Avant de commencer : deux rôles distincts
Sourevo traite des données personnelles en deux qualités, et il convient de les distinguer car les droits s’exercent auprès de l’entité compétente :
- En tant que responsable du traitement, nous traitons les données des visiteurs du site, des utilisateurs des comptes clients et des fournisseurs qui créent leur propre compte dans le portail. C’est l’objet de la présente politique.
- En tant que sous-traitant, nous traitons les données que chaque organisation cliente (importateur, opérateur ou transitaire) charge ou utilise dans son espace : ses fournisseurs, parcelles et preuves, les données de l’opérateur pour TRACES NT et le contenu des déclarations qu’elle dépose. Dans ce cas, le responsable du traitement est cette organisation et nous ne faisons que suivre ses instructions, conformément à l’accord de sous-traitance.
Lorsqu’un fournisseur décide de partager une parcelle avec un client, ce client l’utilise pour sa propre diligence raisonnée et, pour cette utilisation, c’est lui le responsable du traitement.
Si vous êtes fournisseur ou producteur et qu’un client de Sourevo a chargé vos données, c’est ce client qui doit répondre à vos demandes. Si vous ne savez pas de quel client il s’agit, écrivez-nous et nous vous aiderons à le contacter.
1. Responsable du traitement
- Responsable du traitement : Juan Cantón Rodríguez, professionnel indépendant, exerçant sous la marque «Francodesystems».
- NIF : 45492167F
- Adresse : Carrer de Pau Casals 19, 4º 2ª, 08213 Polinyà (Barcelona), España
- E-mail : juan.canton@sourevo.com
Nous n’avons pas désigné de délégué à la protection des données, car l’activité ne relève pas des cas visés à l’article 37 du RGPD et à l’article 34 de la LOPDGDD. Pour toute question relative à la confidentialité, utilisez l’adresse e-mail indiquée.
2. Données que nous traitons en tant que responsable du traitement
- Utilisateurs des comptes clients : nom, adresse e-mail, mot de passe (conservé uniquement sous forme d’empreinte argon2id, jamais en clair), organisation à laquelle ils appartiennent (raison sociale et NIF ou numéro de TVA) et leur rôle au sein de celle-ci.
- Fournisseurs disposant de leur propre compte dans le portail : nom, adresse e-mail, mot de passe (empreinte uniquement), langue préférée, vérification de l’adresse e-mail, identifiant fiscal déclaré (type, numéro et pays), le résultat de sa validation et le niveau de confiance qui en découle.
- Données que le fournisseur déclare dans son portail : données du fournisseur (nom, pays, adresse e-mail, téléphone), ses parcelles (nom, pays, superficie et géolocalisation sous forme de point ou de polygone), les preuves qu’il joint et les clients avec lesquels il décide de partager chaque parcelle. La géolocalisation de la parcelle d’un petit producteur peut constituer une donnée personnelle.
- Sécurité et traçabilité : journal d’audit des actions (ce qui a été fait, sur quoi, quand et par quel type d’utilisateur), codes à usage unique pour vérifier l’adresse e-mail ou réinitialiser le mot de passe (nous n’en conservons que l’empreinte), l’adresse IP utilisée en mémoire, pendant quelques minutes, pour limiter les tentatives de connexion (elle n’est pas enregistrée dans la base de données) et les journaux techniques du serveur.
- Assistance et contact : ce que vous nous communiquez par e-mail ou WhatsApp.
Nous ne demandons pas de catégories particulières de données (art. 9 RGPD). Nous n’utilisons ni outils d’analyse, ni publicité, ni traceurs de tiers.
Origine des données. Vous nous fournissez presque toutes les données. Il existe trois exceptions : si l’administrateur de votre organisation vous invite, c’est lui qui nous communique votre nom et votre adresse e-mail ; si un client vous invite en tant que fournisseur, il nous communique votre nom et votre adresse e-mail pour vous envoyer l’invitation (nous agissons alors en tant que son sous-traitant), et le résultat de la validation de votre identifiant fiscal provient du registre public consulté (VIES ou CNPJ).
