Politique de confidentialité

1. Responsables du traitement

Deux responsables de traitement distincts interviennent sur la Plateforme Effinature, selon la nature du traitement. NORMATYS et IRICE relèvent de deux sociétés distinctes du groupe NORMAXIS.

IRICE est responsable de traitement pour les comptes utilisateurs et les dépôts de dossiers de certification : inscription, authentification, demandes de certification, évaluations, décisions, certificats, relances et annuaires publics des opérations certifiées.
IRICE, SAS au capital de 20 000 €
10 rue du Lieutenant Parayre, Espace Wagner Bâtiment A2, 13290 Aix-en-Provence
RCS Aix-en-Provence 835 324 112
Courriel : hello@irice-certification.com

NORMATYS est responsable de traitement pour les consultations publiques sur le référentiel et les contributions au comité de schéma : dépôt d'avis, participation aux appels à commentaires, gestion des membres et des contributions du comité de schéma. Ces traitements relèvent du programme NORMATYS de NORMATYS, concepteur du référentiel Effinature.
Contact RGPD : à compléter

2. Données collectées

Dans le cadre de l'utilisation de la Plateforme, IRICE collecte les catégories de données suivantes :

2.1 Données d'identification

Nom, prénom, adresse courriel, numéro de téléphone, fonction au sein de la société. Ces données sont collectées lors de l'inscription et de la création de compte.

2.2 Données relatives à la société

Dénomination sociale, SIRET/SIREN, adresse du siège, forme juridique. Ces données sont pré-remplies via l'annuaire SIRENE de l'INSEE et complétées par l'utilisateur.

2.3 Données relatives aux projets

Informations sur les opérations de construction, rénovation ou aménagement soumises à certification : nom de l'opération, adresse, type de bâtiment, documents techniques (DCE, dossiers marchés, rapports d'évaluation), résultats d'évaluation, décisions de certification.

2.4 Données de connexion

Adresse IP, date et heure de connexion, navigateur utilisé, pages consultées. Ces données sont collectées automatiquement via les journaux du serveur.

3. Finalités du traitement

Les données sont traitées pour les finalités suivantes :

Gestion des comptes utilisateurs et authentification ; traitement des demandes de certification ; réalisation des évaluations de certification selon les référentiels Effinature ; délivrance et suivi des certificats ; envoi des relances et notifications liées au suivi des projets ; gestion des contrôles de conformité récurrents (CCR) pour le référentiel HVE ; publication de l'annuaire public des opérations certifiées ; établissement de statistiques et indicateurs qualité ; respect des obligations réglementaires et normatives (ISO/IEC 17065).

4. Bases légales

Les traitements reposent sur les bases légales suivantes :

Exécution du contrat (article 6.1.b du RGPD) : traitement des demandes de certification, gestion des évaluations, délivrance des certificats, suivi de projet.
Obligation légale (article 6.1.c) : conservation des données pour répondre aux exigences de traçabilité imposées par la norme ISO/IEC 17065.
Intérêt légitime (article 6.1.f) : amélioration de la Plateforme, sécurité, statistiques, publication de l'annuaire des opérations certifiées.
Consentement (article 6.1.a) : envoi de communications non directement liées au contrat de certification.

5. Destinataires des données

Les données peuvent être communiquées aux destinataires suivants :

Personnel habilité d'IRICE (responsable projet, responsable évaluation, Président d'IRICE, RRE) ; évaluateurs qualifiés désignés pour les projets ; Biodiversity Partners intervenant sur les opérations ; personnel habilité de NORMATYS, pour les seules consultations publiques et contributions au comité de schéma dont elle est responsable de traitement ; organisme national d'accréditation dans le cadre des audits de surveillance ; autorités compétentes en cas d'obligation légale.

Les données ne sont en aucun cas vendues ni transmises à des tiers à des fins commerciales.

Sous-traitants, encadrés par un contrat conforme à l'article 28 du RGPD : OVH SAS (France) pour l'hébergement de la Plateforme, sur un serveur situé en France ; Infomaniak Network SA (Suisse) pour la messagerie électronique et les noms de domaine ; Hetzner Online GmbH (Allemagne, Union européenne) pour les sauvegardes ; Matomo Analytics, en instance auto-hébergée sur une infrastructure du groupe NORMAXIS, pour la mesure d'audience ; Mosparo, en instance auto-hébergée sur une infrastructure du groupe NORMAXIS, pour la protection anti-spam des formulaires publics.

6. Transferts hors UE

Les données de la Plateforme sont hébergées en France par OVH SAS, et leurs sauvegardes en Allemagne, dans l'Union européenne, par Hetzner Online GmbH. Les courriels échangés avec IRICE sont traités par son prestataire de messagerie et de noms de domaine, Infomaniak Network SA, en Suisse, pays reconnu comme assurant un niveau de protection adéquat par décision de la Commission européenne. Aucun autre transfert de données hors de l'Espace économique européen n'est effectué.

7. Durée de conservation

Données de compte : conservées pendant toute la durée de la relation contractuelle, puis 3 ans après le dernier contact à des fins de prospection légitime.
Données de certification : conservées pendant la durée de validité du certificat, puis 10 ans minimum après expiration, conformément aux exigences ISO/IEC 17065.
Données de connexion : conservées 12 mois conformément à la législation en vigueur.
Documents contractuels (NDA, CGC, contrats) : conservés 10 ans après la fin du contrat.

8. Cookies et mesure d'audience

La Plateforme utilise des cookies strictement nécessaires au fonctionnement du service : cookie de session (authentification), cookie CSRF (sécurité des formulaires). Ces cookies sont exemptés de consentement conformément aux lignes directrices de la CNIL.

La mesure d'audience est assurée par Matomo, en instance auto-hébergée sur une infrastructure du groupe NORMAXIS. Les statistiques produites servent uniquement à l'amélioration du service (intérêt légitime, article 6.1.f du RGPD) ; elles ne sont ni revendues, ni croisées avec des données publicitaires, ni transmises hors du groupe. Cette configuration auto-hébergée relève de l'exemption de consentement prévue par les lignes directrices de la CNIL pour les traceurs de mesure d'audience.

La Plateforme n'utilise aucun cookie publicitaire ni aucun traceur tiers à des fins commerciales.

9. Droits des personnes

Conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :

Droit d'accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
Droit de rectification : corriger les données inexactes ou incomplètes.
Droit d'effacement : demander la suppression de vos données, sous réserve des obligations légales de conservation (notamment ISO/IEC 17065).
Droit à la limitation : demander la suspension du traitement dans les cas prévus par le RGPD.
Droit à la portabilité : recevoir vos données dans un format structuré et lisible.
Droit d'opposition : vous opposer au traitement fondé sur l'intérêt légitime.
Droit de retirer votre consentement à tout moment pour les traitements fondés sur celui-ci.

Pour exercer ces droits, adressez votre demande à hello@irice-certification.com en joignant un justificatif d'identité. IRICE s'engage à y répondre dans un délai d'un mois.

En cas de désaccord persistant, vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr

10. Sécurité

IRICE met en place les mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre tout accès non autorisé, perte, altération ou divulgation : chiffrement des communications (HTTPS/TLS), hachage des mots de passe, contrôle d'accès par rôle, journalisation des actions, sauvegardes régulières, hébergement sécurisé.

11. Modification de la politique

IRICE se réserve le droit de modifier la présente politique à tout moment. Les utilisateurs seront informés de toute modification substantielle par notification sur la Plateforme. La date de dernière mise à jour figure ci-dessous.