Politique
RGPD

01

Responsable de traitement

02

Engagements de conformité

• Licéité — chaque traitement repose sur une base légale identifiée et documentée (article 4).
• Minimisation — les formulaires et les demandes d'information sont limités aux données nécessaires ; aucune donnée sensible n'est collectée.
• Limitation des finalités — les données recueillies pour un devis ne sont pas réutilisées à d'autres fins sans base légale nouvelle.
• Limitation de la conservation — chaque catégorie de donnée a une durée définie et une modalité de purge (article 5).
• Intégrité et confidentialité — mesures techniques et organisationnelles décrites à l'article 8.
• Transparence — information des personnes dès la collecte, via la politique de confidentialité et une mention sur le formulaire de devis.
• Responsabilité — tenue d'un registre des traitements (article 3), d'un registre des violations (article 9) et conservation de la preuve des consentements.
• Protection dès la conception — aucun compte utilisateur, aucun cookie ni traceur, base de données non exposée publiquement et limitée aux données du formulaire de devis ; suppression des fichiers clients dès qu'ils ne sont plus utiles.

03

Registre simplifié des traitements

IMPRIMATA tient le registre prévu à l'article 30 du RGPD. En voici la synthèse ; la version complète peut être communiquée sur demande motivée, notamment à un client professionnel dans le cadre de son propre audit.

04

Bases légales retenues

Pour les traitements fondés sur l'intérêt légitime, une mise en balance a été effectuée : les données traitées sont limitées, attendues par les personnes concernées dans un contexte professionnel, et un droit d'opposition inconditionnel est ouvert pour la prospection et les références.

05

Durées de conservation et purge

Une revue de purge est effectuée au moins une fois par an, à l'occasion de la clôture comptable : les dossiers échus sont supprimés et la suppression est consignée.

06

Sous-traitants et transferts hors UE

Les soumissions du formulaire de devis sont traitées et conservées directement par IMPRIMATA. Aucun transfert hors Union européenne n'est réalisé.

Tout nouveau sous-traitant fait l'objet d'une vérification préalable (localisation des données, engagements de sécurité, existence d'un accord de sous-traitance) et d'une mise à jour du présent document.

07

IMPRIMATA sous-traitant de ses clients

Lorsqu'un client — entreprise, CSE, association, collectivité — transmet à IMPRIMATA des données personnelles concernant ses propres salariés, adhérents, élèves ou clients (liste de prénoms à graver, noms à floquer, tailles de vêtements, fonctions), les rôles sont les suivants : le client est responsable de traitement, IMPRIMATA est sous-traitant au sens de l'article 28 du RGPD.

Dans ce cadre, IMPRIMATA s'engage à :

• traiter les données uniquement sur instruction documentée du client, pour l'exécution de la commande, et pour aucune autre finalité — aucune réutilisation commerciale, aucun enrichissement de fichier ;
• garantir la confidentialité : le traitement est assuré par le seul responsable de l'entreprise, aucune personne tierce n'y accède ;
• appliquer les mesures de sécurité décrites à l'article 8 ;
• ne recourir à aucun sous-traitant ultérieur sur ces données sans information préalable du client ;
• assister le client dans le respect de ses propres obligations : réponse aux demandes d'exercice de droits, notification d'une violation, fourniture des informations nécessaires à la démonstration de sa conformité ;
• supprimer les données ou les restituer au terme de la prestation, dans le délai indiqué à l'article 5, et confirmer cette suppression sur demande.

Le client, de son côté, garantit disposer d'une base légale pour la communication de ces données et avoir informé les personnes concernées. Un accord de sous-traitance distinct peut être signé sur demande ; à défaut, le présent article et les CGV en tiennent lieu.