3. Finalités et bases légales
| Finalité | Données | Base légale |
|---|---|---|
| Créer et gérer votre compte, vous identifier et fournir le service souscrit ou demandé | Compte client ou fournisseur, organisation | Exécution du contrat (art. 6.1.b RGPD). Si vous utilisez le compte en tant qu’employé d’une entreprise cliente, l’intérêt légitime à maintenir la relation avec celle-ci (art. 6.1.f RGPD et art. 19 LOPDGDD) |
| Mettre à la disposition des clients que vous choisissez les parcelles que vous déclarez en tant que fournisseur | Données du fournisseur, parcelles, preuves | Exécution du contrat avec le fournisseur (art. 6.1.b RGPD) |
| Valider l’identifiant fiscal du fournisseur dans des registres publics et calculer son niveau de confiance | Identifiant fiscal et résultat de la validation | Intérêt légitime à la fiabilité des informations de la chaîne d’approvisionnement, que le fournisseur lui-même recherche en les déclarant (art. 6.1.f RGPD) |
| Envoyer les e-mails du service : vérification, invitations, réinitialisation du mot de passe, notifications relatives au compte | Nom, adresse e-mail, langue | Exécution du contrat (art. 6.1.b RGPD) |
| Sécurité, prévention des abus et journal d’audit | Journaux d’audit et techniques, IP en mémoire | Intérêt légitime à protéger le service et à pouvoir établir qui a effectué chaque modification (art. 6.1.f RGPD) |
| Respecter les obligations légales : fiscales et comptables lorsqu’il y a facturation, et répondre aux demandes des autorités | Données de facturation et celles qui sont exigées | Obligation légale (art. 6.1.c RGPD) |
| Répondre aux demandes et assurer l’assistance | Ce que vous nous communiquez | Exécution du contrat ou mesures précontractuelles (art. 6.1.b RGPD) et, pour les demandes générales, intérêt légitime (art. 6.1.f RGPD) |
Vous pouvez vous opposer aux traitements fondés sur l’intérêt légitime (voir le point 8). À ce jour, nous n’envoyons ni lettres d’information ni communications commerciales. Le niveau de confiance du fournisseur est un indicateur fondé sur des vérifications objectives ; il ne s’agit pas d’une décision automatisée produisant des effets juridiques à votre égard (art. 22 RGPD) : la décision de travailler ou non avec un fournisseur appartient à chaque client.
Les données signalées comme obligatoires dans les formulaires sont nécessaires à la fourniture du service ; sans elles, nous ne pouvons pas créer le compte ni réaliser l’opération.
La préparation, le dépôt, la modification ou le retrait de déclarations dans TRACES NT ne figurent pas dans ce tableau, car nous les effectuons en tant que sous-traitant, sur instruction de l’organisation cliente : c’est elle qui détermine la finalité et la base légale.
4. Destinataires des données
- Commission européenne (TRACES NT) : lorsqu’une organisation cliente, ou son mandataire, ordonne le dépôt d’une DDS, les données de la déclaration (opérateur, produits, quantités, géolocalisation des parcelles et références) sont envoyées au système d’information de l’EUDR géré par la Commission européenne. Nous le faisons en tant que sous-traitant de ce client. Les données y sont accessibles aux autorités compétentes des États membres et aux douanes. La Commission les traite conformément à sa propre réglementation en matière de protection des données (règlement (UE) 2018/1725).
- Registres fiscaux publics : pour valider l’identifiant fiscal d’un fournisseur, nous consultons le service VIES de la Commission européenne (numéros de TVA de l’UE) ou le registre public CNPJ du Brésil. Nous n’envoyons que le numéro et le pays.
- Clients de Sourevo : les parcelles et données qu’un fournisseur décide de partager avec un client déterminé, et uniquement avec celui-ci. Ce client les utilise en tant que responsable du traitement pour sa propre diligence raisonnée.
- Prestataires de services (sous-traitants) : ceux indiqués au point 5, liés par un contrat de sous-traitance au sens de l’article 28 du RGPD.
- Autorités et juridictions, lorsqu’une loi nous y oblige.
Nous ne vendons ni ne cédons de données à des fins commerciales.
5. Prestataires qui nous aident à fournir le service
- Hetzner Online GmbH (Allemagne) : hébergement du serveur, situé dans son centre de données en Finlande (Union européenne), avec la base de données et les fichiers. La plateforme de déploiement (Coolify) est gérée par nous sur ce serveur ; il ne s’agit pas d’un tiers.
- Resend, Inc. (États-Unis) : envoi des e-mails du service. Il reçoit l’adresse du destinataire, le nom et le contenu de l’e-mail, et les conserve aux États-Unis.
- Mollie B.V. (Pays-Bas) : paiements par carte et prélèvements SEPA. Il reçoit les coordonnées de facturation, le nom du titulaire et l’IBAN ou les données de la carte, que nous ne conservons pas. Pour les données de paiement, il agit aussi en tant que responsable du traitement, selon sa propre politique de confidentialité.
- Holded Technologies S.L. (Espagne) : logiciel de facturation. Il reçoit les coordonnées de facturation des clients payants (raison sociale, identifiant fiscal, adresse et e-mail) et les montants facturés.
- Google Cloud EMEA Limited (Irlande), avec Google Workspace : la boîte de messagerie de juan.canton@sourevo.com. Il reçoit ce que vous nous écrivez par e-mail.
- Cloudflare, Inc. (États-Unis) : uniquement la résolution DNS du domaine sourevo.com. Le trafic du site web ne transite pas par Cloudflare (sans proxy), qui ne reçoit donc ni le contenu de vos visites ni vos données.
