Politique de protection des données — Ma Municipalité (Sous-traitant)

1 — Champ d'application

Sont visés :

• l'hébergement, la maintenance et l'exploitation de la plateforme SaaS Ma Municipalité ;
• les prestations d'assistance et de support technique fournies au Client ;
• les traitements incidents nécessaires au bon fonctionnement du Service (sauvegardes, supervision, journalisation, envoi de notifications transactionnelles, etc.) ;
• les modules fonctionnels du Service : réservation de salles et de matériels, associations, taxe de séjour, cimetière (concessions), enfance (cantine scolaire, périscolaire, centre de loisirs), conventions et signature électronique, agent d'intelligence artificielle, gestion de l'état civil (mariages).

2 — Identité du sous-traitant et point de contact

• SARL THARSOS (éditeur de Ma Municipalité)
• Adresse : 35 Allée Lucie Aubrac, 13290 Aix-en-Provence
• SIRET : 982 302 200 00026
• N° TVA intracommunautaire : FR52982302200
• Courriel : contact@ma-municipalite.fr
• Délégué à la protection des données (DPO) : Hugo GUALTIERI — contact@ma-municipalite.fr

3 — Collecte et traitement des données personnelles

Dans le cadre de la fourniture du Service, Ma Municipalité traite les données uniquement sur instruction documentée du Client. Le Client détermine les finalités et les moyens du traitement et conserve la qualité de responsable de traitement. Ma Municipalité met en œuvre toutes les mesures techniques et organisationnelles appropriées pour assurer la conformité des traitements au RGPD et à la loi française n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »).

3.1 — Catégories de données traitées

• Identité : civilité, nom, prénom, date de naissance.
• Coordonnées : adresse postale, courriel, téléphone.
• Données de compte : identifiant, mot de passe (haché), rôle, journal de connexion, adresse IP.
• Données de réservation : dates et heures, salle ou matériel concerné, motif, contenu de la convention, montants associés.
• Justificatifs téléversés par les Utilisateurs ou par le Client : justificatifs de domicile, attestations d'assurance, statuts d'associations, certificats de régularité d'existence, livrets de famille, et plus généralement tout document strictement nécessaire à l'instruction d'une demande adressée au Client.
• Données associatives : nom de l'association, numéro RNA, président et membres du bureau.
• Données de cimetière : identité du concessionnaire et des ayants droit, emplacement, durée et conditions de la concession.
• Données enfance : fiche famille, fiche sanitaire, allergies et régimes alimentaires.
• Données état civil — mariages : identité des époux, des témoins, dates et lieux de naissance, sous la stricte responsabilité du Client agissant dans le cadre de sa mission de service public.
• Données financières : montants facturés et statut de paiement (les données bancaires éventuelles sont traitées directement par le prestataire de paiement compétent et ne transitent pas par les systèmes de Ma Municipalité).

3.2 — Données dites « sensibles »

Le module Enfance peut conduire au traitement de données concernant la santé (allergies, régimes alimentaires médicalement justifiés), qui constituent des données particulières au sens de l'article 9 du RGPD. Ces données sont traitées sur le fondement de la mission de service public du Client et bénéficient de mesures de sécurité renforcées (cloisonnement applicatif, accès restreint aux seuls agents habilités par le Client). Aucune autre catégorie de données sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, vie ou orientation sexuelle, données génétiques ou biométriques, données relatives à des condamnations pénales) n'est traitée sans instruction écrite et documentée du Client.

3.3 — Finalités poursuivies pour le compte du Client

Les données sont traitées afin de :

• permettre la gestion par le Client de ses ressources (salles, matériels, équipements, concessions) ;
• traiter les demandes adressées par les habitants, associations, hébergeurs touristiques et familles au Client ;
• générer, faire signer et archiver les conventions et autres actes liés aux services communaux ;
• transmettre au Client les informations nécessaires à l'instruction de ces demandes ;
• permettre aux personnes concernées de gérer leur compte et leurs demandes depuis l'interface mise à leur disposition ;
• fournir au Client l'assistance d'un agent conversationnel intelligent dans la rédaction de réponses et la consultation de ses propres données ;
• assurer la sécurité, la disponibilité et la performance du Service (journalisation, supervision, sauvegardes).

Ma Municipalité n'utilise jamais les données du Client à des fins propres, ne les revend pas et ne les met à la disposition d'aucun tiers sans instruction documentée du Client ou obligation légale.

4 — Destinataires et sous-traitants ultérieurs

Les données peuvent être communiquées, dans la limite stricte de leurs finalités respectives, aux destinataires suivants :

4.1 — Liste des sous-traitants ultérieurs autorisés

Toute modification substantielle de cette liste (ajout, retrait ou changement de localisation d'un sous-traitant ultérieur) fait l'objet d'une information préalable au Client, dans un délai raisonnable lui permettant d'émettre, le cas échéant, des objections motivées.

5 — Localisation des données et transferts hors UE

L'intégralité des données saisies dans le Service est hébergée dans l'Union européenne (France et Irlande, sur l'infrastructure d'Amazon Web Services).

