Politique RGPD — Témoignages

1 Responsable de traitement

Conformément à l'article 4 (7) du RGPD, le responsable du traitement des données collectées via le formulaire de témoignage est :

Élément	Valeur
Dénomination	UpFmIA (entreprise individuelle)
Marque commerciale	FACILITYAI
SIREN	419 857 818
Site internet	expertise-fm.fr
Représentant légal	Rodolphe BATTANT, Fondateur
Adresse postale	Cayenne, Guyane française (973)
Contact RGPD	contact@expertise-fm.fr
Délai de réponse	30 jours maximum (article 12 RGPD)

📍 Délégué à la protection des données : Le responsable de traitement n'est pas tenu de désigner un DPO au sens de l'article 37 RGPD. Toutes les demandes RGPD sont traitées directement par le représentant légal à l'adresse contact@expertise-fm.fr.

2 Finalité du traitement

Le traitement de vos données personnelles a pour finalité unique de recueillir, valider et publier votre témoignage sur la plateforme FACILITYAI dans le cadre du programme beta-testeurs.

▶ Objectifs précis

Vérifier votre identité comme beta-testeur authentique du programme pilote
Permettre la publication de votre retour d'expérience après votre validation
Garantir la transparence vis-à-vis des autres professionnels du Facility Management
Vous notifier en cas d'événement important sur votre témoignage (publication, expiration, demande de prolongation)
Vous permettre d'exercer vos droits (modification, retrait, prolongation)

▶ Aucune finalité commerciale ou publicitaire

✓ Engagement formel : vos données ne sont jamais utilisées pour de la prospection commerciale, du profilage publicitaire, du ciblage marketing ou la création de profils de comportement. Aucun cookie publicitaire n'est associé à votre témoignage.

3 Bases légales du traitement

Le traitement repose sur deux bases légales prévues par l'article 6 du RGPD :

▶ 3.1 — Consentement explicite Art. 6.1.a RGPD

Vous donnez votre consentement libre, spécifique, éclairé et univoque via les quatre cases à cocher du formulaire :

Acceptation des conditions de collecte et de traitement
Consentement à la publication anonymisée du témoignage
Certification du statut de beta-testeur
Engagement sur l'authenticité du témoignage

🔓 Retrait du consentement : vous pouvez retirer votre consentement à tout moment, sans justification, via le lien personnel envoyé par email après chaque soumission.

▶ 3.2 — Intérêt légitime Art. 6.1.f RGPD

L'intérêt légitime du responsable de traitement consiste à :

Garantir la transparence et la véracité des témoignages publiés
Lutter contre les faux avis en ligne (article L.111-7-2 du Code de la consommation)
Conserver la preuve du consentement (article 7.1 RGPD)

Cet intérêt légitime ne prévaut que tant qu'il ne porte pas atteinte à vos droits et libertés fondamentaux. Vous pouvez vous y opposer à tout moment (voir section 8 — Vos droits).

4 Données collectées

Conformément au principe de minimisation des données (article 5.1.c RGPD), seules les données strictement nécessaires sont collectées.

▶ 4.1 — Données publiées

Les données suivantes apparaissent sur le témoignage public :

Donnée	Format publié	Caractère
Initiales	Ex : « R.B. »	Obligatoire
Fonction professionnelle	Ex : « Directeur Patrimoine »	Obligatoire
Type d'établissement	Ex : « Université »	Optionnel
Région	Ex : « Guyane »	Optionnel
Date début beta-test	Ex : « 04/2026 »	Obligatoire (mention légale)
Note attribuée	Sur 5 étoiles	Obligatoire
Contenu du témoignage	50 à 1 500 caractères	Obligatoire

▶ 4.2 — Données non publiées (collecte interne uniquement)

Donnée	Usage
Adresse email	Validation, droit de retrait, notifications RGPD
Adresse IP	Sécurité (anti-spam, anti-doublon) — anonymisée après 30 jours
User-Agent navigateur	Sécurité (détection de bots) — anonymisé après 30 jours
Horodatage soumission	Preuve du consentement (article 7.1 RGPD)
Tokens uniques	Confirmation, retrait, prolongation (générés UUID v4)

▶ 4.3 — Mention obligatoire « beta-testeur »

⚠️ Obligation de transparence : votre statut de beta-testeur est affiché publiquement avec votre date de début (ex : « Beta-testeur depuis 04/2026 »). Cette mention est légalement requise par l'article L.111-7-2 du Code de la consommation pour respecter la transparence vis-à-vis des consommateurs.