08

Mesures de sécurité

Techniques

• Site servi en HTTPS uniquement, avec redirection automatique et certificat renouvelé automatiquement.
• Base de données non exposée publiquement, aucune interface d'administration publique, surface d'attaque réduite.
• Postes de travail chiffrés au repos, verrouillage automatique, système et logiciels maintenus à jour.
• Mots de passe forts et uniques gérés dans un coffre-fort, authentification à deux facteurs activée sur les services qui la proposent.
• Sauvegardes régulières des données de facturation et des dossiers projets, contrôlées périodiquement.

Organisationnelles

• Accès aux données limité au seul responsable de traitement ; aucun salarié, aucun accès partagé.
• Cloisonnement des dossiers par client et par projet, suppression à l'échéance.
• Vérification de la localisation et des engagements de chaque prestataire avant mise en service.
• Consigne de ne pas transmettre de données sensibles ni de pièces d'identité par formulaire ou par courriel.
• Documents et supports papier éventuels conservés hors de portée de tiers et détruits après numérisation.

09

Violations de données

Toute violation de sécurité entraînant la destruction, la perte, l'altération ou la divulgation non autorisée de données personnelles fait l'objet de la procédure suivante :

1. Confinement immédiat : coupure de l'accès concerné, changement des identifiants, restauration depuis sauvegarde si nécessaire.
2. Qualification : nature de la violation, catégories et volume approximatif de personnes et d'enregistrements concernés, conséquences probables.
3. Notification à la CNIL dans les 72 heures suivant la prise de connaissance, sauf si la violation est peu susceptible d'engendrer un risque pour les droits et libertés des personnes (article 33 du RGPD).
4. Information des personnes concernées dans les meilleurs délais lorsque le risque est élevé (article 34), avec description de l'incident, de ses conséquences et des mesures prises.
5. Information du client donneur d'ordre sans délai injustifié lorsque la violation porte sur des données traitées en qualité de sous-traitant (article 7).
6. Consignation de l'incident dans le registre des violations, avec les mesures correctrices adoptées.

10

Exercice des droits : procédure

Les personnes concernées disposent des droits d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, de retrait du consentement et de définition de directives post-mortem. Ils s'exercent auprès de contact@imprimata.fr ou par courrier à l'adresse de l'article 1.

Les demandes sont traitées gratuitement. Une demande manifestement infondée ou excessive, notamment par son caractère répétitif, peut donner lieu à un refus motivé. Lorsque la demande porte sur des données traitées pour le compte d'un client (article 7), elle est transmise sans délai à ce client, seul responsable d'y répondre, et IMPRIMATA lui apporte son assistance.

Limite d'effacement : les données figurant sur des factures et pièces comptables ne peuvent être supprimées avant l'expiration du délai légal de 10 ans ; elles sont alors archivées avec accès restreint et ne sont plus utilisées à des fins commerciales.

11

Cookies et traceurs

Le site www.imprimata.fr n'utilise aucun cookie ni traceur, publicitaire ou de mesure d'audience. Aucun consentement n'est donc requis pour la navigation sur le site.

12

Analyses d'impact et absence de DPO

Analyse d'impact (AIPD). Les traitements mis en œuvre ne figurent pas sur la liste des traitements soumis à analyse d'impact publiée par la CNIL : ils ne comportent ni suivi systématique à grande échelle, ni données sensibles, ni profilage, ni décision automatisée produisant des effets juridiques. Aucune AIPD n'est donc requise en l'état. Cette appréciation est réexaminée à chaque évolution significative de l'activité ou des outils employés.

Délégué à la protection des données. Aucun DPO n'est désigné : IMPRIMATA n'est pas un organisme public, son activité de base ne consiste pas en un suivi régulier et systématique à grande échelle, et elle ne traite pas de données sensibles à grande échelle (article 37 du RGPD). Les missions correspondantes sont assurées directement par le responsable de traitement, joignable à contact@imprimata.fr.

13

Contact et réclamation

Toute question relative à la protection des données peut être adressée à contact@imprimata.fr.

Si la réponse apportée ne vous satisfait pas, vous pouvez saisir la Commission nationale de l'informatique et des libertés : CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

Documents liés : politique de confidentialité · conditions générales de vente · mentions légales.