Aucune donnée du Client n'est transférée en dehors de l'Union européenne dans le cadre du fonctionnement nominal du Service. Les transferts résiduels éventuels liés à des services tiers situés aux États-Unis (notamment Resend pour l'acheminement de certains courriels et Anthropic pour l'agent d'intelligence artificielle, lorsque ce module est activé par le Client) sont encadrés par les clauses contractuelles types de la Commission européenne du 4 juin 2021 et par le Data Privacy Framework (DPF) UE — États-Unis adopté par décision d'adéquation du 10 juillet 2023.

6 — Durée de conservation

Les durées de conservation sont fixées par le Client en fonction des finalités poursuivies et de ses obligations légales. À défaut d'instructions différentes, Ma Municipalité applique les durées de référence suivantes :

À la fin de la relation contractuelle entre le Client et Ma Municipalité, les données sont, sur instruction du Client : (i) restituées dans un format ouvert et structuré, ou (ii) supprimées de manière irréversible. Les enregistrements liés à des engagements en cours d'exécution ne peuvent être supprimés avant l'exécution complète de la prestation correspondante.

7 — Droits des personnes concernées

Conformément aux articles 15 à 22 du RGPD, chaque personne concernée dispose des droits suivants :

• droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité ;
• droit de retirer son consentement à tout moment lorsque le traitement repose sur ce fondement ;
• droit de définir des directives relatives à la conservation, à l'effacement et à la communication de ses données après son décès ;
• droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL).

Les demandes d'exercice de ces droits sont prioritairement adressées au Client en sa qualité de responsable de traitement. Lorsqu'une demande parvient directement à Ma Municipalité, elle est transmise au Client dans les meilleurs délais. Toute demande relative au présent traitement peut être adressée à : contact@ma-municipalite.fr. Une réponse est apportée dans le délai légal d'un mois à compter de la réception de la demande, prorogeable de deux mois en cas de complexité ou de nombre de demandes.

Les Utilisateurs disposant d'un compte agent peuvent également exercer directement leur droit à l'effacement depuis l'interface, dans Mon compte > Zone de danger. La suppression est immédiate : le compte, le profil, les préférences de notification et les accès aux modules sont effacés, et les réservations, paiements et documents créés par l'Utilisateur sont anonymisés. Les pièces comptables ainsi que les conventions signées sont conservées pendant 10 ans pour répondre aux obligations légales applicables.

8 — Sécurité des données

Ma Municipalité met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD, et notamment :

8.1 — Mesures techniques

• Chiffrement en transit via TLS 1.2 minimum (TLS 1.3 par défaut) pour l'ensemble des communications HTTPS ;
• Chiffrement au repos en AES-256 sur la base de données et sur le stockage de fichiers, par les fonctions managées d'AWS et de Supabase ;
• Authentification des Utilisateurs par identifiant et mot de passe haché au moyen d'une fonction cryptographique adaptative (bcrypt, facteur de coût ≥ 10) ;
• Isolation multi-tenant au niveau de la base de données par Row Level Security PostgreSQL, garantissant le cloisonnement strict des données entre Clients ;
• Sauvegardes automatiques quotidiennes avec restauration à un instant donné (point-in-time recovery) sur une fenêtre de 7 jours, et réplication multi-AZ ;
• Supervision centralisée, journalisation des accès et alertes en cas d'événement anormal ;
• Application des correctifs de sécurité sous 30 jours pour les vulnérabilités classées élevées ou critiques.

8.2 — Mesures organisationnelles

• accès aux données de production restreint aux personnels techniques habilités, dans la limite du strict nécessaire à l'exécution de leurs missions ;
• engagement de confidentialité signé par toute personne susceptible d'accéder à des données du Client ;
• procédure formalisée de gestion des incidents de sécurité ;
• procédure documentée de réversibilité et de suppression des données en fin de contrat ;
• audits internes périodiques de l'efficacité des mesures de sécurité.

Les mesures décrites correspondent au référentiel « Sécurité des données personnelles » publié par la CNIL et aux recommandations de l'ANSSI applicables aux services numériques destinés aux collectivités. Ma Municipalité ne dispose pas, à la date d'entrée en vigueur de la présente politique, d'une certification ISO 27001 ou HDS en propre ; les certifications correspondantes des sous-traitants ultérieurs sont indiquées à l'article 4.1.

9 — Violations de données

En cas de violation de données à caractère personnel au sens de l'article 4.12 du RGPD, Ma Municipalité notifie le Client dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance, par courrier électronique adressé à l'adresse de contact RGPD du Client. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures déjà prises ou proposées pour y remédier.

10 — Modifications de la présente politique

Ma Municipalité se réserve le droit de modifier la présente politique afin de l'adapter à l'évolution du Service, des sous-traitants ultérieurs ou de la réglementation applicable. Toute modification substantielle est portée à la connaissance du Client par tout moyen approprié et figure dans l'historique des versions disponible sur cette page.

En utilisant le Service, l'Utilisateur confirme avoir pris connaissance de la présente politique et accepte que ses données soient traitées selon les modalités décrites ci-dessus, sous la responsabilité du Client.