1. Objet et champ d’application

La société Nouveaux Territoires, société par actions simplifiée au capital de 30 000 euros, dont le siège social est situé 36 rue Antoine Maille, 13005 Marseille, immatriculée au registre du commerce et des sociétés de Marseille sous le numéro 448 137 091 (la « Société » ou « Nouveaux Territoires »), édite et héberge des solutions logicielles en mode SaaS destinées aux collectivités territoriales, à leurs groupements, aux organismes de tourisme et aux organismes de classement, commercialisées notamment sous les marques Taxesejour.fr, TATS, DéclaLoc et ClassLoc, Evaluametris, Observametris héberge et maintient des sites internet et des applications de ses clients, réalise des prestations de conseil, de développement et de création numérique et dispense des formations professionnelles.

La présente Politique de Confidentialité s’applique aux traitements de données à caractère personnel dont la Société détermine les finalités et les moyens en qualité de responsable de traitement : la consultation de ses sites internet, la gestion des comptes des utilisateurs professionnels de ses Plateformes, la journalisation, le support, la formation en ligne, la relation commerciale et contractuelle avec ses clients et prospects, la facturation, les formations professionnelles qu’elle dispense et le recrutement. Elle ne s’applique pas aux données des usagers – hébergeurs, déclarants, demandeurs et intermédiaires – traitées au moyen des téléservices que la Société héberge et exploite pour le compte de ses clients : pour ces traitements, la Société agit en qualité de sous-traitant et l’information des personnes est délivrée par le client concerné, responsable de traitement, dans les conditions rappelées à l’article 6.

2. Responsable de traitement et délégué à la protection des données

Le responsable des traitements décrits par la présente Politique de Confidentialité est la société Nouveaux Territoires, dont les coordonnées figurent à l’article 1 et qui peut être jointe par téléphone au 04.84.25.56.55 et par courrier électronique.

La Société a désigné un délégué à la protection des données, joignable par courrier électronique et par courrier postal à l’adresse du siège social, à l’attention du délégué à la protection des données. Le délégué à la protection des données est l’interlocuteur des personnes concernées pour toute question relative au traitement de leurs données et à l’exercice de leurs droits.

3. Définitions

Les termes commençant par une majuscule ont, au singulier comme au pluriel, le sens qui leur est donné ci-après ; les autres termes ont le sens que leur donne le règlement (UE) 2016/679 du 27 avril 2016 (le « RGPD »).

• « Données Personnelles » : toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement, telle qu’un nom, une adresse électronique, un identifiant de compte ou une adresse IP.
• « Personne Concernée » : la personne physique dont les Données Personnelles sont traitées, qu’il s’agisse d’un Utilisateur, d’un Contact, d’un Participant, d’un Visiteur ou d’un candidat à un emploi.
• « Plateformes » : les solutions logicielles éditées et hébergées par la Société, leurs interfaces d’administration, leurs applications et leurs outils associés, tels que le gestionnaire de demandes, la base de connaissance et l’espace de formation en ligne.
• « Utilisateur » : toute personne physique qui accède aux Plateformes sous ses identifiants propres pour le compte d’une Structure cliente de la Société, dans les conditions des Conditions Générales d’Utilisation des Plateformes Nouveaux Territoires.
• « Structure » : la personne morale cliente de la Société pour le compte de laquelle un Utilisateur agit – collectivité territoriale, établissement public, office de tourisme, organisme de classement ou toute autre personne morale.
• « Contact » : toute personne physique qui représente une Structure cliente ou un prospect ou qui intervient dans la relation commerciale et contractuelle avec la Société – élu, agent, salarié, interlocuteur technique ou financier.
• « Participant » : toute personne physique inscrite à une formation professionnelle dispensée par la Société.
• « Visiteur » : toute personne physique qui consulte les sites internet de la Société ou utilise leurs formulaires de contact.
• « Sous-traitant » : toute personne qui traite des Données Personnelles pour le compte de la Société et sur ses instructions.
• « Traceur » : tout cookie, pixel, identifiant ou dispositif similaire permettant de lire ou d’inscrire des informations dans l’équipement terminal d’une Personne Concernée.

4. Principes appliqués

La Société applique à l’ensemble de ses traitements les principes énoncés à l’article 5 du RGPD, qu’elle décline de la manière suivante.

