1. En résumé
Le site ne comporte aucun formulaire : vous nous contactez quand vous le décidez, par courriel ou par téléphone. Nous ne vendons aucune donnée, ne faisons aucun profilage publicitaire, et hébergeons les données de nos clients dans l'Union européenne.
Cette politique décrit qui traite vos données, lesquelles, pourquoi, combien de temps, avec qui elles sont partagées et quels droits vous pouvez exercer. Elle est établie conformément aux articles 12 à 14 du Règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée.
2. Responsable du traitement
| Responsable | Roland Tirel, exploitant la marque Ornia |
|---|---|
| Forme juridique et immatriculation | [forme juridique + n° SIREN] |
| Adresse | [adresse professionnelle complète] |
| Contact « données personnelles » | contact@ornia.fr |
| Délégué à la protection des données | Non désigné — la désignation d'un DPO n'est pas obligatoire au regard de l'activité (art. 37 RGPD). Les demandes sont traitées directement par Roland Tirel. |
3. Deux rôles à ne pas confondre
Selon le contexte, Ornia n'intervient pas au même titre. La distinction est importante, car elle détermine à qui vous devez vous adresser.
| Situation | Rôle d'Ornia | Ce que cela signifie |
|---|---|---|
| Vous visitez le site, vous nous écrivez, vous devenez client | Responsable de traitement | Nous décidons des finalités et des moyens. Cette politique s'applique intégralement. |
| Vous êtes le client (salarié, fournisseur ou client) d'une entreprise qui utilise une application Ornia | Sous-traitant (art. 28 RGPD) | Nous n'agissons que sur instruction de cette entreprise, qui reste responsable de traitement. Adressez-lui vos demandes : elle nous les transmettra. Voir l'article Traitements réalisés pour le compte de nos clients. |
4. Données traitées, finalités et bases légales
| Traitement | Données | Base légale | Conservation |
|---|---|---|---|
| Demande de contact courriel ou téléphone à votre initiative |
Nom, coordonnées, entreprise, contenu de votre message | Mesures précontractuelles à votre demande (art. 6.1.b) | 3 ans à compter du dernier échange, si la relation ne se concrétise pas |
| Gestion de la relation client | Identité et coordonnées du contact, données de facturation, échanges liés au projet | Exécution du contrat (art. 6.1.b) | Durée du contrat, puis 5 ans (prescription commerciale, art. L110-4 C. com.) |
| Obligations comptables et fiscales | Devis, factures, pièces justificatives | Obligation légale (art. 6.1.c) | 10 ans (art. L123-22 C. com.) |
| Preuve du consentement aux cookies | Choix exprimé et date, stockés dans votre navigateur | Obligation légale (art. 7.1 RGPD) | 6 mois |
| Mesure d'audience du site | Pages consultées, données techniques agrégées | Consentement (art. 6.1.a) — désactivée par défaut | 25 mois maximum, si activée |
| Sécurité et journalisation | Journaux techniques du serveur, adresse IP | Intérêt légitime : garantir la sécurité et la disponibilité (art. 6.1.f) | 12 mois maximum |
Le prototype de démonstration ne fait l'objet d'aucune collecte : il fonctionne entièrement dans votre navigateur et ne transmet rien.
Aucune donnée n'est nécessaire pour consulter le site. Les données que vous nous transmettez spontanément par courriel sont celles que vous choisissez de nous communiquer.
5. Destinataires et sous-traitants
Vos données ne sont ni vendues, ni louées, ni échangées. Elles sont accessibles à Roland Tirel et, dans la stricte mesure nécessaire, aux prestataires techniques suivants :
| Prestataire | Rôle | Localisation des données |
|---|---|---|
| [hébergeur — ex. OVH SAS (France)] | Hébergement du site et des applications | Union européenne |
| [fournisseur de messagerie utilisé pour l'activité] | Messagerie professionnelle | [localisation — à préciser] |
| [expert-comptable, ou « sans objet »] | Comptabilité et obligations fiscales | France |
Ces prestataires agissent en qualité de sous-traitants, sur la base d'un contrat conforme à l'article 28 du RGPD. Vos données peuvent également être communiquées aux autorités administratives ou judiciaires lorsque la loi l'impose.
