1. Champ d’application

La présente politique décrit la manière dont l’éditeur de Copilote Sécurité (le « Service ») traite les données personnelles. Elle complète l’article 8 des conditions générales d’utilisation et s’applique aux Clients, à leurs Utilisateurs, et aux personnes dont les données sont saisies dans l’application — au premier rang desquelles vos salariés.

2. Deux rôles, à ne pas confondre

Le règlement (UE) 2016/679 distingue celui qui décide d’un traitement et celui qui l’exécute pour son compte. Dans notre relation, les deux rôles se répartissent ainsi :

Vous, le Client, êtes responsable de traitement pour toutes les données saisies dans l’application : vous déterminez les finalités et les moyens, vous choisissez ce que vous y mettez et qui y accède.
L’éditeur est sous-traitant pour ces mêmes données : il ne les traite que pour fournir le Service, conformément à vos instructions documentées, et ne les exploite jamais pour son propre compte.
L’éditeur est responsable de traitement pour le site et pour la relation commerciale : création de compte, facturation, messages que vous nous adressez.

En tant que responsable de traitement, vous garantissez disposer d’une base légale pour la collecte, informer vos salariés du traitement et recueillir les consentements éventuellement requis.

Identité du sous-traitant : Chrysalides Consulting, 1312 chemin Royale, quartier Gondeau, 97232 Le Lamentin (Martinique). Interlocuteur données personnelles : Flavie Erbeïa, gérante, à l’adresse contact@copilote-securite.fr.

3. Données traitées

Données de compte : nom, adresse e-mail, rôle, identifiants de connexion des utilisateurs de votre organisation.
Données métier : unités de travail, évaluation et cotation des risques, plan d’action, salariés rattachés à leurs formations et habilitations, équipements et vérifications réglementaires, échéances, documents déposés.
Données de facturation : coordonnées de l’organisation, historique des abonnements et des factures. Les données de votre moyen de paiement ne transitent pas par l’application : elles sont saisies chez le prestataire de paiement.
Données techniques : données de connexion et historique des modifications, nécessaires à la sécurité et au bon fonctionnement du Service.
Copilote IA : les questions posées au Copilote IA et ses réponses. À chaque question, et seulement à l’initiative d’un utilisateur, la question, le contexte nécessaire et les données consultées pour y répondre sont transmis au prestataire qui traite la demande (voir la liste des sous-traitants ci-dessous).

4. Finalités et bases légales

Finalité	Base légale
Fournir le Service et faire fonctionner l’application	Exécution du contrat
Gérer les comptes, les rôles et les invitations des utilisateurs	Exécution du contrat
Envoyer les e-mails de service : alertes d’échéance, résumé quotidien, relances de formation, factures	Exécution du contrat
Répondre aux questions posées au Copilote IA, à l’initiative de l’utilisateur	Exécution du contrat
Assurer la sécurité, détecter les incidents et répondre à vos demandes d’assistance	Intérêt légitime de l’éditeur
Vous informer des nouveautés et des évolutions du Service	Consentement, retirable à tout moment
Conserver les factures et respecter les obligations comptables et fiscales	Obligation légale

5. Durées de conservation

Donnée	Durée	Précision
Compte et accès des utilisateurs	Pendant la durée du contrat	Supprimé à la clôture du compte, après la période d’export prévue aux conditions de vente (article 22).
Versions approuvées du document unique	Pendant le contrat, puis douze mois après sa fin	Verrouillées après approbation et conservées avec une empreinte d’intégrité. L’obligation de conserver chaque version pendant 40 ans reste celle de l’employeur (art. L.4121-3-1 du Code du travail) : gardez vos exports.
Formations, habilitations, équipements et vérifications	Pendant le contrat, puis douze mois après sa fin	L’historique reste exportable à tout moment (PDF, CSV, Excel) ; vous en conservez votre propre copie.
Données de connexion et historique des modifications	Durée limitée, proportionnée à la sécurité du Service	Utilisés pour la sécurité, le diagnostic des incidents et l’historique des modifications (qui a modifié quoi, et quand), jamais à des fins commerciales.
Factures et pièces comptables	10 ans	Durée légale de conservation des documents comptables (art. L.123-22 du Code de commerce).
Messages adressés à l’équipe	Durée de l’échange, puis de la relation commerciale	Vous demandez leur suppression à tout moment à l’adresse de contact.