▶ 4.4 — Données strictement non collectées

Nom complet (jamais demandé, jamais publié)
Numéro de téléphone
Adresse postale précise (seule la région est publiée si renseignée)
Données de santé, opinions politiques, religieuses, syndicales, orientation
Numéro de sécurité sociale, identifiants nationaux
Données bancaires

5 Durées de conservation

Conformément à l'article 5.1.e du RGPD (limitation de la conservation), les durées appliquées sont les suivantes :

Type de donnée	Durée	Action en fin de période
Témoignage publié (contenu, initiales, fonction, etc.)	36 mois maximum	Notification J-30 → suppression définitive ou prolongation 36 mois
Adresse email	36 mois maximum (lié au témoignage)	Suppression complète
Adresse IP & User-Agent	30 jours	Anonymisation (purge automatique)
Tokens (confirmation, retrait, prolongation)	36 mois	Suppression avec le témoignage
Logs de sécurité (tentatives échouées, etc.)	1 an	Suppression automatique
Témoignage retiré par l'utilisateur	30 jours (sauvegarde de sécurité)	Suppression définitive et irréversible

🔄 Notification J-30 : 30 jours avant l'expiration de votre témoignage, un email vous sera envoyé pour vous proposer soit une prolongation de 36 mois supplémentaires, soit la suppression naturelle. Sans action de votre part, le témoignage est automatiquement supprimé à l'échéance.

6 Destinataires des données

Vos données sont accessibles uniquement aux destinataires suivants :

Destinataire	Données vues	Finalité
Vous-même	Toutes vos données	Consultation, modification, retrait via lien personnel
Responsable de traitement (Rodolphe BATTANT)	Toutes les données soumises	Modération, validation, gestion des droits
Public (visiteurs du site)	Données publiées uniquement (voir §4.1)	Information des autres professionnels FM
Sous-traitants techniques	Strictement ce qui est nécessaire au service	Voir section 7
Autorités compétentes	Sur réquisition judiciaire uniquement	Obligation légale (article 6.1.c RGPD)

✓ Aucune cession commerciale : vos données ne sont jamais vendues, louées, échangées ou cédées à des partenaires commerciaux, annonceurs, courtiers en données ou plateformes publicitaires.

7 Sous-traitants & transferts hors UE

Pour assurer le fonctionnement technique de la plateforme, des sous-traitants certifiés interviennent dans le traitement de vos données. Conformément à l'article 28 du RGPD, ils sont liés par des contrats de sous-traitance.

▶ 7.1 — Liste exhaustive des sous-traitants

Sous-traitant	Rôle	Données traitées	Localisation
Supabase Inc.	Base de données & authentification	Toutes les données du témoignage	États-Unis 🇺🇸
Resend Inc.	Envoi d'emails transactionnels	Adresse email, contenu de l'email	États-Unis 🇺🇸
OVH SAS	Hébergement web (pages HTML/CSS/JS)	Adresse IP de connexion uniquement	France 🇫🇷
Cloudflare Inc.	CDN & protection anti-DDoS	Adresse IP, en-têtes HTTP	États-Unis 🇺🇸
cron-job.org (Servustec GmbH)	Déclencheur de tâches automatisées	Aucune donnée personnelle (déclencheur uniquement)	Allemagne 🇩🇪

▶ 7.2 — Encadrement juridique des transferts hors UE

📜 Garanties RGPD : les transferts vers les États-Unis (Supabase, Resend, Cloudflare) sont encadrés par les Clauses Contractuelles Types (CCT / SCC) de la Commission européenne (décision 2021/914), conformément à l'article 46.2.c du RGPD. Chaque sous-traitant a publiquement adhéré au cadre Data Privacy Framework (DPF) UE-USA.

Vous pouvez consulter directement leurs politiques RGPD :

▶ 7.3 — Aucun autre destinataire

Aucune autre entité, hors les sous-traitants listés ci-dessus, n'a accès à vos données personnelles, sauf obligation légale (article 6.1.c RGPD).

8 Vos droits CNIL

Conformément aux articles 15 à 22 du RGPD et à la Loi Informatique et Libertés du 6 janvier 1978 modifiée, vous disposez des droits suivants :

Droit	Référence	Description
Droit d'accès	Art. 15 RGPD	Obtenir la confirmation que vos données sont traitées et en obtenir une copie.
Droit de rectification	Art. 16 RGPD	Faire corriger des données inexactes ou incomplètes.
Droit à l'effacement (« droit à l'oubli »)	Art. 17 RGPD	Demander la suppression définitive de vos données.
Droit à la limitation	Art. 18 RGPD	Demander le gel temporaire du traitement.
Droit d'opposition	Art. 21 RGPD	Vous opposer au traitement pour motif légitime impérieux.
Droit à la portabilité	Art. 20 RGPD	Recevoir vos données dans un format structuré et lisible.
Droit de retrait du consentement	Art. 7.3 RGPD	Retirer votre consentement à tout moment, sans justification.
Droit aux directives post-mortem	Art. 85 LIL	Définir le sort de vos données après votre décès.

