Politique de confidentialité

1. Responsable du traitement

Pour les traitements réalisés dans le cadre du site internet, des demandes de contact, des demandes de démonstration et, plus généralement, de la relation commerciale avec MyDotation, le responsable du traitement est :

Pour toute question relative à la protection de vos données personnelles, vous pouvez nous contacter à cette adresse.

2. Champ d'application de la présente politique

La présente politique concerne principalement les données personnelles traitées lorsque vous :

• consultez le site internet de MyDotation ;
• remplissez un formulaire de contact ;
• demandez une démonstration ;
• demandez un essai ou des informations sur nos services ;
• échangez avec notre équipe commerciale ;
• êtes prospect ou client de MyDotation ;
• utilisez les services MyDotation en tant que client ;
• utilisez la plateforme MyDotation en tant que collaborateur, salarié ou représentant d'une entreprise cliente ;
• échangez avec notre équipe support ;
• utilisez les fonctionnalités de la plateforme nécessitant le traitement de données personnelles.

Certains traitements peuvent toutefois relever exclusivement de la responsabilité d'un client de MyDotation. Cette situation est précisée dans la présente politique.

3. Les différents rôles de MyDotation

La qualification juridique des traitements dépend de leur finalité et de leur contexte.

3.1. MyDotation en qualité de responsable du traitement

MyDotation agit en qualité de responsable du traitement lorsqu'elle détermine, pour ses propres besoins, les finalités et les moyens essentiels du traitement.

C'est notamment le cas, sous réserve des traitements effectivement mis en œuvre, pour :

• la gestion du site internet ;
• la gestion des demandes de contact ;
• la gestion des demandes de démonstration ;
• la gestion de la relation commerciale ;
• la gestion des contrats et de la facturation ;
• la sécurité de ses propres services ;
• la gestion de ses obligations légales ;
• la défense de ses droits et intérêts ;
• certaines opérations de prospection commerciale.

3.2. MyDotation en qualité de sous-traitant

Lorsqu'une entreprise cliente utilise MyDotation pour gérer les données de ses propres collaborateurs ou d'autres personnes relevant de sa responsabilité, cette entreprise détermine les finalités et les moyens essentiels du traitement.

Dans ce cadre, MyDotation agit en principe en qualité de sous-traitant, au sens de l'article 28 du RGPD.

MyDotation traite alors les données conformément aux instructions documentées du client et aux dispositions du contrat de sous-traitance applicable.

Le client demeure responsable de la détermination des finalités du traitement, de la licéité de celui-ci et de l'information des personnes concernées, dans la mesure où ces obligations lui incombent.

Cette qualification est appréciée traitement par traitement et ne signifie pas que MyDotation agit comme sous-traitant pour l'ensemble des traitements concernant un utilisateur de la plateforme.

3.3. Traitement des données pour le compte de nos clients et accord de sous-traitance (DPA)

Lorsque MyDotation traite des données à caractère personnel pour le compte d'une entreprise cliente dans le cadre de la fourniture de ses services, MyDotation agit en qualité de sous-traitant au sens de l'article 4, paragraphe 8, et de l'article 28 du Règlement général sur la protection des données (« RGPD »).

Dans ce cadre, les traitements réalisés pour le compte du client sont encadrés par un accord de sous-traitance des données (« Data Processing Agreement » ou « DPA »), intégré au contrat ou conclu séparément.

Le DPA précise notamment l'objet et la durée des traitements, leur nature et leur finalité, les catégories de données personnelles et de personnes concernées, ainsi que les obligations et droits du client en qualité de responsable du traitement.

MyDotation s'engage notamment à traiter les données personnelles uniquement sur instruction documentée du client, à assurer la confidentialité des personnes autorisées à traiter ces données, à mettre en œuvre les mesures techniques et organisationnelles appropriées à la protection des données et à assister le client, dans la mesure prévue par la réglementation et le contrat, dans le respect de ses obligations au titre du RGPD.

Les conditions applicables aux éventuels sous-traitants ultérieurs de MyDotation sont également encadrées conformément aux exigences de l'article 28 du RGPD.

4. Quelles données personnelles pouvons-nous traiter ?

Selon votre relation avec MyDotation et les services utilisés, nous pouvons traiter différentes catégories de données personnelles.

MyDotation veille à limiter la collecte aux données nécessaires aux finalités poursuivies.

5. Données relatives aux collaborateurs de nos clients

MyDotation est notamment destinée à permettre aux entreprises de gérer certaines dotations, équipements, habilitations et opérations associées.

Dans ce cadre, un client peut transmettre à MyDotation des données concernant ses collaborateurs.

