Politique de confidentialité de Volcanium Compte

Version du 25 octobre 2026. Cette politique est une information au sens des articles 12 à 14 du RGPD ; elle ne vous demande pas de consentir à un traitement.

1. Qui est responsable de vos données ?

Pour les données nécessaires au fonctionnement du compte, à la sécurité et à la fourniture du service (hors données que votre organisation met elle-même dans le service : voir le paragraphe 3), le responsable de traitement est :

• Volcanium Studio, association régie par la loi du 1er juillet 1901 et le décret du 16 août 1901
• Siège : 46 route du Bergeron, 38290 Frontonas, France — SIRET 990 895 807 00016 — RNA W382011801
• Représentant : Julien Rilliot, président
• Contact « données personnelles » : rgpd@volcanium.eu
• Aucun délégué à la protection des données (DPO) n'est désigné : cette désignation n'est pas obligatoire pour l'association (article 37 du RGPD). Toute demande relative aux données personnelles est traitée par le président de l'association à l'adresse ci-dessus.

2. Quelles données, pourquoi, sur quelle base légale, combien de temps ?

Création et gestion du compte

• Données : Nom, prénom, adresse e-mail, date de naissance, langue, photo de profil (facultative), mot de passe (stocké sous forme de hachage, jamais en clair), préférences d'interface, version et date d'acceptation des conditions
• Finalité : Créer le compte, vous identifier, vérifier l'âge minimum de 15 ans (la date de naissance ne sert qu'à cela), vous permettre de gérer votre profil
• Base légale : Exécution du contrat : fournir le service demandé (article 6.1.b du RGPD)
• Durée de conservation : Pendant la vie du compte ; effacement à la suppression du compte ou après 24 mois d'inactivité, après un message d'avertissement 30 jours avant l'effacement

Authentification et sécurité du compte

• Données : Double authentification (secret TOTP et codes de secours, chiffrés), clés d'accès (clé publique, nom, type d'appareil), sessions (adresse IP, navigateur, appareil), alertes de sécurité, tentatives de connexion échouées (adresse e-mail saisie, adresse IP)
• Finalité : Authentifier, détecter et prévenir les accès non autorisés, vous alerter d'une connexion inhabituelle
• Base légale : Intérêt légitime : sécurité du service et prévention de la fraude (article 6.1.f du RGPD)
• Durée de conservation : Sessions : jusqu'à expiration (7 jours maximum) puis suppression sous 24 h ; alertes de sécurité : 12 mois ; échecs de connexion : 30 jours

Historique des connexions

• Données : Date, adresse IP, pays et ville approximatifs déduits de l'adresse IP (base locale, sans appel à un service externe), type d'appareil, système et navigateur
• Finalité : Vous montrer vos connexions récentes, détecter les usurpations, répondre aux réquisitions des autorités
• Base légale : Obligation légale : conservation des données d'identification par les hébergeurs (article 6-II de la LCEN et décret n° 2021-1362 du 20 octobre 2021) ; Intérêt légitime : sécurité du service et prévention de la fraude (article 6.1.f du RGPD)
• Durée de conservation : 12 mois, puis suppression automatique

Connexion aux applications (authentification unique)

• Données : Autorisations accordées à chaque application, identifiant du compte, nom, prénom, adresse e-mail, rôle, appartenance et rôle dans l'organisation, langue, selon les droits que vous accordez à chaque application
• Finalité : Vous connecter sans nouveau mot de passe aux applications Volcanium et aux services tiers que vous autorisez
• Base légale : Exécution du contrat : fournir le service demandé (article 6.1.b du RGPD)
• Durée de conservation : Jusqu'à retrait de l'autorisation ou suppression du compte
• Destinataires : L'application que vous autorisez reçoit les seules informations de la connexion demandée

Profil public, présence et notifications (facultatifs)

• Données : Nom d'affichage, biographie, pronoms, localisation, site web, jour et mois d'anniversaire (sans l'année), visibilité choisie (privée par défaut), statut de présence, préférences de notification
• Finalité : Permettre aux membres de votre organisation de vous reconnaître et de vous joindre, afficher votre statut
• Base légale : Consentement : vous choisissez de renseigner ces champs et leur visibilité, et pouvez les effacer ou retirer à tout moment (article 6.1.a du RGPD)
• Durée de conservation : Jusqu'à effacement par vous ou suppression du compte
• Destinataires : Les membres de votre organisation, selon la visibilité choisie

