Politique de confidentialité et protection des données personnelles

Préambule

La présente Politique de confidentialité a pour objet d'informer les utilisateurs du site internet www.fatoom.fr et de l'application mobile « Fatoom » (ci-après dénommés ensemble « le Service ») sur les modalités de collecte, de traitement, d'utilisation et de protection de leurs données personnelles, conformément au Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après « RGPD »), ainsi qu'à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa version modifiée (ci-après « Loi Informatique et Libertés »).

Vincent CAHART, responsable du traitement des données personnelles collectées via le Service, s'engage à respecter la réglementation en vigueur en matière de protection des données personnelles et à garantir un niveau de protection élevé des données de ses utilisateurs.

En utilisant le Service, l'utilisateur reconnaît avoir pris connaissance de la présente Politique de confidentialité et accepte que ses données personnelles soient collectées et traitées dans les conditions décrites ci-après.

Article 1 - Identité du responsable du traitement

Le responsable du traitement des données personnelles collectées via le Service est :

Pour toute question relative à la protection de vos données personnelles ou pour exercer vos droits, vous pouvez contacter le responsable du traitement à l'adresse électronique ci-dessus.

Article 2 - Catégories de données personnelles collectées

Dans le cadre de l'utilisation du Service, Vincent CAHART est amené à collecter et traiter différentes catégories de données personnelles concernant les utilisateurs. Les données collectées sont strictement nécessaires et proportionnées aux finalités poursuivies.

2.1. Données d'identification et de contact

• Nom et prénom
• Adresse électronique
• Date de naissance
• Lieu de naissance (facultatif, mais recommandé pour la fonctionnalité d'envoi post-mortem)

2.2. Données d'authentification et de sécurité

• Identifiant unique de compte (UID Firebase)
• Mot de passe (stocké sous forme hachée et chiffrée, jamais en clair)
• Données de session et tokens d'authentification
• Date et heure de création du compte
• Date et heure de dernière connexion

2.3. Documents d'identité (traitement facultatif)

Dans le cadre du processus de vérification d'identité (facultatif), les données suivantes peuvent être collectées et traitées par le prestataire tiers Stripe Identity :

• Copie numérique d'un document d'identité officiel (carte nationale d'identité, passeport, permis de conduire)
• Photographie en temps réel (« selfie ») capturée lors du processus de vérification
• Métadonnées associées à la vérification d'identité (résultat de la vérification, date, etc.)

Ces données sont traitées par Stripe Identity conformément à sa propre politique de confidentialité. Fatoom ne conserve que les métadonnées de vérification (statut de vérification, date) et ne stocke pas les documents d'identité ou les photographies sur ses propres serveurs.

2.4. Contenus téléversés (Fichiers)

Les utilisateurs peuvent téléverser sur le Service des contenus numériques de leur choix, notamment :

• Photographies
• Vidéos
• Documents (PDF, fichiers texte, etc.)
• Métadonnées associées aux fichiers (nom, taille, type MIME, date de téléversement)

Ces contenus sont susceptibles de contenir des données personnelles, y compris des données sensibles au sens de l'article 9 du RGPD (données révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, données génétiques, biométriques, concernant la santé ou la vie sexuelle). L'utilisateur reconnaît et accepte la responsabilité du contenu des fichiers qu'il téléverse et garantit détenir les autorisations nécessaires pour leur traitement.

2.5. Données relatives aux Destinataires

Si l'utilisateur configure la fonctionnalité d'envoi post-mortem, les données suivantes concernant les Destinataires désignés sont collectées :

• Adresse électronique des Destinataires
• Nom ou identifiant des Destinataires (facultatif)

2.6. Données de connexion et d'utilisation

• Adresse IP
• Type et version du navigateur internet
• Système d'exploitation
• Pages consultées et actions effectuées sur le Service
• Date et heure de connexion
• Identifiant de l'appareil (Firebase Analytics)
• Logs d'erreurs et événements techniques (Firebase Crashlytics)

2.7. Données de paiement

Les données de paiement (numéro de carte bancaire, date d'expiration, cryptogramme visuel) sont collectées et traitées exclusivement par le prestataire de services de paiement Stripe. Ces données ne transitent pas par les serveurs de Fatoom et ne sont pas accessibles à Vincent CAHART.

Fatoom conserve uniquement les métadonnées de transaction (montant, date, statut de la transaction, identifiant de transaction Stripe) nécessaires à la gestion des abonnements et à la facturation.

