Politique de confidentialité — Sentio by QleanAir

Version : 1.0 (brouillon — en cours de validation juridique) Date d'effet : [À COMPLÉTER: date d'effet de la version publiée] Dernière mise à jour : [À COMPLÉTER: date de dernière mise à jour]

1. Préambule

La présente politique de confidentialité (ci-après « Politique ») décrit la manière dont la société QleanAir Scandinavia - France SA (ci-après « QleanAir », « nous », « notre ») collecte, utilise, conserve et protège les données à caractère personnel des utilisateurs (ci-après « vous », « l'Utilisateur ») de la plateforme Sentio by QleanAir (ci-après la « Plateforme »), accessible à l'adresse https://qleanair-sentio.com.

Elle est rédigée en application du Règlement (UE) 2016/679 du 27 avril 2016 dit RGPD et de la loi n° 78-17 du 6 janvier 1978 modifiée dite Loi Informatique et Libertés.

QleanAir s'engage à respecter la vie privée de ses utilisateurs et à traiter leurs données personnelles avec la plus grande diligence, en conformité avec les recommandations de la Commission nationale de l'informatique et des libertés (CNIL).

2. Identité du responsable de traitement

Le responsable de traitement, au sens de l'article 4.7 du RGPD, est :

QleanAir Scandinavia - France SA

• Siège social : 30 rue Godot de Mauroy, 75009 Paris, France
• Agence : 25 rue de la Milletière, 37100 Tours, France
• SIREN : [À COMPLÉTER: numéro SIREN]
• RCS : [À COMPLÉTER: ville et numéro RCS]
• Capital social : [À COMPLÉTER: montant du capital social]
• Numéro de TVA intracommunautaire : [À COMPLÉTER: numéro TVA]
• Site internet : https://qleanair.com
• Courriel de contact : [À COMPLÉTER: adresse courriel générique de contact]

3. Délégué à la protection des données (DPO)

Conformément à l'article 37 du RGPD, QleanAir a désigné un Délégué à la Protection des Données (DPO) auprès de la CNIL.

• Identité du DPO : [À COMPLÉTER: nom et qualité du DPO]
• Courriel : [À COMPLÉTER: adresse courriel du DPO, ex. dpo@qleanair.com]
• Courrier postal : DPO — QleanAir Scandinavia - France SA, 30 rue Godot de Mauroy, 75009 Paris, France

Vous pouvez contacter le DPO pour toute question relative au traitement de vos données personnelles ou à l'exercice de vos droits.

4. Données traitées, finalités et bases légales

Conformément à l'article 13 du RGPD, vous trouverez ci-dessous le détail des traitements opérés par la Plateforme.

4.1. Données de compte et d'authentification utilisateur

• Données collectées : nom, prénom, adresse de courriel professionnel, rôle attribué (Admin interne / Commercial / Client / Technicien), organisation de rattachement, identifiant interne, journaux d'authentification, adresse IP, en-tête User-Agent du navigateur.
• Finalité : création et gestion du compte utilisateur, authentification, sécurisation des accès, traçabilité des actions critiques.
• Base légale : exécution du contrat conclu entre QleanAir et l'organisation cliente (article 6.1.b du RGPD).
• Destinataires : équipes habilitées de QleanAir (support, exploitation, administration), administrateurs désignés au sein de l'organisation cliente.
• Durée de conservation : pendant toute la durée du contrat client. Les comptes inactifs depuis plus de 36 mois font l'objet d'une anonymisation automatique.

4.2. Données techniques issues des capteurs

• Données collectées : mesures environnementales horodatées issues des capteurs réellement déployés — Milesight AM319 / AM308 (CO₂, PM2.5, PM10, COVT, température, humidité, pression atmosphérique, luminosité) et Radonova Spirit (radon) —, identifiants techniques des capteurs (DevEUI), identifiants des gateways LoRaWAN, métadonnées de transmission (RSSI, horodatage).
• Finalité : fourniture du service de surveillance de la qualité de l'air intérieur, génération des tableaux de bord, alertes et rapports.
• Base légale : exécution du contrat (article 6.1.b du RGPD). Pour les mesures de radon en environnement de travail, obligation légale au titre du Code du travail, articles R.4451-1 à R.4451-25 (article 6.1.c du RGPD).
• Destinataires : utilisateurs habilités de l'organisation cliente, équipes techniques de QleanAir.
• Particularité : ces données ne contiennent pas, en elles-mêmes, d'information directement identifiante au sens de l'article 4.1 du RGPD. Toutefois, leur association à un site et à des occupants peut, indirectement, concerner des personnes physiques.
• Durée de conservation : 24 mois pour les séries temporelles brutes ; 10 ans pour les agrégats journaliers et mensuels ; 50 ans pour les données de dosimétrie radon (traçabilité dosimétrique imposée par le Code du travail).

