Informations légales
Politique de confidentialité
Version du 13 octobre 2026 · réf. 2026-10-13
1. Qui est responsable de quoi
Pour les comptes, la facturation, le support, les apporteurs d'affaires et la liste d'attente, le responsable de traitement est l'éditeur de CIICIR : LE MEON, 22 rue Alexander Fleming, 31240 Saint-Jean, France (l'« Éditeur »). C'est l'objet de cette page.
Pour les données des salariés et collaborateurs qu'une entreprise cliente saisit dans l'application (identité, fonction, temps passé, rémunération, CV, diplômes, pièces), le responsable de traitement est l'entreprise cliente, employeur de ces personnes. L'Éditeur agit alors comme son sous-traitant, selon l'accord de sous-traitance. Si vous êtes salarié d'une entreprise cliente, adressez-vous d'abord à votre employeur ; si vous nous écrivez, nous lui transmettons votre demande sans délai et l'aidons à y répondre.
L'Éditeur n'a pas désigné de délégué à la protection des données au sens de l'article 37 du RGPD, qui ne l'y oblige pas. [À VALIDER : absence d'obligation de désignation, compte tenu du traitement de données de salariés pour le compte des clients.] Les demandes relatives aux données personnelles s'adressent à dpo@ciicir.fr, ou à contact@ciicir.fr.
2. Ce que nous traitons, pourquoi et combien de temps
| Finalité | Données | Base légale | Durée |
|---|---|---|---|
| Créer et gérer votre compte, vous authentifier, fournir le Service | Adresse électronique, nom, mot de passe (sous forme d'empreinte), identifiant du fournisseur d'identité le cas échéant, forfait, date et version des conditions acceptées | Exécution du contrat (art. 6.1.b du RGPD) | Durée du compte, puis quatre-vingt-dix jours après la fin du contrat ou la fermeture du compte |
| Envoyer les courriels de service (confirmation d’adresse, invitation, mot de passe oublié) | Adresse électronique, nom, contenu du message | Exécution du contrat (art. 6.1.b) | Le temps de l’envoi ; journal d’envoi chez le prestataire selon sa propre politique [À VALIDER : durée chez Resend] |
| Facturer, encaisser, tenir la comptabilité | Identité et adresse de facturation, forfait, factures, références de paiement (jamais le numéro de carte) | Obligation légale (art. 6.1.c) et exécution du contrat | Dix ans à compter de la clôture de l’exercice (art. L. 123-22 du code de commerce) |
| Répondre à vos demandes (support, questions, exercice de vos droits) | Adresse électronique, contenu des échanges | Intérêt légitime à répondre (art. 6.1.f) ; obligation légale pour les demandes RGPD | Trois ans après le dernier échange |
| Sécuriser le Service : limiter les tentatives abusives, diagnostiquer les incidents | Adresse IP, date et nature de la requête | Intérêt légitime à protéger le Service et ses clients (art. 6.1.f) | Une heure en mémoire pour la limitation des inscriptions ; journaux techniques au plus douze mois [À VALIDER : rotation des journaux du serveur à paramétrer] |
| Gérer le programme d’apporteurs d’affaires | Identité, coordonnées, cabinet, coordonnées bancaires (chiffrées), comptes apportés, commissions | Exécution du contrat d’apporteur (art. 6.1.b) ; obligation légale pour les pièces comptables | Durée de la relation, puis dix ans pour les pièces comptables |
| Vous prévenir de l’ouverture du Service (liste d’attente du site) | Adresse électronique, nom de l’entreprise si vous l’avez donné, date. Ni adresse IP, ni agent utilisateur | Consentement (art. 6.1.a), donné par l’envoi du formulaire | Jusqu’à l’ouverture annoncée, et au plus trente-six mois après l’inscription |
Les copies de sauvegarde, chiffrées, sont conservées vingt et un jours sur le serveur principal et quatorze jours sur le serveur de secours : une donnée supprimée en disparaît par rotation dans ce délai.
Aucune décision produisant des effets juridiques à votre égard n'est prise sur le seul fondement d'un traitement automatisé. L'assistante de rédaction propose des textes ; elle ne décide rien, et ne se prononce jamais sur l'éligibilité à un crédit d'impôt.
3. Qui reçoit les données
Les données ne sont ni vendues, ni louées, ni cédées. Elles sont accessibles aux seules personnes de l'équipe de l'Éditeur qui en ont besoin, et aux prestataires techniques ci-dessous, qui agissent sur instruction et sous contrat :
- OVH SAS (France (Gravelines)) : Hébergement de l'application, de la base de données et des fichiers déposés (serveur privé virtuel).
- Hetzner Online GmbH (Finlande (Helsinki)) : Stockage des copies de sauvegarde, chiffrées avant envoi, conservées quatorze jours.
