Légal

Politique de confidentialité

Cette politique explique comment Stormkestrel Limited (« Stormkestrel », « nous ») traite les données personnelles sur notre site stormkestrel.com et sur notre plateforme d’exercices de crise, Nest (la « Plateforme »), accessible à l’adresse nest.stormkestrel.com. Elle est rédigée pour satisfaire au UK GDPR (RGPD du Royaume-Uni) et au Data Protection Act 2018.

1. Qui sommes-nous

Stormkestrel Limited est une société immatriculée en Angleterre et au pays de Galles (numéro de société 13440339), dont le siège social est situé St Mary’s House, Netherhampton Road, Salisbury, Wiltshire SP2 8PU, United Kingdom. Nous sommes les créateurs de Nest.

Pour toute question concernant cette politique ou vos données personnelles, contactez-nous à enquiries@stormkestrel.com.

2. Notre rôle : responsable du traitement et sous-traitant

Le droit de la protection des données distingue le responsable du traitement (qui décide pourquoi les données sont traitées) du sous-traitant (qui les traite sur instruction d’un responsable). Notre rôle dépend des données :

• Nous sommes responsable du traitement pour les données personnelles des titulaires de compte et pour nos registres de facturation — c’est nous qui décidons pourquoi nous les détenons (fournir et administrer le service).
• Nous sommes sous-traitant pour les données personnelles qu’une organisation introduit dans la Plateforme pour mener ses exercices — y compris les personnes qu’elle invite comme participants et le contenu qu’elles génèrent. L’organisation qui mène l’exercice est responsable du traitement de ces données ; nous ne les traitons que pour lui fournir la Plateforme, dans le cadre d’un accord de sous-traitance.

Lorsqu’une personne crée un compte et mène un exercice pour elle-même plutôt qu’au nom d’une organisation, nous sommes responsable du traitement pour cette activité.

3. Les données personnelles que nous traitons

Visiteurs de ce site

Notre site utilise une solution d’analyse d’audience respectueuse de la vie privée afin de savoir quelles pages et quelles langues sont utiles. Elle ne dépose aucun cookie et n’enregistre rien sur votre appareil. Elle ne vous identifie pas, n’établit aucun profil et ne vous suit pas sur d’autres sites.

Nous n’utilisons aucun outil publicitaire ni courtier en données. Nos prestataires d’analyse d’audience et d’hébergement sont situés dans l’Union européenne et ne traitent ces informations que sur nos instructions. Notre hébergeur traite les informations techniques que votre navigateur envoie avec chaque requête (comme votre adresse IP) afin de servir les pages et de maintenir la sécurité du site.

Titulaires de compte

Lorsque vous créez un compte Nest ou y êtes ajouté, nous détenons :

• vos nom et adresse e-mail ;
• votre langue préférée et la date de votre dernière activité ;
• l’organisation (le compte) à laquelle vous appartenez et votre rôle en son sein ;
• vos identifiants de connexion — nous ne stockons pas votre mot de passe sous une forme lisible.

Participants aux exercices

Lorsqu’une organisation invite des personnes à un exercice, la Plateforme détient le nom de chaque participant, une adresse e-mail facultative, le rôle qui lui est attribué et le contenu qu’il génère pendant l’exercice — comme les messages qu’il envoie, les décisions qu’il prend et les réflexions qu’il consigne. Tout cela figure dans le rapport d’exercice. Nous traitons ces données en tant que sous-traitant, pour le compte de l’organisation qui mène l’exercice.

Facturation

Nous détenons des registres d’abonnement et de facturation (formule, statut, dates de renouvellement). Nous facturons les organisations directement et ne collectons ni ne stockons de données de carte bancaire.

4. Cookies et pistage

Nous n’utilisons pas de cookies à des fins de pistage ou de publicité, et nous n’affichons aucune bannière de cookies parce qu’il n’y a rien à consentir. Au sein de la Plateforme, nous stockons une petite quantité d’informations sur votre appareil pour vous garder connecté et mémoriser vos préférences. Ces informations restent sur votre appareil, ne servent pas à vous suivre et ne sont partagées avec personne.