Ces données peuvent notamment comprendre :

• nom et prénom ;
• adresse e-mail professionnelle ;
• service ou établissement ;
• fonction ;
• informations nécessaires à la gestion des dotations ;
• informations relatives aux équipements, vêtements, badges, clés ou autres éléments gérés dans la plateforme ;
• informations relatives aux habilitations ;
• historique des opérations effectuées dans la plateforme ;
• données de connexion et journaux nécessaires à la sécurité du service.

Pour ces traitements, l'entreprise cliente détermine les finalités et les moyens essentiels du traitement et agit en principe en qualité de responsable du traitement.

MyDotation agit alors en qualité de sous-traitant et traite les données conformément aux instructions documentées du client et au contrat de sous-traitance applicable.

Si vous êtes utilisateur de MyDotation pour le compte d'une entreprise cliente et que vous souhaitez exercer vos droits concernant des données traitées pour le compte de cette entreprise, nous vous invitons à contacter en premier lieu l'entreprise concernée.

MyDotation assiste son client dans le traitement des demandes d'exercice des droits lorsque cette assistance est prévue par le RGPD et le contrat applicable.

6. Finalités et bases légales des traitements

MyDotation traite les données personnelles uniquement pour des finalités déterminées, explicites et légitimes.

Les principales finalités et bases légales sont les suivantes.

La base légale applicable dépend de la finalité et du contexte précis du traitement.

Lorsqu'un traitement repose sur notre intérêt légitime, MyDotation veille à ce que cet intérêt ne soit pas écarté par les intérêts ou les droits et libertés fondamentaux de la personne concernée.

7. Communications commerciales

MyDotation peut être amenée à adresser des communications commerciales à ses clients ou prospects dans les conditions prévues par la réglementation applicable.

Selon la situation, ces communications peuvent être fondées :

• sur le consentement de la personne lorsqu'il est requis ;
• sur l'intérêt légitime de MyDotation lorsque la réglementation applicable permet une telle prospection ;
• sur les règles spécifiques applicables à la prospection auprès de clients existants.

Chaque communication commerciale électronique adressée lorsque la réglementation l'exige comporte un moyen simple permettant de se désinscrire.

Vous pouvez également vous opposer à tout moment à l'utilisation de vos données à des fins de prospection commerciale.

Pour les prospects, les données utilisées à des fins de prospection commerciale sont en principe conservées pendant une durée maximale de trois ans à compter de leur collecte ou du dernier contact émanant du prospect, sous réserve des règles particulières applicables et de l'exercice de votre droit d'opposition.

8. Durées de conservation

Nous ne conservons les données personnelles que pendant une durée nécessaire aux finalités pour lesquelles elles sont traitées, sous réserve des obligations légales de conservation ou de la nécessité de conserver certaines données à titre probatoire.

À titre indicatif :

• Demandes de contact ou de démonstration : pendant le temps nécessaire au traitement de la demande et, lorsque la personne devient prospect, conformément aux règles applicables à la prospection ;
• Prospects : jusqu'à trois ans à compter de la collecte ou du dernier contact émanant du prospect, sauf opposition ou obligation particulière ;
• Clients : pendant la durée de la relation contractuelle, puis archivage lorsque cela est nécessaire pour respecter nos obligations légales ou défendre nos droits ;
• Données de facturation et pièces comptables : pendant les durées imposées par la réglementation applicable ;
• Données de connexion et journaux de sécurité : pendant une durée limitée adaptée aux besoins de sécurité et de détection des incidents ;
• Les journaux de sécurité sont conservés pendant une durée d'un mois, sauf lorsqu'une conservation plus longue est nécessaire à l'analyse, à la gestion ou au traitement d'un incident de sécurité.
• Données traitées pour le compte d'un client : conformément aux instructions du client et aux dispositions du contrat de sous-traitance, puis suppression ou restitution selon les modalités convenues.

Les durées exactes sont déterminées en fonction de la finalité concernée et des obligations légales applicables. La CNIL recommande que les durées ou, à défaut, les critères permettant de les déterminer soient définis en fonction des finalités du traitement.

9. Destinataires des données

Les données personnelles peuvent être accessibles, dans la limite de leurs attributions et du besoin d'en connaître, aux :

• membres habilités de MyDotation ;
• prestataires techniques intervenant pour le compte de MyDotation ;
• prestataires d'hébergement et d'infrastructure ;
• prestataires de maintenance et de sécurité ;
• prestataires de gestion de la relation client ;
• prestataires d'envoi d'e-mails ;
• conseils professionnels lorsque cela est nécessaire ;
• autorités administratives ou judiciaires lorsque la loi l'impose.

