La présente politique décrit comment CEGEO HOLDING (« CrechePilot », « nous ») collecte, utilise et protège vos données personnelles lorsque vous utilisez le site crechepilot.fr et l'application app.crechepilot.fr.
Elle est conforme au Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (« RGPD ») et à la loi française n° 78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés ».
1. Responsable du traitement
Le responsable du traitement des données personnelles collectées est :
| Société | CEGEO HOLDING SAS |
|---|---|
| SIREN | 928 123 264 |
| Siège social | 41 Avenue Paul Riquet, 34160 Castries, France |
| Représentant légal | Romain Carciani, Président |
| Contact général | [email protected] |
| Contact RGPD / DPO | [email protected] |
2. Catégories de personnes concernées
Nos traitements concernent les catégories de personnes suivantes :
- Visiteurs du site : toute personne consultant le site crechepilot.fr.
- Prospects : personnes ayant rempli un formulaire de contact, de démo ou d'essai gratuit.
- Utilisateurs de l'application : gestionnaires, direction et personnel des micro-crèches clientes utilisant app.crechepilot.fr.
- Familles & enfants : données saisies par nos clients dans l'application dans le cadre de la gestion de leur micro-crèche (en qualité de sous-traitant).
- Candidats à un poste chez CEGEO HOLDING.
3. Données collectées, finalités et bases légales
3.1 Site crechepilot.fr (responsable de traitement)
| Traitement | Données | Finalité | Base légale | Durée |
|---|---|---|---|---|
| Mesure d'audience anonyme | Pages vues, source de trafic, type d'appareil, IP tronquée | Statistiques d'usage, détection des dysfonctionnements | Intérêt légitime (art. 6.1.f RGPD) | 13 mois |
| Formulaire de contact / démo / essai | Nom, email, téléphone, nom de la structure, message | Répondre à votre demande, qualifier le besoin commercial | Mesures pré-contractuelles (art. 6.1.b RGPD) + consentement | 3 ans après dernier contact (prospects) |
| Cookies tiers (avec consentement) | Cf. Politique de cookies | Mesure d'audience avancée, marketing, intégrations | Consentement (art. 6.1.a RGPD) | 13 mois |
| Newsletter & emails commerciaux | Email professionnel | Information produit, contenu marketing | Consentement (art. 6.1.a RGPD) | 3 ans après dernier engagement |
3.2 Application app.crechepilot.fr (sous-traitant pour le compte du client)
Pour les données saisies par nos clients dans l'application (familles, enfants, salariés, factures), CEGEO HOLDING agit en qualité de sous-traitant au sens de l'art. 28 RGPD. Le client micro-crèche est responsable du traitement.
Les traitements, finalités, durées de conservation et droits d'accès sont régis par l'accord de sous-traitance (DPA) conclu avec chaque client, disponible sur demande à [email protected].
3.3 Compte utilisateur de l'application
| Données | Finalité | Base légale | Durée |
|---|---|---|---|
| Nom, prénom, email, mot de passe haché (Bcrypt), téléphone | Authentification, gestion du compte, communication | Exécution du contrat (art. 6.1.b RGPD) | Durée du contrat + 3 ans |
| Journal des connexions, adresses IP, user-agent | Sécurité, détection de fraude, audit RGPD | Intérêt légitime (art. 6.1.f RGPD) | 12 mois |
| Données de facturation (RIB, IBAN, paiements) | Facturation, comptabilité, lutte contre la fraude | Obligation légale (art. 6.1.c RGPD) | 10 ans |
4. Destinataires des données
Vos données sont accessibles uniquement aux personnes habilitées, en interne (équipes commerciale, support, technique, comptabilité), dans la stricte limite de leur besoin opérationnel.
Elles peuvent être transmises aux sous-traitants techniques suivants, liés par un accord de sous-traitance RGPD :
| Sous-traitant | Finalité | Localisation |
|---|---|---|
| OVH SAS | Hébergement infrastructure (serveurs, bases de données, sauvegardes) | France (Roubaix) |
| Brevo (ex-Sendinblue) | Emails transactionnels & newsletters | France (Paris) |
| Cloudflare, Inc. | CDN, protection DDoS, mesure d'audience anonyme (Web Analytics) | USA — encadrement par clauses contractuelles types (UE 2021/914) et programme « EU-US Data Privacy Framework » |
Nous ne vendons jamais vos données à des tiers. Nous ne les transmettons jamais à des autorités hors UE sans encadrement juridique approprié (clauses contractuelles types adoptées par la Commission européenne ou décision d'adéquation).
