Données personnelles
Politique de confidentialité
Selon la donnée, nous ne portons pas le même chapeau : sous-traitant pour vos documents, responsable pour votre compte. Tout part de là.
Gabarit de travail
Ce document est un gabarit de travail, pas un document juridique validé, et doit être vérifié par un conseil juridique avant toute mise en ligne.
Version 1.0 — dernière mise à jour le 30 août 2026
Deux rôles à ne pas confondre
Selon la donnée dont on parle, Chartrium SAS n’a pas le même statut au regard du RGPD. C’est la distinction la plus importante de ce document, et celle que la plupart des politiques de confidentialité passent sous silence.
- Sous-traitant — art. 28 RGPD
- Pour les documents que vous déposez et les données personnelles qu’ils contiennent. Nous les traitons uniquement sur votre instruction, pour vous fournir le service. Vous en restez le responsable de traitement : c’est vous qui définissez les finalités, les durées et les droits d’accès. Un accord de sous-traitance est signé à l’ouverture du compte.
- Responsable de traitement — art. 4-7 RGPD
- Pour les données de votre compte : identité des utilisateurs, facturation, échanges avec le support, journaux techniques. C’est nous qui décidons pourquoi et combien de temps, et c’est de cette partie que traite la suite de cette page.
Host-blind : pas encore démontré. Aujourd’hui, nous ne pouvons pas vous garantir que nos équipes n’ont aucun moyen technique de lire vos documents. Notre rôle ne se limite donc pas, aujourd’hui, à stocker des fichiers chiffrés. Voyez la page sécurité pour le détail de ce que nous voyons à chaque niveau.
Ce que nous traitons, et pourquoi
En tant que responsable de traitement, et pour les seules données de compte :
| Traitement | Données · base légale · durée |
|---|---|
| Création et gestion du compte | Nom, adresse professionnelle de courriel, fonction, organisation, mot de passe haché. Base légale : exécution du contrat. Durée : le temps du contrat, puis quatre-vingt-dix jours. |
| Facturation et comptabilité | Raison sociale, adresse de facturation, numéro de TVA, historique des factures. Base légale : obligation légale. Durée : dix ans, article L.123-22 du code de commerce. |
| Assistance | Contenu de vos messages, pièces que vous joignez volontairement. Base légale : exécution du contrat. Durée : trois ans après le dernier échange. |
| Sécurité et journalisation | Adresse IP de connexion, horodatage, agent utilisateur, événements d’authentification. Base légale : intérêt légitime — détecter les accès frauduleux. Durée : douze mois. |
| Mesure d’audience du site | Pages consultées, page d’origine, résolution d’écran. Aucun identifiant persistant, aucune adresse IP conservée. Base légale : intérêt légitime, dans les conditions d’exemption de consentement de la CNIL. Durée : treize mois, agrégé au-delà. |
| Information sur le service | Adresse de courriel des administrateurs, pour les seuls messages d’exploitation : incidents, changements de conditions, fin d’essai. Base légale : exécution du contrat. Durée : le temps du contrat. |
Ce que nous ne faisons pas : aucune prospection commerciale automatisée, aucun profilage, aucune décision automatisée produisant des effets juridiques, aucune revente ni location de fichier, aucun enrichissement auprès de courtiers en données. Vos documents ne servent pas à entraîner de modèle.
Le détail de chaque traitement, y compris ceux du site (messages, demandes de démonstration, liste d’attente), figure dans le registre des traitements.
Qui reçoit ces données
En interne, l’accès est limité aux personnes dont la fonction l’exige : exploitation, support, comptabilité. Chaque accès à une donnée de compte est journalisé.
En externe, nous faisons appel à des sous-traitants ultérieurs — hébergement, envoi de courriels transactionnels, encaissement. Leur liste nominative, leur pays d’établissement et leur accès éventuel au contenu des documents figurent sur la page sous-traitants, tenue à jour.
Nous ne communiquons vos données à une autorité que sur réquisition régulière, et nous vous en informons sauf interdiction légale expresse.
Transferts hors de l’Union européenne
Les données de compte et les documents sont hébergés en France. Aucun transfert hors de l’Union européenne n’est effectué pour le service lui-même.
Un sous-traitant d’encaissement peut relever d’un groupe dont la maison mère est établie hors de l’Union. Le traitement reste réalisé dans l’Union, encadré par les clauses contractuelles types de la Commission. Le détail figure sur la page sous-traitants.
Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre décès.
Pour les exercer, écrivez à dpo@chartrium.fr ou par courrier au siège social. Nous répondons dans le mois ; ce délai peut être prolongé de deux mois si la demande est complexe, auquel cas nous vous en informons. Nous pouvons demander un justificatif d’identité en cas de doute raisonnable, et uniquement dans ce cas.
Si votre demande porte sur un document déposé par un cabinet client — par exemple si vous êtes le client d’un de nos clients — nous ne sommes pas votre interlocuteur : adressez-vous au cabinet, qui est le responsable de traitement. Nous n’avons souvent pas les moyens techniques d’accéder au document en question, et nous ne le ferions pas sans instruction de sa part.
Vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur le site de la CNIL.
Sécurité
Les mesures techniques et organisationnelles sont décrites en détail sur la page sécurité : chiffrement au repos et en transit, journal d’audit en ajout seul, accès de support soumis à votre autorisation, sauvegardes chiffrées et restauration testée.
En cas de violation de données susceptible d’engendrer un risque pour les personnes concernées, nous notifions la CNIL dans les soixante-douze heures et informons les clients touchés sans délai injustifié, avec la nature de la violation, ses conséquences probables et les mesures prises.
Cookies
Ce site ne dépose aucun cookie publicitaire ni aucun traceur de tiers. Le détail des cookies strictement nécessaires et de la mesure d’audience figure sur la page cookies.
Modifications
Cette politique peut évoluer. Toute modification substantielle est annoncée par courriel aux administrateurs des organisations clientes trente jours avant sa prise d’effet, et l’historique des versions est conservé. La date de dernière mise à jour figure en tête de page.
Pour toute question : dpo@chartrium.fr.