Politique de confidentialité

Pour la gestion du site, des comptes professionnels, de la facturation, du support et de la sécurité du service, le responsable du traitement est Mickael Usage Vienne-Elbhar, entrepreneur individuel, joignable à contact@aura-consent.fr.

Pour les données des clients d’un institut — notamment les coordonnées, informations de préparation, signatures, consentements, réglages et photos de suivi — l’institut utilisateur détermine les finalités et les durées de conservation. Il agit comme responsable du traitement et Aura Consent agit comme sous-traitant technique, sur ses instructions.

Cette relation est encadrée par l’ annexe de sous-traitance RGPD, intégrée au contrat professionnel.

• données du compte professionnel : identité, e-mail, institut, rôle, préférences, informations d’authentification et invitations d’équipe ;
• données contractuelles et de facturation : offre, statut de l’abonnement, identifiants Stripe, factures, paiements et événements de facturation ;
• données d’utilisation et de sécurité : journaux techniques, adresse IP, appareil, erreurs et événements nécessaires au fonctionnement du service ;
• échanges de support : contenu des demandes et informations nécessaires à leur résolution ;
• données enregistrées par l’institut pour ses clients : identité, coordonnées, date de naissance facultative, réponses de préparation, consentements, signature, documents PDF, réglages de prestation et photos facultatives. Certaines réponses peuvent révéler des informations sensibles, notamment relatives à la santé.

Aura Consent ne stocke pas les numéros complets de carte bancaire. Ils sont collectés et traités directement par Stripe.

• création du compte, fourniture du service, support et gestion de l’abonnement : exécution du contrat ou mesures précontractuelles ;
• facturation, comptabilité et réponse aux autorités : respect des obligations légales ;
• sécurité, prévention des abus, continuité du service et amélioration technique : intérêt légitime de l’éditeur à exploiter un service fiable ;
• communications strictement liées au compte, aux documents et à la facturation : exécution du contrat et intérêt légitime ;
• données des clients des instituts : traitement réalisé sur instruction de l’institut, selon la base légale qu’il a déterminée et l’information qu’il doit fournir aux personnes concernées.

Lorsque les informations demandées sont susceptibles de révéler l’état de santé, l’institut doit également identifier une exception valable au titre de l’article 9 du RGPD. Si cette exception repose sur le consentement explicite, Aura Consent présente une confirmation distincte avant la signature et en fige la preuve dans le document.

Les champs signalés comme facultatifs peuvent être laissés vides. Les autres sont nécessaires pour créer le compte, sécuriser l’accès ou exécuter le service.

Les données sont accessibles uniquement aux utilisateurs autorisés de l’institut concerné, à l’éditeur lorsque cela est nécessaire au support ou à la sécurité, et aux prestataires techniques indispensables :

• Supabase pour la base de données, l’authentification et le stockage privé ;
• Vercel pour l’hébergement et l’exécution de l’application ;
• Stripe pour l’inscription avec carte, la facturation et les paiements ;
• Resend pour les e-mails transactionnels configurés dans le service ;
• GitHub Actions pour le traitement temporaire des données lors des sauvegardes et des contrôles de restauration ;
• Backblaze B2 pour les copies de sauvegarde chiffrées avant leur envoi, dans un espace privé situé dans la région EU Central ;
• Discord pour certaines alertes administratives et techniques, sans envoi des PDF, signatures ou photos des clients.

Les données ne sont ni vendues ni louées. Elles peuvent être communiquées à une autorité lorsque la loi l’exige.

La localisation européenne des copies Backblaze ne signifie pas que toutes les opérations ont lieu dans l’Union européenne : les sauvegardes sont préparées et vérifiées sur des machines temporaires GitHub Actions, où les données sont déchiffrées le temps du contrôle. Les fichiers de travail sont supprimés à la fin de l’exécution.

Certains prestataires sont établis ou peuvent fournir une partie de leurs services depuis des pays situés hors de l’Espace économique européen. Dans ce cas, les transferts sont encadrés par un mécanisme reconnu par le RGPD, tel qu’une décision d’adéquation ou des clauses contractuelles types, selon le prestataire et le service utilisé.

• données du compte professionnel et du contrat : pendant la relation commerciale, puis cinq ans en archivage intermédiaire pour la preuve du contrat et la défense des droits ;
• factures et pièces comptables : dix ans à compter de la clôture de l’exercice concerné ;
• demandes de support : pendant leur traitement puis trois ans après leur clôture, sauf conservation plus longue nécessaire à un litige ;
• journaux techniques et de sécurité : pendant la durée strictement nécessaire à la détection, à l’analyse et à la preuve d’un incident, selon les limites configurées auprès des prestataires ;
• données des clients des instituts : selon les instructions et obligations de l’institut responsable du traitement, pendant la durée du service puis jusqu’à leur restitution ou leur effacement sur instruction documentée. Les consentements signés sont rendus immuables dans l’application afin de préserver leur intégrité ; une demande d’effacement est traitée avec l’institut en tenant compte de ses obligations de conservation et de preuve ;
• données de prospection éventuelles : trois ans à compter de leur collecte ou du dernier contact émanant de la personne. Aura Consent n’utilise actuellement aucun fichier client d’institut à des fins de prospection.

À l’échéance d’une durée, les données sont supprimées ou placées en archivage intermédiaire avec un accès restreint lorsqu’une obligation légale ou un contentieux justifie encore leur conservation.

Les sauvegardes chiffrées sont séparées des dossiers consultables dans l’application. Leur suppression n’est pas automatique à ce jour. Une demande d’effacement doit donc couvrir les données actives et les copies de sauvegarde ; les délais et les éventuelles limites de conservation sont précisés dans la réponse adressée à l’institut.

Aura Consent applique notamment une authentification protégée, un cloisonnement des données par institut, des politiques d’accès en base, un stockage privé des signatures, PDF et photos, des liens temporaires et des contrôles d’intégrité des documents. Aucun dispositif ne pouvant garantir un risque nul, les utilisateurs doivent protéger leurs accès et signaler sans délai toute suspicion d’incident.

Selon votre situation, vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de retirer un consentement lorsqu’il constitue la base du traitement.

Pour les données d’un client enregistrées par un institut, la demande doit d’abord être adressée à cet institut. Aura Consent l’assistera lorsqu’une action technique est nécessaire. Pour les données du compte Aura Consent, écrivez à contact@aura-consent.fr. Une preuve d’identité peut être demandée en cas de doute raisonnable.

Une réponse est apportée dans les meilleurs délais et au plus tard dans le mois suivant la réception de la demande. Ce délai peut être prolongé de deux mois lorsque la demande est complexe ou nombreuse ; la personne en est alors informée dans le premier mois. Les droits ne sont pas absolus : une obligation légale ou la défense d’un droit peut notamment limiter l’effacement.

Vous pouvez également introduire une réclamation auprès de la CNIL.

Aura Consent utilise des cookies et stockages locaux pour l’authentification, la sécurité, la conservation de session, le choix du thème et le fonctionnement de l’application installable. La mesure d’audience Vercel Web Analytics et la mesure de performance Speed Insights sont désactivées dans l’application. Aucun traceur publicitaire n’est intégré. Toute activation d’une mesure supplémentaire fera l’objet d’une information actualisée et, lorsque nécessaire, d’un consentement préalable.

La politique peut évoluer pour refléter une modification du service, des prestataires ou du cadre légal. La version en vigueur est publiée sur cette page. Les changements importants affectant les utilisateurs seront signalés par un moyen approprié.

Consultez également les mentions légales et l’ annexe RGPD.