Protection des données personnelles & RGPD

Politique de confidentialité et protection des données

Engagements de conformité au Règlement Général sur la Protection des Données (RGPD - Règlement UE 2016/679), garanties d'hébergement souverain en France et transparence intégrale sur les traitements opérés par la plateforme LENUAJ SaaS.

Dernière mise à jour : 20 octobre 2026•Version : 1.4 (Facturation 2026 & Identité Décentralisée)

Hébergement 100% souverain

Toutes les bases de données et pièces comptables sont hébergées en France métropolitaine dans des centres certifiés ISO 27001 et HDS, à l'abri du Cloud Act américain.

Zéro transfert hors UE

Cloisonnement multi-tenant étanche

Isolation stricte des données de chaque établissement (isolation par tenant), contrôle d'accès ABAC granulaire et authentification forte à facteurs multiples.

Chiffrement AES-256 & TLS 1.3

Zéro traqueur publicitaire

Aucune revente de données personnelles, aucun pixel publicitaire tiers intrusif (Meta, TikTok). Seuls les cookies strictement techniques nécessaires au service sont employés.

Respect total de la vie privée

1. Rôles et responsabilités dans le traitement des données

La plateforme LENUAJ SaaS est éditée par Charles BOURNEUF (SIRET : 823 926 084 00018, siège : 1B Chemin du Commandant de Touchet, 14210 Baron-sur-Odon, France).

Au sens du Règlement (UE) 2016/679 (RGPD), deux niveaux de responsabilité distincts s'appliquent :

LENUAJ en qualité de Responsable de Traitement : pour la gestion des comptes des professionnels abonnés, la facturation des abonnements SaaS, le support technique, la gestion du réseau LENUAJ Place et la sécurité globale de l'infrastructure logicielle.
LENUAJ en qualité de Sous-Traitant (Article 28 du RGPD) : lorsque le professionnel abonné utilise les modules de la plateforme (Planning, Réservations, CRM clients, Facturation de ses usagers, Participants, Messagerie). Le professionnel demeure le Responsable du Traitement des données de sa propre patientèle ou clientèle, et LENUAJ agit exclusivement sur ses instructions documentées.

2. Données personnelles collectées et catégories

LENUAJ veille à respecter le principe de minimisation (Article 5.1.c du RGPD) en ne collectant que les informations strictement nécessaires à la fourniture de ses services :

Données des professionnels abonnés

Identité civile (nom, prénom) et coordonnées professionnelles.
Raison sociale, numéro SIREN/SIRET, numéro de TVA intracommunautaire.
Adresse e-mail de connexion, mot de passe chiffré (hachage bcrypt fort).
Coordonnées bancaires pour le prélèvement de l'abonnement (tokenisées via GoCardless ou Stripe, aucun numéro de carte stocké en clair).
Historique des abonnements, factures émises et journaux d'audit de sécurité.

Données des usagers et clients finaux

Coordonnées de réservation (nom, prénom, e-mail, numéros de téléphone, adresse postale).
Dossiers de réservation, plannings de cours ou rendez-vous, forfaits et bons cadeaux.
Fiches participants rattachés (conjoints, enfants dans le cadre familial).
Factures d'achat, règlements enregistrés, transactions sécurisées Stripe.
Échanges et messages transactionnels relatifs aux prestations réservées.

3. Finalités des traitements et bases légales

Les données personnelles traitées sur la plateforme poursuivent des finalités déterminées, explicites et légitimes :

Exécution du contrat de service (Art. 6.1.b RGPD)Création des comptes, gestion des réservations en temps réel, génération des accès extranet, synchronisation d'agenda et confirmations automatisées.

Respect des obligations légales (Art. 6.1.c RGPD)Conservation des factures de vente conformément aux exigences du Code de commerce et à la réforme de la facturation électronique 2026.

Intérêt légitime & Sécurité (Art. 6.1.f RGPD)Prévention des fraudes, détection des attaques par force brute, gestion des jetons de sécurité OTP et maintien de l'intégrité du service SaaS.

