Confidentialité

Responsable

Ben Reinermann, entrepreneur individuel (« Ben Reinermann EI »), immatriculé au RNE. SIREN : 107 711 509 ; SIRET : 107 711 509 00011 ; APE : 62.01Z. Adresse : 19 Rue Saint Bernard, 59000 Lille, France. Email de contact et de support : [email protected]. Téléphone : 07 51 22 73 95 (+33 7 51 22 73 95). Support par email uniquement. Pour vos demandes relatives aux données personnelles : même email ou adresse postale.

Progression locale

La clé localStorage civiquestep:v1 contient la version, le niveau, la langue, la vitesse audio, les résultats par question, l’historique d’examens, l’utilisation de l’examen gratuit, le nombre de questions gratuites répondues le jour même, la session active, le dernier corrigé, les jours d’étude et l’état de la démonstration. Elle permet de reprendre progression et réglages ; base envisagée : intérêt légitime à permettre la reprise de la progression et des réglages sur ce navigateur, sous réserve de validation. Ces données restent dans le navigateur jusqu’à leur effacement ; « Effacer ma progression » remplace l’état par un état vide. Vous pouvez aussi utiliser les réglages du navigateur. Aucun délai automatique n’est implémenté.

Commande, accès et rétractation

L’email sert à l’accès et au contrat (exécution du contrat), à l’assistance (intérêt légitime) et aux obligations comptables (obligation légale). Aucune prospection commerciale n’est faite avec cet email. Destinataires : Ben Reinermann, seul habilité au sein de l’entreprise, et les prestataires ci-dessous. Les données de carte sont traitées par Stripe et ne sont pas reçues par le vendeur. Le code est raccordé mais non déployé ; les achats restent indisponibles tant que la configuration et les CGV validées sont absentes.

Prestataires et rôles

• Cloudflare, Inc. (États-Unis), sous-traitant : hébergement du site, exécution des fonctions serveur, base de données Cloudflare D1 (commandes, accords, sessions, déclarations de rétractation) et protection du réseau. Accord de traitement (DPA) · politique de confidentialité.
• Stripe Payments Europe, Ltd. (Irlande) : paiement via Stripe Checkout (email, données de paiement, données techniques et de lutte contre la fraude). Stripe agit comme sous-traitant pour l’exécution du paiement pour le compte du vendeur et, pour ses propres obligations d’établissement de paiement (notamment lutte contre la fraude et obligations légales), comme responsable de traitement distinct. Accord de traitement (DPA) · politique de confidentialité.
• Sendinblue SAS (Brevo) (France), sous-traitant : envoi des emails transactionnels (confirmation du contrat, liens de connexion, accusés de rétractation) ; données traitées : adresse du destinataire, contenu du message et journaux d’envoi. Conditions et accord de traitement · politique de confidentialité.

Transferts hors de l’Union européenne

Cloudflare, Inc. et Stripe, Inc. (société mère de Stripe Payments Europe) sont établies aux États-Unis ; des données peuvent y être transférées ou y être accessibles, notamment pour l’hébergement, la sécurité, l’assistance technique ou par l’intermédiaire de leurs sous-traitants ultérieurs. Ces transferts sont encadrés, selon les DPA de ces prestataires, par la décision d’adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis (Data Privacy Framework), pour les sociétés certifiées, et par les clauses contractuelles types adoptées par la Commission européenne (décision d’exécution (UE) 2021/914). Brevo est établie en France ; ses éventuels sous-traitants ultérieurs situés hors de l’Union sont encadrés par les garanties prévues dans son accord de traitement. Vous pouvez obtenir une copie des garanties applicables en écrivant à [email protected].

Durées de conservation

• Liens de connexion : valables 15 minutes, puis supprimés lors du nettoyage automatique suivant, effectué au moins une fois par jour.
• Session de connexion (cookie et empreinte en base) : 30 jours, puis suppression lors du nettoyage automatique suivant.
• Compteurs anti-abus (empreinte HMAC de l’adresse IP et nombre de demandes) : fenêtres de 10 minutes, supprimées lors du nettoyage automatique suivant.
• Commande non payée (paiement abandonné ou refusé) : 30 jours, pour permettre la confirmation d’un paiement différé, puis suppression automatique.
• Commande payée et accès au Pass (email, offre, dates, référence Stripe, montant) : pendant la durée d’accès (30 jours pour le Pass Essentiel, 6 mois pour le Pass Sérénité), puis archivage comme pièce justificative pendant 10 ans à compter de la clôture de l’exercice comptable (article L123-22 du Code de commerce), soit une suppression automatique 11 ans après la commande.
• Preuve du contrat et des deux accords prévus à l’article L221-28 13° du Code de la consommation (libellés acceptés, version et empreinte des CGV, copie des CGV, date et heure, empreinte HMAC de l’adresse IP) : conservée avec la commande payée, pendant la même durée ; cette durée couvre le délai de prescription de cinq ans (article 2224 du Code civil).
• Déclaration de rétractation et accusés : 5 ans à compter de la réception (article 2224 du Code civil), puis suppression automatique.
• Journal des événements de paiement reçus de Stripe (identifiant d’événement, référence de commande, empreinte du message) : 1 an, durée conforme à la recommandation de la CNIL sur la journalisation (six mois à un an).
• Échanges avec l’assistance et demandes relatives à vos droits : le temps de traiter la demande, puis au plus 3 ans après le dernier échange.
• Données conservées par Stripe et Brevo pour leurs propres obligations : selon leurs politiques respectives, liées ci-dessus.
• Progression locale : dans votre navigateur, jusqu’à son effacement (voir ci-dessus).

