Politique de confidentialité

1. Responsable du traitement et délégué à la protection des données

Le responsable du traitement est l'association RootLab, 22 rue des Goélands, 35580 Guignen, SIREN 988 899 274.

RootLab a désigné un délégué à la protection des données (DPO) auprès de la CNIL (désignation n° DPO-167399) : Pierre-Louis Lestriez, joignable à dpsi@rootlab.fr ou par courrier à RootLab DPSI, 486 rue Hyacinthe Lenne, 59283 Raimbeaucourt, France.

2. Données collectées

• Identité et contact : nom, prénom, société, adresse postale, e-mail, téléphone ;
• Compte : identifiants (mot de passe stocké sous forme hachée), identifiant du compte RootLab en cas de connexion unique, préférences, historique de connexion ;
• Commandes et facturation : services commandés, factures, historique et références des paiements (les données bancaires complètes sont traitées par nos prestataires de paiement, jamais par nous) ;
• Support : contenu des tickets, e-mails, enregistrements d'échanges écrits ;
• Données techniques : adresse IP, date et heure de connexion, journaux d'utilisation et de sécurité des services, adresses IP attribuées à vos serveurs, données de trafic téléphonique ;
• Noms de domaine : coordonnées du titulaire et des contacts transmises aux registres.

Les champs signalés comme obligatoires lors de l'inscription ou de la commande sont nécessaires à la conclusion du contrat et au respect de nos obligations légales ; sans eux, nous ne pouvons pas fournir le service. Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard.

3. Finalités et bases légales

4. Destinataires

Vos données sont accessibles aux seuls membres habilités de RootLab, tenus à la confidentialité, et, dans la limite de leurs missions, aux destinataires suivants :

• Prestataires de paiement : Stripe et PayPal, pour les paiements en ligne (ils agissent en partie comme responsables de traitement, notamment pour la lutte contre la fraude) ; notre banque pour les virements ;
• Noms de domaine : notre bureau d'enregistrement partenaire et les registres des extensions choisies (Afnic pour le .fr…), qui peuvent publier certaines données dans l'annuaire Whois/RDAP selon leurs règles ;
• Connexion unique : Microsoft ou Google, uniquement si vous choisissez de vous connecter avec ces comptes ;
• Protection anti-robots : Google Ireland Limited (service reCAPTCHA v3), qui reçoit votre adresse IP et des informations techniques sur votre navigateur et vos interactions lorsque vous utilisez un formulaire de l'espace client (voir la politique cookies) ;
• Stockage des sauvegardes : Microsoft (service OneDrive de Microsoft 365, compte de l'association), qui conserve une copie hors site des sauvegardes de nos serveurs, y compris celui de l'espace client. Ces copies sont chiffrées sur nos serveurs avant leur envoi, et Microsoft n'a pas accès à leur contenu ;
• Téléphonie : notre opérateur partenaire ComMeeTT et Orange (voir la section 9) ;
• Autorités : autorités administratives ou judiciaires, sur réquisition légale.

Vos données ne sont jamais vendues ni louées.

5. Hébergement et transferts hors de l'Union européenne

L'espace client, ses bases de données et les services FranceHost sont hébergés en France, sur l'infrastructure de RootLab. La copie chiffrée des sauvegardes est stockée chez Microsoft, dans l'Union européenne (compte Microsoft 365 de l'association rattaché à l'Union européenne). Certains destinataires sont situés ou peuvent traiter des données hors de l'Union européenne, notamment notre partenaire de bureau d'enregistrement situé aux États-Unis (pour l'enregistrement des noms de domaine), Stripe et PayPal (pour certaines opérations), Microsoft et Google (connexion unique facultative), Google (service anti-robots reCAPTCHA). Ces transferts reposent, selon le cas, sur la décision d'adéquation de la Commission européenne pour les entreprises certifiées au Data Privacy Framework UE-États-Unis, sur des clauses contractuelles types de la Commission, ou sur leur nécessité pour l'exécution du contrat que vous avez demandé (article 49 du RGPD). Vous pouvez obtenir une copie des garanties applicables auprès du DPO.

