La protection de vos données n'est pas une option chez Kardox Media : c'est une contrainte que nous nous imposons dès la conception. Nous ne vendons rien, nous ne pistons personne, et vos données ne quittent pas l'Europe. Ce document dit lesquelles nous détenons, pourquoi, combien de temps, et ce que vous pouvez exiger de nous.
Responsable du traitement
Le responsable du traitement est Kardox Media — Campus Numérique 47, 156 avenue Jean Jaurès, 47000 Agen, France.
Pour toute question relative à vos données : contact@kardoxmedia.com.
La présente politique couvre les traitements mis en œuvre pour la fourniture de nos services et pour le fonctionnement de l'espace client client.kardoxmedia.com. Elle ne couvre pas les traitements que vous mettez vous-même en œuvre sur les sites que vous hébergez : ce cas est décrit plus bas.
Ce que nous ne faisons pas
Il est plus court de commencer par là.
- Nous ne vendons ni ne louons vos données, à personne, sous aucune forme.
- Nous ne pratiquons aucun profilage et ne prenons aucune décision automatisée produisant des effets juridiques à votre égard.
- Nous ne collectons aucune donnée sensible au sens de l'article 9 du RGPD.
- Nous ne déposons aucun traceur publicitaire et ne mesurons aucune audience avec un outil tiers.
- Nous ne chargeons aucune police, aucun script, aucune image depuis un domaine tiers : afficher une page de l'espace client n'envoie de requête qu'à nos propres serveurs.
- Nous n'envoyons aucun courrier commercial non sollicité.
Données collectées
Nous ne collectons que ce qui est nécessaire à la fourniture du service.
| Catégorie | Ce que cela recouvre | Origine |
|---|---|---|
| Compte | Nom, adresse électronique, adresse postale, langue d'interface, préférence d'affichage. | Vous, à la commande. |
| Facturation | Historique des commandes, factures, moyen de paiement employé, statut du règlement. | Vous et le prestataire de paiement. |
| Assistance | Contenu des tickets et des messages que vous nous adressez, pièces jointes comprises. | Vous. |
| Journaux techniques | Adresses IP de connexion, dates, actions effectuées dans l'espace client, journaux des serveurs. | Enregistrement automatique. |
Les numéros de carte bancaire ne nous parviennent jamais : ils sont saisis directement chez notre prestataire de paiement, sur une page qui lui appartient. Nous n'en conservons ni le numéro, ni la date d'expiration, ni le cryptogramme.
Finalités et bases légales
Chaque traitement repose sur une base légale identifiée.
| Ce que nous faisons | Pourquoi c'est licite |
|---|---|
| Fournir et administrer l'hébergement | Exécution du contrat |
| Émettre les factures, encaisser les paiements | Exécution du contrat et obligation légale |
| Répondre à vos demandes d'assistance | Exécution du contrat |
| Vous informer d'un incident, d'une maintenance ou d'un changement de service | Exécution du contrat |
| Assurer la sécurité de l'infrastructure et prévenir les abus | Intérêt légitime |
| Établir la preuve en cas d'incident ou de litige | Intérêt légitime |
| Conserver les pièces comptables | Obligation légale |
| Répondre à une réquisition d'une autorité habilitée | Obligation légale |
Lorsqu'un traitement repose sur notre intérêt légitime, nous avons vérifié qu'il ne portait pas une atteinte disproportionnée à vos droits, et vous pouvez vous y opposer.
Où sont vos données
Les serveurs qui hébergent vos sites, vos bases et vos courriers sont situés en Europe, au sein de l'Union européenne, répartis sur plusieurs pays du continent. Les sauvegardes restent sur cette même infrastructure européenne.
Vos données ne quittent pas l'Union européenne. Nous n'organisons aucun transfert vers un pays tiers.
Lorsqu'un prestataire relève d'un groupe international, la prestation nous est fournie depuis une entité établie dans l'Union et le traitement s'y déroule ; le cas échéant, les garanties prévues au chapitre V du RGPD — décision d'adéquation ou clauses contractuelles types de la Commission européenne — encadrent l'ensemble.
Sous-traitants
Nous faisons appel à un nombre volontairement réduit de prestataires. Chacun ne reçoit que les données strictement nécessaires à sa mission, et n'agit que sur nos instructions.
| Mission | Données transmises | Encadrement |
|---|---|---|
| Encaissement des paiements en ligne | Données de paiement et de facturation. Les numéros de carte sont saisis chez le prestataire et ne nous parviennent pas. | Contrat de sous-traitance conforme à l'article 28 du RGPD. Prestataire agréé, soumis à la réglementation européenne des services de paiement. |
| Acheminement des courriers électroniques transactionnels | Votre adresse électronique et le contenu du message qui vous est adressé. | Contrat de sous-traitance conforme à l'article 28 du RGPD. Aucun usage publicitaire, aucune constitution de fichier. |
| Fourniture et exploitation physique des serveurs | Aucune transmission de notre part : le prestataire assure l'hébergement matériel, l'alimentation, le réseau et la sécurité physique des installations, situées dans l'Union européenne. | Contrat de sous-traitance conforme à l'article 28 du RGPD. |
Aucun de ces prestataires n'est autorisé à utiliser vos données pour son propre compte, ni à les transmettre à un tiers. L'identité des sous-traitants en vigueur vous est communiquée sur simple demande à contact@kardoxmedia.com.
Qui accède à vos données
À l'intérieur de Kardox Media, l'accès est réservé aux personnes qui en ont besoin pour leur mission : exploitation de l'infrastructure, assistance, facturation. Les accès d'administration sont nominatifs et journalisés.