4. Localisation, souveraineté et sous-traitance d'hébergement

Toutes les données hébergées sur la plateforme LENUAJ SaaS sont stockées exclusivement sur des serveurs situés en France métropolitaine au sein de l'infrastructure souveraine OVHcloud (OVH SAS, 2 rue Kellermann, 59100 Roubaix, France) dans des centres de données hautement sécurisés (certifications ISO/IEC 27001, SOC 1/2, HDS).

LENUAJ garantit l'absence totale de transfert de données vers des pays tiers hors de l'Espace Économique Européen (EEE) non reconnus comme offrant un niveau de protection adéquat par la Commission Européenne. Les infrastructures sont soumises exclusivement au droit français et européen, à l'abri de toute législation extraterritoriale étrangère (telle que le Cloud Act américain).

Les sous-traitants techniques de paiement (Stripe pour les cartes bancaires, GoCardless pour les prélèvements SEPA) disposent des agréments bancaires européens stricts et de la conformité PCI-DSS Niveau 1.

5. Durées de conservation des données

Les données personnelles sont conservées pendant des durées proportionnées aux finalités pour lesquelles elles ont été collectées :

Catégorie de données	Durée de conservation active	Archivage légal / Suppression
Compte client professionnel	Durée de la relation contractuelle active	Suppression sur demande ou 3 ans après inactivité
Fiches clients finaux et réservations	Gérées sous le contrôle direct du professionnel	Purgeable à tout moment par le professionnel
Factures et pièces comptables	10 ans (obligation légale Code de commerce)	Archivage chiffré probatoire certifié
Logs de sécurité et adresses IP	12 mois glissants	Écrasement automatique conforme CNIL
Codes de vérification OTP / Liens magiques	10 à 15 minutes (durée de validité)	Suppression immédiate après usage ou expiration

6. Droits des personnes et modalités d'exercice

Conformément aux articles 15 à 22 du RGPD, toute personne physique dont les données sont traitées dispose des droits suivants :

Droit d'accès & PortabilitéObtenir une copie intégrale des données dans un format structuré et interopérable (JSON / CSV).

Droit de rectificationCorriger ou mettre à jour des informations inexactes depuis son espace en 1 clic.

Droit à l'effacementSupprimer ses données personnelles sous réserve des obligations comptables légales.

Droit à la limitationGeler temporairement le traitement des données en cas de contestation de leur exactitude.

Droit d'oppositionS'opposer à tout moment aux traitements fondés sur l'intérêt légitime ou prospection.

Directives post-mortemDéfinir le sort de ses données numériques après son décès (Loi pour une République Numérique).

Comment exercer vos droits ? Pour toute demande relative à vos données, contactez directement notre Délégué à la Protection des Données : [email protected] ou par courrier postal à : LENUAJ - DPO, 1B Chemin du Commandant de Touchet, 14210 Baron-sur-Odon, France. Une réponse vous sera apportée dans un délai maximum de 30 jours.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente : la CNIL (Commission Nationale de l'Informatique et des Libertés - cnil.fr).

7. Politique relative aux cookies et traceurs

La plateforme applique une politique rigoureuse de respect de la vie privée dès la conception (*Privacy by Design*) :

Cookies strictement nécessaires (exemptés de consentement préalable) : jetons de session d'authentification sécurisés (JWT sécurisés HttpOnly / SameSite), mémorisation des préférences d'interface (mode sombre/clair) et jetons anti-falsification CSRF.
Absence totale de cookies publicitaires tiers : aucun traceur commercial, régie publicitaire, pixel espion ou outil de reciblage (retargeting) n'est injecté dans les pages.
Mesure d'audience respectueuse : télémétrie interne anonymisée sans empreinte numérique persistante (fingerprinting).

8. Sécurité et protection contre les incidents

LENUAJ met en œuvre des mesures de sécurité techniques et organisationnelles conformes à l'état de l'art pour protéger les données contre toute destruction accidentelle ou illicite, perte, altération, divulgation ou accès non autorisé :

Chiffrement systématique de toutes les communications web via TLS 1.3 avec certificats SSL/TLS modernes.
Cloisonnement étanche des bases de données par établissement avec contrôles ABAC applicatifs stricts.
Sauvegardes quotidiennes chiffrées géo-répliquées sur le territoire français.
Surveillance proactive et notification à la CNIL et aux personnes concernées sous 72 heures en cas de violation de données avérée (Article 33 du RGPD).