• Licéité, loyauté et transparence : chaque traitement repose sur une base légale identifiée à l’article 5 de la présente Politique de Confidentialité et les Personnes Concernées sont informées de manière claire, complète et accessible de l’usage qui est fait de leurs données.
• Limitation des finalités : les Données Personnelles ne sont collectées que pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement d’une manière incompatible avec ces finalités.
• Minimisation : la Société ne collecte que les données adéquates, pertinentes et strictement nécessaires à chaque finalité et signale, lorsqu’un formulaire comporte des champs facultatifs, le caractère facultatif de la réponse.
• Exactitude : les Données Personnelles sont tenues exactes et à jour, notamment au moyen des fonctions de gestion des comptes et des demandes de rectification.
• Limitation de la conservation : les Données Personnelles sont conservées, sous une forme permettant l’identification, pendant une durée n’excédant pas celle nécessaire aux finalités poursuivies, puis supprimées ou anonymisées de manière irréversible, dans les conditions de l’article 9.
• Intégrité et confidentialité : les Données Personnelles sont protégées par les mesures techniques et organisationnelles décrites à l’article 10, qui garantissent leur sécurité contre tout traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle.
• Responsabilité : la Société documente ses traitements dans un registre, applique la protection des données dès la conception et par défaut à ses Plateformes et est en mesure de démontrer le respect des principes qui précèdent.

5. Traitements mis en œuvre par la Société pour son propre compte

Les traitements décrits ci-après sont présentés par finalité, avec leur base légale, les catégories de Personnes Concernées et de données traitées et leur durée de conservation. Les données sont collectées directement auprès des Personnes Concernées ou, pour les Utilisateurs et les Contacts, communiquées par la Structure qui les habilite ou les désigne, laquelle est invitée à les informer de la présente Politique de Confidentialité.

