Politique de confidentialité.

Responsable du traitement

PCS 2.0, SAS, société par actions simplifiée, SIRET 990 441 438 00019,
siège : 4 avenue de l'Europe, 92270 Bois-Colombes, France.

Délégué à la protection des données (DPO) : dpo@mon-budget-opco.fr.

Données collectées et finalités

• Simulations anonymes — SIREN, IDCC, effectif, heures de formation, coût, résultat.
  Finalité : fournir le résultat du simulateur, améliorer la qualité des plafonds.
  Base légale : intérêt légitime (art. 6.1.f RGPD).
• Compte utilisateur — email, mot de passe (haché Argon2id), nom, prénom, téléphone facultatif.
  Finalité : fourniture du service personnalisé (historique, entreprises, alertes).
  Base légale : exécution du contrat (art. 6.1.b RGPD).
• Entreprises enregistrées — SIRET, raison sociale, adresse, effectif, OPCO associé.
  Finalité : rattachement à l'espace utilisateur pour simulations répétées.
  Base légale : exécution du contrat.
• Demandes de contact — nom, email, téléphone, entreprise, message.
  Finalité : réponse à la demande, rappel commercial sous 24 h ouvrées.
  Base légale : consentement (case à cocher explicite).
• Logs techniques — IP hachée (SHA-256 avec sel applicatif, jamais en clair), user-agent, horodatage.
  Finalité : sécurité, rate-limiting, détection d'abus.
  Base légale : intérêt légitime.

Aucune donnée sensible au sens de l'article 9 RGPD (santé, opinions, origines, orientation sexuelle, etc.) n'est collectée.

Durées de conservation

• Comptes actifs : conservés tant que le compte est actif.
• Comptes inactifs : anonymisés 3 ans après la dernière connexion (email remplacé par pseudonyme, PII nullifiées, deleted_at posé). Aucune suppression physique des lignes pour préserver l'intégrité des statistiques anonymes.
• Simulations : conservées indéfiniment sous forme anonymisée après suppression du compte.
• Demandes de contact : conservées 3 ans après le dernier échange (délai de prescription commerciale).
• Logs de sécurité : 12 mois.
• Cache de consultation des fiches entreprise publiques : 30 jours maximum.

Destinataires

Aucune donnée n'est cédée, vendue ou mise à disposition d'un tiers à des fins commerciales. Les sous-traitants au sens du RGPD, strictement nécessaires au service :

• OVH SAS — hébergement applicatif et base de données (France, UE).
• API publiques — INSEE / recherche-entreprises.api.gouv.fr, data.gouv.fr, API OPCO : aucune donnée utilisateur transmise, seules des requêtes SIREN publiques.
• Prestataire email transactionnel : envoi des emails de confirmation / reset de mot de passe, traitement limité à l'adresse email et au contenu du mail.

Transferts hors UE

Aucun transfert hors de l'Union européenne. Toutes les données sont stockées sur des serveurs situés en France (OVHcloud, Roubaix).

Sécurité

Mots de passe hachés avec Argon2id (paramètres conformes OWASP), sessions régénérées à chaque élévation de privilège, cookies Secure + HttpOnly + SameSite=Strict, jetons CSRF sur toute action mutative, rate-limiting sur les endpoints sensibles, journalisation des tentatives d'accès.

Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• droit d'accès et de copie de vos données ;
• droit de rectification des données inexactes ou incomplètes ;
• droit à l'effacement (« droit à l'oubli ») ;
• droit à la limitation du traitement ;
• droit à la portabilité de vos données ;
• droit d'opposition au traitement ;
• droit de définir des directives post-mortem.

Exercez vos droits via notre formulaire dédié ou en écrivant au DPO : dpo@mon-budget-opco.fr. Réponse sous 30 jours maximum (prolongeable à 3 mois en cas de complexité justifiée).

En cas de désaccord persistant, vous pouvez introduire une réclamation auprès de la CNIL (3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).

Profilage, décisions automatisées

Le Service ne réalise aucun profilage ni décision individuelle automatisée au sens de l'article 22 du RGPD. Les résultats du simulateur sont des calculs indicatifs, sans impact juridique ou contractuel sur l'utilisateur.