Politique de confidentialité

1. Responsable du traitement

Le site PeppolCheck.fr est édité par E-Invoice BV, société de droit belge (numéro d'entreprise et de TVA : BE 1018.265.814), dont le siège est établi Brusselsesteenweg 119A, 1980 Zemst, Belgique. Pour toute question relative au traitement de vos données ou à la présente politique, vous pouvez contacter le responsable du traitement à l'adresse suivante : info@peppolcheck.fr.

2. Données collectées

PeppolCheck.fr est un service public et gratuit de consultation de l'annuaire Peppol. La simple consultation ne requiert ni inscription, ni création de compte, ni formulaire de contact, ni newsletter, ni espace de commentaires : aucune donnée personnelle ne vous est demandée pour accéder au service. La seule exception est la fonctionnalité facultative de revendication de fiche, décrite à la section 9 ci-dessous, qui suppose une connexion et le dépôt d'un justificatif.

Les seules données traitées sont des données techniques de mesure d'audience, collectées via PostHog :

• les pages consultées et l'URL de la page ;
• la page de provenance (référent) ;
• le pays, déduit de manière anonyme à partir de l'adresse IP (l'adresse IP n'est pas conservée en clair) ;
• le navigateur, le système d'exploitation et le type d'appareil (extraits de l'en-tête User-Agent).

Les données affichées par le moteur de recherche proviennent des registres publics Peppol (Peppol Directory, SML, SMP). Il s'agit d'informations publiques relatives à des entités enregistrées sur le réseau, et non de données personnelles concernant les visiteurs du site.

3. Finalités du traitement

Les données techniques d'audience sont traitées pour les finalités suivantes :

• mesurer la fréquentation du site et comprendre l'usage qui en est fait ;
• améliorer le contenu, l'ergonomie et la performance du service ;
• assurer la sécurité du site et détecter les usages abusifs ou automatisés.

4. Base légale (RGPD)

Le traitement repose sur l'intérêt légitime du responsable du traitement (article 6.1.f du RGPD) à mesurer l'audience de son site et à en assurer le bon fonctionnement. La mesure d'audience est effectuée de manière agrégée et anonymisée, sans profilage publicitaire, sans suivi inter-sites et sans recoupement avec d'autres sources de données.

5. Cookies et traceurs

PeppolCheck.fr n'utilise aucun cookie publicitaire, aucun cookie de réseau social et aucun traceur tiers à des fins de marketing ou de profilage.

La mesure d'audience PostHog est intégrée en première partie : les requêtes sont acheminées via le sous-chemin /ingest du domaine peppolcheck.fr, ce qui évite tout appel direct du navigateur vers un domaine tiers. La configuration retenue limite l'usage de cookies au strict nécessaire au fonctionnement de la mesure d'audience.

Vous pouvez à tout moment vous opposer à cette mesure en activant l'option « Do Not Track » (DNT) de votre navigateur, en installant une extension de blocage, ou en désactivant l'exécution de JavaScript pour le site. Le service reste pleinement accessible dans ce cas.

6. Hébergement et sous-traitants

Pour faire fonctionner le service, l'opérateur du site fait appel à un nombre limité de sous-traitants techniques :

• Cloudflare, Inc. — hébergement du site sur l'infrastructure Workers, distribution depuis les points de présence européens et protection contre les attaques. Cloudflare peut, dans le cadre de son fonctionnement, traiter ponctuellement des données techniques (adresse IP, en-têtes HTTP) en dehors de l'Union européenne.
• PostHog — mesure d'audience. L'instance utilisée est hébergée dans la région Union européenne.

Ces prestataires interviennent en qualité de sous-traitants au sens de l'article 28 du RGPD et sont liés par les engagements contractuels et techniques correspondants.

7. Durée de conservation

Les données d'audience sont conservées pendant une durée maximale de douze (12) mois, conformément aux paramètres par défaut de PostHog, puis supprimées ou agrégées de manière irréversible. Aucune donnée personnelle de visiteur n'est conservée au-delà de cette durée.

8. Transferts hors Union européenne

Le site est hébergé sur des points de présence européens. Cloudflare, Inc. étant une société de droit américain, certaines opérations techniques peuvent donner lieu à un transfert de données vers les États-Unis. Ces transferts sont encadrés par le Data Privacy Framework (DPF) UE-États-Unis, auquel Cloudflare a adhéré, ainsi que par les clauses contractuelles types de la Commission européenne lorsque cela est nécessaire.

