La présente politique décrit les traitements de données à caractère personnel mis en œuvre par ALL4FEED (« nous ») dans le cadre de la plateforme FeedSourcing, conformément au règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée. Elle s’adresse aux visiteurs, aux titulaires de compte, aux personnes mentionnées dans l’annuaire et aux interlocuteurs des sociétés référencées.
FeedSourcing est un service professionnel (B2B) : les données traitées concernent des personnes agissant dans le cadre de leur activité professionnelle.
1.Responsable du traitement et contact
Responsable du traitement : ALL4FEED, [À COMPLÉTER : forme juridique, siège, SIREN].
Délégué à la protection des données (DPO) / référent RGPD : [À COMPLÉTER : nom ou fonction, e-mail dédié, ex. rgpd@feedsourcing.com]. Toute question ou demande d’exercice de droits peut lui être adressée par e-mail, par le formulaire de contact (thème « Données personnelles ») ou par courrier au siège.
MOBYCLIC (Alistair Marca), qui développe et exploite techniquement la Plateforme, agit comme sous-traitant (art. 28 RGPD) : un contrat de sous-traitance précise ses obligations (confidentialité, sécurité, assistance, suppression des données en fin de contrat, sous-traitance ultérieure encadrée). [À COMPLÉTER : date et référence du contrat de sous-traitance.]
2.Quelles données, pour quelles finalités, sur quelle base
Le tableau ci-dessous récapitule les traitements. Les durées de conservation sont détaillées à la section 6.
| Traitement | Données | Base légale (art. 6 RGPD) |
|---|---|---|
| Création et gestion du compte | Identité (nom, prénom), e-mail professionnel, téléphone (facultatif), fonction, langue, mot de passe (haché), profil déclaré et intentions d’usage, rattachement à une ou plusieurs sociétés | Exécution du contrat (CGU) — art. 6.1.b |
| Authentification | Codes à usage unique envoyés par e-mail, liens magiques, jetons de session, réinitialisation de mot de passe | Exécution du contrat ; intérêt légitime (sécurité) — art. 6.1.b et 6.1.f |
| Annuaire des sociétés | Dénomination, SIREN/SIRET, adresse, coordonnées professionnelles génériques, métiers, espèces, certifications, inscriptions sur les listes officielles, position géographique ; dirigeants le cas échéant lorsque la source les publie | Intérêt légitime (mise en relation professionnelle, information du marché) — art. 6.1.f ; données issues de sources publiques et de licences |
| Revendication d’une fiche société | Extrait Kbis ou document équivalent (contenant l’identité des dirigeants), SIRET déclaré, e-mail et téléphone de contact, résultat de la lecture automatique (SIREN relevés, dirigeants relevés, concordance du domaine e-mail) | Exécution du contrat ; intérêt légitime (lutte contre l’usurpation) — art. 6.1.b et 6.1.f |
| Catalogue, documents et liens commerciaux | Produits proposés, documents déposés (fiches techniques, attestations, certificats), demandes de documents, mises en relation, messages entre sociétés | Exécution du contrat — art. 6.1.b |
| Abonnements et paiement | Formule, historique de facturation, identifiant client Stripe ; les données de carte sont traitées par Stripe et ne nous sont jamais transmises | Exécution du contrat ; obligation légale (comptabilité) — art. 6.1.b et 6.1.c |
| Alertes, veille, notifications, lettre d’information | E-mail, préférences d’alerte (ingrédients, espèces, zones, fréquence), ouvertures/clics non suivis | Exécution du contrat pour les alertes demandées ; consentement pour la lettre d’information (désinscription à tout moment) — art. 6.1.a et 6.1.b |
| Formulaires de contact et signalements | Nom, e-mail, téléphone (facultatif), société, message | Intérêt légitime (répondre aux demandes) — art. 6.1.f |
| Sécurité de la Plateforme | Adresse IP, horodatage des requêtes, compteurs de fréquence, bannissements temporaires, champs anti-robot, journal des coordonnées dévoilées (qui a consulté quelles coordonnées, quand) | Intérêt légitime (sécurité, prévention de l’aspiration des données) — art. 6.1.f |
| Mesure d’usage (programme d’expérimentation) | Pour les seuls comptes inscrits comme expérimentateurs : pages consultées, recherches effectuées, réponses aux questionnaires d’attentes et de compte-rendu, acceptation de la lettre d’engagement | Consentement (participation volontaire au programme) — art. 6.1.a |
| Assistance par intelligence artificielle | Contenu des catalogues PDF importés et des extraits Kbis (lecture), textes à résumer ou traduire | Exécution du contrat (import demandé) ; intérêt légitime (qualité des contenus) — art. 6.1.b et 6.1.f |
Aucune donnée dite sensible (art. 9 RGPD) n’est collectée. Aucune décision produisant des effets juridiques n’est prise de façon exclusivement automatisée : la lecture automatique d’un Kbis n’attribue pas le badge « Vérifié ALL4FEED », qui relève d’un contrôle humain.
