Politique de confidentialité

Le responsable de traitement est [Raison sociale — à compléter], éditeur du service NOTASUIVI, dont le siège est situé [adresse — à compléter] (SIRET : [à compléter]).

Contact : contact@notasuivi.fr

Dans le cadre de l'utilisation du Service, les structures abonnées agissent en qualité de responsables de traitement pour les données de leurs usagers. NOTASUIVI intervient comme sous-traitant au sens de l'article 28 du RGPD. Un contrat de sous-traitance (DPA) est fourni à chaque structure lors de l'inscription.

NOTASUIVI collecte les catégories de données suivantes :

Données de compte

• Adresse email professionnelle
• Prénom et nom du professionnel
• Nom de la structure (IME, ITEP, SESSAD, etc.)
• Rôle au sein de la structure

Données de facturation

• Informations de paiement — gérées exclusivement par Stripe (certifié PCI DSS). Aucune donnée de carte bancaire n'est stockée par NOTASUIVI.
• Historique des factures et abonnements

Données de service (saisies par les professionnels)

• Dossiers usagers (identité, situations, accompagnements)
• Notes de séance, observations, transmissions
• Projets Personnalisés (PPE) et évaluations
• Bilans éducatifs, thérapeutiques, synthèses ESS
• Documents joints aux dossiers

Ces données sont traitées par NOTASUIVI en qualité de sous-traitant pour le compte de la structure abonnée. Elles peuvent inclure des données de santé au sens de l'article 9 du RGPD. Leur collecte et leur traitement relèvent de la responsabilité de la structure.

Données techniques

• Adresse IP et user-agent lors des connexions
• Logs d'accès au Service (date, heure, action)
• Données de session navigateur

Le tableau ci-dessous détaille les finalités de traitement et leur base légale :

L'ensemble des données est hébergé en France (Paris), chez un hébergeur européen. Aucune donnée n'est transférée hors de l'Union européenne, à l'exception des données de paiement gérées par Stripe (couvertes par des garanties adéquates — cf. article 7).

Les mesures de sécurité techniques incluent :

• Chiffrement des données au repos : AES-256
• Chiffrement des données en transit : TLS 1.3
• Isolation stricte des données par structure (aucun accès croisé entre structures)
• Sauvegardes chiffrées quotidiennes, rétention 30 jours
• Journalisation des accès et des actions sensibles
• Authentification renforcée (expiration de session, verrouillage automatique)

• Données de compte : conservées pendant la durée de l'abonnement, puis supprimées 30 jours après la résiliation (sauf données de facturation).
• Données de service (dossiers, notes, bilans) : conservées pendant la durée de l'abonnement. Après résiliation, accessibles en lecture seule pendant 30 jours, puis supprimées définitivement.
• Données de facturation : conservées 10 ans conformément aux obligations comptables légales.
• Logs techniques : conservés 12 mois.

À tout moment, le Client peut demander la suppression anticipée de ses données en adressant un email à contact@notasuivi.fr. La suppression sera effectuée dans un délai de 30 jours, sous réserve des obligations légales de conservation.

NOTASUIVI fait appel aux sous-traitants suivants pour l'exploitation du Service. Tous sont liés par des clauses contractuelles garantissant un niveau de protection conforme au RGPD :

Aucune donnée de service (dossiers usagers, notes, bilans) n'est transférée hors de l'Union européenne.

Stripe Inc., prestataire de paiement, est établi aux États-Unis. Ce transfert est encadré par les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne et par la certification Stripe au Data Privacy Framework.

Conformément au RGPD, toute personne dont les données sont traitées dispose des droits suivants :

• Droit d'accès : obtenir une copie des données vous concernant.
• Droit de rectification : corriger les données inexactes ou incomplètes (depuis l'espace client ou par email).
• Droit à l'effacement : demander la suppression de vos données, sous réserve des obligations légales de conservation.
• Droit à la portabilité : exporter vos données en formats ouverts (PDF, CSV) depuis l'espace client, à tout moment et sans frais.
• Droit d'opposition : vous opposer au traitement de vos données pour les finalités fondées sur l'intérêt légitime.
• Droit à la limitation : demander la suspension temporaire du traitement de vos données.

Pour exercer vos droits, adressez votre demande à contact@notasuivi.fr. Une réponse vous sera apportée dans un délai de 30 jours.

En cas de désaccord persistant, vous disposez du droit d'introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés — cnil.fr).

NOTASUIVI utilise un nombre limité de cookies, strictement nécessaires au fonctionnement du Service :

• Cookie de session : maintien de la connexion de l'utilisateur. Durée : session navigateur. Ne nécessite pas de consentement.
• Cookie de préférence : mémorisation des paramètres d'affichage (ex. : choix de facturation mensuel/annuel). Durée : 30 jours. Ne nécessite pas de consentement.

NOTASUIVI n'utilise pas de cookies publicitaires, de tracking comportemental tiers ni de réseaux sociaux sur les pages authentifiées.

Si des outils d'analyse d'audience sont utilisés (ex. : mesure d'audience agrégée), ils sont configurés en mode anonymisé, sans identifiant personnel, conformément aux recommandations de la CNIL.

Le Client peut à tout moment, depuis son espace client :

• exporter l'intégralité de ses dossiers, notes et bilans en formats PDF et CSV, sans frais et sans délai ;
• demander la suppression de son compte et de ses données en envoyant un email à contact@notasuivi.fr.

Après résiliation, les données restent accessibles en lecture seule pendant 30 jours pour permettre l'export. Passé ce délai, elles sont définitivement et irréversiblement supprimées.

Aucun frais de sortie n'est appliqué. Vous restez propriétaire de vos données à tout moment.

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, NOTASUIVI s'engage à :

• notifier la CNIL dans un délai de 72 heures suivant la prise de connaissance de la violation ;
• informer les structures concernées sans délai injustifié, avec une description de la nature de la violation et des mesures prises.

La présente politique peut être mise à jour pour refléter les évolutions légales ou les changements du Service. Toute modification substantielle est notifiée par email avec un préavis de 30 jours.

La date de dernière mise à jour est indiquée en haut de cette page.

Pour toute question relative à la présente politique ou pour l'exercice de vos droits : contact@notasuivi.fr

Si votre structure a désigné un Délégué à la Protection des Données (DPO), celui-ci peut également être l'interlocuteur principal pour les questions RGPD relatives aux dossiers usagers.