Politique de Confidentialité

1. Responsable du traitement

Le responsable du traitement des données à caractère personnel collectées via l'Application NACarnet est Aurélien Le Rouillé, entreprise individuelle immatriculée sous le SIRET 108 242 637 00016, dont le siège est situé 61 rue de Lyon, 75012 Paris. Contact : support@nacarnet.fr.

Aucun Délégué à la Protection des Données (DPO) n'est désigné à ce jour, l'Éditeur n'atteignant pas les seuils rendant cette désignation obligatoire (art. 37 du RGPD). Cette situation sera réévaluée si l'effectif de l'Éditeur ou le volume de traitement de données venait à évoluer significativement.

2. Données collectées

Aucune donnée de santé humaine, ni aucune catégorie particulière de données au sens de l'article 9 du RGPD, n'est collectée. Les données de santé animale (état de santé d'un reptile) ne relèvent pas des catégories particulières de données au sens du RGPD, qui ne s'applique qu'aux personnes physiques.

3. Finalités et bases légales

4. Destinataires et sous-traitants

Les données sont accessibles à l'équipe de l'Éditeur (support, modération) selon un principe de moindre privilège technique (cloisonnement par utilisateur, imposé au niveau de la base de données). Les prestataires techniques suivants agissent en qualité de sous-traitants au sens de l'article 28 du RGPD :

Apple Inc. et Google LLC ne sont pas des sous-traitants au sens de l'article 28 : pour tout achat in-app, ils agissent en qualité de vendeur (merchant of record) et traitent les données de paiement sous leur propre responsabilité, régie par leurs politiques de confidentialité respectives.

Aucune donnée n'est vendue ni cédée à des tiers à des fins commerciales ou publicitaires. Conformément à l'article 28 du RGPD, l'Éditeur met en place un contrat de sous-traitance (Data Processing Agreement) avec chacun de ces prestataires — les adresses et la localisation ci-dessus proviennent des pages légales publiques de chaque prestataire (voir leurs sites respectifs).

5. Transferts hors Union européenne

La base de données principale est physiquement hébergée dans l'Union européenne (Supabase, région eu-west-3, Paris). Quatre prestataires (Resend, Sentry, Vercel, Cloudflare) sont des sociétés américaines susceptibles de traiter des données hors de l'UE (notamment les métadonnées d'envoi d'e-mail, les rapports de plantage, les journaux techniques du backoffice) ; Supabase Pte. Ltd. est par ailleurs une entité légale enregistrée à Singapour, ce qui peut impliquer un accès support depuis l'extérieur de l'UE même si le stockage lui-même reste en France. Dans tous les cas, ces transferts doivent être couverts par les clauses contractuelles types de la Commission européenne (chaque prestataire cité propose un Data Processing Agreement standard intégrant ce mécanisme) ou tout autre mécanisme reconnu par le RGPD. L'existence de ces DPA côté fournisseur est publique ; leur signature et leur activation effective sur le compte NACarnet font l'objet d'un suivi régulier par l'Éditeur.

6. Durée de conservation

Voir la Politique de conservation des données, qui détaille les durées applicables par catégorie de données.

7. Droits des personnes concernées

Conformément aux articles 15 à 21 du RGPD, tout utilisateur dispose des droits suivants sur ses données à caractère personnel :

• Droit d'accès : obtenir la confirmation que ses données sont traitées et en obtenir une copie ;
• Droit de rectification : faire corriger des données inexactes ou incomplètes ;
• Droit à l'effacement : demander la suppression de ses données, dans les conditions décrites à la Politique de suppression de compte ;
• Droit à la limitation du traitement ;
• Droit à la portabilité : recevoir ses données dans un format structuré, couramment utilisé et lisible par machine ;
• Droit d'opposition, notamment pour les traitements fondés sur l'intérêt légitime ;
• Droit de retirer son consentement à tout moment lorsque le traitement repose sur celui-ci (notifications push), sans effet rétroactif ;
• Droit de définir des directives relatives au sort de ses données après son décès (art. 85 de la loi Informatique et Libertés).

Ces droits s'exercent en écrivant à support@nacarnet.fr, ou directement depuis les paramètres de l'Application pour la suppression de compte. L'Éditeur répond dans un délai maximum d'un mois, éventuellement prolongé de deux mois pour les demandes complexes, avec information de l'utilisateur dans ce cas.

8. Réclamation auprès de la CNIL

Tout utilisateur estimant que le traitement de ses données ne respecte pas la réglementation applicable dispose du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — ou auprès de l'autorité de contrôle de son État membre de résidence.

9. Sécurité des données

Voir la Politique de sécurité, qui détaille les mesures techniques et organisationnelles mises en œuvre.