▶ Comment exercer vos droits

Trois moyens sont à votre disposition :

Lien personnel envoyé par email après chaque action (soumission, validation) : retrait, prolongation directs en un clic.
Email à contact@expertise-fm.fr avec la mention « Demande RGPD » dans l'objet.
Courrier postal : précisez votre identité, votre demande précise, et joignez une copie d'une pièce d'identité (qui sera détruite après traitement).

⏱ Délai de réponse : 30 jours maximum à compter de la réception de la demande, conformément à l'article 12.3 RGPD. Ce délai peut être prolongé de 60 jours en cas de complexité particulière, avec information préalable.

9 Sécurité des données

Conformément à l'article 32 du RGPD, des mesures techniques et organisationnelles appropriées sont mises en œuvre pour garantir la confidentialité, l'intégrité et la disponibilité de vos données.

▶ Mesures techniques

Chiffrement en transit : connexions HTTPS/TLS 1.3 obligatoires
Chiffrement au repos : base de données chiffrée AES-256 (Supabase)
Row-Level Security (RLS) : isolation stricte des accès aux données
Tokens UUID v4 cryptographiques : impossibles à deviner ou bruter
Limitation de débit (rate-limiting) : protection anti-spam et anti-bot
Anonymisation IP : purge automatique après 30 jours
Cron de purge automatique : suppression mensuelle des données expirées
Logs de sécurité : surveillance en continu des tentatives d'intrusion

▶ Mesures organisationnelles

Accès aux données limité au seul responsable de traitement (mot de passe fort + double authentification email)
Sauvegardes chiffrées quotidiennes
Procédure documentée de notification de violation (article 33-34 RGPD)
Sensibilisation continue aux bonnes pratiques RGPD

▶ Notification en cas de violation

🚨 Engagement de transparence : en cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, vous serez personnellement notifié dans les 72 heures suivant la prise de connaissance de l'incident, conformément à l'article 34 du RGPD, en plus de la notification obligatoire à la CNIL.

10 Authenticité des témoignages

FACILITYAI s'engage à ne publier que des témoignages authentiques, issus de beta-testeurs réels du programme pilote.

▶ Engagement sur l'honneur

Lors de la soumission, chaque témoin certifie sur l'honneur :

Être effectivement beta-testeur du programme FACILITYAI à la date indiquée
Que le contenu du témoignage est authentique, personnel et non rémunéré
Avoir librement consenti à sa publication

▶ Mesures de vérification

Validation de l'adresse email par double opt-in (token unique)
Délai de réflexion de 48 heures avant publication
Modération préalable par le responsable de traitement
Mention obligatoire du statut beta-testeur publiée
Conservation horodatée du consentement (article 7.1 RGPD)

▶ Cadre légal applicable

📜 Conformité loi consommation : cette politique respecte l'article L.111-7-2 du Code de la consommation et la norme ISO 20488:2018 relative aux avis en ligne de consommateurs. Aucun témoignage n'est rédigé, modifié ou rémunéré par UpFmIA.

11 Cookies & traceurs

La page de soumission de témoignage ne dépose aucun cookie de mesure d'audience, de profilage ou publicitaire.

▶ Cookies strictement nécessaires

Cookie	Finalité	Durée	Consentement
Cookie de session technique	Maintien de la session lors du remplissage du formulaire	Session navigateur	Non requis (exemption art. 82 LIL)
Cookie Cloudflare (__cf_bm)	Protection anti-bot	30 minutes	Non requis (sécurité essentielle)

Pour la politique cookies complète du site FACILITYAI, consultez la page Politique de confidentialité.

12 Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits RGPD ne sont pas respectés, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), conformément à l'article 77 du RGPD.

▶ Coordonnées de la CNIL

Élément	Valeur
Adresse postale	3 Place de Fontenoy — TSA 80715 — 75334 PARIS CEDEX 07
Téléphone	01 53 73 22 22 (du lundi au jeudi de 9h à 18h30, vendredi 9h-18h)
Site web	www.cnil.fr
Plainte en ligne	www.cnil.fr/fr/plaintes

💡 Recommandation : avant de saisir la CNIL, nous vous invitons à nous contacter directement à contact@expertise-fm.fr. La majorité des demandes sont traitées en moins de 7 jours.