Politique de confidentialité

Le responsable de traitement est :

• ORBITALMZ SAS, société par actions simplifiée au capital de 5 000 €, immatriculée au RCS de Grasse sous le numéro 108 992 595
• Siège social : 6 Chemin du Vallon Notre Dame, 06140 Vence, France
• Représentée par sa Présidente, Dr Héloïse MAUREL
• Adresse de contact pour toute question relative aux données personnelles : contact@orbitalmz.com

Cette Politique couvre uniquement les données traitées via le Site. Les données que vous nous confiez dans le cadre d'une mission (test d'IA, audit, installation) sont traitées par OrbitalMZ comme sous-traitant, pour votre compte, selon le contrat de mission et son accord de traitement des données.

Nous ne collectons que les données strictement nécessaires aux finalités décrites à l'article 3.

Via le questionnaire de diagnostic :

• vos réponses (informations techniques et organisationnelles sur votre entreprise). Elles sont traitées dans votre navigateur et ne nous sont pas transmises tant que vous ne réservez pas l'échange visio ;
• à la fin du diagnostic, les libellés des réponses choisies préremplissent le champ « Ce qu'il est utile de savoir avant la visio » du calendrier, pour préparer l'échange. Ils sont gardés dans l'onglet de votre navigateur, pour le calendrier de la page Contact, jusqu'à ce que vous changiez de besoin ou fermiez l'onglet. Le calendrier les reçoit dans votre navigateur, sans qu'ils passent par l'adresse d'une page ni par nos serveurs. Vous pouvez les relire, les modifier ou les effacer ; ils ne sont enregistrés que si vous confirmez la réservation.

Via la réservation de l'échange visio (calendrier Cal.com, logiciel libre auto-hébergé) :

• obligatoires : nom, adresse e-mail professionnelle, entreprise et créneau choisi ;
• facultatifs : site internet, profil LinkedIn et champ « Ce qu'il est utile de savoir avant la visio » ;
• le cas échéant, adresses e-mail des personnes que vous invitez à l'échange : OrbitalMZ informe chacune d'elles dans l'e-mail d'invitation, avec un lien vers la présente Politique.

La réservation est enregistrée dans le calendrier, hébergé sur notre serveur dans l'Union européenne. Les e-mails de confirmation et d'invitation partent de l'adresse rdv@orbitalmz.com (messagerie Gandi), boîte réservée à cet envoi.

Via vos e-mails à contact@orbitalmz.com : votre adresse e-mail et le contenu de vos messages.

Via l'échange en visio (Jitsi Meet ou, en secours, MiroTalk) : nom d'affichage que vous choisissez ; adresse IP et données techniques de connexion nécessaires à l'appel. OrbitalMZ n'enregistre ni ne transcrit l'échange : les fonctions d'enregistrement, de diffusion et de transcription sont désactivées sur nos serveurs. Nous demandons à chaque participant de ne pas enregistrer l'échange sans l'accord de tous.

Via les journaux techniques des serveurs : adresse IP, date et heure, page demandée.

Nous ne demandons aucune donnée dite « sensible » au sens de l'article 9 RGPD (santé, opinions, biométrie) : n'en indiquez pas dans les notes ni dans vos messages. Certaines questions portent sur le type de données que traite votre entreprise (par exemple des données de santé) ou sur les personnes concernées par un projet d'IA (candidats, salariés) : elles décrivent votre activité et ne visent aucune personne. N'indiquez aucune donnée personnelle de vos clients ou salariés.

Chaque traitement repose sur une base légale explicite :

• Répondre à vos e-mails et vous adresser un devis après l'échange visio — base légale : mesures précontractuelles prises à votre demande (art. 6-1-b RGPD)
• Garder l'historique de nos échanges et pouvoir donner suite à votre demande ultérieurement — base légale : intérêt légitime d'OrbitalMZ à assurer le suivi de sa relation commerciale (art. 6-1-f RGPD)
• Organiser et tenir l'échange visio (calendrier Cal.com, visio Jitsi Meet ou, en secours, MiroTalk, e-mails de confirmation envoyés depuis rdv@orbitalmz.com) — base légale : mesures précontractuelles prises à votre demande (art. 6-1-b RGPD)
• Transmettre l'invitation et tenir l'échange avec les personnes que vous invitez — base légale : intérêt légitime d'OrbitalMZ à organiser le rendez-vous demandé par la personne qui l'a réservé (art. 6-1-f RGPD)
• Préparer l'échange visio à partir de vos réponses au diagnostic et des champs facultatifs du calendrier — base légale : mesures précontractuelles prises à votre demande (art. 6-1-b RGPD)
• Afficher le questionnaire de diagnostic et garder votre progression dans votre navigateur — base légale : mesures précontractuelles prises à votre demande (art. 6-1-b RGPD)
• Assurer la sécurité du Site, du calendrier et de la visio (journaux techniques des serveurs) — base légale : intérêt légitime d'OrbitalMZ à protéger ses services (art. 6-1-f RGPD)
• Satisfaire aux obligations légales (comptabilité, réponses aux autorités) — base légale : obligation légale (art. 6-1-c RGPD)