2.8. Données relatives au statut vital

Afin d'assurer la fonctionnalité d'envoi post-mortem, Vincent CAHART consulte quotidiennement le Fichier des personnes décédées mis à disposition par l'INSEE sur le portail data.gouv.fr. Ce fichier contient les informations relatives à l'état civil des personnes décédées en France. Les données consultées sont le nom, le prénom, la date de naissance et le lieu de naissance des personnes décédées, qui sont comparées aux données fournies par les utilisateurs du Service.

Article 3 - Finalités du traitement et bases légales

Les données personnelles collectées via le Service sont traitées pour les finalités suivantes, chacune reposant sur une base légale conforme au RGPD :

3.1. Création et gestion du compte utilisateur

Finalité : Permettre à l'utilisateur de créer un compte sur le Service, de s'authentifier et d'accéder aux fonctionnalités du Service.

Base légale : Exécution du contrat (article 6.1.b du RGPD). Le traitement est nécessaire à l'exécution des Conditions Générales d'Utilisation auxquelles l'utilisateur a souscrit.

Données traitées : Nom, prénom, adresse électronique, mot de passe, UID Firebase, date de naissance, lieu de naissance (facultatif), dates de création et de dernière connexion.

3.2. Stockage sécurisé des fichiers

Finalité : Permettre à l'utilisateur de téléverser, stocker, consulter et supprimer des fichiers personnels sur une infrastructure cloud sécurisée.

Base légale : Exécution du contrat (article 6.1.b du RGPD). Le stockage de fichiers constitue la prestation principale du Service.

Données traitées : Fichiers téléversés par l'utilisateur (photos, vidéos, documents) et métadonnées associées.

3.3. Vérification d'identité

Finalité : Vérifier l'identité de l'utilisateur afin de renforcer la sécurité du Service et garantir l'exactitude des données nécessaires au mécanisme d'envoi post-mortem.

Base légale : Consentement explicite de l'utilisateur (article 6.1.a et article 9.2.a du RGPD). Le traitement de documents d'identité constitue un traitement de données sensibles (données biométriques) nécessitant le consentement explicite de l'utilisateur.

Données traitées : Copie du document d'identité, photographie en temps réel, métadonnées de vérification.

3.4. Envoi post-mortem

Finalité : Permettre la transmission automatique des fichiers de l'utilisateur aux Destinataires préalablement désignés en cas de décès de l'utilisateur, conformément aux directives exprimées par l'utilisateur.

Base légale : Exécution d'une fonctionnalité demandée par l'utilisateur (article 6.1.b du RGPD) et respect des directives relatives au sort des données après le décès (article 85 de la Loi Informatique et Libertés).

Données traitées : Nom, prénom, date de naissance, lieu de naissance, fichiers de l'utilisateur, adresses électroniques des Destinataires, données issues du Fichier des personnes décédées INSEE.

3.5. Vérification quotidienne du statut vital

Finalité : Vérifier quotidiennement le statut vital de l'utilisateur en consultant le Fichier des personnes décédées mis à disposition par l'INSEE afin de déclencher automatiquement l'envoi post-mortem en cas de décès.

Base légale : Intérêt légitime de Vincent CAHART (article 6.1.f du RGPD). La vérification du statut vital est nécessaire pour assurer le fonctionnement de la fonctionnalité d'envoi post-mortem demandée par l'utilisateur et ne porte pas atteinte de manière disproportionnée aux droits et libertés de l'utilisateur.

Données traitées : Nom, prénom, date de naissance, lieu de naissance (comparés aux données du Fichier INSEE).

3.6. Gestion des paiements et facturation

Finalité : Traiter les paiements, gérer les abonnements et émettre les factures.

Base légale : Exécution du contrat (article 6.1.b du RGPD) et obligation légale (article 6.1.c du RGPD) pour la conservation des données de facturation conformément aux obligations comptables et fiscales.

Données traitées : Adresse électronique, métadonnées de transaction Stripe.

3.7. Sécurisation du Service et prévention des abus

Finalité : Assurer la sécurité technique du Service, détecter et prévenir les abus, les fraudes et les intrusions, et garantir la continuité du Service.

Base légale : Intérêt légitime de Vincent CAHART (article 6.1.f du RGPD). La sécurisation du Service et la prévention des abus constituent un intérêt légitime poursuivi par Vincent CAHART dans l'intérêt de tous les utilisateurs.