6. Durées de conservation

• Données du compte et des contrats : pendant la relation contractuelle, puis 5 ans (prescription civile, article 2224 du Code civil) en archive intermédiaire ; les contrats conclus par voie électronique d'un montant égal ou supérieur à 120 € sont conservés 10 ans à compter de leur conclusion, et vous pouvez y accéder sur demande (articles L213-1 et D213-2 du Code de la consommation) ;
• Prospection : 3 ans à compter du dernier contact de votre part ;
• Factures et pièces comptables : 10 ans (article L123-22 du Code de commerce) ;
• Données d'identification des créateurs de contenus hébergés (décret n° 2021-1362) : identité civile 5 ans à compter de la fin du contrat ou de la clôture du compte ; autres informations fournies à l'inscription et informations relatives au paiement 1 an à compter de la fin du contrat ou de la clôture du compte ; données techniques de connexion (adresses IP…) 1 an à compter de chaque connexion ;
• Données de trafic téléphonique : 1 an (article R10-13 du Code des postes et des communications électroniques), sauf contestation de facture ;
• Tickets de support : 3 ans après leur clôture ;
• Signalements et décisions de modération : 3 ans ;
• Sauvegardes de nos serveurs (y compris leur copie chiffrée hors site) : environ 7 jours, puis remplacées automatiquement ;
• Données hébergées sur vos services : supprimées à la fin du contrat (voir l'article 14 des CGV).

7. Sécurité

Nous appliquons des mesures techniques et organisationnelles adaptées : chiffrement des échanges (HTTPS), mots de passe hachés, authentification à deux facteurs disponible, isolement réseau des serveurs clients, contrôle et journalisation des accès, sauvegardes et mises à jour régulières. En cas de violation de données présentant un risque pour vos droits, nous la notifions à la CNIL dans les 72 heures et, si le risque est élevé, nous vous en informons.

8. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition (notamment à la prospection, sans motif) et de portabilité de vos données, du droit de retirer votre consentement à tout moment sans remettre en cause les traitements antérieurs, et du droit de définir des directives relatives au sort de vos données après votre décès. La plupart de vos informations sont modifiables directement dans votre espace client.

Pour exercer vos droits : dpsi@rootlab.fr ou par courrier au DPO. Une preuve d'identité peut être demandée en cas de doute raisonnable. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes, dont vous êtes alors informé. Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 (cnil.fr/plaintes).

Démarchage téléphonique. Si vous ne souhaitez pas faire l'objet de prospection commerciale par téléphone, vous pouvez gratuitement vous inscrire sur la liste d'opposition au démarchage téléphonique Bloctel (bloctel.gouv.fr), conformément à l'article L223-2 du Code de la consommation.

9. Téléphonie

Pour le standard téléphonique et les forfaits mobiles, RootLab est opérateur et traite en outre les données suivantes :

• Identité de l'abonné (nom, prénom, date et lieu de naissance, adresse, ou dénomination et SIREN) : exigée de tout opérateur, conservée pendant le contrat puis 5 ans après sa fin ;
• Adresse déclarée de chaque ligne fixe : transmise aux services d'urgence lors d'un appel d'urgence ;
• Données de trafic (numéros appelés et appelants, date, heure, durée) : utilisées pour la facturation et la sécurité, conservées 1 an, et au-delà dans les cas où la loi l'impose pour répondre aux réquisitions des autorités ;
• Messages vocaux et annonces du standard : conservés tant que vous ne les supprimez pas et jusqu'à la fin du contrat ;
• Justificatif de profil tarifaire (association, étudiant) : consulté puis supprimé sous 30 jours ; seule la mention de sa vérification est conservée.

Destinataires propres à la téléphonie : notre opérateur partenaire ComMeeTT, sous-traitant, qui exploite la plateforme téléphonique dans ses centres de données et, pour la redondance, chez un hébergeur tiers ; Orange, pour les lignes mobiles et la portabilité des numéros ; les services d'urgence ; les autorités, sur réquisition légale.

Vos numéros ne figurent dans les annuaires universels que si vous le demandez. Une violation de données personnelles liée au service de téléphonie est notifiée à la CNIL dans les 24 heures de sa découverte, conformément aux règles applicables aux opérateurs, et vous en êtes informé si elle risque de porter atteinte à vos données ou à votre vie privée.

10. Données hébergées par nos clients

Pour les données personnelles que vous stockez sur vos services, vous êtes responsable de traitement et FranceHost agit comme sous-traitant, dans les conditions prévues à l'article 20 des CGV, qui tiennent lieu de contrat de sous-traitance au sens de l'article 28 du RGPD.

11. Mineurs

Les services payants sont réservés aux personnes majeures. Nous ne collectons pas sciemment de données concernant des enfants de moins de 15 ans sans l'accord de leur représentant légal ; si vous pensez qu'un mineur nous a transmis des données, contactez le DPO pour les faire supprimer.

12. Modifications

Nous pouvons mettre à jour cette politique pour refléter l'évolution de nos services ou de la réglementation. La date de mise à jour figure en haut de la page ; en cas de changement important, les titulaires de compte sont informés par e-mail.