• Gestion des comptes et des accès aux Plateformes : la Société traite les données des Utilisateurs – identité, fonction, Structure de rattachement, adresse électronique professionnelle, numéro de téléphone professionnel, identifiants et habilitations – pour ouvrir, administrer, sécuriser et fermer les comptes d’accès aux Plateformes, sur le fondement de l’exécution du contrat conclu avec la Structure et, pour les Utilisateurs eux-mêmes, de l’acceptation des Conditions Générales d’Utilisation ; ces données sont conservées pendant la durée de l’habilitation de l’Utilisateur, puis pendant la durée de réversibilité prévue par le contrat de la Structure, avant suppression ou anonymisation.
• Journalisation et sécurité des Plateformes : la Société enregistre les connexions et les actions significatives réalisées dans les Plateformes – identifiant, horodatage, adresse IP, nature de l’opération – à des fins de sécurité, de traçabilité des actes et de preuve, sur le fondement de son intérêt légitime à protéger ses systèmes et ceux de ses clients et des obligations de sécurité que lui impose le RGPD ; les journaux techniques sont conservés six (6) mois, portés à un (1) an pour les journaux nécessaires à la traçabilité des actes réalisés pour le compte des Structures, sauf conservation plus longue nécessaire à l’analyse d’un incident ou à l’exercice d’un droit en justice.
• Support et gestionnaire de demandes : la Société traite les données des Utilisateurs et des Contacts qui la sollicitent – identité, coordonnées professionnelles, Structure, contenu des demandes et des échanges, captures d’écran communiquées – pour traiter leurs demandes d’assistance, diagnostiquer et résoudre les incidents et suivre la qualité du support, sur le fondement de l’exécution du contrat conclu avec la Structure ; les demandes sont conservées pendant la durée du contrat et trois (3) ans au plus après sa fin, à des fins de suivi et de preuve.
• Documentation, base de connaissance et formation en ligne : la Société traite les données d’accès des Utilisateurs à la Documentation, à la base de connaissance, aux conférences en ligne et aux modules de formation à distance – identifiants, progression, participation, résultats des évaluations – pour délivrer ces contenus et en attester le suivi, sur le fondement de l’exécution du contrat conclu avec la Structure ; ces données sont conservées pendant la durée de l’habilitation de l’Utilisateur et, pour les attestations de suivi, pendant la durée de conservation applicable aux formations professionnelles.
• Relation commerciale et contractuelle : la Société traite les données des Contacts de ses clients et de ses prospects – identité, fonction, coordonnées professionnelles, historique des échanges, devis, bons de commande et correspondances – pour répondre aux demandes de renseignements, établir les devis, conclure et exécuter les contrats, gérer les interlocuteurs désignés et suivre la relation, sur le fondement de l’exécution du contrat ou des mesures précontractuelles prises à la demande du prospect et, pour les Contacts qui ne sont pas parties au contrat, de son intérêt légitime à gérer ses relations avec les personnes morales clientes ; ces données sont conservées pendant la durée de la relation contractuelle, puis cinq (5) ans en archivage intermédiaire à des fins de preuve, les données des prospects n’ayant pas donné suite étant supprimées trois (3) ans après le dernier contact.
• Facturation et comptabilité : la Société traite les données des Contacts figurant sur les devis, bons de commande, factures et documents comptables – identité, fonction, coordonnées, références de commande – pour établir et recouvrer ses factures et tenir sa comptabilité, sur le fondement de ses obligations légales comptables et fiscales ; les documents comptables et leurs pièces justificatives sont conservés dix (10) ans à compter de la clôture de l’exercice, conformément à l’article L. 123-22 du Code de commerce.
• Prospection et communication institutionnelle : la Société adresse aux Contacts, aux Utilisateurs et aux personnes exerçant des fonctions en rapport avec ses activités au sein des collectivités, groupements et organismes des informations sur ses solutions, ses évolutions réglementaires, ses conférences en ligne, ses formations et ses événements, sur le fondement de son intérêt légitime à promouvoir ses services auprès de professionnels dont les fonctions sont en rapport avec l’objet de la sollicitation ; chaque envoi comporte un moyen simple de s’y opposer et les données sont conservées trois (3) ans à compter du dernier contact émanant de la personne, ou jusqu’à l’exercice du droit d’opposition.
• Formations professionnelles : la Société traite, en qualité d’organisme de formation, les données des Participants – identité, fonction, employeur, coordonnées professionnelles, feuilles d’émargement ou relevés de connexion, évaluations, attestations – pour organiser les sessions, établir les conventions et contrats de formation, justifier de la réalisation des actions auprès des financeurs et des autorités de contrôle et délivrer les attestations, sur le fondement de l’exécution du contrat de formation et des obligations légales de l’organisme de formation ; ces données sont conservées pendant la durée nécessaire à la justification des actions de formation auprès des financeurs et des autorités de contrôle, puis en archivage intermédiaire jusqu’à l’expiration des délais de prescription applicables.
• Sites internet, formulaires de contact et mesure d’audience : la Société traite les données des Visiteurs de ses sites – adresse IP, données de navigation, données saisies dans les formulaires de contact, de démonstration ou d’inscription – pour mettre les sites à disposition, répondre aux demandes, sécuriser les sites et mesurer leur audience, sur le fondement de son intérêt légitime pour le fonctionnement et la sécurité des sites et la réponse aux demandes, et du consentement pour les Traceurs qui le requièrent dans les conditions de l’article 12 ; les données des formulaires sont conservées le temps du traitement de la demande et au plus trois (3) ans, et les données de mesure d’audience vingt-cinq (25) mois au plus.
• Recrutement : la Société traite les données des candidats à un emploi ou à un stage – identité, coordonnées, curriculum vitae, lettre de motivation, échanges – pour examiner les candidatures et organiser les entretiens, sur le fondement des mesures précontractuelles prises à la demande du candidat et de son intérêt légitime à recruter ; les dossiers des candidats non retenus sont conservés deux (2) ans à compter du dernier contact, sauf demande de suppression anticipée, et les candidats sont informés de cette conservation.
• Gestion des demandes d’exercice de droits, des réclamations et des contentieux : la Société traite les données des personnes qui exercent leurs droits, formulent une réclamation ou sont parties à un litige – identité, coordonnées, contenu de la demande, justificatifs éventuels – pour y répondre et se défendre en justice, sur le fondement de ses obligations légales et de son intérêt légitime à la constatation, à l’exercice ou à la défense de ses droits ; les demandes d’exercice de droits sont conservées cinq (5) ans et les dossiers contentieux jusqu’à l’épuisement des voies de recours.

6. Traitements réalisés pour le compte des clients de la Société

Les données des usagers des téléservices – hébergeurs, déclarants, demandeurs, intermédiaires – et, plus généralement, les données saisies, importées ou générées dans les Plateformes pour l’accomplissement des missions des Structures sont traitées par la Société pour le compte de chaque Structure, qui en détermine les finalités et les moyens en qualité de responsable de traitement, dans les conditions de l’Accord de Traitement des Données Personnelles annexé aux Conditions Générales de Vente. L’information des personnes concernées est délivrée par chaque Structure au moyen de sa propre Politique de Confidentialité, publiée sur son téléservice, et les demandes d’exercice de droits relatives à ces traitements lui sont adressées ; lorsqu’une telle demande parvient directement à la Société, celle-ci la transmet sans délai à la Structure concernée sans y répondre au fond, sauf instruction contraire de celle-ci. La Société héberge ces données sur le territoire français, met en œuvre les mesures de sécurité décrites à l’article 10 et n’en fait aucun usage pour son propre compte, hormis la constitution de statistiques agrégées et anonymisées de manière irréversible, autorisée par les Conditions Générales de Vente.

