Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via la plateforme CALME est :

2. Champ d'application

La présente politique s'applique à :

• Tous les utilisateurs de la plateforme CALME (calmeapp.fr) ;
• Les visiteurs du site vitrine calmeapp.fr ;
• Toute personne contactant CALME par email ou via le formulaire de contact.

Note importante — données des contacts de crise : les données personnelles de tiers saisies par le Client dans CALME (contacts de crise, membres d'équipe, prestataires) sont traitées par CALME en qualité de sous-traitant au sens de l'article 28 du RGPD. Le Client est responsable de traitement de ces données et doit s'assurer de leur légitimité. Ces données ne sont pas couvertes par la présente politique en tant que données propres à CALME.

3. Données collectées

3.1 Données de compte

• Nom, prénom
• Adresse email professionnelle
• Mot de passe (stocké sous forme hachée, jamais en clair)
• Nom de l'organisation
• Rôle dans l'organisation (admin ou membre)

3.2 Données d'utilisation

• Logs de connexion (date, heure, adresse IP)
• Dernière date de connexion
• Actions réalisées dans l'application (déclenchement de crise, envoi d'alertes, etc.)

3.3 Données de facturation

• Nom et adresse de facturation
• Coordonnées de contact professionnel

CALME ne collecte ni ne stocke aucune donnée bancaire. Les paiements s'effectuent par virement bancaire direct, sans intermédiaire de paiement en ligne.

3.4 Données de contact (formulaire et email)

• Nom, prénom, email, message, téléphone (si fourni)

4. Finalités et bases légales

Chaque traitement repose sur une base légale au sens de l'article 6 du RGPD :

• Fourniture du service (exécution du contrat) — gestion des comptes, envoi des alertes et notifications de crise, accès à la plateforme ;
• Facturation et comptabilité (obligation légale) — émission des factures, archivage comptable ;
• Sécurité et prévention des abus (intérêt légitime) — logs de connexion, détection des accès non autorisés ;
• Amélioration du service (intérêt légitime) — analyse anonymisée des usages pour améliorer les fonctionnalités ;
• Communication commerciale (consentement ou intérêt légitime B2B) — réponse aux demandes de contact, information sur les évolutions du service.

5. Durée de conservation

• Données de compte : conservées pendant toute la durée de l'abonnement, puis supprimées dans les 30 jours suivant la résiliation ;
• Logs de connexion : 12 mois glissants ;
• Données de facturation : 10 ans conformément aux obligations légales comptables ;
• Données de contact (formulaire) : 3 ans à compter du dernier contact ;
• Sauvegardes chiffrées : conservées 7 jours en rotation (sauvegardes nocturnes automatiques).

6. Sous-traitants et partage des données

Vos données ne sont jamais revendues. Elles sont partagées uniquement avec les sous-traitants techniques nécessaires à la fourniture du service :

Services tiers indépendants

La fonctionnalité « Salle de réunion » de la cellule de crise redirige vers le service de visioconférence Jitsi Meet (meet.jit.si), édité par la société 8x8, Inc. (États-Unis), qui agit en qualité de responsable de traitement indépendant. Il ne s'agit pas d'un sous-traitant de CALME : CALME ne lui transmet aucune donnée et se limite à générer l'adresse de la salle. Les traitements réalisés lors de l'utilisation de ce service sont régis par sa propre politique de confidentialité : Politique Jitsi Meet →

CALME peut également communiquer des données aux autorités compétentes (CNIL, autorités judiciaires) en cas d'obligation légale.

7. Transferts hors Union Européenne

Le seul transfert de données hors UE concerne Twilio, utilisé pour l'envoi de SMS. Ce transfert est encadré par les Clauses Contractuelles Types (CCT) approuvées par la Commission Européenne, conformément à l'article 46 du RGPD.

Les données transférées à Twilio se limitent aux numéros de téléphone des contacts destinataires des alertes SMS et au contenu de ces messages (intitulé de la cellule de crise ou du test, nom de la personne à l'origine de l'alerte, lien d'accusé de réception). Aucune autre donnée n'est transmise à Twilio.

Toutes les autres données (compte, base de données, fichiers) sont hébergées en Allemagne, au sein de l'Union Européenne, chez OVHcloud.

8. Vos droits

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants :

Pour exercer vos droits, contactez-nous à contact@calmeapp.fr en précisant votre identité et le droit que vous souhaitez exercer. Nous répondrons dans un délai maximum de 30 jours.

9. Cookies et traceurs

CALME utilise uniquement des cookies strictement nécessaires au fonctionnement du service :

• Cookie de session (PHPSESSID) : maintient votre connexion pendant votre navigation sur la plateforme. Il est supprimé à la fermeture du navigateur ou à la déconnexion.

Aucun cookie publicitaire, aucun cookie de tracking, aucune régie publicitaire n'est utilisé. Aucun outil d'analyse tiers (Google Analytics, etc.) n'est intégré à la plateforme.

Le site vitrine calmeapp.fr n'utilise pas non plus de cookies tiers ni d'outils de tracking.

10. Sécurité

CALME met en œuvre les mesures techniques et organisationnelles suivantes pour protéger vos données :

• Chiffrement des communications via HTTPS (TLS) ;
• Mots de passe stockés sous forme hachée (non réversible) ;
• Isolation stricte des données entre organisations (architecture multi-tenant) ;
• En-têtes de sécurité HTTP configurés (note A sur securityheaders.com) ;
• Sauvegardes chiffrées automatiques nocturnes ;
• Accès à la base de données limité à l'utilisateur applicatif dédié ;
• Pare-feu réseau et mises à jour de sécurité régulières.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, CALME s'engage à vous en informer dans les meilleurs délais conformément à l'article 34 du RGPD.

11. Contact & réclamations

Pour toute question relative à la présente politique ou pour exercer vos droits :

Email : contact@calmeapp.fr

Si vous estimez que vos droits ne sont pas respectés, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• En ligne : cnil.fr/fr/plaintes
• Par courrier : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

La présente politique peut être modifiée à tout moment. La date de mise à jour en haut de page fait foi. En cas de modification significative, les utilisateurs seront informés par email.