Le formulaire de rétractation demande le nom, l’email et l’identification du contrat. Après confirmation explicite, ces trois champs sont transmis au serveur ; sans eux, cette fonction ne peut pas traiter la déclaration. Vous pouvez utiliser une déclaration claire par un autre moyen, à [email protected] ou par courrier à Ben Reinermann EI, 19 Rue Saint Bernard, 59000 Lille, France.

Champs obligatoires, origine des données et décisions automatisées

Champs obligatoires : pour la commande, l’email et les deux accords ; sans eux, le contrat ne peut pas être conclu ni l’accès ouvert. Pour la connexion, l’email ; sans lui, aucun lien ne peut être envoyé. Pour la rétractation en ligne, le nom, l’email et l’identification du contrat ; vous pouvez aussi vous rétracter par toute autre déclaration claire. Origine : les données sont fournies directement par vous, à l’exception du statut et de la référence du paiement, transmis par Stripe, et de l’adresse IP de connexion, transmise par votre navigateur et conservée uniquement sous forme d’empreinte HMAC. Aucune décision produisant des effets juridiques ou vous affectant de manière significative n’est fondée exclusivement sur un traitement automatisé (article 22 du RGPD) : l’ouverture de l’accès après confirmation du paiement et la limitation des demandes répétées sont des opérations techniques d’exécution du service. Intérêts légitimes poursuivis : sécurité du service et prévention des abus (compteurs de demandes), preuve des accords et du contrat et défense de droits en justice, réponse aux demandes d’assistance.

Le parcours de commande traite l’email, la commande, les accords, la version et la copie des CGV et une empreinte de l’adresse IP pour la preuve des accords. Le stockage serveur utilise Cloudflare D1 ; les emails transactionnels sont envoyés par Brevo. Les durées de conservation sont indiquées ci-dessus.

La connexion utilise un lien à jeton valable 15 minutes et utilisable une seule fois, puis un cookie de session HttpOnly d’une durée de 30 jours (exécution du contrat).

Vos droits

Selon les conditions légales, vous disposez des droits d’accès, rectification, effacement, limitation, opposition, portabilité et de définir des directives relatives à vos données après décès. Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans remettre en cause la licéité du traitement antérieur. Contactez le responsable. Une réponse est donnée en principe sous un mois, délai pouvant être prolongé de deux mois dans les conditions légales, avec information. Vous pouvez saisir la CNIL.

Cookies et stockage local

CiviqueStep n’utilise ni cookie publicitaire, ni réseau social. Pour compter les visites, le site utilise Cloudflare Web Analytics, un outil de mesure d’audience sans cookie ni stockage sur votre appareil, qui ne suit pas les visiteurs d’un site à l’autre et ne produit que des statistiques agrégées (pages vues, pays, type d’appareil, performances) ; base : intérêt légitime à mesurer la fréquentation du site. En dehors de ce script de mesure (static.cloudflareinsights.com), la politique de sécurité du site n’autorise que les ressources de son propre domaine. Seuls deux stockages sont utilisés : le cookie de session civiquestep_session (HttpOnly, 30 jours), déposé uniquement après une connexion demandée par vous, et la clé locale civiquestep:v1 décrite ci-dessus, qui n’est jamais transmise au serveur. Ils sont strictement nécessaires au service que vous demandez (authentification, reprise de la progression, réglages et suivi de l’examen gratuit) et relèvent de l’exemption de consentement prévue à l’article 82 de la loi Informatique et Libertés ; c’est pourquoi aucun bandeau de consentement n’est affiché. La page de paiement est hébergée par Stripe (checkout.stripe.com), qui y applique sa propre politique. Toute intégration future d’un outil de mesure ou d’un service tiers sera précédée d’une mise à jour de cette page et, si nécessaire, d’une demande de consentement.