Politique de confidentialité.
Comment Proeva collecte, utilise et protège vos données personnelles — en application du RGPD et de la loi Informatique et Libertés.
01 · Responsable du traitement
Le responsable du traitement des données personnelles collectées sur www.proeva.fr est :
- Société
- PROEVA SAS
- Siège social
- 10 rue de Penthièvre, 75008 Paris
- SIRET
- 81022269500019
- Contact RGPD
- Via le formulaire de contact (préciser « Demande RGPD » dans le message)
- Représentant
- Jérôme Carenton, directeur de publication
La taille de la structure ne nous oblige pas à désigner un délégué à la protection des données (DPO). Toutes les demandes RGPD sont traitées directement par le contact ci-dessus.
02 · Données collectées
2.1 · Visiteurs du site
La simple navigation sur le site public (accueil, contact, mentions, cookies) ne donne lieu à aucune collecte de données personnelles, hors les cookies strictement nécessaires décrits dans la politique cookies. Aucun outil de mesure d'audience, aucun traceur tiers.
2.2 · Formulaire de contact
- Identité : nom, prénom
- Coordonnées : adresse e-mail, téléphone (facultatif), organisation (facultatif)
- Contenu : message libre
- Métadonnées techniques : adresse IP et horodatage (pour traçabilité et prévention abus)
2.3 · Espace client (sur invitation)
- Identité : nom, e-mail (sert d'identifiant)
- Authentification : empreinte cryptographique du mot de passe (hachage bcrypt, non réversible). Le mot de passe en clair n'est jamais stocké.
- Suivi de connexion : date du dernier login, dates RGPD du workflow de désactivation automatique (cf. §4)
- Métadonnées : adresse IP et horodatage de chaque connexion et de chaque accès à un fichier
- Documents : fichiers que vous déposez ou que nous déposons pour vous, classés par catégorie
03 · Finalités et bases légales
| Traitement | Finalité | Base légale (RGPD art. 6) |
|---|---|---|
| Formulaire de contact | Répondre à votre demande, garder trace de l'échange. | Intérêt légitime — répondre à une sollicitation entrante. |
| Authentification espace client | Identifier l'utilisateur, sécuriser l'accès aux documents. | Exécution d'un contrat ou de mesures précontractuelles. |
| Stockage de documents projet | Fournir le service de partage sécurisé prévu au contrat. | Exécution d'un contrat. |
| Journalisation des connexions et accès | Sécurité, traçabilité, détection d'abus. | Intérêt légitime — sécurité du système d'information. |
| Désactivation automatique des comptes inactifs | Minimisation des données (RGPD art. 5.1.c) — ne pas conserver au-delà du nécessaire. | Obligation légale et intérêt légitime. |
04 · Durées de conservation
- Messages de contact :
- Côté Proeva : conservés dans notre messagerie professionnelle, purgés manuellement au-delà de 36 mois après le dernier échange. Aucune copie n'est conservée en base de données du site.
- Côté Brevo (sous-traitant, cf. §5) : l'e-mail transactionnel (sujet et corps) et les logs d'événements associés (envoi, livraison, éventuelle ouverture) sont conservés sur leurs serveurs selon leur propre politique de rétention, sur laquelle nous n'avons pas de contrôle direct — leur politique de confidentialité fait foi.
- Compte client actif : pendant la durée de la mission, puis désactivation après 12 mois sans connexion (un e-mail d'alerte est envoyé 3 mois avant la désactivation effective).
- Documents projet : conservés tant que le compte client est actif, puis 12 mois après la désactivation du compte pour permettre une éventuelle réactivation. Au-delà, suppression définitive automatique (fichiers physiques et lignes en base de données). Suppression immédiate sur demande à tout moment.
- Journaux de connexion et d'accès : 12 mois (purge automatique par tâche planifiée).
- Tentatives de connexion échouées : 7 jours (purge automatique par tâche planifiée).
- Jetons de réinitialisation de mot de passe : 60 minutes maximum, usage unique, purgés ensuite.