Organisations et comptes professionnels

• Données : Dénomination, forme juridique, numéro d'immatriculation, adresse, téléphone, site, effectif, TVA, fonction et téléphone du responsable, membres, postes, rôles, invitations (adresse e-mail invitée), règles de sécurité de l'organisation, applications activées
• Finalité : Créer et administrer l'organisation, gérer ses membres et ses accès
• Base légale : Exécution du contrat : fournir le service demandé (article 6.1.b du RGPD) (avec l'organisation) ; intérêt légitime de l'organisation pour sa gestion interne
• Durée de conservation : Tant que l'organisation existe ; invitations non acceptées : 30 jours après leur expiration ; l'organisation est supprimée à la demande de ses responsables ou d'un administrateur de la plateforme, et lorsque son dernier membre est effacé pour inactivité

Preuve d'acceptation des conditions

• Données : Identifiant du compte et de l'organisation, document, version et empreinte, date et heure, adresse IP, navigateur
• Finalité : Prouver que les conditions ont été acceptées
• Base légale : Intérêt légitime : pouvoir prouver l'acceptation des conditions (article 6.1.f du RGPD) ; articles 1366 et 1367 du Code civil
• Durée de conservation : 5 ans après la fin de la relation (prescription civile)

E-mails de service

• Données : Adresse e-mail, objet et contenu des messages de confirmation, de connexion, d'alerte de sécurité
• Finalité : Vous envoyer les messages nécessaires au service (jamais de publicité)
• Base légale : Exécution du contrat : fournir le service demandé (article 6.1.b du RGPD) ; Intérêt légitime : sécurité du service et prévention de la fraude (article 6.1.f du RGPD)
• Durée de conservation : Les journaux d'envoi suivent la durée des journaux de connexion (12 mois)
• Destinataires : Envoyés par notre serveur Volcanium Mail, sans prestataire d'envoi tiers

Protection anti-robots

• Données : Adresse IP et données techniques du navigateur transmises à Cloudflare (Turnstile) lors de l'inscription, de la connexion et de la réinitialisation du mot de passe
• Finalité : Protéger le service contre les robots et les tentatives automatisées
• Base légale : Intérêt légitime : sécurité du service et prévention de la fraude (article 6.1.f du RGPD)
• Durée de conservation : Selon la politique de Cloudflare ; aucune donnée Turnstile n'est conservée par nous au-delà de la vérification
• Destinataires : Cloudflare, Inc.

Aucune donnée dite « sensible » (article 9 du RGPD) n'est demandée. Aucune décision automatisée produisant des effets juridiques à votre égard n'est prise (article 22 du RGPD). Vos données ne sont ni vendues, ni louées, ni utilisées à des fins publicitaires ou de profilage commercial.

3. Données de votre organisation

Lorsqu'une organisation crée ou gère des comptes pour ses collaborateurs et renseigne leurs informations professionnelles (nom, poste, rôle, adresse e-mail professionnelle, règles de sécurité), elle est responsable de traitement de ces informations et l'Éditeur agit en qualité de sous-traitant. L'organisation peut consulter les informations du compte nécessaires à sa gestion (nom, poste, rôle, état du compte), imposer des règles de sécurité (double authentification, durée de session, domaines autorisés), et en informe ses collaborateurs. Elle ne voit ni vos mots de passe, ni votre historique de connexion détaillé, ni vos réglages personnels.

Si vous souhaitez exercer vos droits sur ces données, adressez-vous d'abord à votre organisation. L'Éditeur l'aide à y répondre dans les conditions de l'accord de sous-traitance, et vous orientera vers elle si vous le contactez directement.

4. Qui reçoit vos données ?

Vos données sont accessibles aux seules personnes habilitées de l'Éditeur, dans la limite de leurs fonctions (support, sécurité, administration), chacune étant soumise à une obligation de confidentialité. Chaque consultation de fiche par un administrateur est tracée.

Les administrateurs de votre organisation voient les informations de gestion de votre compte professionnel. Les applications que vous autorisez reçoivent les informations nécessaires à la connexion.