Si vous nous écrivez via WhatsApp, ce service est fourni par WhatsApp Ireland Limited selon ses propres conditions et sa propre politique de confidentialité. Ne l’utilisez pas pour nous envoyer des données de tiers ; pour cela, utilisez l’e-mail.
6. Transferts internationaux
Les données du service sont hébergées dans l’Union européenne. Des transferts hors de l’Espace économique européen ont lieu dans les cas suivants :
- Resend, Inc. (États-Unis) : encadré par les clauses contractuelles types de la Commission européenne incluses dans son accord de traitement des données et, en outre, par la décision d’adéquation relative au cadre de protection des données UE-États-Unis (Data Privacy Framework), auquel Resend est certifiée.
- Google (Workspace) : le contrat est conclu avec une société irlandaise, mais Google peut traiter des données dans d’autres pays, y compris aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de son accord de traitement des données et par le cadre de protection des données UE-États-Unis.
- Cloudflare, Inc. (États-Unis) : limité aux données techniques de résolution DNS, encadré par le même cadre de protection des données et par des clauses contractuelles types.
- Registre CNPJ du Brésil : un numéro d’identification d’entreprise brésilienne est consulté afin de valider l’identité que le fournisseur lui-même a déclarée.
Vous pouvez nous demander plus d’informations sur ces garanties à juan.canton@sourevo.com.
7. Durée de conservation
- Compte : tant qu’il est actif. Après la résiliation, les données sont bloquées (art. 32 LOPDGDD) pendant les délais au cours desquels des responsabilités peuvent être mises en cause (en règle générale, 5 ans pour les actions contractuelles et jusqu’à 6 ans pour la documentation comptable et fiscale), puis supprimées.
- Déclarations (DDS) et données chargées par un client : nous les conservons en tant que sous-traitant, selon les instructions du client et les dispositions de l’accord de sous-traitance. Par défaut, l’archive des déclarations est conservée bloquée pendant 5 ans à compter de chaque dépôt, ce qui correspond au délai minimal que l’EUDR impose à l’opérateur.
- Journal d’audit : tant que la donnée à laquelle il se rapporte existe et, au maximum, 5 ans.
- Codes à usage unique : jusqu’à leur expiration ou leur utilisation.
- IP pour limiter les tentatives : uniquement en mémoire, pendant la fenêtre de contrôle (quelques minutes).
- Journaux techniques du serveur : le temps strictement nécessaire à la sécurité et à la résolution des incidents et, au maximum, 30 jours.
- Comptes d’essai sans souscription : supprimés dans un délai raisonnable après la fin de l’essai, après information préalable.
- Demandes d’assistance : pendant la durée de la demande et jusqu’à un an après.
8. Vos droits
Vous pouvez exercer vos droits d’accès, de rectification, d’effacement, d’opposition, de limitation du traitement et de portabilité, ainsi que le droit de ne pas faire l’objet de décisions fondées exclusivement sur un traitement automatisé, en écrivant à juan.canton@sourevo.com. Nous ne vous demanderons de justifier de votre identité qu’en cas de doute raisonnable. Nous répondons dans un délai d’un mois, prolongeable de deux mois supplémentaires dans les cas complexes (nous vous en informerions).
Si vous estimez que nous n’avons pas correctement traité votre demande, vous pouvez introduire une réclamation auprès de l’Agence espagnole de protection des données (AEPD) (C/ Jorge Juan 6, 28001 Madrid, Espagne, www.aepd.es) ou auprès de l’autorité de contrôle du pays où vous résidez ou travaillez.
Si vos données ont été chargées par un client de Sourevo, adressez-vous à lui ; si votre demande nous parvient, nous la lui transmettons.
9. Sécurité
Nous appliquons des mesures techniques et organisationnelles adaptées au risque : connexions chiffrées (HTTPS), mots de passe hachés avec argon2id, identifiants TRACES NT chiffrés en AES-256-GCM, cookies de session signés, HttpOnly et Secure, isolement des données de chaque organisation dans chaque requête, visibilité des parcelles contrôlée par le fournisseur, historique des déclarations en ajout seul, limitation des tentatives de connexion et accès limité au strict nécessaire. Nous nous engageons en outre à conserver les sauvegardes de la base de données au sein de l’Union européenne.
Aucun système n’est infaillible. Si nous subissons une violation de sécurité affectant vos données, nous la notifierons à l’AEPD dans les cas et délais prévus à l’article 33 du RGPD et vous en informerons si elle est susceptible d’engendrer un risque élevé pour vous (art. 34 RGPD).
10. Mineurs
Sourevo est un service professionnel qui ne s’adresse pas aux personnes de moins de 18 ans. Nous ne collectons pas sciemment de données de mineurs ; si nous constatons qu’un compte a été créé par un mineur, nous le supprimerons.
11. Modifications de la présente politique
Si nous modifions cette politique de manière importante (par exemple, un nouveau prestataire ou une nouvelle finalité), nous vous en informerons par e-mail ou dans l’application avant son application. La date de la dernière mise à jour figure ci-dessus.