MyDotation ne vend pas les données personnelles de ses utilisateurs.

Lorsque MyDotation fait appel à un prestataire qui traite des données personnelles pour son compte, la relation est encadrée conformément aux exigences du RGPD applicables aux sous-traitants.

10. Nos principaux prestataires

Afin de fournir et d'administrer MyDotation, nous pouvons utiliser différents prestataires techniques et commerciaux.

Ces prestataires peuvent notamment intervenir pour :

• l'hébergement ;
• la gestion de la relation client ;
• l'envoi d'e-mails ;
• la sécurité ;
• l'analyse technique et statistique ;
• le support ;
• la maintenance et le fonctionnement de la plateforme.

Prestataires utilisés par MyDotation

MyDotation fait appel à plusieurs prestataires techniques pour assurer le fonctionnement, l'hébergement et, le cas échéant, certaines fonctionnalités de sa plateforme :

Scaleway — hébergement et stockage des données de la plateforme : données de compte, données métier, journaux techniques. Les infrastructures utilisées sont localisées en France. MyDotation dispose actuellement de deux instances de bases de données de type db-play2-pico, toutes deux localisées en France. Une sauvegarde quotidienne est effectuée automatiquement. Des snapshots manuels peuvent également être réalisés dans le cadre de l'offre souscrite ;

HubSpot — outil de gestion de la relation client (CRM), utilisé notamment pour la gestion des contacts, des formulaires et des échanges commerciaux. Les finalités et services effectivement utilisés via HubSpot restent à préciser et à confirmer précisément ;

Roundcube — interface de messagerie électronique utilisée pour la gestion et l'accès aux comptes e-mail de MyDotation ;

La présente liste devra être mise à jour afin de correspondre exactement aux services et prestataires effectivement utilisés par MyDotation, notamment à la suite du retour du support Scaleway concernant les éventuels autres services techniques concernés.

11. Transferts de données hors de l'Espace économique européen

MyDotation privilégie, lorsque cela est possible, des prestataires et infrastructures permettant de traiter les données au sein de l'Espace économique européen.

Lorsqu'un traitement implique un transfert de données personnelles vers un pays situé en dehors de l'Espace économique européen, MyDotation veille à ce que ce transfert soit encadré conformément au RGPD.

Selon les circonstances, le transfert peut notamment être fondé sur :

• une décision d'adéquation de la Commission européenne ;
• des clauses contractuelles types adoptées par la Commission européenne ;
• ou tout autre mécanisme de transfert reconnu par le RGPD.

Les informations relatives aux éventuels transferts internationaux seront précisées dans la présente politique lorsque les prestataires et flux concernés auront été définitivement vérifiés.

12. Cookies et autres traceurs

Le site MyDotation peut utiliser des cookies et autres traceurs nécessaires à son fonctionnement ainsi que, lorsque cela est applicable, des traceurs destinés à mesurer l'audience ou à améliorer le site.

Les traceurs qui ne sont pas strictement nécessaires au fonctionnement du service ne sont déposés ou lus qu'après recueil du consentement lorsque celui-ci est légalement requis.

Lorsque le consentement est nécessaire, vous devez pouvoir accepter ou refuser les traceurs avec un niveau de simplicité comparable et pouvoir modifier votre choix ultérieurement.

La CNIL rappelle notamment que le consentement aux cookies soumis à cette obligation doit être préalable, libre, spécifique, éclairé et retirable à tout moment.

Traceurs utilisés sur MyDotation

• Google Analytics ;
• Google Tag Manager ;
• HubSpot tracking ;
• Cette liste doit être tenue à jour en fonction des traceurs effectivement installés sur le site.

13. Sécurité des données

13.1. Mesures techniques et organisationnelles

MyDotation met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques liés aux traitements de données personnelles qu'elle réalise.

Ces mesures peuvent notamment porter sur la sécurité des infrastructures et des communications, la gestion des habilitations et des accès, la protection des comptes utilisateurs, la sauvegarde et la restauration des données, la journalisation des événements nécessaires à la sécurité, ainsi que la prévention, la détection et la gestion des incidents de sécurité.

L'accès aux données personnelles est limité aux personnes et prestataires qui en ont besoin dans le cadre de leurs fonctions ou de leurs missions et qui sont soumis à des obligations appropriées de confidentialité.

MyDotation réévalue régulièrement ses mesures de sécurité et peut les faire évoluer afin de tenir compte des évolutions techniques, des risques identifiés et des exigences réglementaires applicables.

Les mesures techniques et organisationnelles détaillées applicables aux traitements réalisés pour le compte des clients peuvent être précisées dans le DPA ou dans un document de sécurité dédié.