5. Comment et pourquoi nous utilisons les données

Lorsque nous sommes responsable du traitement, nous nous appuyons sur les bases légales suivantes :

• Fournir le service — créer et gérer votre compte, délivrer les exercices et les rapports (exécution de notre contrat avec vous).
• Communiquer avec vous — messages de service, assistance et notifications liées au compte (contrat, ou notre intérêt légitime à faire fonctionner le service).
• Encaisser le paiement — facturer et tenir nos registres financiers (contrat et obligations légales).
• Maintenir le service sûr et opérationnel — diagnostiquer les pannes et prévenir les abus (notre intérêt légitime à un service sûr et fiable).
• Améliorer la Plateforme — produire des statistiques anonymisées et agrégées à partir de l’utilisation de la Plateforme (notre intérêt légitime à améliorer et à développer le service). Cela ne crée aucune donnée identifiant qui que ce soit.

Lorsque nous sommes sous-traitant, nous n’utilisons les données que pour fournir la Plateforme à l’organisation et sur ses instructions documentées.

6. Avec qui nous partageons les données

Nous ne vendons pas de données personnelles et nous ne les partageons ni avec des annonceurs ni avec des courtiers en données. Nous faisons appel à un petit nombre de prestataires (sous-traitants ultérieurs) pour faire fonctionner notre site et la Plateforme. Ils ne traitent les données personnelles que sur nos instructions et jamais à leurs propres fins. La liste à jour de nos sous-traitants ultérieurs, avec le lieu où chacun se trouve, est disponible sur demande.

Nous pouvons également divulguer des données lorsque la loi l’exige.

7. Où vos données sont hébergées

Les données de la Plateforme sont stockées et traitées dans l’Union européenne (Paris, France). Les transferts entre le Royaume-Uni et l’EEE sont couverts par la décision d’adéquation du Royaume-Uni pour l’EEE. Si nous devions un jour transférer des données personnelles hors du Royaume-Uni ou de l’EEE, nous mettrions en place les garanties appropriées (comme l’International Data Transfer Agreement ou l’Addendum du Royaume-Uni).

8. Combien de temps nous les conservons

Lorsque nous sommes responsable du traitement, nous conservons vos données personnelles tant que votre compte est actif, et les supprimons ou les anonymisons sur demande ou dans les 30 jours suivant la fermeture de votre compte — sauf lorsque nous devons conserver certains registres plus longtemps pour satisfaire à des obligations légales (par exemple, les registres de facturation à des fins fiscales).

Lorsque nous sommes sous-traitant, nous conservons les données des exercices et des participants aussi longtemps que l’organisation responsable en a besoin, et les supprimons ou les restituons sur son instruction ou à la fin de notre accord.

Les statistiques anonymisées et agrégées ne sont pas des données personnelles et sont conservées au-delà de ce terme.

9. Comment nous les protégeons

Les données sont chiffrées en transit et hébergées sur une infrastructure qui chiffre les données au repos, au sein de l’UE. L’accès est limité aux personnes qui en ont besoin, et nous minimisons les données personnelles enregistrées dans nos journaux d’exploitation. Aucun système ne peut être garanti totalement sûr, mais nous prenons les mesures techniques et organisationnelles appropriées pour protéger vos informations.

10. Vos droits

En vertu du droit britannique de la protection des données, vous avez le droit d’accéder à vos données ; de les faire rectifier ou effacer ; d’en limiter l’utilisation ou de vous y opposer ; à la portabilité de vos données ; et, lorsque nous nous appuyons sur le consentement, de le retirer. Vous ne ferez l’objet d’aucune décision entièrement automatisée produisant des effets juridiques ou d’importance comparable.

Pour exercer l’un de ces droits, veuillez écrire à enquiries@stormkestrel.com. Si vos données concernent un exercice auquel vous avez participé, nous agissons généralement en tant que sous-traitant — veuillez contacter l’organisation qui vous a invité (le responsable du traitement) ; nous l’aiderons à vous répondre.

11. Enfants

Nest est un outil destiné aux organisations et ne s’adresse pas aux enfants. Lorsqu’un client l’utilise dans un cadre éducatif, ce client est le responsable du traitement et il lui incombe d’assurer le traitement approprié des données et les consentements nécessaires pour les participants mineurs.

12. Réclamations

Si quelque chose vous préoccupe, nous aimerions avoir la possibilité d’y répondre — contactez-nous d’abord. Vous avez également le droit de déposer une réclamation auprès de l’Information Commissioner’s Office (ICO), l’autorité britannique de protection des données, sur ico.org.uk. Si vous êtes dans l’UE/EEE, vous pouvez aussi vous adresser à votre autorité de contrôle locale.

13. Modifications de cette politique

Nous pouvons mettre à jour cette politique de temps à autre. En cas de changement substantiel, nous en informerons les titulaires de compte lorsque cela est approprié.