Politique de confidentialité EventOps

Version 1.0 — 21 septembre 2026

Rose Code SAS — [ADRESSE DU SIÈGE] — SIREN [SIREN] — privacy@eventops.fr

Préambule

La présente politique de confidentialité décrit la manière dont Rose Code SAS collecte, utilise, conserve et protège les données personnelles dans le cadre de l'exploitation de la plateforme EventOps, accessible via le back-office web et l'application mobile de terrain.

EventOps est destinée exclusivement à une clientèle professionnelle (organisations). Cette politique s'adresse aux utilisateurs individuels de la plateforme, qu'ils soient membres d'une ou de plusieurs organisations.

Identité du responsable de traitement

Le responsable de traitement pour les traitements décrits dans la présente politique est :

Rose Code SAS

[ADRESSE DU SIÈGE]

SIREN [SIREN]

Contact : privacy@eventops.fr

Rose Code SAS n'a pas désigné de délégué à la protection des données (DPO). Pour toute question relative à la protection de vos données personnelles, vous pouvez contacter notre équipe à l'adresse privacy@eventops.fr.

Répartition des rôles : responsable de traitement et sous-traitant

Pourquoi cette distinction est importante

Selon les données concernées et l'entité qui décide de la manière dont elles sont traitées, Rose Code SAS n'intervient pas toujours dans le même rôle juridique au sens du Règlement général sur la protection des données (RGPD). Cette section explique clairement cette répartition.

Rose Code SAS, responsable de traitement autonome

Pour certains traitements, Rose Code SAS décide seule des finalités et des moyens. Il s'agit notamment de :

• la gestion des comptes utilisateurs (création, authentification, sécurité) ;
• la sécurité et la stabilité de la plateforme ;
• le traitement des demandes de support ;
• le traitement des demandes d'exercice des droits RGPD ;
• l'observabilité technique (journaux, diagnostic d'erreurs).

Pour ces traitements, Rose Code SAS est responsable de traitement autonome.

L'organisation cliente, responsable de traitement ; Rose Code SAS, sous-traitant

Lorsqu'une organisation cliente utilise EventOps pour gérer ses propres données opérationnelles — membres, événements, main courante, documents, messages, fichiers — c'est l'organisation qui décide des finalités et des moyens de ce traitement. Rose Code SAS intervient alors uniquement en tant que sous-traitant au sens de l'article 28 du RGPD, en traitant ces données pour le compte et sur instruction de l'organisation cliente.

Un contrat de traitement de données (Data Processing Agreement, DPA), conforme à l'article 28 du RGPD, est incorporé dans les conditions générales d'utilisation d'EventOps.

Absence de responsabilité conjointe

Rose Code SAS et ses clients n'exercent pas une responsabilité conjointe au sens de l'article 26 du RGPD. Les rôles sont distincts selon la répartition décrite ci-dessus.

Données collectées et finalités

Compte et accès

Données collectées :

• Nom, adresse e-mail, photo de profil, langue préférée
• Mot de passe haché
• Preuve de vérification de l'adresse e-mail
• Secrets MFA chiffrés, sessions actives
• Tentatives de connexion, verrouillage de compte

Finalité : création et sécurisation du compte, authentification, mémorisation des préférences utilisateur.

Base légale : exécution du contrat (article 6.1.b du RGPD).

Appartenance aux organisations

Données collectées :

• Rôle au sein de l'organisation, statut actif ou inactif
• Nom et photo locaux, type d'adhésion
• Données personnalisées définies par l'organisation
• Date d'entrée dans l'organisation

Finalité : gestion des accès et des droits, annuaire interne de l'organisation.

Base légale : exécution du contrat (article 6.1.b du RGPD).

Activité événementielle

Données collectées :

• Événements, équipes, affectations, présences
• Main courante, corrections, contributions, commentaires

Finalité : préparation, coordination et historique opérationnel des événements.

Base légale : exécution du contrat (article 6.1.b du RGPD).

Collaboration et fichiers

Données collectées :

• Messages et pièces jointes
• Documents et leurs versions, dossiers, liens partagés

Finalité : échanges et partage de ressources au sein de l'organisation.

Base légale : exécution du contrat (article 6.1.b du RGPD).

Communications

Données collectées :

• Notifications push, préférences de notification, abonnements
• E-mails de service

Finalité : alertes et informations nécessaires au fonctionnement du service.

Base légale : exécution du contrat (article 6.1.b du RGPD).

Note sur la prospection commerciale future : une fonctionnalité d'e-mails commerciaux est prévue. Elle sera basée sur un opt-in explicite et révocable, et sera désactivée par défaut. Elle ne sera activée qu'après mise à jour de la présente politique et recueil d'un consentement valable.

Sécurité et traçabilité

Données collectées :

• Journal d'audit, événements de sécurité
• Identifiants techniques, adresse IP et agent utilisateur (anonymisés après 90 jours)

Finalité : contrôle d'accès, enquête sur incidents, traçabilité opérationnelle.

