Politique de confidentialité
OASYS, version du 17 septembre 2026
1. Responsable de traitement
Pour les données de ses propres utilisateurs — comptes, journaux de connexion, échanges de support — OASYS agit en responsable de traitement.
Pour les données saisies dans les organisations clientes, l'éditeur agit en sous-traitant : le client en est le responsable. Voir le contrat de sous-traitance.
2. Données traitées et finalités
Le service traite les catégories de données suivantes :
- Identification : nom, prénom, adresse électronique, organisation, rôle.
- Connexion : horodatage, adresse IP, tentatives échouées, pour la sécurité des comptes.
- Usage : exports et imports réalisés, appels d'assistance IA — pour la facturation et le dimensionnement du service.
- Traçabilité : auteur, date et valeurs avant et après chaque modification des données d'audit — exigence de valeur probante du service.
- Demandes commerciales : organisation, nom, fonction, adresse électronique, téléphone et message saisis dans les formulaires du site public, pour y répondre.
3. Bases légales
L'exécution du contrat pour les données d'identification et d'usage ; l'intérêt légitime de l'éditeur pour la sécurité, la traçabilité et la réponse aux demandes commerciales.
Pour l'assistance par intelligence artificielle, l'accord de l'administrateur de l'organisation cliente, recueilli avant tout envoi : sans cet accord et sans clé de fournisseur, aucun contenu n'est transmis.
4. Durées de conservation
- Compte utilisateur : tant qu'il existe. Retirer un membre d'une organisation ne supprime pas son compte, qui peut servir dans d'autres organisations ; sa suppression se demande à dpo@sen-csu.duckdns.org et intervient dans un délai d'un mois.
- Données d'une organisation, piste d'audit et journal d'usage compris : pendant toute la vie de l'organisation, y compris après la fin du contrat, puis supprimées avec elle lors de sa suppression définitive, que décide le client.
- Éléments placés en corbeille : 30 jours, puis suppression définitive ; une organisation entière n'est supprimée que sur décision explicite.
- Fichiers d'export préparés en tâche de fond : 7 jours.
- Compteur des tentatives de connexion : 15 minutes, en mémoire, jamais en base de données.
- Demandes reçues par les formulaires du site public : conservées dans la file de l'éditeur jusqu'à leur suppression, à la demande de la personne ou à l'initiative de l'éditeur.
- Journal technique de l'application : rotation par volume, 6 fichiers de 10 Mo au plus ; les lignes les plus anciennes sont effacées au fur et à mesure.
- Sauvegardes : les 14 dernières, à raison d'une par jour.
5. Sous-traitants et transferts
Pour ce service, l'éditeur fait appel aux sous-traitants suivants. La liste suit la configuration réellement active ; tout ajout est annoncé aux clients au moins 30 jours à l'avance, et ils peuvent s'y opposer.
| Sous-traitant | Rôle et données | Pays | Garanties |
|---|---|---|---|
| Oracle Cloud Infrastructure (OCI) | Hébergement de l'application, de la base de données, des fichiers déposés et des sauvegardes. | Union européenne (France, Marseille) | Contrat d'hébergement ; la région d'hébergement ne change pas sans information préalable du client. |
| Brevo (Sendinblue SAS) | Envoi des courriels du service : invitations, confirmations, réinitialisations, relances. Adresse, nom et contenu du message. | France (Union européenne) | Prestataire établi dans l'Union européenne, soumis au RGPD. |
Assistance par intelligence artificielle : le fournisseur n'est pas un sous-traitant de l'éditeur. L'administrateur de l'organisation le choisit, le configure avec la clé de son propre compte et autorise l'envoi ; le client en est le donneur d'ordre. Fournisseurs proposés : Google (Gemini), Groq, xAI (Grok), OpenRouter, Anthropic (Claude), OpenAI (GPT).
Ces fournisseurs ont leur siège aux États-Unis : un envoi est un transfert hors de l'Union européenne et hors du pays du client. Selon le droit applicable au client, ce transfert peut exiger une information ou une autorisation préalable de l'autorité de protection des données de son pays ; cette démarche lui incombe.
6. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Un export de portabilité au format lisible par machine est produit sur demande.
Ces droits s'exercent auprès de dpo@sen-csu.duckdns.org. Vous pouvez également introduire une réclamation auprès de la CNIL ou de l'autorité de protection des données de votre pays.
7. Cookies
Le service dépose un cookie de session, strictement nécessaire à l'authentification, et un cookie de protection contre la falsification de requêtes. Aucun cookie de mesure d'audience ni de publicité n'est utilisé : aucun consentement n'est donc requis.