05 · Destinataires & sous-traitants
Vos données ne sont jamais cédées, vendues ou louées à des tiers à des fins commerciales ni utilisées pour de la prospection. Elles peuvent en revanche transiter par les sous-traitants techniques nécessaires au fonctionnement du service :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| AMEN (Dada France SASU) | Hébergement du site, de la base de données et du stockage de fichiers. Les documents projet déposés par les clients sont chiffrés au repos par l'application Proeva (cf. §6), avec une clé d'accès unique au fichier qui ne réside jamais sur le serveur. | France (UE) |
| Brevo (Sendinblue SAS) | Envoi d'e-mails transactionnels via l'API Brevo : réinitialisation de mot de passe, alerte de désactivation de compte, et transmission des messages du formulaire de contact vers notre boîte interne (le contenu du message — sujet et corps — transite donc par les serveurs de Brevo, qui agit comme sous-traitant conformément au RGPD). Brevo conserve d'une part les e-mails transactionnels eux-mêmes (sujet, corps) et d'autre part les logs d'événements associés (envoi, livraison, ouverture éventuelle), selon sa propre politique de rétention pour audit, statistiques et facturation — détail consultable dans la politique de confidentialité Brevo. | France (UE) |
Aucun transfert de données hors Union européenne n'est effectué. Tous les sous-traitants sont sélectionnés pour leur conformité RGPD et signent des engagements contractuels en ce sens.
06 · Mesures de sécurité
- HTTPS systématique avec redirection automatique (HTTP → HTTPS, apex → www).
- En-têtes de sécurité HTTP :
Content-Security-Policy,X-Content-Type-Options,X-Frame-Options,Referrer-Policy,Permissions-Policy, HSTS. - Cookies de session
HttpOnly,Secure,SameSite=Lax. - Protection CSRF sur tous les formulaires.
- Throttling des tentatives de connexion (5 échecs / 15 min par couple e-mail + IP).
- Hachage bcrypt des mots de passe (algorithme robuste, salé, paramètres conformes aux recommandations OWASP).
- Validation MIME et liste noire d'extensions sur tout fichier déposé.
- Contrôle d'accès strict aux fichiers : un utilisateur ne peut accéder qu'aux documents qui lui sont rattachés. Chaque accès est journalisé.
- Chiffrement au repos des documents clients : chaque fichier déposé est
chiffré côté application avec une clé d'accès unique au fichier, générée
à l'upload (libsodium
secretbox, XSalsa20-Poly1305, chiffrement authentifié : toute altération est détectée). Cette clé d'accès vous est transmise séparément (e-mail dédié, SMS ou appel) et n'est jamais stockée en clair sur nos serveurs. - Sauvegardes quotidiennes du site et de la base de données, conservées 14 jours par l'hébergeur. (Les sauvegardes de fichiers contiennent les blobs déjà chiffrés ; la base de données est sauvegardée selon la politique standard AMEN.)
07 · Vos droits
Conformément au RGPD, vous disposez à tout moment des droits suivants sur vos données :
- Droit d'accès (art. 15) — obtenir une copie de vos données.
- Droit de rectification (art. 16) — corriger des données inexactes.
- Droit à l'effacement (art. 17) — demander la suppression de vos données (sous réserve des obligations légales de conservation).
- Droit à la limitation (art. 18) — geler temporairement un traitement.
- Droit à la portabilité (art. 20) — récupérer vos données dans un format structuré et exploitable.
- Droit d'opposition (art. 21) — vous opposer à un traitement fondé sur l'intérêt légitime.
- Droit de retirer votre consentement à tout moment (cookies de confort, via la page Cookies).
Pour exercer ces droits, utilisez notre formulaire de contact en précisant « Demande RGPD » dans l'objet de votre message. Une pièce d'identité pourra vous être demandée en cas de doute raisonnable sur votre identité. Nous répondons dans le délai d'un mois prévu par le RGPD.
À défaut, vous pouvez nous écrire par voie postale : PROEVA SAS, 10 rue de Penthièvre, 75008 Paris.
08 · Réclamation CNIL
Si vous estimez que vos droits ne sont pas respectés ou que le traitement de vos données n'est pas conforme, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés :
- Site
- www.cnil.fr/fr/plaintes
- Adresse
- 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
09 · Mise à jour
Cette politique peut être amenée à évoluer en cas de modification du service, de la réglementation ou de la liste des sous-traitants. La date de dernière mise à jour figure ci-dessous. Les modifications substantielles sont signalées aux utilisateurs de l'espace client par e-mail.
Dernière mise à jour : mai 2026.