Données traitées : Adresse IP, logs de connexion, données de session, identifiant de l'appareil, logs d'erreurs.

3.8. Amélioration du Service et statistiques

Finalité : Analyser l'utilisation du Service, établir des statistiques d'audience et améliorer les fonctionnalités du Service.

Base légale : Intérêt légitime de Vincent CAHART (article 6.1.f du RGPD) ou consentement de l'utilisateur (article 6.1.a du RGPD) pour les cookies non strictement nécessaires.

Données traitées : Données de connexion et d'utilisation, identifiant de l'appareil, pages consultées, actions effectuées.

Article 4 - Destinataires des données personnelles

Les données personnelles collectées via le Service sont destinées à Vincent CAHART en sa qualité de responsable du traitement, ainsi qu'à ses sous-traitants et prestataires de services techniques, dans la stricte limite de ce qui est nécessaire à l'exécution de leurs prestations.

4.1. Sous-traitants au sens du RGPD

Vincent CAHART fait appel aux sous-traitants suivants, qui traitent des données personnelles pour le compte de Fatoom conformément aux instructions documentées de Vincent CAHART :

4.2. Destinataires des envois post-mortem

Si l'utilisateur a configuré la fonctionnalité d'envoi post-mortem, les fichiers de l'utilisateur seront transmis aux Destinataires désignés par l'utilisateur en cas de détection de son décès dans le Fichier des personnes décédées INSEE. Cette transmission intervient conformément aux directives exprimées par l'utilisateur.

L'utilisateur reconnaît et accepte que les Destinataires désignés auront accès à l'intégralité des fichiers qu'il a stockés sur le Service, y compris aux données personnelles et données sensibles éventuellement contenues dans ces fichiers.

4.3. Autorités publiques

Vincent CAHART peut être amené à communiquer des données personnelles à des autorités publiques (autorités judiciaires, administratives, fiscales) lorsqu'une telle communication est imposée par une obligation légale ou réglementaire, ou lorsqu'elle est nécessaire pour défendre les droits et intérêts de Vincent CAHART dans le cadre d'une procédure judiciaire.

Article 5 - Durée de conservation des données personnelles

Les données personnelles sont conservées par Vincent CAHART pendant des durées n'excédant pas celles nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux principes de minimisation des données et de limitation de la conservation prévus par le RGPD.

Article 6 - Sécurité des données personnelles

Vincent CAHART s'engage à mettre en œuvre toutes les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Ces mesures visent à protéger les données personnelles contre la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé, de manière accidentelle ou illicite.

6.1. Mesures techniques de sécurité

• Chiffrement des données : Toutes les données personnelles sont chiffrées en transit au moyen du protocole TLS 1.2 ou supérieur, et au repos au moyen d'un chiffrement AES-256, conformément aux standards de l'industrie.
• Authentification sécurisée : L'authentification des utilisateurs est assurée par Firebase Authentication. Les mots de passe sont stockés sous forme hachée et chiffrée et ne sont jamais conservés en clair.
• Contrôle d'accès : L'accès aux données est strictement limité au moyen de Firebase Security Rules qui garantissent que chaque utilisateur ne peut accéder qu'à ses propres données.
• Protection contre les abus : Firebase App Check est activé afin de prévenir les accès non autorisés et les abus provenant de sources non authentifiées.
• Journalisation : Toutes les opérations critiques (connexion, téléversement de fichiers, modification de compte, accès aux données) sont journalisées à des fins de traçabilité et de détection des incidents de sécurité.
• Sauvegarde et redondance : Les données sont sauvegardées de manière redondante sur plusieurs centres de données situés dans l'Union européenne, conformément aux mécanismes de résilience de Google Cloud Platform.

6.2. Mesures organisationnelles de sécurité

• Sensibilisation : Vincent CAHART est formé aux principes de protection des données personnelles et aux bonnes pratiques de sécurité.
• Gestion des incidents : Un processus de gestion des incidents de sécurité est en place afin de détecter, analyser et répondre rapidement à toute violation de données personnelles.
• Audits et surveillance : La sécurité du Service fait l'objet d'une surveillance continue au moyen d'outils automatisés (Firebase Crashlytics, Cloud Monitoring) permettant de détecter les anomalies et les incidents de sécurité.