4.3. Photographies importées dans le module Calendrier

• Données collectées : fichiers image téléversés par l'Utilisateur. Les métadonnées EXIF sont systématiquement supprimées côté serveur à l'importation.
• Finalité : permettre à l'Utilisateur d'enrichir son journal de bord et la traçabilité des interventions de remédiation.
• Base légale : exécution du contrat (article 6.1.b du RGPD) ; intérêt légitime de QleanAir et de l'organisation cliente à assurer la traçabilité opérationnelle (article 6.1.f du RGPD).
• Destinataires : utilisateurs habilités de l'organisation cliente.
• Mesures : un mécanisme de modération est en place ; il appartient à l'Utilisateur de ne pas téléverser de photographies représentant des tiers identifiables sans base légale appropriée.
• Durée de conservation : 12 mois à compter de la date d'import.

4.4. Notes libres saisies dans le module Calendrier

• Données collectées : texte saisi librement par l'Utilisateur dans le module Calendrier.
• Finalité : permettre à l'Utilisateur d'annoter ses observations et ses actions.
• Base légale : exécution du contrat (article 6.1.b du RGPD).
• Mesures : un classifieur de données personnelles analyse les notes lors de la saisie. Si des éléments sensibles sont détectés (numéro de sécurité sociale, coordonnées bancaires, données de santé), la note est placée en quarantaine et n'est pas indexée tant qu'elle n'a pas été revue par l'Utilisateur ou son administrateur.
• Durée de conservation : 24 mois à compter de la date de saisie.

4.5. Rapports PDF générés

• Données collectées : nom et prénom du rédacteur, observations rédigées, agrégats de mesures, période couverte, identifiant du site.
• Finalité : production des rapports réglementaires et de suivi destinés aux clients de QleanAir.
• Base légale : exécution du contrat (article 6.1.b du RGPD) ; obligation légale pour les rapports radon (article 6.1.c du RGPD).
• Durée de conservation : 5 ans à compter de la génération, en cohérence avec la prescription civile en matière contractuelle (article 2224 du Code civil).

4.6. Journaux d'accès et d'audit applicatif

• Données collectées : horodatage, identifiant utilisateur, identifiant tenant, type d'action (lecture, écriture, suppression, export, administration), adresse IP, code de réponse.
• Finalité : sécurité du système d'information, détection des incidents, preuve des actions critiques, conformité aux obligations de traçabilité.
• Base légale : intérêt légitime à assurer la sécurité du service (article 6.1.f du RGPD).
• Durée de conservation : 12 mois, conformément aux recommandations de la CNIL en matière de journalisation.

4.7. Cookies et traceurs

Les cookies déposés par la Plateforme sont décrits en détail dans la Politique cookies distincte (politique-cookies.md). À ce jour, seuls des cookies strictement nécessaires au fonctionnement du service sont utilisés ; aucun traceur tiers à finalité publicitaire ou analytique n'est déposé.

5. Destinataires des données et sous-traitants

Conformément à l'article 28 du RGPD, QleanAir n'a recours qu'à des sous-traitants présentant des garanties suffisantes.

5.1. Destinataires internes

• Équipes habilitées de QleanAir (exploitation, support, sécurité, administration).
• Utilisateurs de l'organisation cliente, dans la limite des rôles qui leur sont attribués.

5.2. Sous-traitants

L'ensemble de la collecte des trames LoRaWAN et de leur décodage est opéré sur l'infrastructure auto-hébergée de QleanAir (serveur de réseau LoRaWAN et broker IoT hébergés chez OVHcloud). Aucun opérateur de réseau LoRaWAN tiers n'intervient dans la collecte des données pour les sites équipés par QleanAir.