À la fin du contrat, vos données restent consultables en lecture seule pendant douze mois, pour que vous puissiez les exporter ; elles sont ensuite supprimées, après un préavis par e-mail, sous réserve des durées légales rappelées ci-dessus (article 22 des conditions générales de vente). La fin de l’essai de quatorze jours n’est pas une fin de conservation : votre compte passe en lecture seule, rien n’est supprimé.

6. Droits des personnes concernées

Toute personne dont les données sont traitées dispose des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de ses données après son décès.

Pour les données saisies dans l’application, ces droits s’exercent auprès du Client, responsable de traitement — vos salariés s’adressent à vous, leur employeur. L’éditeur apporte son assistance raisonnable et répond dans les délais prévus par le contrat de sous-traitance.

Pour les données dont l’éditeur est responsable — compte, facturation, messages, site — toute demande s’adresse à contact@copilote-securite.fr. En cas de difficulté, une réclamation peut être introduite auprès de la Commission nationale de l’informatique et des libertés (CNIL).

7. Sécurité

L’éditeur met en œuvre des mesures techniques et organisationnelles appropriées : le chiffrement des échanges avec l’application, le cloisonnement des données de chaque société, des accès selon les rôles que vous définissez, la double authentification proposée à chaque utilisateur, l’historique des modifications (qui a modifié quoi, et quand), des sauvegardes quotidiennes et une empreinte d’intégrité sur les documents approuvés. Ces mesures constituent une obligation de moyens : conservez vos propres exports des documents importants.

8. Sous-traitants ultérieurs

Pour fournir le Service, l’éditeur a recours aux prestataires ci-dessous, liés par des obligations de protection des données équivalentes aux siennes (art. 28 du règlement (UE) 2016/679).

Prestataire	Finalité	Lieu de traitement
IONOS SE	Hébergement de l’application et de la base de données	Allemagne
Google Cloud (Google Cloud Storage)	Stockage des fichiers (document unique, attestations, rapports de vérification) et des sauvegardes	Communiqué sur demande
Stripe	Encaissement des abonnements	Union européenne et États-Unis
Resend	Envoi des e-mails de service et des alertes d’échéance	États-Unis
SignWell	Signature électronique de la consultation du CSE	États-Unis
Rapidos SRL	Développement, maintenance, exploitation et suivi des erreurs de l’application	Belgique et Allemagne
Anthropic	Traitement des demandes adressées au Copilote IA	États-Unis

9. Transferts vers des pays tiers

Lorsqu’un prestataire traite des données dans un pays tiers au sens du règlement (UE) 2016/679, ce transfert est encadré par les garanties prévues à son chapitre V : décision d’adéquation ou clauses contractuelles types. La colonne « Lieu de traitement » du tableau ci-dessus indique où chaque prestataire traite les données ; le détail des garanties est communiqué sur demande.

10. Accord de traitement des données

L’accord de traitement des données personnelles qui encadre les traitements réalisés par l’éditeur pour votre compte figure en annexe 1 des conditions générales de vente. Il reprend les obligations de l’article 28 du règlement : instructions documentées, confidentialité, sécurité, assistance, sous-traitance ultérieure, sort des données en fin de contrat, audits.

11. Le site copilote-securite.fr

Le site public ne demande pas de compte. Ce qui est déposé dans votre navigateur — et ce qui ne l’est pas — est décrit sans détour dans notre politique cookies : à ce jour, aucun outil de mesure d’audience n’y est installé.

Si vous nous écrivez, votre adresse e-mail et votre message sont traités pour vous répondre et pour suivre notre échange. Vous en demandez la suppression quand vous le souhaitez.

12. Modification de la présente politique

La présente politique évolue avec le Service et avec la réglementation. La version en vigueur est identifiée par sa date et son numéro de version, affichés en tête de page. Un changement affectant vos droits ou la liste des sous-traitants vous est signalé.

13. Nous écrire

Pour toute question relative à la présente politique ou à vos données : Flavie Erbeïa, gérante, à l’adresse contact@copilote-securite.fr.