Politique de confidentialité

La présente politique de confidentialité a pour objet d'informer les utilisateurs du site et des services IndemniData (ci-après « le Service ») sur la manière dont leurs données à caractère personnel sont collectées, utilisées, conservées et protégées, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi n°78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés ».

Le responsable de traitement est Indemnidata, Société par Actions Simplifiée (SAS) au capital de 1 000 €, immatriculée sous le n° SIRET 107 091 068 00018 (RCS Paris), dont le siège social est situé 78 avenue des Champs-Élysées, 75008 Paris. Pour toute question relative à vos données personnelles, vous pouvez contacter notre délégué à la protection des données à l'adresse dpo@indemnidata.io ou rgpd@indemnidata.io.

Dans le cadre de l'utilisation du Service, IndemniData est susceptible de collecter les catégories de données suivantes, selon les fonctionnalités utilisées : formulaire de contact (identité, coordonnées, message) ; création de compte (identifiants, mot de passe chiffré) ; paiement (données de facturation, à l'exclusion de toute donnée bancaire complète qui est traitée directement par notre prestataire de paiement) ; génération de dossier de demande d'indemnisation (identité, coordonnées, description des circonstances de la violation de données, pièces justificatives déposées).

Les données de santé et les pièces d'identité constituent des catégories particulières ou sensibles au sens de l'article 9 du RGPD. Elles ne sont collectées que lorsque cela est strictement nécessaire à la constitution, à l'exercice ou à la défense de vos droits en vue d'une demande d'indemnisation (article 9.2.f du RGPD), et font l'objet de mesures de protection renforcées décrites à l'article 5.

Chaque traitement repose sur une base légale déterminée : la constitution et la gestion de votre dossier de demande d'indemnisation reposent sur l'exécution du contrat qui vous lie à IndemniData (article 6.1.b du RGPD) ; l'envoi de la newsletter et l'établissement de statistiques de fréquentation reposent sur votre consentement (article 6.1.a), que vous pouvez retirer à tout moment ; le respect de nos obligations comptables et fiscales repose sur une obligation légale (article 6.1.c du RGPD) ; la lutte contre la fraude et la sécurisation de la Plateforme reposent sur l'intérêt légitime d'IndemniData (article 6.1.f du RGPD).

Vos données peuvent être transmises, dans la stricte limite du nécessaire, aux catégories de destinataires suivantes : nos équipes internes habilitées, nos hébergeurs et prestataires techniques, notre prestataire de paiement, ainsi que, le cas échéant, un avocat partenaire dans le cadre de la constitution de votre dossier.

IndemniData fait appel aux sous-traitants suivants : hébergement de l'infrastructure ; traitement des paiements et gestion des abonnements ; assistance par intelligence artificielle pour la vérification de documents (KYC) ; envoi d'e-mails transactionnels ; envoi de SMS de vérification ; vérification d'exposition à une fuite de données.

Chacun de ces sous-traitants est lié par un contrat de sous-traitance (DPA) conforme à l'article 28 du RGPD.

Vos données sont conservées pour une durée n'excédant pas ce qui est nécessaire aux finalités poursuivies : • Données de compte : 3 ans à compter du dernier contact actif. • Données de facturation : 10 ans conformément aux obligations comptables légales. • Journaux de connexion (logs) : 12 mois. • Données liées aux cookies : 13 mois maximum.

Concernant les dossiers de demande d'indemnisation : en cas de suppression du dossier à votre demande, les pièces justificatives et données personnelles sont supprimées dans un délai de 30 jours calendaires (droit à l'effacement, article 17 du RGPD). Si un Rapport Probatoire a déjà été généré et payé, les empreintes d'intégrité (SHA-256, horodatage, identifiant de rapport) sont conservées 10 ans à des fins de preuve comptable et d'audit, sans que cela ne permette de reconstituer le contenu du dossier.

À l'issue de ces délais, vos données sont supprimées ou anonymisées.

IndemniData met en œuvre des mesures techniques et organisationnelles proportionnées à la sensibilité des données traitées, notamment : hachage sécurisé des mots de passe, chiffrement des échanges (HTTPS/TLS), sauvegardes régulières, journalisation des accès, contrôle d'accès restreint aux données selon le principe du besoin d'en connaître, et authentification renforcée pour les accès sensibles.

Compte tenu du traitement ponctuel de données sensibles ou de santé, IndemniData recourt à un hébergement certifié Hébergeur de Données de Santé (HDS), conformément à l'article L.1111-8 du Code de la santé publique : toutes les données associées à la Formule Pass Intégral sont hébergées exclusivement chez Scaleway SAS France, hébergeur certifié HDS en région Paris.

Certains de nos prestataires peuvent être établis en dehors de l'Union européenne, notamment aux États-Unis. Dans ce cas, IndemniData s'assure que ces transferts sont encadrés par des garanties appropriées (clauses contractuelles types de la Commission européenne, décision d'adéquation, ou certification équivalente), conformément au chapitre V du RGPD.

Conformément aux articles 15 à 22 du RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données. Vous pouvez exercer ces droits en écrivant à rgpd@indemnidata.io, en justifiant de votre identité. Vous disposez également du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL — www.cnil.fr).

L'utilisation des cookies et traceurs sur le Service fait l'objet d'une Politique de cookies distincte, précisant les finalités des cookies utilisés et vos options de gestion du consentement via notre bandeau dédié.

IndemniData se réserve le droit de modifier la présente politique à tout moment. Les utilisateurs seront informés de toute modification substantielle par un moyen approprié (notification sur le site, email).