5. Transferts hors Union européenne
Nos serveurs (OVH) et notre prestataire emailing (Brevo) sont localisés en France. Les rares traitements impliquant un transfert vers les États-Unis (Cloudflare, dont l'infrastructure peut être hébergée partiellement hors UE) sont encadrés par les clauses contractuelles types (CCT) adoptées par la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021 et l'adhésion de Cloudflare au programme « EU-US Data Privacy Framework » (décision d'adéquation du 10 juillet 2023).
6. Sécurité des données
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque (art. 32 RGPD), notamment :
- Chiffrement TLS 1.3 sur toutes les connexions (HSTS forcé) ;
- Chiffrement au repos des bases de données (AES-256) ;
- Chiffrement supplémentaire en colonne des données sensibles (revenus, NIR, IBAN) ;
- Authentification renforcée (mots de passe Bcrypt 12 rounds, 2FA optionnel, obligatoire pour la direction) ;
- Sauvegardes automatiques chiffrées, conservées 30 jours sur 2 régions distinctes ;
- Journal d'audit immuable sur toutes les actions sensibles, conservé 5 ans ;
- Tests automatisés de sécurité sur chaque livraison ;
- Procédure documentée de notification à la CNIL sous 72 h en cas de violation.
Plus de détails sur notre page Sécurité.
7. Vos droits
Conformément aux articles 12 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :
- Droit d'accès (art. 15 RGPD) — savoir si nous traitons vos données et en obtenir copie.
- Droit de rectification (art. 16) — faire corriger une donnée inexacte.
- Droit à l'effacement (art. 17), dit « droit à l'oubli ».
- Droit à la limitation du traitement (art. 18).
- Droit à la portabilité (art. 20) — récupérer vos données dans un format structuré et lisible par machine.
- Droit d'opposition (art. 21) au traitement basé sur l'intérêt légitime.
- Droit de retirer votre consentement à tout moment (art. 7).
- Droit de définir des directives relatives à la conservation, l'effacement et la communication de vos données après votre décès (loi Informatique et Libertés, art. 85).
- Droit d'introduire une réclamation auprès de la CNIL (cnil.fr).
Pour exercer vos droits, contactez notre Délégué à la Protection des Données : [email protected]. Une réponse vous sera apportée dans un délai d'un mois maximum (prolongeable à deux mois en cas de complexité, art. 12.3 RGPD).
8. Cookies et traceurs
Le détail des cookies déposés et leur durée de conservation est précisé dans notre Politique de cookies. Vous pouvez à tout moment modifier vos préférences en cliquant sur le lien « Gérer mes cookies » en pied de page.
9. Mineurs
Le site crechepilot.fr est destiné à un public professionnel adulte. Aucune donnée n'est collectée sciemment auprès de mineurs sur ce site.
L'application app.crechepilot.fr contient des données concernant des enfants accueillis en micro-crèche, saisies par nos clients sur la base du consentement préalable des titulaires de l'autorité parentale. Pour cet usage, CEGEO HOLDING agit en qualité de sous-traitant — le client micro-crèche reste responsable du recueil du consentement parental.
10. Modification de la politique
Nous pouvons faire évoluer cette politique de confidentialité pour refléter des évolutions réglementaires ou de nos pratiques. La date de dernière mise à jour figure en tête du document. Les modifications substantielles vous seront notifiées par email ou par bannière sur le site.
11. Contact
Pour toute question relative à cette politique ou au traitement de vos données :
- Délégué à la Protection des Données : [email protected]
- Contact général : [email protected]
- Courrier postal : CEGEO HOLDING — 41 Avenue Paul Riquet, 34160 Castries, France
- Autorité de contrôle : CNIL — 3 place de Fontenoy, 75007 Paris — cnil.fr