Vos donnees, et ce que nous en faisons

01

Responsable de traitement

Le responsable de traitement est Adama Diallo, 24 rue Arthur Adamov, 94500 Champigny-sur-Marne, France. Pour toute question relative à vos données ou pour exercer vos droits : adama.diallo@strata-esg.fr.

02

Le principe : deux natures de données, séparées par construction

La plateforme distingue, au niveau même de sa base de données, deux natures d'information. D'un côté ce qui peut identifier une entreprise, de l'autre ce qui décrit sa structure sans permettre de la reconnaître : un pays, un secteur, une tranche d'effectif, une tranche de chiffre d'affaires.

Seule la seconde catégorie alimente l'observatoire sectoriel. Ce n'est pas une consigne interne, c'est une propriété du code : les tables agrégeables ne portent aucun lien vers les données identifiantes, et un test automatique fait échouer la construction du logiciel si une requête d'agrégation venait à toucher une table nominative.

Une statistique n'est publiée que si son segment compte au moins vingt entreprises. En dessous, elle n'est ni publiée, ni annoncée comme indisponible : la page se comporte exactement comme si le segment n'existait pas, car la différence entre « pas assez d'entreprises » et « aucune entreprise » serait elle-même une information.

03

Ce qui est collecté, et à quelle occasion

• Navigator : le profil que vous décrivez (pays, secteur, tranche d'effectif, tranche de chiffre d'affaires, société cotée ou non). Il sert à calculer vos obligations et n'est pas conservé au-delà de la réponse.
• Benchmark : vos réponses au questionnaire et le score calculé, rattachés à un profil structurel non identifiant. Aucun nom d'entreprise n'est demandé.
• Materiality Lite : les enjeux que vous retenez et les deux notes que vous leur donnez, rattachés au même profil structurel non identifiant.
• VSME Builder : le contenu que vous saisissez dans votre brouillon. C'est le seul endroit où vous pouvez volontairement inscrire des données identifiantes, par exemple le nom de votre entreprise dans la divulgation B1. Ce contenu vous appartient, il n'alimente jamais l'observatoire : seul le taux de complétude, rattaché au profil structurel, est agrégé.
• Resource Center : le nombre de téléchargements par ressource, sous forme d'un compteur global, sans association avec un visiteur.
• Compte optionnel : si vous choisissez de créer un compte, l'authentification est assurée par notre prestataire Clerk, qui traite votre adresse électronique et vos identifiants de connexion.
• Journaux techniques : adresses IP et traces de requêtes conservées par les hébergeurs à des fins de sécurité et de diagnostic.

04

Ce que la plateforme ne fait jamais

• Aucune donnée n'est vendue, louée ni transmise à un tiers à des fins commerciales ou publicitaires.
• Aucun traceur publicitaire, aucun pixel de réseau social, aucun profilage à des fins de ciblage.
• Aucune donnée nominative n'entre dans une statistique publiée, et aucune statistique publiée ne permet de remonter à une entreprise.
• Aucune obligation de créer un compte, de fournir une adresse électronique ou une carte bancaire pour utiliser un module.

05

Bases légales

• Fourniture du service que vous demandez, notamment le calcul de vos obligations, de votre score ou de votre brouillon : exécution de mesures prises à votre demande, article 6.1.b du règlement général sur la protection des données.
• Amélioration de la plateforme et production de statistiques sectorielles anonymes : intérêt légitime, article 6.1.f. Cet intérêt est proportionné puisque les données agrégées ne permettent, par construction, d'identifier aucune entreprise.
• Création d'un compte et authentification : exécution du service à votre demande, article 6.1.b.

06

Durées de conservation

• Brouillon VSME : douze mois à compter de sa dernière modification. Passé ce délai, le brouillon et son contenu sont supprimés automatiquement, et le lien de reprise ne fonctionne plus.
• Session de visite anonyme : six mois, puis suppression automatique.
• Profil structurel et réponses agrégeables (Benchmark, Materiality Lite, taux de complétude VSME) : conservés sans limite de durée, car ils ne comportent aucune donnée permettant d'identifier une entreprise et constituent la matière du baromètre.
• Statistiques publiées par l'observatoire : conservées sans limite, elles sont anonymes et recalculées à chaque cycle.
• Journaux techniques des hébergeurs : trente jours.
• Compte utilisateur : jusqu'à sa suppression par vos soins.

Ces durées ne sont pas déclaratives : une tâche planifiée du backend exécute la purge des brouillons et des sessions expirés, et elle est couverte par des tests automatiques.

07

Destinataires et sous-traitants

Les données de STRATA Foundation sont stockées dans l'Union européenne. La base de données, la file de traitement et l'API vivent dans la région europe-west4, aux Pays-Bas. L'interface web est servie depuis la région de Paris.

• Vercel Inc., hébergement de l'interface web.
• Railway Corporation, hébergement de l'API, de la base de données et de la file de traitement, dans l'Union européenne.
• Clerk Inc., authentification, uniquement si vous créez un compte.

• Nous n'affirmons aucune certification d'hébergement de données de santé, ni aucune qualification SecNumCloud : nous ne les avons pas.
• Nous n'affirmons pas que nos prestataires d'hébergement sont des sociétés européennes. Ce qui est établi et vérifiable est le lieu de stockage des données.
• L'assistance technique de nos prestataires peut, pour une intervention identifiée, accéder à l'infrastructure depuis un autre pays. Ces accès sont encadrés par les clauses contractuelles types de la Commission européenne.

08

Passage vers les autres produits de la suite

À la fin d'un parcours, la plateforme peut vous proposer de continuer dans un autre produit de la suite STRATA. Si vous suivez cette invitation, le lien transporte un jeton signé qui contient uniquement votre profil structurel : pays, secteur, tranche d'effectif, tranche de chiffre d'affaires et catégorie de taille.

Ce jeton ne contient jamais de nom, d'adresse électronique, d'identifiant de brouillon, d'identifiant d'utilisateur ni de session. Une vérification automatique fait échouer bruyamment l'émission d'un jeton qui contiendrait un champ identifiant, avant même sa signature. Il expire au bout de trente minutes et n'est valable que pour le produit destinataire.

09

Cookies

La plateforme ne dépose aucun cookie publicitaire et aucun traceur de réseau social. Les seuls cookies utilisés sont strictement nécessaires au fonctionnement : ils portent la session d'authentification si vous créez un compte, et la continuité de votre parcours. Ces cookies ne requièrent pas de consentement préalable, et c'est la raison pour laquelle aucun bandeau ne vous est imposé.

Si une mesure d'audience est activée, elle le sera dans une configuration exemptée de consentement au sens des recommandations de la CNIL : pas de suivi entre sites, pas de croisement avec d'autres traitements, statistiques strictement agrégées.

10

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur les données qui vous concernent. Ces droits s'exercent auprès de adama.diallo@strata-esg.fr.

Une réserve d'honnêteté : les données agrégées ne comportant aucun élément identifiant, il nous est matériellement impossible de retrouver la contribution d'une entreprise donnée dans le baromètre. C'est la contrepartie directe de l'anonymat, et c'est ce qui rend l'anonymat crédible. En revanche, un brouillon VSME est retrouvable par son lien de reprise, et supprimable à votre demande.

Vous pouvez également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, 75007 Paris.