NOTICE RGPD — V5-R2 — PROPOSITION FINALE SOUMISE À APPROBATION — NON PUBLIÉE
Responsable : FORTUNEY PARTICIPATION, SASU au capital de 20 000 €, 5 rue des Suisses, 75014 Paris, RCS Paris 821 150 638. Contact pour les droits : contact@dispolia.com.
Finalités : préparer et examiner le dossier demandé, permettre sa vérification personnelle, gérer l'accès interne et les validations, empêcher les abus, gérer les droits et conserver les seules preuves nécessaires. La publication des seuls champs professionnels autorisés peut suivre l’acceptation personnelle, l’autorisation distincte et les vérifications requises. Aucune réservation, paiement ou transmission à un prestataire de paiement ne résulte de cette adhésion.
Bases juridiques : pour une personne physique exerçant en nom propre et partie aux conditions gratuites, les démarches nécessaires à sa demande de préinscription relèvent de l’article 6.1.b du RGPD (mesures précontractuelles demandées), puis de l’exécution de ces conditions après acceptation. Pour le représentant ou salarié d’une personne morale, la gestion de ses coordonnées et de son habilitation repose sur l’intérêt légitime de Dispolia et de l’entreprise à organiser leur relation professionnelle (article 6.1.f) ; le contrat de l’entreprise ne fonde pas à lui seul le traitement des données de son représentant. Les contrôles proportionnés contre la fraude, la sécurité des accès et la conservation minimale pour défendre des droits reposent sur des intérêts légitimes distincts, avec accès et durées limités. Une obligation légale n’est invoquée que si le texte précis et les données nécessaires sont identifiés. L’accord de préparation est une instruction préalable du professionnel, et non un consentement global RGPD.
Données : entreprise, activité, coordonnées professionnelles, localisation, zones et prestations déclarées, identifiant professionnel lorsqu'applicable, preuve minimale d'accord, identifiant Auth, version et date des validations, événements techniques nécessaires. Le mot de passe est transmis par HTTPS au parcours officiel d’authentification. Son passage sur le serveur Dispolia est transitoire ; il n’est conservé ni dans le dossier, ni dans les journaux, ni dans l’interface administrative. Supabase gère les informations d’authentification.
Origine : informations fournies ou confirmées par le professionnel et sources professionnelles identifiées dans son dossier lorsque leur réutilisation a été autorisée. Lors d'une collecte indirecte, la source et les catégories de données sont indiquées dès que possible, au plus tard au premier contact utile et dans le délai applicable d'un mois ; cette information ne doit pas être reportée à l'acceptation des présentes conditions.
Les champs indiqués comme nécessaires servent à préparer et vérifier le dossier ; leur absence peut empêcher son examen. Le SIRET est facultatif lorsqu'il ne s'applique pas. Aucun consentement à la prospection n'est nécessaire pour demander la seule préinscription.
Destinataires : personnels Dispolia habilités et sous-traitants techniques nécessaires à l’hébergement, la base et l’authentification. Les justificatifs, accords privés, emails de connexion, téléphones et contrats acceptés ne sont pas rendus publics. La fiche autorisée présente seulement le nom professionnel, l’activité, la ville et le code postal via une URL dédiée, non indexée par défaut. Toute personne disposant du lien peut consulter ces seuls champs ; aucune audience ou mission n’est garantie. Des copies ou caches tiers peuvent subsister après dépublication hors de notre contrôle direct. Correction et retrait : contact@dispolia.com. La publication des seuls champs professionnels décrits ci-dessus, demandée et autorisée séparément, est nécessaire au service gratuit de référencement pour le professionnel personne physique partie au contrat (article 6.1.b). Une société peut être référencée sans publier le nom ou les coordonnées personnelles de son représentant ; ceux-ci restent internes. Toute extension à une photographie, un téléphone personnel, une adresse privée précise ou un autre champ personnel public est exclue de ce périmètre et nécessite un examen distinct. L’autorisation de publication ne vaut pas accord général à d’autres usages, publicités ou réseaux sociaux.
Prestataires techniques du parcours : LWS assure l’hébergement de l’application et le SMTP de confirmation ; Supabase assure la base et l’authentification. Les agents habilités de FORTUNEY PARTICIPATION accèdent aux seuls dossiers nécessaires à leurs missions. La configuration documentée du projet Supabase situe la base principale en région eu-west-2, Londres, Royaume-Uni. Les transferts EEE vers le Royaume-Uni relèvent de la décision d’adéquation renouvelée le 19 décembre 2025, dans son champ d’application.
Le DPA Supabase applicable documenté identifie Supabase Pte. Ltd., Singapour, comme importateur ; Supabase, Inc., États-Unis, intervient notamment pour le support. Des traitements de support et d’exploitation peuvent avoir lieu hors de la région principale. Pour les transferts concernés vers des pays sans adéquation applicable, le DPA incorpore les clauses contractuelles types et prévoit des garanties techniques et organisationnelles. Une copie des garanties pertinentes peut être demandée à contact@dispolia.com, sous occultation des informations confidentielles non nécessaires.
La liste officielle des sous-traitants Supabase du 12 octobre 2026 est accessible à https://supabase.com/legal/customer-resources/subprocessor-list ; elle distingue des entités notamment aux États-Unis, à Singapour et en Hongrie. Leur pays d’établissement ne prouve pas à lui seul le lieu de stockage de chaque donnée ni l’intervention de chacune sur ce parcours. La liste fournisseur est conservée dans le registre de conformité ; aucun envoi systématique de dossiers à tous ses membres n’est affirmé. Les confirmations Auth utilisent ici le SMTP LWS configuré ; Resend, les réseaux sociaux et les services de paiement ne sont pas intégrés à ce parcours d’adhésion.