5.3. Services tiers techniques (appels serveur)

Outre les sous-traitants ci-dessus, la Plateforme s'appuie sur deux services tiers fournissant des données publiques d'environnement :

Ces services reçoivent uniquement des paramètres géographiques techniques et ne traitent aucune donnée à caractère personnel relative aux Utilisateurs. Ils ne déposent aucun cookie ni traceur sur votre terminal (cf. Politique cookies). Le chargement des fonds de carte IGN transmet à un service public souverain français les coordonnées des tuiles affichées, sans exposition de données personnelles.

Aucun autre service ou sous-traitant n'intervient dans le traitement des données.

6. Transferts hors Union européenne

Aucune donnée à caractère personnel traitée par la Plateforme ne fait l'objet d'un transfert hors de l'Union européenne. L'ensemble des données est hébergé en France, sur l'infrastructure d'OVHcloud SAS.

Les services tiers techniques interrogés par le serveur (cf. section 5.3) sont établis dans l'Union européenne (Open-Meteo — Allemagne) ou en France (IGN Géoplateforme), et ne reçoivent que des paramètres géographiques techniques, à l'exclusion de toute donnée personnelle.

Aucun outil d'analyse, de mesure d'audience ou de communication tiers basé hors UE n'est intégré à la Plateforme.

7. Sécurité des données

Conformément à l'article 32 du RGPD, QleanAir met en œuvre les mesures techniques et organisationnelles appropriées pour garantir la sécurité des données personnelles, notamment :

• chiffrement des communications par TLS 1.2 ou supérieur ;
• chiffrement des données stockées (AES-256) au repos ;
• isolation logique stricte par client (cloisonnement multi-tenant appliqué au niveau de la base de données) ;
• authentification à deux facteurs (2FA) pour les comptes administrateurs — en cours de déploiement ;
• journalisation et auditabilité des accès et des actions sensibles ;
• politique interne de gestion des habilitations et revue périodique des accès ;
• sauvegardes régulières des données et procédures de restauration documentées ;
• procédures de réponse à incident incluant la notification à la CNIL sous 72 heures en cas de violation (article 33 du RGPD).

8. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (article 15) : obtenir la confirmation que des données vous concernant sont traitées et en recevoir copie.
• Droit de rectification (article 16) : faire corriger les données inexactes ou incomplètes.
• Droit à l'effacement (article 17) : obtenir l'effacement de vos données, dans les conditions prévues par le RGPD.
• Droit à la limitation du traitement (article 18) : demander la limitation du traitement de vos données.
• Droit à la portabilité (article 20) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (un export au format JSON est proposé).
• Droit d'opposition (article 21) : vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l'intérêt légitime.
• Droit de retirer votre consentement (article 7.3) lorsque le traitement est fondé sur celui-ci.
• Droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la Loi Informatique et Libertés).

8.1. Comment exercer vos droits

Vous pouvez exercer vos droits :

• Via le portail DPO intégré à la Plateforme, depuis votre espace utilisateur.
• Par courriel à : [À COMPLÉTER: adresse courriel DPO].
• Par courrier postal à : DPO — QleanAir Scandinavia - France SA, 30 rue Godot de Mauroy, 75009 Paris.

Une preuve d'identité pourra être demandée en cas de doute raisonnable sur l'identité du demandeur.

QleanAir s'engage à répondre à votre demande dans un délai d'un mois à compter de sa réception, conformément à l'article 12.3 du RGPD. Ce délai peut être prolongé de deux mois en cas de demande complexe, après vous en avoir informé.

Les données de la Plateforme sont conservées dans une base de données PostgreSQL unique (sans entrepôt ni silo annexe). La propagation technique des demandes (effacement, rectification) y est appliquée dans un délai inférieur à 30 jours, sauvegardes comprises selon leur cycle de rotation.

8.2. Recours auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) :

• En ligne : https://www.cnil.fr/fr/plaintes
• Par courrier : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

9. Modifications de la politique

La présente Politique peut être amenée à évoluer. Toute modification substantielle sera portée à la connaissance des utilisateurs par notification sur la Plateforme et, le cas échéant, par courriel. La date de dernière mise à jour figure en tête du document.

10. Contact

Pour toute question relative à la présente Politique, vous pouvez contacter :

• Le DPO : [À COMPLÉTER: adresse courriel DPO]
• Le service client de QleanAir : [À COMPLÉTER: adresse courriel service client]