Politique de confidentialité
Cette politique explique quelles données personnelles BoardAct traite, pourquoi, combien de temps et avec quels prestataires. Elle répond aux articles 13 et 14 du règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.
1. Qui est responsable ?
Le responsable des traitements décrits ici est Yvan Dervillier, personne physique (contact dans les mentions légales), agissant pour le compte de la société BoardAct en cours de constitution. La société deviendra responsable de ces traitements une fois immatriculée et après reprise régulière des engagements pris pour son compte ; cette politique sera alors mise à jour avec ses informations. Contact pour toute question sur vos données : [email protected], objet « Données personnelles ». BoardAct n’a pas désigné de délégué à la protection des données, cette désignation n’étant pas obligatoire pour son activité.
2. Deux rôles différents
- BoardAct est responsable du traitement pour son site, le formulaire d’essai, la relation commerciale, les échanges par e-mail et la sécurité de sa plateforme. Cette politique couvre ces traitements.
- BoardAct est sous-traitant pour le contenu des Espaces hébergés (comptes des utilisateurs, registre des usages de l’IA, journal d’activité de l’Espace). C’est l’entreprise cliente qui décide de ce qui y est saisi et qui est responsable du traitement : adressez-vous d’abord à elle. Les engagements de BoardAct envers ses clients figurent dans l’accord de traitement des données.
- Le logiciel open source installé par un tiers sur sa propre infrastructure ne transmet aucune donnée à BoardAct.
3. Traitements, bases légales, durées
| Traitement | Données | Base légale (art. 6 RGPD) | Durée de conservation |
|---|---|---|---|
| Consultation du site | Adresse IP, navigateur, page demandée, date (journaux techniques de l’hébergeur) | Intérêt légitime : sécurité et bon fonctionnement du site | BoardAct n’exporte ni ne conserve ces journaux et n’en fait aucune statistique ; ils restent chez Cloudflare, qui les conserve pour la durée limitée prévue par sa propre politique de confidentialité |
| Demande d’essai gratuit | Entreprise, prénom, nom, e-mail professionnel, pays, taille de l’équipe, adresse souhaitée pour l’Espace, langue, acceptation des conditions et sa date, signaux techniques du contrôle anti-robot | Mesures précontractuelles prises à votre demande (article 6, paragraphe 1, point b du RGPD) | Demande confirmée : durée de l’essai, puis 3 ans après le dernier contact si aucun contrat n’est conclu. Demande non confirmée (adresse e-mail jamais validée) : jamais utilisée pour vous contacter ni pour la prospection, et supprimée au plus tard 12 mois après la demande |
| Nouvelles du produit (case facultative du formulaire) | Nom, e-mail professionnel | Consentement, retirable à tout moment (lien de désinscription ou e-mail) | Jusqu’au retrait du consentement, ou 3 ans sans interaction |
| Relation commerciale : devis, contrats, facturation, communications de service (incidents, maintenance) | Identité et coordonnées professionnelles des interlocuteurs, fonction, éléments de facturation | Intérêt légitime de BoardAct à exécuter et suivre la relation avec l’entreprise cliente dont vous êtes l’interlocuteur ; exécution du contrat lorsque vous y êtes vous-même partie ; obligation légale pour la facturation | Durée du contrat + 5 ans (prescription) ; pièces comptables : 10 ans (article L123-22 du Code de commerce) |
| Échanges par e-mail (contact, support, sécurité) | Adresse, nom, contenu du message et pièces jointes | Intérêt légitime : répondre aux demandes ; exécution du contrat pour le support | 3 ans après le dernier échange |
| Sécurité de la plateforme hébergée | Adresse IP (transmise par Cloudflare), horodatage, requêtes, erreurs, événements de sécurité | Intérêt légitime : protéger le service et les données des clients | 12 mois au plus, puis suppression. Le journal d’activité propre à chaque Espace n’en fait pas partie : il relève du contenu du Client, sous sa responsabilité, et suit les règles de restitution et de suppression du DPA |
| Signalement de vulnérabilités | Coordonnées du chercheur, contenu du signalement | Intérêt légitime : corriger les failles et créditer leur auteur s’il le souhaite | 3 ans après la clôture du signalement |
Formulaire d’essai. L’entreprise, le prénom, le nom, l’e-mail professionnel et l’acceptation des conditions sont nécessaires à la création de l’essai : sans eux, nous ne pouvons pas ouvrir l’Espace. Le pays, la taille de l’équipe, l’adresse souhaitée et l’inscription aux nouvelles du produit sont facultatifs.
Source des données. Les données sont collectées auprès de vous. Lorsque votre employeur, client de BoardAct, nous communique vos coordonnées comme interlocuteur du contrat (administrateur de l’Espace, signataire, contact de facturation), nous les recevons de cet employeur pour gérer le service, sur le fondement de notre intérêt légitime à exécuter et suivre la relation entre entreprises. Les catégories reçues sont l’identité, les coordonnées professionnelles et la fonction.
Aucune de ces données n’est vendue, utilisée pour de la publicité ciblée, ni soumise à une décision entièrement automatisée produisant des effets juridiques. Passé les durées indiquées, les données sont supprimées ou anonymisées, sauf si elles sont nécessaires à la constatation ou à la défense d’un droit en justice.
4. Cookies et traceurs
Le site boardact.com ne dépose aucun cookie et n’utilise aucun traceur ni outil de mesure d’audience. Le calculateur de la page d’accueil fonctionne entièrement dans votre navigateur.