3.Données de l’annuaire : origine et droits des personnes concernées
L’annuaire référence des sociétés, non des personnes. Il est constitué à partir de sources publiques (répertoire Sirene, listes officielles DGAL et DGCCRF, Agence Bio, OQUALIM, FAMI-QS), de données sous licence (MovUP) et des déclarations des sociétés elles-mêmes. Il peut contenir des données à caractère personnel lorsque la société est une entreprise individuelle (le nom de l’exploitant est alors la dénomination) ou lorsqu’une source publique mentionne un dirigeant.
Ces données sont traitées sur le fondement de notre intérêt légitime à informer les professionnels du secteur et à faciliter leurs mises en relation (art. 6.1.f RGPD et art. 14 pour l’information des personnes). L’information des personnes est assurée par la présente politique et par la mention de la source sur chaque fiche.
Toute personne concernée peut s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à la présence de ses données dans l’annuaire (art. 21 RGPD) : la page « Demande de retrait », accessible depuis chaque fiche, permet de demander la rectification ou le retrait. Une demande acceptée est inscrite dans une liste d’opposition qui empêche la fiche de réapparaître lors des mises à jour automatiques.
L’e-mail et le téléphone d’une société ne figurent pas dans le contenu public des pages : ils ne sont communiqués qu’à un utilisateur connecté, à sa demande, et chaque communication est journalisée et plafonnée.
4.Destinataires
Les données sont accessibles, dans la limite de leurs attributions : au personnel habilité d’ALL4FEED ; à MOBYCLIC (sous-traitant technique) ; aux prestataires listés à la section 5 pour les seules opérations qui leur sont confiées ; aux autres utilisateurs de la Plateforme pour les informations que vous choisissez de publier (fiche société, catalogue, documents à portée publique, messages adressés).
Les données peuvent être communiquées aux autorités compétentes lorsque la loi l’exige. Nous ne vendons ni ne louons de données personnelles.
5.Hébergement, prestataires et transferts hors Union européenne
Nous privilégions des localisations de données dans l’Union européenne : l’application tourne dans la région Europe-West (Pays-Bas) de notre hébergeur, la base de données est en Irlande et les fichiers sont stockés avec une localisation Union européenne. Les e-mails et les traitements par intelligence artificielle impliquent des prestataires établis aux États-Unis.
Point d’attention : prestataires de droit américain et CLOUD Act
Plusieurs prestataires (Railway, Cloudflare, Resend, Anthropic, Esri) sont des sociétés de droit américain. Même lorsque les serveurs sont situés dans l’Union européenne, ces sociétés sont soumises au CLOUD Act (18 U.S.C. § 2713), qui peut les contraindre à communiquer des données aux autorités américaines dans le cadre d’une procédure pénale, et au FISA 702 pour les données en transit. Nous en tirons les conséquences suivantes :
- Transferts encadrés : chaque prestataire américain est soit certifié au Data Privacy Framework UE–États-Unis (décision d’adéquation du 10 juillet 2023), soit lié par les clauses contractuelles types de la Commission (décision 2021/914) complétées d’une analyse d’impact des transferts. [À COMPLÉTER : pour chaque prestataire, la mesure retenue — Railway : CCT ; Cloudflare : DPF + CCT ; Resend : CCT ; Anthropic : DPF + CCT ; Stripe : établissement irlandais, pas de transfert.]
- Minimisation : les prestataires ne reçoivent que ce qui est nécessaire à leur tâche — Resend reçoit l’adresse et le contenu d’un e-mail, Anthropic le texte d’un document à lire, jamais la base dans son ensemble.
- Chiffrement : les données sont chiffrées en transit (TLS) et au repos chez l’hébergeur de la base et du stockage ; les mots de passe sont hachés ; les extraits Kbis sont stockés dans un espace privé non accessible publiquement.
- Réversibilité : l’application est conteneurisée et la base exportable ; une migration vers un hébergeur établi dans l’Union européenne et de droit européen (par exemple Scaleway ou OVHcloud) est techniquement prévue et peut être décidée si l’analyse de risque le justifie. [À COMPLÉTER : décision d’ALL4FEED à l’issue de l’audit.]
Le Royaume-Uni (siège de SurrealDB Ltd ; Nominatim) bénéficie d’une décision d’adéquation de la Commission européenne (28 juin 2021). L’instance de base de données elle-même est située en Irlande.