7. Destinataires des Données Personnelles

Les Données Personnelles sont accessibles, dans la limite de leurs attributions et du besoin d’en connaître, aux services de la Société chargés de la relation client, du support, de l’exploitation des Plateformes, de la formation, de l’administration et de la comptabilité. Elles sont communiquées aux Sous-traitants qui interviennent pour le compte de la Société et sur ses instructions : prestataires d’hébergement, de connectivité, de sauvegarde et de supervision des Plateformes, dont la liste, avec la localisation de leurs sites, est publiée et tenue à jour en permanence à l’adresse www.nouveauxterritoires.fr/soustraitantRGPD ; éditeurs des outils de gestion des demandes, de messagerie, de visioconférence, d’envoi de courriers électroniques et de gestion de la relation client ; prestataire de signature électronique ; expert-comptable.

Chaque Sous-traitant est lié par un contrat lui imposant les obligations prévues à l’article 28 du RGPD. Les Données Personnelles des Contacts et des Utilisateurs sont également communiquées à la Structure pour le compte de laquelle ils agissent, pour les besoins de la gestion des habilitations et du contrat. Elles peuvent enfin être communiquées aux autorités administratives ou judiciaires, aux auxiliaires de justice et aux conseils de la Société lorsque la loi l’impose ou pour la défense de ses droits.

8. Localisation et transferts

Les Plateformes et les Données Personnelles qu’elles contiennent sont hébergées et sauvegardées dans des centres de données situés sur le territoire français. Les autres traitements décrits par la présente Politique de Confidentialité sont réalisés au sein de l’Union européenne. Lorsqu’un outil utilisé par la Société implique un transfert de Données Personnelles vers un pays situé hors de l’Union européenne ne bénéficiant pas d’une décision d’adéquation de la Commission européenne, la Société encadre ce transfert par les garanties appropriées prévues au chapitre V du RGPD, notamment les clauses contractuelles types adoptées par la Commission européenne, complétées le cas échéant de mesures supplémentaires, et en informe les Personnes Concernées sur demande.

9. Durées de conservation

Les durées de conservation propres à chaque traitement sont indiquées à l’article 5. Elles s’organisent en deux phases : une conservation en base active, pendant laquelle les données sont utilisées pour la finalité poursuivie et accessibles aux services concernés, puis, lorsque la loi ou la défense des droits de la Société le justifie, un archivage intermédiaire pendant lequel les données sont conservées avec un accès restreint pour la seule durée des obligations légales ou des délais de prescription applicables. Au terme de ces durées, les données sont supprimées ou anonymisées de manière irréversible. Les copies contenues dans les sauvegardes automatisées sont conservées jusqu’à leur expiration selon le cycle normal des sauvegardes, sans être restaurées ni utilisées à d’autres fins que la sécurité informatique.

• Comptes des Utilisateurs : durée de l’habilitation, puis durée de réversibilité prévue par le contrat de la Structure.
• Journaux de connexion et d’activité : six (6) mois pour les journaux techniques et un (1) an pour la traçabilité des actes, sauf incident ou procédure en cours.
• Demandes de support : durée du contrat, puis trois (3) ans au plus.
• Contacts des clients et documents contractuels : durée de la relation contractuelle, puis cinq (5) ans en archivage intermédiaire.
• Prospects et destinataires de la prospection : trois (3) ans à compter du dernier contact émanant de la personne, ou jusqu’à l’opposition.
• Documents comptables et pièces justificatives : dix (10) ans à compter de la clôture de l’exercice.
• Dossiers de formation : durée nécessaire à la justification des actions de formation, puis archivage intermédiaire jusqu’à l’expiration des délais de prescription.
• Formulaires de contact : durée du traitement de la demande, au plus trois (3) ans ; données de mesure d’audience : vingt-cinq (25) mois au plus.
• Candidatures non retenues : deux (2) ans à compter du dernier contact.
• Demandes d’exercice de droits : cinq (5) ans ; dossiers contentieux : jusqu’à l’épuisement des voies de recours.