Les e-mails transactionnels envoyés par Brevo (confirmation d’essai, informations de service) font l’objet d’une mesure anonyme par Brevo : les ouvertures et les clics sont comptés de façon globale, sans être rattachés à votre adresse ni à votre personne. Pour cela, les liens ordinaires passent par un domaine de redirection de Brevo et un pixel d’ouverture est inclus. Cette mesure sert uniquement à vérifier la bonne délivrance de nos e-mails (intérêt légitime, article 6, paragraphe 1, point f du RGPD) ; elle ne sert ni au profilage ni à la prospection. Les liens à usage unique (confirmation d’essai, création du compte administrateur) figurent en texte brut et ne sont pas réécrits. Pour bloquer cette mesure, désactivez l’affichage automatique des images dans votre messagerie.
Lorsque le formulaire d’essai est ouvert, il charge le contrôle anti-robot Cloudflare Turnstile, uniquement sur ce formulaire, pour le protéger contre les abus. Ce service analyse des signaux techniques du navigateur et n’est pas utilisé à des fins publicitaires. Il est strictement nécessaire au service que vous demandez.
Dans un Espace hébergé, l’application n’utilise que des cookies nécessaires à son fonctionnement : session de connexion, sécurité de la connexion, langue choisie et mode d’affichage. Aucun ne sert à la mesure d’audience ni à la publicité.
5. Destinataires et prestataires
Les données ne sont accessibles qu’aux personnes de BoardAct qui en ont besoin (aujourd’hui, son fondateur) et aux prestataires suivants, qui agissent sur instruction de BoardAct :
| Prestataire | Rôle | Lieu de traitement |
|---|---|---|
| Cloudflare, Inc. (États-Unis) | Hébergement du site (Cloudflare Pages), réseau de diffusion et proxy devant les Espaces, contrôle anti-robot Turnstile | Réseau mondial de centres de données, dont l’Union européenne |
| Google Cloud Platform (Google Cloud France, Paris) | Hébergement des Espaces et de l’outil interne de gestion des essais, sauvegardes | Région europe-west9 (Paris) ; sauvegardes dans l’Union européenne |
| Google Workspace (Google Cloud France, Paris) | Messagerie de boardact.com (contact@, support@, security@, billing@, essai@) | Centres de données de Google, dans et hors de l’Union européenne |
| Brevo SAS (Paris, France) | Envoi des e-mails transactionnels (confirmation d’essai, informations de service) depuis notify.boardact.com | Union européenne, selon les engagements de Brevo |
Les données peuvent aussi être communiquées à une autorité qui en fait la demande dans un cadre légal. La liste des sous-traitants qui traitent le contenu des Espaces figure dans le DPA.
6. Transferts hors de l’Union européenne
BoardAct héberge les Espaces et leurs sauvegardes dans l’Union européenne. Certains prestataires relèvent toutefois du droit des États-Unis ou peuvent traiter des données hors de l’Union :
- Cloudflare traite les requêtes dans le centre de données le plus proche de l’internaute, qui peut se situer hors de l’Union, et déchiffre puis rechiffre le trafic à cette occasion. Garanties : inscription de Cloudflare, Inc. au cadre de protection des données UE–États-Unis (Data Privacy Framework, décision d’adéquation du 10 juillet 2023) et clauses contractuelles types de la Commission européenne (décision 2021/914) incluses dans l’avenant de traitement des données de Cloudflare.
- Google (Cloud Platform et Workspace) : l’entité contractante, Google Cloud France, est établie dans l’Union et les données des Espaces sont stockées en région Paris ; la messagerie peut être traitée dans des centres de données hors de l’Union. Des transferts vers des sociétés affiliées de Google hors de l’Union (par exemple pour le support ou l’exploitation) restent possibles : les avenants de traitement des données de Google les encadrent par les clauses contractuelles types ou par le Data Privacy Framework, auquel Google LLC est inscrite.
Les transferts éventuels sont limités aux prestataires, pays et garanties figurant à l’annexe 3 du DPA, mise à jour avant tout changement. Ces sociétés, ou leurs maisons mères, restent soumises à des lois américaines qui peuvent permettre à des autorités d’y demander l’accès ; BoardAct le dit plutôt que de le taire. Vous pouvez obtenir les références des garanties applicables en écrivant à [email protected].
7. Sécurité
BoardAct met en œuvre des mesures techniques et organisationnelles adaptées au risque (article 32 du RGPD) : isolation de chaque Espace, chiffrement en transit, sauvegardes, accès d’administration restreints. Elles sont décrites sur la page sécurité et dans l’annexe 2 du DPA.
8. IA
BoardAct n’utilise pas vos données pour entraîner un modèle d’IA. Le contenu des Espaces clients n’est confié à aucun fournisseur d’IA. Des agents d’IA sont utilisés uniquement sur des espaces internes de BoardAct, jamais sur les Espaces des clients. Voir la charte IA.
9. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité et d’opposition (pour les traitements fondés sur l’intérêt légitime), ainsi que du droit de retirer votre consentement à tout moment et de définir des directives sur le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).
Pour les exercer, écrivez à [email protected]. BoardAct répond dans un délai d’un mois, prolongeable de deux mois pour une demande complexe, en vous en informant. Une pièce d’identité n’est demandée qu’en cas de doute raisonnable sur votre identité.
Si vos données figurent dans l’Espace de votre employeur ou d’un client de BoardAct, adressez-vous en priorité à cette entreprise ; BoardAct lui transmettra toute demande reçue directement.
Vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr/fr/plaintes.
10. Évolutions
Cette politique peut évoluer, notamment à l’immatriculation de la société ou à l’ajout d’un prestataire. La date de version figure en haut de page. Les clients sont informés des changements qui les concernent par e-mail.