Les champs obligatoires du calendrier (nom, adresse e-mail professionnelle, entreprise) sont nécessaires pour fixer le rendez-vous : sans eux, nous ne pouvons pas le confirmer. Les autres champs sont facultatifs.

Aucune donnée n'est utilisée à des fins de prospection commerciale non sollicitée, de profilage ni de décision entièrement automatisée.

Nous conservons les données pendant la durée strictement nécessaire aux finalités poursuivies :

• Réservations de l'échange visio (champs facultatifs et notes issues du diagnostic compris) et e-mails, restés sans suite : 3 ans à compter de votre dernier contact à votre initiative (message, réponse à un e-mail, rendez-vous), puis effacement dans le calendrier et la messagerie.
• Sauvegardes de la base du calendrier : une copie par jour, sur le même serveur, gardée 14 jours puis supprimée automatiquement. Une donnée effacée du calendrier disparaît donc des sauvegardes au plus tard 14 jours après.
• Adresses des invités : même durée que la réservation à laquelle elles sont rattachées.
• Demande suivie d'un contrat : pendant toute la relation contractuelle, puis archivage pendant les délais de prescription légale (5 ans) et, pour les pièces comptables, pendant 10 ans.
• Échange en visio (Jitsi Meet ou MiroTalk) : OrbitalMZ n'enregistre ni ne transcrit l'échange : les fonctions d'enregistrement, de diffusion et de transcription sont désactivées sur nos serveurs. Nous demandons à chaque participant de ne pas enregistrer l'échange sans l'accord de tous. Aucun contenu (image, son, discussion) n'est conservé après l'appel ; les données techniques de connexion suivent la durée des journaux serveur ci-dessous.
• Réponses au questionnaire de diagnostic : conservées uniquement dans votre navigateur, pour vous permettre de reprendre le questionnaire, jusqu'à ce que vous recommenciez le diagnostic ou effaciez les données de navigation ; les libellés préparés pour le calendrier restent dans l'onglet jusqu'à ce que vous changiez de besoin ou fermiez l'onglet ; si vous réservez l'échange visio, les libellés joints aux notes de la réservation suivent la durée des demandes de rendez-vous ci-dessus (3 ans sans suite, ou durée de la relation contractuelle).
• Journaux techniques des serveurs (sécurité) : 1 an maximum, puis suppression automatique.

À l'issue de ces durées, les données sont supprimées ou anonymisées de manière irréversible.

Les données sont destinées exclusivement aux personnes habilitées d'ORBITALMZ. Nous recourons aux seuls sous-traitants techniques nécessaires au fonctionnement du Site :

• OVH SAS (OVHcloud) (siège à Roubaix, France) — serveur dédié situé dans l'Union européenne, qui héberge le Site, ses fichiers (images, polices), le calendrier Cal.com, sa base et ses sauvegardes, la visio Jitsi Meet et la visio de secours MiroTalk.
• Gandi SAS (63-65 boulevard Masséna, 75013 Paris, France) — messagerie : réception de vos messages à contact@orbitalmz.com et envoi des e-mails de réservation depuis rdv@orbitalmz.com.

Le calendrier Cal.com, la visio Jitsi Meet et la visio de secours MiroTalk sont des logiciels libres installés et exploités par OrbitalMZ sur son propre serveur : leurs éditeurs ne reçoivent aucune donnée. Nous n'utilisons aucun service de visio public d'un tiers.

Chacun de ces sous-traitants agit sur instruction du responsable de traitement, dans le cadre des clauses de sous-traitance conformes à l'article 28 RGPD prévues par son contrat.

Aucune donnée n'est transmise à des régies publicitaires, courtiers de données ou acteurs tiers hors de la liste ci-dessus.

L'ensemble des traitements, y compris le calendrier, la visio et la messagerie, est opéré sur une infrastructure située dans l'Union européenne (centres de données OVHcloud et Gandi dans l'Union européenne).