Liste des sous-traitants ultérieurs
| Prestataire | Traitement | Localisation des données | Garantie de transfert |
|---|---|---|---|
| Railway Corporation (États-Unis) | Hébergement de l’application | Union européenne (Pays-Bas) | [À COMPLÉTER : CCT] |
| SurrealDB Ltd (Royaume-Uni) | Hébergement de la base de données | Union européenne (Irlande, AWS) | Décision d’adéquation Royaume-Uni |
| Cloudflare, Inc. (États-Unis) | Stockage des fichiers (R2), protection anti-robot (Turnstile) | Union européenne (R2) ; réseau mondial (protection) | [À COMPLÉTER : DPF / CCT] |
| Resend, Inc. (États-Unis) | Envoi d’e-mails | États-Unis | [À COMPLÉTER : CCT] |
| Stripe Payments Europe, Ltd (Irlande) | Paiement, facturation | Union européenne | Sans objet |
| Anthropic, PBC (États-Unis) | Lecture assistée de documents, rédaction et traduction | États-Unis ; données non utilisées pour l’entraînement des modèles (conditions commerciales) | [À COMPLÉTER : DPF / CCT] |
| Mistral AI (France) | OCR des extraits Kbis | Union européenne | Sans objet |
| Esri (États-Unis) | Fonds de carte (requêtes de tuiles : adresse IP) | États-Unis | [À COMPLÉTER] |
| OpenStreetMap Foundation (Royaume-Uni) | Géocodage d’adresses d’entreprises (pas de données de visiteurs) | Royaume-Uni | Décision d’adéquation |
Cette liste est tenue à jour ; toute modification substantielle est annoncée aux titulaires de compte par e-mail ou par un message dans l’espace professionnel.
6.Durées de conservation
| Données | Durée |
|---|---|
| Compte et profil | Durée de vie du compte, puis 3 ans après la dernière connexion ; suppression sur demande |
| Jetons de session, codes à usage unique, liens magiques | Session : 30 jours sans activité ; codes et liens : 10 minutes à 1 heure, puis purge |
| Extrait Kbis déposé lors d’une revendication | Durée de la revendication acceptée, puis [À COMPLÉTER : 12 mois] ; un document refusé n’est pas conservé |
| Documents déposés par les sociétés | Tant que la société les maintient en ligne, puis 1 an en archivage |
| Messages de contact, signalements, demandes de retrait | 3 ans à compter de la clôture de la demande ; la liste d’opposition est conservée sans limitation pour garantir son effet |
| Facturation | 10 ans (art. L. 123-22 du Code de commerce) |
| Journal de sécurité (adresses IP, limitation de débit) | Compteurs en mémoire : 1 minute à 24 heures ; bannissements : jusqu’à leur expiration (24 h par défaut), au plus 1 an |
| Journal des coordonnées dévoilées et mesure d’usage | 90 jours, puis suppression automatique |
| Journal d’envoi des e-mails | 12 mois |
| Lettre d’information | Jusqu’à la désinscription, puis 3 ans en liste de suppression |
| Réponses aux questionnaires d’expérimentation | Durée du programme, puis 3 ans sous forme agrégée dans le bilan |
7.Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité (pour les données que vous nous avez fournies) et d’opposition, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès. Vous pouvez retirer à tout moment un consentement donné (lettre d’information, programme d’expérimentation), sans effet sur la licéité des traitements antérieurs.
Depuis votre compte : « Mon compte » permet de modifier vos informations, de changer de mot de passe, de gérer vos alertes et la lettre d’information, et de supprimer votre compte. Les sociétés revendiquées peuvent corriger leur fiche et choisir si leur e-mail et leur téléphone sont communiqués.
Par demande : auprès du DPO / référent RGPD (section 1). Nous répondons dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes. Une pièce d’identité peut être demandée en cas de doute raisonnable sur l’identité du demandeur.
Réclamation : vous pouvez saisir la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
9.Sécurité
- Chiffrement des échanges (HTTPS/TLS) sur l’ensemble de la Plateforme ; chiffrement au repos chez les hébergeurs de la base et des fichiers.
- Mots de passe hachés avec un algorithme à coût (jamais stockés en clair) ; connexion sans mot de passe possible par code à usage unique ou lien magique ; codes limités en durée et en nombre d’essais.
- Cloisonnement des droits : espace public, espace professionnel (rattachement à une société vérifié par Kbis), back-office réservé au personnel habilité.
- Protection contre l’aspiration des données : limitation de débit par adresse, bannissement temporaire des adresses abusives, coordonnées dévoilées au clic et plafonnées, pagination bornée, interdiction d’indexation des espaces privés.
- Protection des formulaires contre les robots (champ piège, délai minimal, limitation, Turnstile).
- Extraits Kbis stockés dans un espace privé non accessible par une adresse publique.
- Sauvegardes régulières de la base de données par l’hébergeur ; journalisation des accès d’administration.
- Notification à la CNIL dans les 72 heures et information des personnes concernées en cas de violation de données présentant un risque (art. 33 et 34 RGPD).
10.Mineurs
La Plateforme s’adresse exclusivement à des professionnels. Elle n’est pas destinée aux personnes de moins de 18 ans et nous ne collectons pas sciemment de données les concernant.
11.Modifications
La présente politique peut être modifiée pour suivre l’évolution de la Plateforme, de ses prestataires ou de la réglementation. La date de dernière révision figure en tête du document ; en cas de modification substantielle, les titulaires de compte sont informés par e-mail ou par un message dans l’espace professionnel.