LWS : dans sa réponse communiquée à Dispolia, LWS a transmis ses CGV du15mai2024 et les DPA des16et19avril2024 comme conditions concernées. Ces documents prévoient un encadrement contractuel des traitements sur instructions, la confidentialité, les mesures de sécurité et l'assistance. Le DPA du16avril annonce un stockage en France et des traitements distants nécessaires à la sécurité/maintenance ; il déclare ne pas transférer les données hors de l'Union européenne. L'annexeII du19avril désigne LWS SAS, Groupe LWS, Equinix et Adista, indiqués en France. Il s'agit des engagements et listes communiqués par LWS, sans affirmation que chacune de ces entités intervient sur chaque dossier. La base Supabase demeure distincte et sa localisation/garanties sont décrites ci-dessus.
Rattachement LWS documenté : domaine dispolia.com, hébergement cPanel L2, service 2866255, facture FC-2836984. Le titulaire a confirmé que le libellé « Fp Fp » désigne FORTUNEY PARTICIPATION. Les CGV et les deux DPA officiels transmis sont conservés avec cette confirmation. L’articulation précise des deux DPA et les durées résiduelles des sauvegardes techniques LWS restent suivies dans le registre ; aucune durée technique non établie n’est affirmée. La rotation de trente jours ci-dessous concerne uniquement les nouvelles sauvegardes internes Dispolia, pas une garantie de rotation chez les fournisseurs.
Conservation : dossier provisoire et accord jusqu'à six mois calendaires depuis création, sans prolongation ; effacement anticipé au retrait sous réserves légitimes ; journaux pseudonymes de validation/retrait 180 jours depuis chaque événement ; liens au plus 24 heures sans dépasser l'échéance du dossier. Après activation, seules les données opérationnelles utiles restent pendant l’accès interne et sont effacées à sa clôture par défaut ; preuve contractuelle minimale pendant la relation puis archivage restreint cinq ans après clôture, sous validation de sa nécessité et des prescriptions applicables. Les demandes non activées ne passent pas automatiquement dans cette archive de cinq ans.
La fermeture d'un dossier n'efface pas automatiquement une identité Auth ayant un autre usage légitime. Les identités créées pour la seule préinscription et jamais activées font l'objet d'une revue à la clôture et, au plus tard, à l'échéance du dossier, puis d'un effacement contrôlé lorsqu'aucune autre finalité ne le justifie. Responsable opérationnel désigné : la direction de FORTUNEY PARTICIPATION, qui habilite nominativement les intervenants et documente leurs décisions. Il ne s’agit pas d’une désignation de délégué à la protection des données. Revue hebdomadaire et au retrait ou à la clôture, avec préparation de la revue avant l’échéance du dossier. Tout compte antérieur, partagé, administrateur, activé ou lié à une autre finalité est exclu d’un effacement au titre de cette seule préinscription. Aucun effacement Auth automatique n’est prévu. Une suppression justifiée nécessite une relecture complète des usages, une autorisation distincte et l’API officielle ; aucune suppression SQL directe. La provenance minimale est revue jusqu’à l’activation ou la décision sur le compte ; la seule trace de décision nécessaire est ensuite conservée au maximum 180 jours, sous justification. Cette durée n’autorise pas à conserver un compte devenu inutile. Les données d’un compte ayant une autre finalité suivent une politique distincte.
Les sauvegardes chiffrées ne servent pas à un usage courant ou à une relance. Politique interne approuvée : les nouvelles sauvegardes de ce traitement ont une rotation limitée à trente jours, avec accès réservé à la récupération. Cette proposition ne déclenche aucune suppression des archives historiques existantes, qui nécessitent un examen distinct et ne peuvent servir à recréer des dossiers effacés. Toute restauration doit réappliquer les retraits, échéances et oppositions intervenus depuis la sauvegarde ; une sauvegarde ne prolonge pas le droit d'utiliser les données.
Droits : accès, rectification, effacement, limitation, opposition selon la base applicable et portabilité dans les cas prévus. L'opposition à la prospection est sans justification. Une demande reçoit une réponse dans les meilleurs délais, en principe sous un mois ; toute prolongation légalement permise est motivée et annoncée dans ce premier délai. Les seules données indispensables peuvent être conservées pour une obligation identifiée ou la défense de droits, avec accès restreint et information du demandeur. Réclamation possible auprès de la CNIL, www.cnil.fr.
La validation administrative demeure requise. La publication peut être déclenchée automatiquement seulement lorsque l’acceptation personnelle, l’autorisation et toutes les vérifications liées à la version du dossier sont réunies ; sinon le dossier reste en attente. Les contrôles techniques seuls ne valent pas validation professionnelle. Aucune donnée sensible ou profilage public n'est prévu par ce parcours.
Prospection professionnelle : lorsqu’une personne physique est concernée, la recherche de partenaires et l’envoi d’une proposition directement liée à son activité reposent sur l’intérêt légitime de développer le réseau professionnel (article 6.1.f), sous réserve de la pertinence professionnelle, de la licéité de la source et de l’information requise. Chaque message identifie Dispolia et permet une opposition simple et gratuite par réponse. La source et les catégories de données sont communiquées conformément à l’article 14 du RGPD. Une réponse entraîne la sortie du flux automatique pour examen ; aucune opposition ne requiert de justification. La préinscription ne vaut pas accord à des campagnes sans lien avec l’activité. Les oppositions sont conservées sous une forme minimale dans une liste d’exclusion distincte ; la campagne n’envoie rien à un opposant.