Les sous-traitants techniques intervenant pour ce service sont :

• Microsoft Ireland Operations Limited (Microsoft Azure) — Hébergeur : serveurs applicatifs, bases de données, fichiers, visioconférence (serveur en Espagne), réplique de Facturation — Espagne (Union européenne) ; serveur de visioconférence : Espagne

• Cloudflare, Inc. — Vérification anti-robots (Turnstile) lors de l'inscription, de la connexion et de la réinitialisation du mot de passe — États-Unis

La liste complète, commune à tous les services, est sur la page Sous-traitants et hébergement.

5. Transferts hors de l'Union européenne

Vos données sont traitées dans l'Union européenne par nos hébergeurs. Microsoft Ireland Operations Limited appartenant à un groupe américain, le transfert éventuel de données vers les États-Unis (accès à distance par le groupe) est encadré par le Microsoft Corporation, société mère établie aux États-Unis, est certifiée au EU-US Data Privacy Framework (décision d'adéquation de la Commission européenne du 10 juillet 2023) ; les clauses contractuelles types de la Commission européenne figurent en outre aux conditions de protection des données de Microsoft. Aucun autre transfert hors de l'Union européenne n'est réalisé pour ce service.

6. Cookies et traceurs

Volcanium Compte n'utilise que des cookies et du stockage local strictement nécessaires à son fonctionnement (connexion, sécurité, préférences d'affichage). Ils ne nécessitent pas votre consentement : aucun bandeau de cookies n'est affiché. Aucun traceur publicitaire ou de mesure d'audience n'est utilisé.

Le détail des cookies et du stockage local est sur la page Cookies et traceurs.

7. Vos droits

Vous disposez, dans les conditions du RGPD (articles 15 à 22) et de la loi n° 78-17 du 6 janvier 1978 modifiée, des droits d'accès, de rectification, d'effacement, de limitation, d'opposition (notamment pour les traitements fondés sur notre intérêt légitime) et de portabilité. Lorsqu'un traitement repose sur votre consentement, vous pouvez le retirer à tout moment sans effet sur ce qui a été fait avant. Vous pouvez aussi définir des directives relatives au sort de vos données après votre décès (article 85 de la loi du 6 janvier 1978).

Vous pouvez exercer vos droits d'accès, de portabilité, de rectification et d'effacement directement depuis votre compte Volcanium Compte (Paramètres). Pour toute autre demande, écrivez à rgpd@volcanium.eu.

Nous répondons dans un délai d'un mois, prolongeable de deux mois si la demande est complexe, auquel cas vous en êtes informé. Pour vous protéger, nous pouvons vous demander de prouver votre identité, de préférence en répondant depuis l'adresse du compte. La procédure complète est détaillée sur la page Exercer vos droits.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — https://www.cnil.fr/fr/plaintes.

8. Sécurité

Nous protégeons vos données par des mesures techniques et organisationnelles adaptées au risque (article 32 du RGPD) : chiffrement des échanges (HTTPS), mots de passe stockés sous forme de hachage, double authentification et clés d'accès, cloisonnement des organisations, contrôle des accès et journalisation, sauvegardes. Les mots de passe sont hachés, la double authentification et les clés d'accès sont proposés, les connexions inhabituelles déclenchent une alerte, la durée des sessions est limitée. Voir la page Sécurité et signalement.

En cas de violation de données susceptible d'engendrer un risque pour vous, nous notifions la CNIL dans les 72 heures lorsque la loi l'exige et, si le risque est élevé, nous vous en informons directement (articles 33 et 34 du RGPD).

9. Mineurs

Volcanium Compte est réservé aux personnes âgées d'au moins 15 ans. La date de naissance déclarée à la création du compte sert uniquement à vérifier cet âge minimum. Si vous constatez qu'un mineur de moins de 15 ans a ouvert un compte, écrivez-nous à rgpd@volcanium.eu : nous le supprimerons.

10. Modification de cette politique

Nous mettons cette politique à jour lorsque nos traitements évoluent. La date de version figure en tête ; les versions précédentes sont conservées sur le hub légal. Les changements importants vous sont notifiés dans le Service ou par courriel.