En dehors, vos données ne sont communiquées qu'aux sous-traitants ci-dessus et, le cas échéant, à une autorité habilitée qui en fait la demande dans les formes prévues par la loi. Une telle demande est examinée avant d'être suivie d'effet ; nous n'y donnons suite que dans la stricte mesure de ce que la loi impose.
Les messages que nous envoyons
Tous nos courriers électroniques concernent votre service.
| Message | Quand il part | Peut-on s'y soustraire |
|---|---|---|
| Confirmation et activation | À la commande, après encaissement | Non : il porte les informations de mise en ligne |
| Facture et avis d'échéance | Avant chaque renouvellement | Non : obligation contractuelle et comptable |
| Incident, maintenance, sécurité | Quand la situation l'exige | Non : il conditionne la continuité de votre service |
| Réponse à un ticket | Quand vous nous écrivez | Sans objet : c'est votre demande |
| Modification des conditions | Trente jours avant l'entrée en vigueur | Non : la loi impose de vous informer |
Il n'existe pas de lettre d'information commerciale chez Kardox Media : vous n'avez donc rien à désinscrire.
Durées de conservation
Nous ne conservons rien « au cas où ».
| Donnée | Durée | Point de départ |
|---|---|---|
| Compte et coordonnées | Durée de la relation contractuelle, puis trois ans | Dernier contact |
| Factures et pièces comptables | Dix ans, conformément au Code de commerce | Clôture de l'exercice |
| Journaux techniques et de connexion | Douze mois | Enregistrement |
| Tickets d'assistance | Trois ans | Clôture du ticket |
| Contenus hébergés | Période de rétention prévue au contrat, puis suppression | Résiliation |
| Cookies techniques | Durée de la session ou du choix mémorisé | Dépôt |
À l'expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible. L'anonymisation, lorsqu'elle est retenue, est définitive : la donnée ne peut plus être rattachée à une personne.
Sécurité
Les accès à l'espace client sont chiffrés en transit (TLS). Les mots de passe sont stockés sous forme d'empreintes calculées par une fonction de dérivation moderne, jamais en clair : nous sommes dans l'impossibilité technique de vous communiquer votre mot de passe, et c'est voulu.
Les accès d'administration sont nominatifs, restreints aux seules personnes qui en ont besoin, et journalisés. L'infrastructure est tenue à jour et supervisée ; les sauvegardes sont conservées sur une infrastructure distincte de celle de production.
En cas de violation de données
Si une violation susceptible d'engendrer un risque pour vos droits survenait, nous notifierions l'autorité de contrôle dans les soixante-douze heures et vous informerions directement lorsque le risque est élevé. Cette information dirait ce qui s'est passé, quelles données sont concernées, et ce que vous devez faire.
Les données de vos visiteurs
Pour les données que vous hébergez — celles des visiteurs de votre site, de vos clients, de vos adhérents, de vos correspondants — les rôles s'inversent.
- Vous êtes le responsable du traitement : vous décidez ce qui est collecté, pourquoi, et pour combien de temps.
- Kardox Media est votre sous-traitant au sens de l'article 28 du RGPD : nous traitons ces données sur vos instructions et pour la seule exécution de l'hébergement.
Nous n'accédons à ces données que pour l'exploitation et la sécurité du service, ou à votre demande dans le cadre d'une assistance. Nous ne les exploitons pour aucune finalité propre. Il vous revient d'informer vos propres visiteurs et de recueillir, quand elle est requise, leur autorisation.
Cookies
L'espace client utilise uniquement des cookies techniques : session d'authentification, langue d'interface, thème d'affichage.
Ces cookies sont nécessaires au fonctionnement du service et ne requièrent pas votre consentement. Aucun cookie publicitaire, aucun traceur, aucune mesure d'audience tierce n'est déposé. Aucun bandeau de consentement ne vous est présenté, pour la seule raison qu'il n'y a rien à consentir.
Vos droits
Vous disposez à tout moment des droits suivants.
| Droit | Ce qu'il vous permet |
|---|---|
| Accès | Savoir si nous traitons des données vous concernant, et en obtenir une copie. |
| Rectification | Faire corriger une donnée inexacte ou compléter une donnée lacunaire. |
| Effacement | Obtenir la suppression de vos données, dans les limites de nos obligations légales. |
| Limitation | Faire geler un traitement le temps d'une vérification ou d'une contestation. |
| Opposition | Vous opposer à un traitement fondé sur notre intérêt légitime. |
| Portabilité | Recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine. |
| Directives post mortem | Définir le sort de vos données après votre décès. |
Comment les exercer
Écrivez à contact@kardoxmedia.com, ou ouvrez un ticket depuis votre espace client. Nous répondons dans un délai d'un mois ; ce délai peut être prolongé de deux mois pour une demande complexe, auquel cas vous en êtes informé avec le motif.
Une pièce justificative d'identité peut être demandée en cas de doute raisonnable sur l'identité du demandeur — jamais par principe, seulement lorsque la demande ne vient manifestement pas du compte concerné.
Certaines demandes d'effacement ne peuvent aboutir immédiatement : une obligation légale, comptable notamment, nous impose de conserver la pièce concernée jusqu'au terme de son délai. Nous vous indiquons alors laquelle et jusqu'à quand.
Réclamation
Si vous estimez que le traitement de vos données n'est pas conforme, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris — cnil.fr.
Nous vous invitons toutefois à nous écrire d'abord : la plupart des situations se règlent en un échange, et plus vite.
Modifications
Cette politique peut évoluer avec le service ou la réglementation. Toute modification substantielle vous est notifiée par courrier électronique avant son entrée en vigueur, et la version applicable reste consultable à cette adresse.