Politique RGPD

1. Engagement RGPD de Fidealis

Fidealis SAS conçoit ses services dans une logique « Privacy by Design » et « Privacy by Default » conformément à l'article 25 du RGPD. La protection des données personnelles est inscrite au cœur de notre architecture technique, juridique et organisationnelle depuis 2001 - bien avant l'entrée en vigueur du RGPD en mai 2018.

Notre approche se distingue par trois engagements concrets :

• Aucun service Cloud Act. Pas d'AWS, pas d'Azure, pas de Google Cloud. Notre infrastructure est intégralement européenne (OVHcloud, Outscale).
• Aucun transfert hors UE. Y compris pour les composants accessoires (logs, monitoring, e-mails transactionnels).
• Aucun cookie publicitaire. Aucun pixel de tracking tiers (Facebook, LinkedIn, Google Analytics).

2. Délégué à la Protection des Données (DPO)

3. Registre des activités de traitement

Conformément à l'article 30 du RGPD, Fidealis tient un registre des activités de traitement. Voici les principales activités, mises à disposition publique conformément à notre engagement de transparence :

4. Sous-traitants RGPD

Conformément à l'article 28 du RGPD, nous ne faisons appel qu'à des sous-traitants présentant des garanties suffisantes en matière de protection des données. Tous nos sous-traitants sont liés par un contrat de sous-traitance (DPA) conforme à l'article 28.3.

Aucun sous-traitant n'est situé hors de l'Union européenne. Aucun service relevant du Cloud Act américain n'est utilisé. Aucune dérogation, aucun mécanisme de transfert hors UE n'est nécessaire.

5. Exercice des droits des personnes concernées

Conformément aux articles 15 à 22 du RGPD, vous disposez de droits sur vos données personnelles. L'exercice de ces droits est gratuit et la réponse est apportée sous un mois maximum (prolongeable de deux mois en cas de demande complexe, avec information préalable).

5.1 Comment exercer vos droits

Trois canaux à votre disposition :

• Email : dpo@fidealis.com - canal recommandé pour réactivité
• Courrier postal : Fidealis SAS - DPO, 320 rue Saint-Honoré, 75001 Paris
• Espace client : formulaire dédié dans les paramètres de votre compte (accès direct depuis le dashboard)

Une justification d'identité peut vous être demandée pour vérifier la légitimité de la demande.

5.2 Limitation : conservation probatoire

Le droit à l'effacement (« droit à l'oubli ») peut être limité par les obligations légales de conservation : les preuves probatoires scellées sont conservées 10 ans minimum à compter de leur date d'émission, conformément aux délais de prescription civile et commerciale. Cette conservation prime sur le droit à l'effacement, conformément à l'article 17.3.b du RGPD.

6. Mesures de sécurité techniques et organisationnelles

Conformément à l'article 32 du RGPD, nous mettons en œuvre les mesures suivantes :

6.1 Mesures techniques

• Chiffrement at-rest AES-256-GCM, in-transit TLS 1.3 minimum
• Authentification renforcée : bcrypt + sel, MFA disponible, SSO SAML 2.0
• Cloisonnement strict des environnements (production, recette, développement)
• Journalisation et supervision des accès (SIEM)
• Tests d'intrusion annuels par société externe agréée ANSSI
• Plan de continuité (PCA) et de reprise (PRA) testés trimestriellement

6.2 Mesures organisationnelles

• Politique de sécurité de l'information (PSSI) approuvée par la Direction
• Charte informatique signée par tous les collaborateurs
• Formation RGPD obligatoire pour tous les collaborateurs (annuelle)
• Habilitations des accès selon le principe du moindre privilège
• Procédure de notification de violation de données sous 72 heures (art. 33)
• Audits annuels SOC2 Type II et ISO 27001 (cadrage Enterprise)

7. Contrat de sous-traitance (DPA) pour les Clients

Pour les Clients agissant en tant que responsables de traitement et utilisant le service ConstApp comme sous-traitant au sens de l'article 28 RGPD (par exemple : compagnies d'assurance, foncières, cabinets de gestion locative qui collectent des données via ConstApp pour leurs propres clients), Fidealis met à disposition un contrat de sous-traitance dédié (« DPA » - Data Processing Agreement).

8. Notification de violation de données

Conformément à l'article 33 du RGPD, en cas de violation de données personnelles susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, Fidealis :

• Notifie la CNIL sous 72 heures à compter de la prise de connaissance
• Communique aux personnes concernées dans les meilleurs délais lorsque le risque est élevé (art. 34)
• Documente l'incident dans un registre interne, avec mesures correctrices
• Pour les Clients liés par un DPA : notification simultanée du Client en sa qualité de responsable de traitement

9. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits Informatique et Libertés ne sont pas respectés, vous pouvez adresser une réclamation à la Commission Nationale de l'Informatique et des Libertés (CNIL) :