Politique de confidentialité

1. Qui est responsable du traitement

L’éditeur du service est TENDER WISE, EURL (SARL à associé unique) au capital de 1 000 €, 54 avenue Général Leclerc, 69100 Villeurbanne, SIRET 983 761 214 00011, 983 761 214 R.C.S. Lyon.

Qualification retenue :

• Site vitrine (formulaires essai / devis / contact, mesure d’audience avec consentement, cookies, preuves de consentement, sécurité de l’espace admin) : TENDER WISE est responsable de traitement.
• Application NORSIVA — données saisies dans les dossiers (identité des intervenants, habilitations, signatures, photographies, registre, journaux d’activité) : le client professionnel est responsable de traitement et TENDER WISE agit comme sous-traitant au sens de l’article 28 du RGPD (voir CGU article 16). Les personnes concernées exercent leurs droits auprès de leur employeur / organisation cliente.
• Pour le compte technique, la sécurité du service, la facturation et les preuves d’acceptation contractuelle dans l’application : TENDER WISE est responsable de traitement.

Contact données personnelles (site et compte technique) : contact@norsiva.fr. Société éditrice : contact@tenderwise.fr. DPO : contact@norsiva.fr.

2. Données traitées sur le site vitrine

• Formulaires / leads (essai, devis, contact) : identité, e-mail, société, téléphone, message, page d’origine, UTM, visitor_id (localStorage), adresse IP anonymisée.
• Mesure d’audience (si consentement) — analytics first-party : pages vues, session, referrer, UTM, navigateur, visitor_id, localisation approximative (pays / ville), adresse IP toujours anonymisée (jamais stockée en clair). Pas de Google Analytics ni de traceur publicitaire tiers.
• Identifiant technique : norsiva_vid en localStorage, pour corréler consentement, audience et leads sans cookie publicitaire.
• Consentements : choix cookies, preuve horodatée, IP anonymisée, version de politique.
• Administration du site : journaux d’audit et de connexion à l’espace admin.

3. Données traitées dans l’application NORSIVA

• Identité et compte — nom, prénom, adresse e-mail professionnelle, téléphone, entreprise, rôle, mot de passe (haché), PIN (haché).
• Titres d’habilitation et autorisations — symboles, dates, photographie ou PDF du titre.
• Signatures manuscrites — tracé vectoriel reporté sur les documents PDF (non utilisé comme biométrie d’identification).
• Photographies de preuve — clichés d’opérations ; peuvent comporter incidemment des personnes présentes sur la zone.
• Données d’activité — dossiers, opérations, validations, refus, horodatages et registre.
• Données techniques et preuves contractuelles — journal de connexion, cookies de session, versions CGU/CGV acceptées, IP et user-agent au moment de l’acceptation.
• Paiement — traité par Stripe ; NORSIVA ne stocke pas les numéros de carte.

Aucune donnée de santé au sens du RGPD n’est sollicitée. Les finalités et bases légales côté client (employeur) relèvent de ses obligations de sécurité et de la relation contractuelle avec TENDER WISE.

4. Finalités et bases légales (site vitrine)

• Répondre à vos demandes commerciales — mesures précontractuelles / intérêt légitime.
• Mesurer l’audience du site — consentement.
• Conserver la preuve de consentement — obligation légale / intérêt légitime.
• Sécuriser l’espace admin — intérêt légitime.

5. Destinataires et sous-traitants

Les données ne sont ni vendues, ni louées, ni transmises à des fins publicitaires. Aucun outil publicitaire tiers ni Google Analytics n’est utilisé sur le site vitrine.

Sous-traitants et prestataires techniques :

• o2switch — Hébergement du site et, le cas échéant, de l’application (France (UE))
• Stripe Payments Europe, Ltd. — Paiement des abonnements en ligne (UE ; transferts éventuels encadrés par Stripe (SCC))
• Prestataire SMTP (messagerie transactionnelle) — Envoi des e-mails transactionnels et de recontact (Selon configuration — prioritairement UE)

Données du site hébergées en France (UE). Hébergeur : o2switch, Chemin de la Chanhatié, 63110 Beaumont, France. Les dossiers d’exploitation de l’application sont hébergés en France métropolitaine ; aucun transfert hors UE n’est pratiqué pour cet hébergement.

Les flux de paiement Stripe peuvent impliquer des transferts encadrés par les clauses types de la Commission européenne (SCC) publiées par Stripe. Les envois d’e-mails transactionnels (SMTP) peuvent transiter par un prestataire de messagerie dont la localisation dépend de la configuration retenue ; la priorité est donnée à l’Union européenne lorsque cela est possible. Pour la géolocalisation approximative sur le site (pays / ville), une requête peut être adressée à un service tiers sur une adresse IP déjà anonymisée (tronquée /24) — jamais sur une IP complète.

6. Durées de conservation

Site vitrine (paramètres opposables) :

• Analytics : 390 jours
• Leads clos : 1095 jours
• Preuves de consentement : 1095 jours
• Logs d’audit admin : 365 jours

Application :

Les données d’exploitation sont conservées pendant la durée du contrat, puis supprimées ou restituées dans un délai de trente jours après la fin, sous réserve des archives légales (factures dix ans, preuves d’acceptation contractuelle). La suppression d’un compte n’efface pas les actes déjà signés : une attestation dont on retirerait le nom du signataire n’attesterait plus de rien.

7. Sécurité et incidents

Les mots de passe et PIN sont stockés sous forme hachée. La session repose sur un cookie signé httpOnly. Les accès sont cloisonnés par périmètre et par rôle. Les documents produits portent une empreinte d’intégrité. Sur le site, les adresses IP d’analytics sont anonymisées lorsque le paramètre correspondant est actif (oui).

En cas de violation de données personnelles, TENDER WISE informe le client (lorsque celui-ci est responsable de traitement pour les dossiers) dans les meilleurs délais et documente l’incident avec les éléments raisonnablement disponibles. Pour les traitements dont elle est elle-même responsable (site vitrine, compte technique, facturation), elle applique les obligations des articles 33 et 34 du RGPD le cas échéant.

8. Registre des traitements

TENDER WISE tient un registre des activités de traitement pour les finalités dont elle est responsable (site vitrine : leads, analytics first-party avec consentement, preuves de consentement, sécurité admin ; compte technique et facturation de l’application). Ce registre est tenu à la disposition de l’autorité de contrôle. Pour les dossiers d’exploitation dans l’application, le client professionnel est responsable de traitement et tient son propre registre.

9. Vos droits

Conformément aux articles 15 à 22 du RGPD : accès, rectification, effacement, limitation, opposition, portabilité, directives post-mortem — dans les conditions légales. Délai de réponse : un mois.

Pour les données de dossier dans l’application : exercez vos droits auprès de votre organisation (responsable de traitement). Pour le site vitrine et le compte technique : Exercer mes droits ou contact@norsiva.fr.

Le droit à l’effacement ne s’applique pas aux données nécessaires au respect d’une obligation légale ou à la constatation et à la défense de droits en justice — notamment attestations signées, registre et factures.

Réclamation possible auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.