10. Sécurité des Données Personnelles

La Société met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, décrites dans sa Politique de Sécurité du Système d’Information, tenue à la disposition de ses clients sur demande : hébergement des Plateformes sur des serveurs dont la Société est propriétaire, dans des centres de données sécurisés situés en France ; chiffrement des échanges ; authentification des Utilisateurs et contrôle des habilitations ; séparation des environnements ; journalisation et supervision permanente ; sauvegardes quotidiennes conservées sur des sites distincts ; gestion des vulnérabilités et des mises à jour ; sensibilisation et engagement de confidentialité du personnel ; encadrement contractuel des Sous-traitants. En cas de violation de Données Personnelles susceptible d’engendrer un risque pour les droits et libertés des Personnes Concernées, la Société la notifie à la Commission nationale de l’informatique et des libertés dans les conditions et délais prévus par l’article 33 du RGPD et, lorsque le risque est élevé, en informe les Personnes Concernées conformément à l’article 34 du RGPD ; pour les traitements réalisés pour le compte de ses clients, elle notifie la violation à la Structure concernée dans les conditions de l’Accord de Traitement des Données Personnelles.

11. Droits des Personnes Concernées

Toute Personne Concernée dispose, dans les conditions et limites prévues par les articles 15 à 22 du RGPD, du droit d’accéder à ses Données Personnelles et d’en obtenir une copie, du droit d’en demander la rectification lorsqu’elles sont inexactes ou incomplètes, du droit d’en demander l’effacement, du droit d’obtenir la limitation du traitement, du droit de s’opposer, pour des raisons tenant à sa situation particulière, aux traitements fondés sur l’intérêt légitime de la Société et, sans condition, à la prospection, du droit à la portabilité des données qu’elle a fournies et qui sont traitées sur le fondement du contrat ou de son consentement, et du droit de retirer à tout moment son consentement lorsqu’un traitement repose sur celui-ci, sans que ce retrait affecte la licéité du traitement antérieur. Elle peut également définir des directives relatives au sort de ses Données Personnelles après son décès, conformément à l’article 85 de la loi n° 78-17 du 6 janvier 1978.

Ces droits s’exercent auprès du délégué à la protection des données, joignable par courrier électronique ou par courrier postal à l’adresse du siège social. La Société répond dans les meilleurs délais et au plus tard dans un délai d’un (1) mois à compter de la réception de la demande, ce délai pouvant être prolongé de deux (2) mois compte tenu de la complexité ou du nombre des demandes, auquel cas la Personne Concernée en est informée dans le premier délai. La Société ne demande de justificatif d’identité que lorsqu’elle a des doutes raisonnables sur l’identité de l’auteur de la demande, par exemple lorsque la demande est formulée depuis une adresse électronique inconnue ou porte sur des données sensibles ; dans ce cas, seuls les éléments strictement nécessaires à la confirmation de l’identité sont demandés et ils ne sont pas conservés au-delà du traitement de la demande. Les demandes relatives aux données traitées pour le compte d’une Structure sont transmises à celle-ci dans les conditions de l’article 6. Toute Personne Concernée peut, en outre, introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

12. Traceurs et cookies

Les sites et les Plateformes de la Société utilisent des Traceurs. Les Traceurs strictement nécessaires à la fourniture du service demandé par la Personne Concernée – Traceurs d’authentification et de session, de sécurité, d’équilibrage de charge, de mémorisation des choix exprimés et de préférences d’affichage – sont déposés sans consentement, conformément à l’article 82 de la loi n° 78-17 du 6 janvier 1978. Les Traceurs de mesure d’audience ne sont déposés sans consentement que lorsqu’ils sont limités à la production de statistiques anonymes, sans recoupement ni suivi de la navigation sur d’autres sites, dans les conditions admises par la Commission nationale de l’informatique et des libertés ; à défaut, ils sont soumis au consentement préalable de la Personne Concernée, de même que tout autre Traceur non strictement nécessaire. Le consentement est recueilli au moyen d’un dispositif permettant d’accepter ou de refuser les Traceurs avec la même facilité, est conservé six (6) mois au plus et peut être retiré à tout moment au moyen du module de gestion des Traceurs accessible depuis chaque page. La durée de vie des Traceurs n’excède pas treize (13) mois et les informations collectées par leur intermédiaire ne sont pas conservées plus de vingt-cinq (25) mois. La Personne Concernée peut également paramétrer son navigateur pour refuser les Traceurs, le refus des Traceurs strictement nécessaires pouvant empêcher l’utilisation des Plateformes.

13. Modification de la Politique de Confidentialité

La Société peut modifier la présente Politique de Confidentialité pour tenir compte des évolutions de ses traitements, de ses outils ou de la réglementation. La version en vigueur, identifiée par son numéro et sa date, est publiée sur les sites et les Plateformes de la Société ; toute modification substantielle est portée à la connaissance des Utilisateurs par une notification dans les Plateformes ou par courrier électronique. Les versions antérieures sont conservées par la Société et communiquées sur demande.