6.3. Notification des violations de données

En cas de violation de données personnelles susceptible d'engendrer un risque élevé pour les droits et libertés des utilisateurs, Vincent CAHART s'engage à notifier cette violation à la CNIL dans un délai maximum de 72 heures après en avoir pris connaissance, conformément à l'article 33 du RGPD. Les utilisateurs concernés seront également informés sans délai indu lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, conformément à l'article 34 du RGPD.

Article 7 - Droits des personnes concernées

Conformément au RGPD et à la Loi Informatique et Libertés, les utilisateurs disposent des droits suivants concernant leurs données personnelles :

7.9. Modalités d'exercice des droits

Les droits mentionnés ci-dessus peuvent être exercés à tout moment en adressant une demande à Vincent CAHART par courrier électronique à l'adresse suivante : contact@fatoom.fr

La demande doit être accompagnée d'une copie d'un titre d'identité signé (carte nationale d'identité, passeport, permis de conduire) afin de permettre à Vincent CAHART de vérifier l'identité du demandeur. Vincent CAHART s'engage à répondre à toute demande dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires en cas de demande complexe ou en cas de nombre élevé de demandes. Dans ce cas, l'utilisateur en sera informé dans un délai d'un mois à compter de la réception de la demande.

L'exercice de ces droits est gratuit. Toutefois, en cas de demandes manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, Vincent CAHART peut exiger le paiement de frais raisonnables tenant compte des coûts administratifs supportés ou refuser de donner suite à la demande, conformément à l'article 12.5 du RGPD.

7.10. Droit d'introduire une réclamation auprès de la CNIL

Si l'utilisateur estime que le traitement de ses données personnelles par Vincent CAHART constitue une violation du RGPD, il dispose du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), autorité de contrôle compétente en France :

Article 8 - Cookies et technologies similaires

Le Service Fatoom utilise des cookies et technologies similaires (ci-après collectivement dénommés « cookies ») pour assurer le bon fonctionnement du Service, améliorer l'expérience utilisateur et réaliser des statistiques d'audience.

8.1. Qu'est-ce qu'un cookie ?

Un cookie est un petit fichier texte déposé sur le terminal de l'utilisateur (ordinateur, smartphone, tablette) lors de la consultation du site ou de l'utilisation de l'application. Les cookies permettent de reconnaître le terminal de l'utilisateur lors de ses visites ultérieures et de mémoriser certaines informations relatives à sa navigation.

8.2. Types de cookies utilisés

8.3. Gestion des cookies

L'utilisateur peut à tout moment choisir d'accepter ou de refuser les cookies (à l'exception des cookies strictement nécessaires) en configurant les paramètres de son navigateur ou de l'application. L'utilisateur peut également supprimer les cookies déjà déposés sur son terminal.

Pour gérer les cookies, l'utilisateur peut se référer aux rubriques d'aide de son navigateur :

• Google Chrome
• Mozilla Firefox
• Safari (macOS et iOS)
• Microsoft Edge

Attention : la désactivation de certains cookies peut affecter le bon fonctionnement du Service et limiter l'accès à certaines fonctionnalités.

Article 9 - Modifications de la Politique de confidentialité

Vincent CAHART se réserve le droit de modifier à tout moment la présente Politique de confidentialité afin de la mettre en conformité avec les évolutions légales et réglementaires, les recommandations des autorités de contrôle, ou les évolutions du Service.

Toute modification substantielle de la Politique de confidentialité sera portée à la connaissance des utilisateurs par courrier électronique ou par un message affiché lors de leur prochaine connexion au Service, au moins 30 jours avant l'entrée en vigueur de la modification.

L'utilisateur est invité à consulter régulièrement la présente Politique de confidentialité afin de prendre connaissance des éventuelles modifications. La version en vigueur de la Politique de confidentialité est accessible en permanence sur le Service et indique la date de dernière mise à jour.

Article 10 - Contact et délégué à la protection des données

Pour toute question relative à la présente Politique de confidentialité, à la protection de vos données personnelles ou pour exercer vos droits, vous pouvez contacter Vincent CAHART, responsable du traitement :

Compte tenu de la taille de l'entreprise et du volume de données traitées, Vincent CAHART n'a pas désigné de délégué à la protection des données (DPO) conformément à l'article 37 du RGPD. Toutefois, Vincent CAHART assure personnellement les fonctions relatives à la protection des données personnelles et peut être contacté directement aux coordonnées ci-dessus.