- Anthropic (Anthropic Ireland Limited et Anthropic PBC) (États-Unis) : Modèle de langue qui fait fonctionner l'assistante de rédaction (Adèle).
- Resend, Inc. (États-Unis) : Envoi des courriels transactionnels (confirmation d’adresse, invitation, mot de passe oublié).
- Purelymail (États-Unis [À VALIDER]) : Boîte de réception des courriels adressés à contact@ciicir.fr (support, demandes RGPD).
- Stripe Payments Europe Ltd (Irlande, avec transferts vers les États-Unis) : Paiement en ligne des abonnements, lorsqu’il est activé.
Si vous vous connectez avec Google ou Microsoft, ce fournisseur nous transmet votre adresse, votre nom et un identifiant de compte ; il traite cette connexion sous sa propre responsabilité et selon sa propre politique. Lorsque l'entreprise cliente branche un connecteur (GitHub, GitLab, Jira), c'est elle qui choisit ce service et nous autorise à y lire ses traces. Pour pré-remplir la fiche d'une entreprise à partir de son numéro SIREN, l'application interroge l'API publique « Recherche d'entreprises » de l'État (données publiques du répertoire Sirene).
4. Transferts hors de l'Union européenne
L'hébergement principal est en France et les sauvegardes en Finlande. Certains prestataires sont établis aux États-Unis : le fournisseur du modèle de langue (Anthropic), le service d'envoi des courriels (Resend), la messagerie de réception (Purelymail) et, lorsqu'il est activé, le prestataire de paiement (Stripe). Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou par l'adhésion du prestataire au cadre de protection des données UE-États-Unis (Data Privacy Framework). Le détail, prestataire par prestataire, figure dans l'accord de sous-traitance, et une copie des garanties peut être obtenue sur demande. [À VALIDER : garanties de Purelymail.]
5. Vos droits, et comment les exercer
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (articles 15 à 21 du RGPD), du droit de retirer à tout moment un consentement donné, et du droit de définir des directives sur le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).
L'export et la suppression de votre compte se font vous-même, dans l'application : Administration, onglet « Mes données ».
- export : une archive ZIP téléchargée immédiatement, avec toutes les données de votre compte et des entreprises dont vous êtes propriétaire, dans un format ouvert (
donnees.json), et les fichiers déposés (CV, diplômes, preuves, illustrations). Pour une entreprise dont vous êtes seulement membre, vous recevez ce qu'elle détient sur vous, pas son dossier, qui appartient à son dirigeant ; - suppression : l'écran montre ce qui sera supprimé, puis demande l'adresse du compte et le mot de passe. Le compte, les entreprises dont vous êtes propriétaire et leurs fichiers sont effacés de la base de production immédiatement, puis disparaissent des sauvegardes par rotation dans les vingt et un jours. La suppression est refusée, avec l'explication, tant qu'une entreprise dont vous êtes propriétaire compte d'autres membres, ou qu'un abonnement payant est en cours. Les pièces comptables que la loi nous impose de garder (factures, commissions d'apporteur) sont conservées pour la durée légale, détachées de votre compte.
Pour les autres droits (rectification, limitation, opposition), ou si l'écran ne vous convient pas, écrivez à dpo@ciicir.fr (ou à contact@ciicir.fr), de préférence depuis l'adresse de votre compte. Si la demande ne vient pas de cette adresse, ou porte sur le dossier d'une entreprise, nous vérifions que vous êtes bien la personne concernée ou habilitée à agir pour l'entreprise, sans vous demander plus que nécessaire. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour une demande complexe, auquel cas nous vous prévenons dans le premier mois.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.
6. Cookies et stockage local
Le site ciicir.fr ne dépose aucun cookie et n'utilise ni mesure d'audience, ni traceur publicitaire, ni contenu tiers.
L'application n'utilise que ce qui est strictement nécessaire à son fonctionnement, exempté de consentement par l'article 82 de la loi Informatique et Libertés : le jeton de session conservé dans le stockage local du navigateur (valable vingt-quatre heures, effacé à la déconnexion), quelques préférences d'affichage dans ce même stockage (dernier dossier ouvert), et, lors d'une connexion par Google ou Microsoft, un cookie technique de quelques minutes qui protège cette connexion contre le détournement. Aucun cookie de mesure d'audience ni de publicité.
7. Sécurité
Connexions chiffrées (HTTPS), mots de passe conservés sous forme d'empreinte, jetons des connecteurs et coordonnées bancaires des apporteurs chiffrés en base, cloisonnement des données entre entreprises, sauvegardes chiffrées hors du serveur principal, accès d'administration restreints. Le détail figure dans l'accord de sous-traitance.
8. Modifications
Cette politique peut évoluer, notamment lorsqu'un prestataire change. La date de version figure en tête de page ; un changement significatif est notifié par courriel aux titulaires d'un compte.