1. Qui traite quoi ?

Proofaris édite OptOutProof. Pour les comptes, la sécurité du service, le support, la facturation et le fonctionnement du site, l’éditeur traite les données nécessaires à ses propres finalités. Pour les registres d’opposition, vérifications, relays et journaux gérés sur instruction d’un client, OptOutProof est conçu pour intervenir comme sous-traitant du client, sous réserve de la qualification réelle prévue par le contrat et les usages.

2. Données traitées

Le service peut traiter des identifiants de compte, coordonnées professionnelles, empreintes pseudonymisées de téléphone/email, indices masqués, références de transmission, types/canaux/dates d’événements, accusés de relay, snapshots d’attestation scellée, jetons opaques de vérification et journaux de sécurité. Le lead métier complet n’est pas nécessaire au fonctionnement standard.

3. Finalités

Fourniture et sécurisation du service, authentification, vérification d’une liste repoussoir propre au client, enregistrement et traçabilité d’événements, génération et vérification d’attestations techniques d’intégrité, relays configurés par le client, support, administration et respect des obligations légales de l’éditeur. Une liste repoussoir n’est pas utilisée pour du ciblage, scoring, enrichissement ou mutualisation entre clients indépendants.

4. Bases juridiques

Selon le traitement : exécution du contrat ou mesures précontractuelles, obligations légales, intérêts légitimes liés à la sécurité et au fonctionnement du service. Pour les traitements réalisés pour le compte d’un client, la détermination de la base juridique relève du responsable de traitement client.

5. Cloisonnement et pseudonymisation

Les empreintes sont calculées dans l’espace de chaque client. Un CHECK d’un client ne consulte pas la liste d’un autre client indépendant. Les empreintes pseudonymisées restent des données personnelles et ne sont pas présentées comme anonymes.

6. Destinataires et sous-traitants

Les données sont accessibles aux personnes habilitées et aux prestataires nécessaires au service dans les limites de leurs missions. Hébergeur déclaré : À compléter, À compléter. Sous-traitants ultérieurs : À compléter.

7. Transferts hors EEE

À compléter. Tout transfert éventuel doit être documenté et encadré conformément au chapitre V du RGPD.

8. Conservation

Les entrées de liste repoussoir utilisent une date de revue à trois ans comme repère produit cohérent avec la recommandation CNIL de conserver l’information d’opposition au minimum trois ans. Il ne s’agit pas d’une expiration automatique universelle : la durée réellement applicable est documentée par le responsable de traitement selon la finalité, les obligations et les éventuels besoins de défense de droits. Les attestations V1/V2 suivent la conservation du dossier d’événement associé ; elles ne sont pas destinées à être conservées indépendamment sans finalité. Les journaux techniques sont conservés pour une durée limitée définie dans la politique interne.

9. Vos droits

Pour les données gérées dans le registre d’un client, la demande doit en principe être adressée à ce client, responsable de traitement ; OptOutProof l’assiste lorsque le contrat le prévoit. Pour les traitements propres à Proofaris, vous pouvez écrire à contact@proofaris.fr. Vous disposez des droits prévus par le RGPD selon leur champ d’application et pouvez introduire une réclamation auprès de la CNIL.

10. Cookies et stockage local

La version actuelle utilise les éléments strictement nécessaires au fonctionnement, à la session, à la sécurité et à l’expérience PWA. Si des outils de mesure d’audience ou marketing non nécessaires sont ajoutés, la présente politique et le mécanisme de consentement devront être adaptés.

11. Sécurité

Le service met en œuvre notamment cloisonnement des espaces, contrôle d’accès, 2FA, protection CSRF, pseudonymisation, journalisation ciblée et sauvegardes protégées. Aucune mesure ne supprime totalement le risque ; les mesures sont réévaluées selon le niveau de risque.