Base légale : intérêt légitime de Rose Code SAS (article 6.1.f du RGPD).

Support et exercice des droits

Données collectées :

• Adresse e-mail, objet, description, pièces jointes
• Type de droit exercé, périmètre, référence, état de transmission

Finalité : traitement des demandes de support et des demandes d'exercice des droits, preuve d'enregistrement.

Base légale : exécution du contrat et obligation légale (articles 6.1.b et 6.1.c du RGPD).

Caractère obligatoire ou facultatif des données

Certaines données sont indispensables au fonctionnement du service :

• Adresse e-mail : obligatoire. Sans elle, aucun compte ne peut être créé.
• Mot de passe ou authentification OAuth : obligatoire pour la connexion.
• Données d'appartenance à une organisation (rôle, statut) : obligatoires pour accéder aux fonctionnalités collaboratives.

Les données suivantes sont facultatives :

• Photo de profil
• Langue préférée
• Données personnalisées définies par l'organisation

Données sensibles dans les contenus clients

EventOps ne sollicite pas la collecte de catégories particulières de données au sens de l'article 9 du RGPD (données de santé, données révélant l'origine ethnique, les opinions politiques, les convictions religieuses, etc.).

Cependant, les champs libres et les fichiers téléversés par les organisations peuvent en contenir. Rose Code SAS ne les vérifie pas systématiquement. Les organisations clientes demeurent responsables des données qu'elles choisissent de traiter via la plateforme.

Rose Code SAS ne réutilise pas les données des organisations pour entraîner des modèles d'intelligence artificielle, produire des statistiques commerciales ou revendre des analyses.

Décision automatisée et profilage

EventOps ne procède à aucune prise de décision entièrement automatisée au sens de l'article 22 du RGPD, ni à aucun profilage produisant des effets juridiques ou affectant significativement les personnes concernées.

Sous-traitants et destinataires des données

Rose Code SAS fait appel aux prestataires suivants pour opérer la plateforme. Tous sont soumis à des obligations contractuelles de protection des données conformes au RGPD.

Rose Code SAS ne vend pas et ne loue pas les données personnelles à des tiers. Des transmissions peuvent intervenir sur réquisition judiciaire ou en application d'une obligation légale.

Transferts de données hors de l'Espace économique européen

La majorité des données traitées par EventOps reste au sein de l'EEE, hébergée par OVHcloud en France. Des transferts hors EEE peuvent néanmoins intervenir dans les cas suivants :

• Resend (États-Unis) : transfert encadré par l'EU–U.S. Data Privacy Framework (Resend est certifié) et par les Clauses Contractuelles Types adoptées par la décision 2021/914 de la Commission européenne, Module 2 ou Module 3 selon le rôle des parties. Ces deux mécanismes fonctionnent de façon indépendante et complémentaire.
• Pusher (Bird) : le cluster principal est situé en Irlande (EEE), mais des transferts vers des affiliés ou sous-traitants situés aux Pays-Bas, au Royaume-Uni ou aux États-Unis sont possibles. Les garanties applicables sont : décision d'adéquation ou EU–U.S. DPF selon la destination ; à défaut, Clauses Contractuelles Types (sections 9.1 à 9.3 du DPA Bird), modules Controller-to-Processor ou Processor-to-Processor selon le rôle du client.
• Apple APNs : les messages de notification iOS transitent par l'infrastructure mondiale d'Apple. Les tokens de notification sont stockés chiffrés en France (OVHcloud). Apple annonce des Clauses Contractuelles Types pour encadrer ses transferts internationaux. La portée exacte de ces clauses pour le flux APNs spécifique à EventOps est à confirmer avec Apple ou à valider par le juriste.
• Google FCM : les messages de notification Android transitent par l'infrastructure mondiale de Google. Les tokens sont stockés chiffrés en France (OVHcloud). Les Firebase Data Processing and Security Terms (section 10) prévoient l'EU–U.S. DPF pour les entités Google certifiées et les Clauses Contractuelles Types pour les autres transferts hors EEE.
• Tous les autres prestataires (OVHcloud, PostHog EU) : traitement exclusivement dans l'EEE.

Cookies, traceurs et stockage local

Cookies strictement nécessaires

Les traceurs suivants sont strictement nécessaires au fonctionnement du service. Ils sont exemptés de consentement au titre des lignes directrices de la CNIL. Aucun bandeau de consentement n'est requis pour ces traceurs.

Aucun cookie publicitaire, aucun cookie de mesure d'audience et aucun cookie de réseaux sociaux ne sont déposés à ce stade.

Outil de diagnostic technique (PostHog)

PostHog est intégré à la plateforme à des fins de diagnostic des erreurs techniques. Sa persistance est configurée en mémoire uniquement : aucun cookie PostHog n'est déposé. La capture automatique des pages vues, des interactions et des sessions est désactivée. Seules les erreurs techniques sont collectées.

