Politique de confidentialité et protection des données

1. Responsable de traitement et contact

Pour le site et la relation commerciale, le responsable de traitement est [Raison sociale de l'éditeur], [Adresse du siège]. Pour les données saisies par une crèche dans le service (enfants, familles, salariés), la crèche est responsable de traitement et [Raison sociale de l'éditeur] agit en qualité de sous-traitant.

Délégué à la protection des données / contact RGPD : [adresse e-mail du délégué à la protection des données].

2. Données collectées sur le site

Formulaires de démonstration et de contact : identité, e-mail professionnel, téléphone, nom de la structure, nombre de structures, logiciel actuel, message. Base légale : intérêt légitime à répondre à votre demande et consentement pour la prise de contact. Conservation : 3 ans après le dernier contact.

Liste d'attente avant lancement : adresse e-mail et, si vous les indiquez, votre profil (direction, réseau, projet, parent…) et votre logiciel actuel, ainsi que la date de votre consentement. Finalité : vous prévenir de l'ouverture de Berceo et vous faire bénéficier de l'offre de lancement. Base légale : consentement, retirable à tout moment sur simple demande. Conservation : jusqu'au lancement puis 12 mois au plus sans nouveau contact. Ces données ne sont ni cédées ni utilisées à des fins publicitaires.

Inscription à l'essai : identité de l'administrateur, e-mail, mot de passe (haché, jamais stocké en clair), nom de l'organisation et de la structure. Base légale : exécution du contrat (conditions générales). Conservation : durée du contrat puis 30 jours, hors obligations légales de facturation (10 ans).

Mesure d'audience : le site n'utilise aucun cookie publicitaire ni traceur tiers. Seuls des cookies techniques strictement nécessaires (session, préférences d'affichage) sont déposés ; ils ne requièrent pas de consentement.

3. Données traitées dans le service pour le compte des crèches

Le service traite, sur instruction de la crèche : identité et coordonnées des enfants, parents et proches ; données de santé strictement nécessaires à l'accueil (allergies, PAI, vaccins), chiffrées au repos ; présences, transmissions et photos ; données contractuelles et de facturation, y compris coordonnées bancaires (IBAN chiffrés) ; données RH des salariés (contrats, compteurs, diplômes) ; journal d'audit des actions des utilisateurs.

Les finalités, durées de conservation et destinataires sont définis par la crèche. Berceo propose des durées par défaut conformes aux recommandations de la CNIL pour les établissements d'accueil du jeune enfant, avec une purge automatique (anonymisation des enfants sortis, suppression des photos, purge des journaux).

Le service n'exploite jamais ces données pour son propre compte, ne les cède pas et ne les utilise pas pour entraîner des modèles ou à des fins publicitaires.

4. Sous-traitants et transferts

Hébergement et sauvegardes : serveurs situés en France. E-mails transactionnels : prestataire d'envoi d'e-mails. Paiement des abonnements : prestataire de paiement certifié PCI-DSS, qui traite seul les données de carte (Berceo n'y a jamais accès). Notifications push : services de notification des navigateurs (Apple, Google, Mozilla), qui reçoivent un identifiant technique sans contenu personnel.

Aucun transfert de données hors Union européenne n'est réalisé pour l'hébergement. La liste à jour des sous-traitants ultérieurs est communiquée aux clients et toute modification leur est notifiée 30 jours à l'avance.

5. Sécurité

Chiffrement des communications (TLS), chiffrement au repos des données sensibles (AES-256-GCM), mots de passe hachés (argon2id), double authentification disponible pour tous les utilisateurs, verrouillage après échecs de connexion, droits d'accès par structure et par module, journal d'audit complet, sauvegardes quotidiennes chiffrées et procédure de restauration testée, en-têtes de sécurité et revue de sécurité à chaque version.

En cas de violation de données susceptible d'engendrer un risque, Berceo notifie la crèche concernée dans les 48 heures afin qu'elle puisse informer la CNIL et les personnes concernées.

6. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de définir des directives post-mortem. Pour les données du site et de la relation commerciale, écrivez à [adresse e-mail du délégué à la protection des données]. Pour les données traitées par votre crèche (parents, salariés), adressez-vous directement à elle : Berceo l'assiste dans le traitement de votre demande. Les parents peuvent également exercer leurs droits depuis Berceo Famille (export de leurs données, suppression de compte).

Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75007 Paris, www.cnil.fr).

7. Mise à jour

Cette politique peut être mise à jour pour refléter l'évolution du service ou de la réglementation. La date de dernière mise à jour figure en tête de page ; les changements substantiels sont notifiés aux clients par e-mail.