact sur les personnes physiques :
- les entrepreneurs individuels sont exclus des événements, des pages et des livraisons, ainsi que les unités dont la diffusion est partielle dans Sirene (statut le plus récent pris en compte) ;
- aucun nom de dirigeant n’est livré ni affiché. Les noms de dirigeants ne figurent que dans l'enregistrement brut de l’annonce conservé pour l’analyse automatique ; cet enregistrement est supprimé au bout de 6 mois (les champs analysés qui ne contiennent pas de nom de personne restent) ;
- nous n’ajoutons ni e-mail ni téléphone, et nous ne constituons pas de profils de personnes physiques ;
- les annonces et événements sont conservés 3 ans, puis supprimés.
Les abonnés qui contactent ensuite une société sont responsables de leur démarche.
5. Pages publiques et droit d’opposition par SIREN
Signaux Entreprises publie des pages d’information agrégées (par département, secteur et commune) sur les événements d’entreprises, avec des exemples de sociétés. Ces pages ne concernent que des personnes morales et affichent la source (BODACC, DILA) et la date de mise à jour.
Toute société, ou toute personne qui estime qu’une information la concernant figure à tort, peut demander le retrait ou s’y opposer (art. 21 RGPD) par le formulaire Signaler (motif « opposition », avec le SIREN concerné) ou en écrivant à support@signaux-entreprises.fr ; nous répondons dans un délai d’un mois. Lorsque la demande est acceptée, le SIREN est inscrit sur une liste d’exclusion : il n’apparaît plus sur les pages publiques ni dans les livraisons, et ne le redevient pas lorsque l’annonce est de nouveau reçue du BODACC.
6. Destinataires et sous-traitants
Vos données ne sont ni vendues ni louées. Elles sont accessibles au personnel habilité de Signaux Entreprises et aux sous-traitants suivants, liés par un contrat conforme à l’article 28 du RGPD :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| OVHcloud (OVH SAS, Roubaix) | Hébergement des serveurs et sauvegarde automatique du serveur | France |
| Brevo | Envoi de courriels (lien de connexion, récapitulatifs d’événements) | Union européenne [à confirmer] |
| Stripe (à l’ouverture de la facturation) | Paiement par carte, abonnements, facturation | Union européenne, avec transferts possibles vers les États-Unis |
| GoatCounter | Mesure d’audience sans cookie, installée sur nos propres serveurs en France | France |
Une copie quotidienne chiffrée des sauvegardes est en outre conservée sur un serveur de l’éditeur situé en France (voir l’article 8 et la page Sécurité).
7. Transferts hors Union européenne
Notre hébergement est situé en France. Le principal transfert possible hors Union européenne concerne Stripe, qui indique être certifié au titre du cadre de protection des données UE–États-Unis (Data Privacy Framework) et avoir intégré les clauses contractuelles types de 2021 à son addendum de transferts de données. Nous ne procédons à aucun autre transfert hors Union européenne à ce jour [à confirmer pour chaque sous-traitant].
8. Durées de conservation
| Donnée | Durée |
|---|---|
| Compte actif | Pendant la relation contractuelle |
| Compte inactif | Supprimé après 36 mois sans connexion, avec un e-mail d’avertissement à 35 mois ; jamais tant qu’un abonnement payant est en cours |
| Suppression du compte à votre demande | Immédiate, depuis la page « Compte » de votre espace (export de vos données possible avant) : segments, livraisons et paramètres sont effacés, l’abonnement est résilié |
| Livraisons (historique des envois par e-mail, CSV et webhook) | 90 jours |
| Correspondances entre événements et segments | environ 13 mois (400 jours) |
| Enregistrement brut des annonces (peut contenir des noms de dirigeants) | 6 mois |
| Annonces et événements | 3 ans |
| Factures et données de facturation | 10 ans (art. L. 123-22 du code de commerce), chez notre prestataire de paiement et en comptabilité ; le client Stripe n’est pas supprimé avec le compte |
| Acceptation des conditions (version, date, adresse IP) | Durée du compte |
| Journal d’audit (connexions, actions sensibles) | 12 mois |
| Journaux d’accès du serveur web | 30 jours au plus |
| Journaux applicatifs | 30 jours au plus |
| Mesure d’audience | 24 mois au plus |
Demandes de contact de la bêta (formulaire /beta) et réponses aux questions d’intérêt |
24 mois après la demande ou la réponse, puis suppression automatique ; suppression immédiate sur simple demande |
| Cache d’identité des entreprises (Sirene) | Supprimé après 2 ans lorsqu’aucun événement ne le référence |
| Liste d’exclusion (SIREN, motif, dates) | Tant que l’opposition doit être respectée |
| Sauvegardes | 3 jours sur le serveur d’hébergement ; 30 jours pour la copie chiffrée conservée sur un serveur de l’éditeur en France |
| Jetons de connexion, sessions, invitations | Supprimés au plus tard 30 jours après leur expiration (jetons : 1 jour) |
Effacements et sauvegardes. La suppression d’un compte ou d’une donnée (y compris par expiration des durées ci-dessus) n’est pas répercutée dans les sauvegardes déjà faites : elles ne sont pas modifiées, elles expirent d’elles-mêmes, et les données effacées en disparaissent au plus tard 30 jours après. En cas de restauration d’une sauvegarde, les effacements intervenus depuis sont rejoués.
9. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Si vous êtes une personne concernée par un traitement effectué par un abonné à partir des événements (par exemple après un enrichissement par un outil tiers), adressez-vous en priorité à cet abonné ; nous transmettrons toute demande reçue.
Pour exercer vos droits : support@signaux-entreprises.fr. Vous pouvez aussi saisir la CNIL : Commission nationale de l’informatique et des libertés, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr/fr/adresser-une-plainte (s’ouvre dans un nouvel onglet).
10. Cookies et mesure d’audience
Nous utilisons uniquement des cookies strictement nécessaires (session et protection CSRF : __Host-session et __Host-csrf, 30 jours au plus). Nous n’utilisons aucun cookie publicitaire ni de suivi. La mesure d’audience, réalisée par GoatCounter, outil de mesure d’audience sans cookie, installé sur nos propres serveurs en France, n’utilise ni cookie ni identifiant persistant et vise à rester dans les conditions d’exemption de consentement définies par la CNIL (finalité limitée aux statistiques anonymes, pas de recoupement avec d’autres traitements ; données conservées 24 mois au plus) : voir cnil.fr (s’ouvre dans un nouvel onglet). Détails sur la page Cookies.
11. Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles adaptées au risque, décrites sur la page Sécurité.
12. Violation de données
En cas de violation de données susceptible d’engendrer un risque pour les personnes, nous notifions la CNIL dans les 72 heures après en avoir pris connaissance (art. 33 RGPD) et informons sans retard injustifié les abonnés concernés, ainsi que les personnes lorsque le risque est élevé.
13. Modifications
Nous pouvons mettre à jour cette politique. La date de mise à jour figure en tête de page ; en cas de changement important, nous informons les abonnés par courriel.