À terme, EventOps prévoit d'utiliser PostHog pour mesurer l'usage des fonctionnalités. Ce suivi n'est pas encore actif. La présente politique sera mise à jour avant son activation.

Permissions de l'application mobile

L'application mobile peut demander l'accès à l'appareil photo ou à la galerie de photos pour téléverser un avatar ou une pièce jointe dans le cadre d'une demande de support. La biométrie (empreinte digitale, reconnaissance faciale) peut être utilisée pour déverrouiller localement une session. Ces données biométriques ne quittent jamais l'appareil et ne sont pas transmises à Rose Code SAS.

Durées de conservation

Note technique : la durée de conservation des archives d'organisation est fixée à 12 mois dans la présente politique. La valeur par défaut actuellement appliquée dans le code est de 1 095 jours. Une mise à jour technique et une transition pour les archives existantes sont en cours. Un préavis d'au moins 30 jours sera adressé aux utilisateurs concernés avant toute purge.

Suppression de compte

La suppression d'un compte entraîne :

• l'anonymisation du profil global ;
• le retrait de toutes les adhésions aux organisations ;
• la révocation de toutes les sessions actives ;
• la suppression de certaines données locales sur l'application mobile.

Les contributions opérationnelles passées (main courante, documents, messages) restent accessibles aux membres autorisés des organisations concernées, avec un profil auteur anonymisé affiché comme « membre supprimé ». Cette conservation répond à la finalité de traçabilité opérationnelle qui est au cœur du service.

Cas particuliers :

• Seul membre d'une organisation : la suppression du compte entraîne simultanément la fermeture et la purge immédiate de l'organisation.
• Dernier administrateur d'une organisation avec d'autres membres actifs : la suppression du compte est bloquée jusqu'à la désignation d'un autre administrateur actif au sein de l'organisation.

La traçabilité opérationnelle ne fait pas obstacle à l'exercice des droits de rectification ou d'effacement : toute demande est examinée au cas par cas.

Droits des personnes concernées

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (article 15 RGPD) : obtenir une copie des données vous concernant.
• Droit de rectification (article 16 RGPD) : faire corriger des données inexactes ou incomplètes.
• Droit à l'effacement (article 17 RGPD) : demander la suppression de vos données dans les cas prévus par le RGPD.
• Droit à la limitation du traitement (article 18 RGPD) : demander la suspension du traitement dans certains cas.
• Droit d'opposition (article 21 RGPD) : vous opposer à un traitement fondé sur l'intérêt légitime.
• Droit à la portabilité (article 20 RGPD) : recevoir vos données dans un format structuré et lisible par machine.
• Droit de retrait du consentement (article 7.3 RGPD) : retirer votre consentement à tout moment, sans remettre en cause la licéité des traitements effectués avant ce retrait.

Comment exercer vos droits

Via l'application EventOps : rendez-vous dans le centre « Confidentialité et données ». Chaque demande est enregistrée, référencée et fait l'objet d'un accusé de réception.

Par e-mail : privacy@eventops.fr — ce canal est accessible même sans compte actif ou après avoir quitté une organisation, notamment pour les personnes mentionnées dans un contenu opérationnel sans avoir créé de compte.

Délai de réponse : nous nous engageons à répondre dans un délai d'un mois à compter de la réception de votre demande. Ce délai peut être prorogé de deux mois supplémentaires en cas de complexité ou de nombre élevé de demandes, après information préalable.

Réclamation auprès d'une autorité de contrôle

Si vous estimez que le traitement de vos données personnelles ne respecte pas le RGPD, vous avez le droit d'introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés — www.cnil.fr) ou de l'autorité de contrôle compétente de l'État membre de l'Union européenne dans lequel vous résidez habituellement.

Violations de données personnelles

En cas de violation de données personnelles susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, Rose Code SAS notifie la CNIL dans un délai de 72 heures conformément à l'article 33 du RGPD. En cas de risque élevé pour les personnes concernées, celles-ci sont également informées sans délai injustifié, conformément à l'article 34 du RGPD.

Sécurité des données

Rose Code SAS met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre tout accès non autorisé, perte, destruction ou divulgation. Ces mesures comprennent notamment :

• le chiffrement des données sensibles au repos ;
• le hachage des mots de passe ;
• la disponibilité de l'authentification multi-facteurs (MFA) ;
• le contrôle des accès par rôle ;
• la tenue de journaux d'audit.

Mise à jour de la présente politique

La présente politique peut être mise à jour pour refléter l'évolution du produit, des traitements mis en œuvre ou du cadre réglementaire applicable.

En cas de modification substantielle, les utilisateurs sont informés par e-mail ou par notification dans l'application, dans un délai raisonnable avant l'entrée en vigueur des changements.

Version 1.0 — 21 septembre 2026

Rose Code SAS — [ADRESSE DU SIÈGE] — SIREN [SIREN] — privacy@eventops.fr