9. Vérification de propriété d'une fiche (« revendiquer cette fiche »)

PeppolCheck.fr propose à un représentant d'entreprise de revendiquer la fiche publique de sa société afin d'y faire apparaître un statut « Propriétaire vérifié ». Cette fonctionnalité est facultative et distincte de la simple consultation.

Finalité. Vérifier qu'une personne qui revendique une fiche est bien habilitée à représenter l'entreprise concernée, afin d'afficher un badge de propriété vérifiée et de prévenir les usurpations.

Base légale. Intérêt légitime du responsable du traitement et du public Peppol (article 6.1.f du RGPD) à disposer d'un badge de vérification fiable. Un test de mise en balance (finalité légitime, nécessité et minimisation — un seul document, examiné puis supprimé, attente raisonnable de la personne qui revendique sa propre entreprise) a été documenté en interne.

Données traitées. Nom déclaré, rôle et adresse e-mail de connexion (via Clerk), ainsi que le justificatif déposé (extrait Kbis, avis de situation SIRENE, lettre de mandat ou justificatif bancaire/de domicile). Après décision, seul un enregistrement de vérification est conservé : type de document, SIREN, examinateur, date, empreinte SHA-256 du document et nom vérifié.

Conservation. Le justificatif n'est conservé que jusqu'à la décision de l'examinateur. En cas d'approbation, le document brut est supprimé rapidement et seul l'enregistrement de vérification est conservé. En cas de rejet, le document est supprimé sous 30 jours au plus, avec un enregistrement minimal de la décision. En cas de suppression de compte ou de demande d'effacement, les données actives du demandeur (justificatifs stockés et lignes en base) sont effacées immédiatement, de même que l'organisation et le compte Clerk devenus inutilisés ; les sauvegardes automatiques de la base, qui ne peuvent pas être effacées de façon sélective, expirent d'elles-mêmes dans le délai de rétention (environ 30 jours pour les instantanés « Time Travel » de Cloudflare D1). Une réserve contentieuse (enregistrement de décision uniquement, jusqu'à 5 ans) n'est appliquée qu'en cas de risque réel de litige.

Sous-traitant d'authentification. L'identité et la connexion sont gérées par Clerk, Inc., société de droit américain, agissant comme sous-traitant au sens de l'article 28 du RGPD. Les transferts vers les États-Unis qui en résultent sont encadrés par le Data Privacy Framework (DPF) UE-États-Unis et, en tant que de besoin, par les clauses contractuelles types de la Commission européenne. Les justificatifs sont stockés sur un espace de stockage privé Cloudflare R2, sans URL publique.

10. Vos droits

Conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants sur les données qui vous concernent :

• droit d'accès ;
• droit de rectification ;
• droit à l'effacement ;
• droit d'opposition ;
• droit à la limitation du traitement ;
• droit à la portabilité.

Compte tenu du caractère anonyme de la mesure d'audience, l'opérateur du site n'est pas en mesure de relier les données collectées à une personne identifiée et peut donc, dans certains cas, ne pas être en mesure de donner suite à une demande d'exercice de droits (article 11 du RGPD).

Pour exercer vos droits, vous pouvez écrire à info@peppolcheck.fr. Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), www.cnil.fr.

11. Sécurité

L'ensemble des échanges entre votre navigateur et le site est chiffré via HTTPS. Pour la simple consultation, le site ne stocke aucune donnée personnelle de visiteur sur ses propres serveurs : il n'existe ni base d'utilisateurs, ni journal d'identifiants, ni cookies d'authentification. Seule la fonctionnalité de revendication de fiche (section 9) repose sur une connexion authentifiée via Clerk et un stockage privé des justificatifs.

12. Modifications de la politique

La présente politique de confidentialité peut être amenée à évoluer pour tenir compte des évolutions du service, de ses sous-traitants ou de la réglementation applicable. La date de dernière mise à jour figure en tête de page. Nous vous invitons à la consulter régulièrement.

13. Contact

Pour toute question relative à la présente politique ou au traitement de vos données, vous pouvez écrire à info@peppolcheck.fr.