6. Ressources externes et transferts hors UE
Par honnêteté technique : afficher une page du site déclenche des requêtes vers des réseaux de diffusion de contenu, qui reçoivent de ce seul fait votre adresse IP et les données d'en-tête de votre navigateur.
| Service | Fournisseur | Donnée reçue | Cookie déposé |
|---|---|---|---|
| Polices Sora et Inter | Google Ireland Ltd. | Adresse IP, en-têtes | Non |
| Bibliothèques d'animation | Cloudflare Inc. (cdnjs) | Adresse IP, en-têtes | Non |
| Bibliothèque de défilement | jsDelivr | Adresse IP, en-têtes | Non |
Ces fournisseurs peuvent traiter des données en dehors de l'Union européenne. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, pour les fournisseurs américains concernés, par le EU-U.S. Data Privacy Framework.
Ces requêtes sont techniquement nécessaires à l'affichage et ne relèvent pas du régime du consentement aux traceurs. Si vous souhaitez les éviter, un bloqueur de requêtes tierces suffit : le site reste lisible et fonctionnel.
7. Sécurité
Les mesures suivantes sont mises en œuvre, conformément à l'article 32 du RGPD :
- Chiffrement des échanges (TLS) et des données au repos.
- Authentification individuelle, mots de passe stockés sous forme de condensats, double facteur disponible sur les applications livrées.
- Cloisonnement : une base et une instance distinctes par client, sans mutualisation des données.
- Droits d'accès par rôle, selon le principe du moindre privilège.
- Journal d'audit horodaté des actions sensibles.
- Sauvegardes quotidiennes chiffrées, conservées dans l'Union européenne, avec test de restauration trimestriel.
En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, la CNIL sera notifiée dans les 72 heures et les personnes concernées informées dans les meilleurs délais (art. 33 et 34 RGPD).
8. Vos droits
Vous disposez, dans les conditions prévues par le RGPD, des droits suivants :
- Accès — obtenir la confirmation que des données vous concernant sont traitées et en recevoir copie (art. 15).
- Rectification — faire corriger des données inexactes ou incomplètes (art. 16).
- Effacement — demander la suppression, sous réserve des obligations légales de conservation (art. 17).
- Limitation du traitement (art. 18).
- Portabilité — recevoir vos données dans un format structuré et lisible par machine (art. 20).
- Opposition — vous opposer à un traitement fondé sur l'intérêt légitime (art. 21).
- Retrait du consentement à tout moment, sans que cela remette en cause la licéité du traitement antérieur (art. 7.3).
- Directives post mortem — définir le sort de vos données après votre décès (art. 85 de la loi de 1978).
Comment les exercer
Adressez votre demande à contact@ornia.fr. Une réponse vous sera apportée dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe, avec information préalable. Un justificatif d'identité pourra être demandé en cas de doute raisonnable sur l'identité du demandeur, et uniquement dans ce cas.
Si la réponse ne vous satisfait pas, vous pouvez saisir la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
9. Traitements réalisés pour le compte de nos clients
Lorsqu'Ornia héberge et maintient une application pour une entreprise cliente, cette entreprise est responsable de traitement et Ornia agit comme sous-traitant au sens de l'article 28 du RGPD. Dans ce cadre :
- Un accord de sous-traitance (DPA) est annexé au contrat.
- Ornia ne traite les données que sur instruction documentée du client.
- Aucune donnée client n'est utilisée à des fins propres, revendue, mutualisée entre clients, ni utilisée pour entraîner un quelconque modèle.
- Le client est informé préalablement de tout recours à un sous-traitant ultérieur et peut s'y opposer.
- Ornia assiste le client dans la réponse aux demandes d'exercice de droits et dans la notification des violations de données.
- Au terme du contrat, les données sont restituées puis supprimées selon les modalités de réversibilité prévues aux Conditions générales.
Si vous êtes concerné par une application exploitée par une entreprise cliente, adressez vos demandes directement à cette entreprise : c'est elle qui décide des finalités et qui répond de ses traitements. Ornia lui apportera son concours.
10. Mineurs
Le site et les services d'Ornia s'adressent exclusivement à des professionnels. Aucune donnée n'est sciemment collectée auprès de mineurs. Si une telle collecte devait être constatée, les données seraient supprimées sans délai sur simple signalement.
11. Modification de la présente politique
Cette politique peut être mise à jour pour tenir compte d'évolutions légales, techniques ou organisationnelles. La date de dernière mise à jour figure en tête de page. En cas de modification substantielle affectant un traitement fondé sur votre consentement, celui-ci vous sera redemandé.