Aucun transfert de données personnelles n'est opéré hors de l'Union européenne. OrbitalMZ applique une doctrine de souveraineté numérique européenne (100 % UE) sur l'ensemble de son infrastructure.

Le Site ne mesure pas son audience : aucun outil de statistiques de fréquentation n'y est installé. Il ne dépose aucun cookie publicitaire ni de suivi.

Le Site ne dépose aucun cookie soumis à votre accord. Il enregistre seulement dans votre navigateur la langue choisie (cookie de session et stockage local), le thème d'affichage choisi, la fermeture du bandeau d'information et la progression du questionnaire ; le calendrier et la visio conservent de même vos réglages d'affichage (nom, micro, caméra) : ces informations restent sur votre appareil et ne nous sont pas transmises.

Ces informations sont strictement nécessaires au fonctionnement du Site : elles sont dispensées de consentement en application de l'article 82 de la loi informatique et libertés.

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 15) : obtenir confirmation que des données vous concernant sont traitées et en recevoir une copie.
• Droit de rectification (art. 16) : obtenir la correction de données inexactes ou incomplètes.
• Droit à l'effacement (art. 17) : obtenir la suppression de vos données, sous réserve des obligations légales de conservation.
• Droit à la limitation (art. 18) : obtenir la restriction du traitement dans certains cas.
• Droit à la portabilité (art. 20) : pour les données que vous nous avez fournies et traitées pour les mesures précontractuelles, les recevoir dans un format structuré et lisible par machine.
• Droit d'opposition (art. 21) : vous opposer à tout moment, pour des raisons tenant à votre situation particulière, aux traitements fondés sur l'intérêt légitime (journaux de sécurité, suivi de la relation commerciale, organisation de l'échange avec les personnes que vous invitez).
• Droit relatif aux décisions automatisées (art. 22) : ne pas faire l'objet d'une décision entièrement automatisée. OrbitalMZ ne prend aucune décision de cette nature via le Site.
• Directives après décès : définir des directives relatives à la conservation, à l'effacement et à la communication de vos données après votre décès.

Comment exercer vos droits : en adressant un courrier électronique à contact@orbitalmz.com ou par courrier au siège social (6 Chemin du Vallon Notre Dame, 06140 Vence, France). Nous répondons dans un délai d'un mois à compter de la réception de votre demande. Compte tenu de la complexité ou du nombre de demandes, ce délai peut être prolongé de deux mois supplémentaires ; nous vous en informons alors dans le mois qui suit la réception de votre demande, en précisant les motifs du report (article 12.3 RGPD). L'exercice de vos droits est gratuit.

En cas d'insatisfaction, vous disposez du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris, www.cnil.fr.

ORBITALMZ met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 RGPD :

• chiffrement en transit (HTTPS) sur l'ensemble du Site, du calendrier et de la visio ;
• accès internes limités aux personnes habilitées, selon le principe du moindre privilège ;
• journaux techniques des serveurs conservés un an au plus ;
• sauvegarde quotidienne de la base du calendrier sur le serveur, dans l'Union européenne, gardée 14 jours.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous la notifions à la CNIL dans les 72 heures au plus tard après en avoir pris connaissance (article 33 RGPD), et vous en informons individuellement si le risque est élevé (article 34 RGPD).

OrbitalMZ n'a pas désigné de Délégué à la protection des données (DPO), les conditions de désignation obligatoire posées à l'article 37 RGPD n'étant pas réunies (pas de traitement à grande échelle de données sensibles, pas de suivi systématique à grande échelle, pas d'autorité publique).

OrbitalMZ réévalue chaque année la nécessité de désigner un DPO au regard de l'évolution des volumes et de la nature des données traitées, et procédera à cette désignation sans délai si l'un des critères de l'article 37 RGPD venait à être rempli.

Toute question ou réclamation relative à la protection des données doit être adressée à contact@orbitalmz.com.

L'autorité de contrôle compétente est la Commission nationale de l'informatique et des libertés (CNIL), auprès de laquelle vous pouvez à tout moment introduire une réclamation (www.cnil.fr).

La présente Politique peut être mise à jour pour refléter l'évolution des traitements ou de la réglementation applicable. La version en vigueur est consultable sur la page Politique de confidentialité, et la date de dernière mise à jour est indiquée en tête du document.

En cas de modification substantielle affectant vos droits ou vos données déjà collectées, nous vous en informerons par un moyen approprié (bandeau d'information sur le Site, courrier électronique).