13.2. Gestion des incidents de sécurité

MyDotation met en œuvre des mesures techniques et organisationnelles adaptées aux risques présentés par les traitements.

Selon les services concernés, ces mesures peuvent notamment comprendre :

• chiffrement des communications ;
• contrôle des accès ;
• gestion des habilitations ;
• authentification sécurisée ;
• codes à usage unique lorsque cette fonctionnalité est utilisée ;
• journalisation des opérations sensibles ;
• sauvegardes ;
• mesures de protection de l'infrastructure ;
• procédures de gestion des incidents ;
• engagements de confidentialité des personnes habilitées à accéder aux données.

Nous adaptons régulièrement ces mesures en fonction de l'évolution des risques, des technologies et des services proposés.

Le RGPD impose la mise en œuvre de mesures techniques et organisationnelles appropriées à un niveau de sécurité adapté au risque.

14. Données anonymisées et statistiques

Lorsque nous produisons des statistiques à partir des données de nos services, nous pouvons utiliser des données agrégées ou anonymisées.

Lorsqu'une donnée est véritablement anonymisée de manière irréversible, elle ne constitue plus une donnée à caractère personnel.

Nous veillons à distinguer les données anonymisées des données simplement pseudonymisées, ces dernières restant soumises au RGPD.

15. Décisions automatisées et profilage

MyDotation n'effectue pas, dans le cadre des traitements décrits dans la présente politique, de décision exclusivement automatisée produisant à l'égard d'une personne un effet juridique ou un effet significatif similaire au sens de l'article 22 du RGPD.

MyDotation n'utilise pas non plus les données personnelles des utilisateurs pour établir un profil produisant de tels effets.

Si les pratiques de MyDotation évoluent sur ce point, la présente politique sera mise à jour et les informations requises seront communiquées aux personnes concernées.

16. Vos droits

Dans les conditions prévues par le RGPD, vous disposez notamment des droits suivants :

• droit d'accès à vos données personnelles ;
• droit de rectification des données inexactes ou incomplètes ;
• droit à l'effacement dans les conditions prévues par la réglementation ;
• droit à la limitation du traitement dans certains cas ;
• droit d'opposition à certains traitements, notamment lorsque ceux-ci sont fondés sur notre intérêt légitime ;
• droit à la portabilité lorsque ce droit est applicable ;
• droit de retirer votre consentement lorsque le traitement est fondé sur celui-ci.

Le retrait du consentement n'affecte pas la licéité des traitements effectués avant ce retrait.

Vous pouvez également définir des directives relatives au sort de vos données après votre décès dans les conditions prévues par la réglementation française.

17. Comment exercer vos droits ?

Vous pouvez exercer vos droits en adressant votre demande à :

privacy@mydotation.fr

Lorsque cela est nécessaire, MyDotation peut demander des informations complémentaires permettant de vérifier l'identité du demandeur.

Cette vérification doit rester proportionnée et ne sera effectuée que lorsqu'elle est nécessaire à la protection des données concernées.

MyDotation répond aux demandes dans les délais prévus par le RGPD et, en principe, dans un délai d'un mois à compter de leur réception.

Ce délai peut être prolongé de deux mois lorsque la demande est complexe ou lorsqu'un nombre important de demandes est reçu. Dans ce cas, MyDotation informe la personne concernée de cette prolongation dans le délai d'un mois.

Données traitées pour le compte d'un client

Lorsque MyDotation traite les données exclusivement pour le compte d'une entreprise cliente agissant comme responsable du traitement, la demande peut être transmise au client concerné afin qu'il puisse y répondre.

MyDotation apporte à son client l'assistance prévue par le RGPD et le contrat de sous-traitance applicable.

18. Réclamation auprès de la CNIL

Si, après nous avoir contactés, vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), autorité française de protection des données.

Vous pouvez également consulter le site de la CNIL pour connaître les modalités actualisées de dépôt d'une réclamation.

19) Modification de la présente politique

Nous pouvons faire évoluer la présente politique afin de tenir compte :

• de l'évolution de nos services ;
• de l'évolution de nos pratiques de traitement des données ;
• des évolutions légales ou réglementaires ;
• des recommandations des autorités compétentes.

En cas de modification substantielle affectant les droits des personnes ou les modalités de traitement de leurs données, nous mettrons en place les mesures d'information appropriées.

La date de dernière mise à jour figure en haut de la présente politique.

20. Contact

Pour toute question concernant la protection de vos données personnelles ou la présente politique :

privacy@mydotation.fr

Version : [1.0] — Dernière mise à jour : 22/09/2026