Conformité

Qui répond de quoi

Chaque cabinet est responsable de traitement pour les données de son espace : il en détermine les finalités et les moyens. L’exploitant d’Elurio est sous-traitant : il fournit l’outil et n’agit que sur instruction.

Les registres de traitement du module Agenda et du module Contacts sont distincts. Les finalités, les bases légales, les publics concernés et les durées de conservation n’ont rien de commun, et les confondre serait une facilité trompeuse.

Sous-traitants ultérieurs

La liste est courte, et c’est délibéré. Chaque service n’intervient que pour la fonction indiquée.

• Envoi de courriels transactionnels — invitations, réinitialisations de mot de passe, alertes.
• Envoi de campagnes — courriels de masse, réception des rebonds et des plaintes. Le canal SMS existe et s’active cabinet par cabinet, à la demande du titulaire : tant qu’il n’est pas activé, aucun message court ne part, et l’outil le refuse plutôt que de l’envoyer de travers.
• Géocodage — conversion d’une adresse en coordonnées et en code INSEE de commune.
• Registre des entreprises — l’API Recherche d’entreprises de l’État (Sirene, RNE), interrogée quand un membre du cabinet cherche une entreprise. Ce qui part : le nom tapé et une commune. Jamais une donnée de vos contacts.
• Fournisseurs de calendriers — uniquement lorsqu’une personne relie elle-même un calendrier extérieur. Jamais par défaut.
• Résolution de noms de domaine — pour l’accès au site et à l’application, sans interception du trafic.
• Hébergement — les serveurs et la base de données, en Europe. C’est le seul prestataire chez qui l’ensemble des données réside.
• Stockage des sauvegardes — un dépôt distant, en Europe. Les archives y partent déjà chiffrées : la clé qui les ouvre n’est pas sur nos serveurs, et le prestataire ne peut pas les lire.
• Envoi de messages courts — un opérateur SMS, pour les campagnes par SMS et la réception des STOP.

Le détail par service — les données concernées et les garanties associées — se communique sur demande.

Données issues de listes électorales

Une part importante des fichiers repris provient de listes électorales, donc d’une collecte indirecte. La plateforme en tire des conséquences concrètes :

• Chaque identité concernée est marquée comme telle, et le premier message qui lui est adressé doit comporter la mention d’information complète prévue par le RGPD. L’outil refuse l’envoi si elle est absente.
• L’ancienneté de la source est affichée à côté de chaque origine, sans jugement ni compte à rebours : réutiliser pour un nouveau scrutin des données collectées pour un scrutin précédent constitue un nouveau traitement, et c’est au cabinet d’en décider.

Opinions politiques

Une étiquette du type « sympathisant » ou « adhérent » revient à enregistrer une opinion politique, catégorie particulière au sens du RGPD. Les mots-clés marqués comme sensibles exigent une permission dédiée, n’apparaissent ni dans les exports ordinaires ni dans les recherches des personnes qui ne la détiennent pas, et leur attribution est journalisée nominativement.

Réversibilité

L’article 28.3.g du RGPD impose au sous-traitant de restituer ou de supprimer les données au choix du responsable de traitement à la fin de la prestation. Les deux gestes existent, et pas seulement au contrat.

• La restitution sort l’intégralité d’un espace en archive : un fichier par table, les documents et les images avec leurs octets, un mode d’emploi et un manifeste qui donne le compte ligne à ligne. Le format se relit sans nous.
• La suppression emporte les lignes et les fichiers, et laisse une attestation qui lui survit : ce qui a été supprimé, quand, et sur quelle instruction écrite.

L’un et l’autre sont aujourd’hui des gestes de l’éditeur, faits sur demande du cabinet : il n’y a pas d’écran qui les déclenche depuis l’espace.

Droits des personnes

Accès, rectification, effacement, opposition et portabilité sont outillés dans l’interface, avec l’export d’une fiche individuelle en un clic et un suivi des délais. La traçabilité de l’origine et de la date de collecte est obligatoire pour chaque identité, y compris pour les données reprises d’un ancien fichier.

Ancienneté des données, et purge

La plateforme dit d’où viennent vos données et de quand elles datent, source par source. Aucune fiche du répertoire n’est supprimée d’elle-même : aucune purge ne se déclenche seule, aucune échéance ne court, aucun avertissement ne presse le cabinet.

Deux choses s’effacent seules, et il vaut mieux les nommer que les taire, car aucune ne touche à une fiche : les octets d’un document retiré d’un engagement depuis plus de quatre-vingt-dix jours, et la trace d’un compte d’agenda extérieur déconnecté depuis plus de trente jours. Les archives d’export d’un cabinet s’effacent également au bout de trente jours.

La question se pose d’elle-même à un moment précis : quand un nouveau fichier est versé — listes électorales, fichier d’adhérents, ou tout autre référentiel — et que des personnes n’y figurent plus. C’est alors, et seulement alors, que le cabinet se voit proposer d’examiner ces fiches. Elles ne sont jamais supprimées d’office : une personne peut avoir déménagé, changé de nom ou être décédée, et ce n’est pas au fichier de trancher. Un rapport, avec un échantillon des fiches concernées, précède toute suppression ; celle-ci reste un geste humain portant une permission dédiée.

Les fiches créées par l’équipe ou remplies par la personne elle-même ne sont jamais proposées à la purge : elles ne figurent dans aucun fichier de référence, et ne peuvent donc pas en avoir disparu. Il en va de même des adhérents à jour, des personnes ayant donné leur consentement, et de celles dont une demande d’exercice de droits est en cours.