Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via le site maprev.fr est :

SAS MaPrev, représentée par son président Jérémy Heber
1 Avenue Christian Doppler, Bâtiment 3, Parc Faraday, 77700 Serris, France
Email : [email protected]

2. Données collectées

Dans le cadre de l'utilisation du service MaPrev, les données personnelles suivantes sont collectées :

Données de compte utilisateur

• Adresse email
• Prénom et nom
• Mot de passe (stocké sous forme hachée, jamais en clair)
• Numéro de téléphone (facultatif) : renseigné librement lors de la création du compte. Le service fonctionne à l'identique sans ce numéro.

Données relatives à l'établissement

• Raison sociale ou nom commercial
• Adresse du siège ou de l'établissement
• Numéro SIREN : facultatif dans le questionnaire, il est demandé au moment du paiement s'il n'y a pas été renseigné, pour établir la facture.
• Secteur d'activité
• Effectif salarié
• Nom du responsable de l'évaluation des risques

Données du questionnaire DUERP

• Réponses aux questions d'évaluation des risques professionnels par unité de travail
• Niveau de maîtrise des risques déclaré
• Mesures de prévention et actions correctives renseignées
• Risques personnalisés éventuellement ajoutés

Suivi de votre avancement

• Votre étape dans le parcours : inscription, choix du secteur et des unités de travail, questionnaire, DUERP généré, formule souscrite ;
• La section du questionnaire où vous vous trouvez, la première question encore sans réponse de cette section, et votre taux d'avancement ;
• La date de votre dernière activité.

Vos réponses au questionnaire ne font pas partie de ce suivi.

Données de paiement

• Le paiement est géré exclusivement par Stripe. MaPrev ne stocke aucune donnée bancaire (numéro de carte, cryptogramme, date d'expiration). Seul un identifiant de session de paiement Stripe est conservé pour la traçabilité de la transaction.

Lien de lecture des salariés

Si vous créez un lien de lecture pour vos salariés, nous conservons ce lien et un compteur du nombre d'ouvertures du document par jour. Le compteur n'enregistre ni adresse IP ni aucune information permettant d'identifier la personne qui ouvre le document. Le lien et ce compteur sont supprimés avec votre compte ; le lien cesse de fonctionner à la fin de votre abonnement.

Service de santé au travail

Si vous enregistrez votre service de prévention et de santé au travail, nous conservons son nom, son adresse e-mail, son téléphone, son adresse postale, son site, ainsi que l'identifiant et la date de sa fiche dans l'annuaire de l'administration. Pour vous proposer les services compétents, votre navigateur interroge directement deux services publics : l'annuaire de l'administration (service-public.fr) et l'API Découpage administratif (geo.api.gouv.fr), qui reçoit le code postal de votre établissement. Nous n'envoyons aucun e-mail à votre service : le message part de votre propre messagerie. Ces informations sont supprimées avec votre compte.

3. Finalités du traitement

Les données collectées sont traitées pour les finalités suivantes :

• Création et gestion du compte utilisateur : permettre la connexion sécurisée et l'accès à l'espace personnel ;
• Génération des documents réglementaires : personnalisation du DUERP, du livret d'accueil sécurité, des Fiches Réflexe et du Guide de Signalétique à partir des réponses au questionnaire ;
• Exécution du contrat de vente : traitement du paiement, activation de l'accès aux documents, conservation de la preuve de commande ;
• Envoi d'emails transactionnels : confirmation de commande, récapitulatif des documents, rappels de mise à jour annuelle du DUERP ;
• Accompagnement des utilisateurs : vous joindre par téléphone si vous rencontrez une difficulté dans l'élaboration de votre document unique, lorsque vous avez communiqué un numéro ;
• Suivi de votre avancement : savoir où vous en êtes dans la création de votre DUERP et à quelle question vous vous êtes arrêté, pour vous accompagner et vous relancer si besoin. Ce suivi est transmis à notre outil de gestion de la relation client (HubSpot) depuis nos serveurs, sans cookie ; vos réponses n'en font pas partie ;
• Suivi des ventes : enregistrer vos paiements, mensualités comprises, et l'état de votre abonnement dans notre outil de gestion de la relation client (HubSpot), pour vous accompagner, vous prévenir d'un paiement en échec, vous contacter si vous résiliez et mesurer notre activité ;
• Mesure d'audience : mesurer la fréquentation du site et améliorer le service, avec votre accord (voir la section 10, « Cookies et traceurs ») ;
• Suivi de la relation commerciale : suivre les pages consultées et les boutons ou liens cliqués (leur libellé), sur le site public, l'inscription, le choix du secteur et des unités de travail, et la page de vos résultats, puis les rattacher à votre compte pour mieux vous accompagner, avec votre accord (voir la section 10, « Cookies et traceurs ») ;
• Information commerciale : vous présenter nos offres et services liés à la prévention des risques professionnels, lorsque vous avez communiqué un numéro.

4. Base légale du traitement

Les traitements effectués reposent sur les bases légales suivantes au sens de l'article 6 du RGPD :

• Consentement (article 6§1-a du RGPD) : pour la mesure d'audience du site (Google Analytics) et pour le suivi de la relation commerciale dans votre navigateur (HubSpot). Vous pouvez le retirer à tout moment avec le bouton « Gérer mes cookies » ;
• Exécution du contrat (article 6§1-b du RGPD) : pour la création de compte, la génération des documents, le traitement du paiement et l'envoi des emails transactionnels liés à la commande ;
• Intérêt légitime (article 6§1-f du RGPD) : pour la sécurité de la plateforme et la prévention des utilisations frauduleuses ; pour l'accompagnement téléphonique des utilisateurs et l'information sur des services en rapport direct avec leur activité professionnelle ; pour le suivi de votre avancement dans la création de votre DUERP et de vos achats, afin de vous accompagner, et pour les statistiques de notre activité (vous pouvez vous y opposer à tout moment, voir la section 8).

5. Destinataires et sous-traitants

MaPrev fait appel aux sous-traitants suivants dans le cadre de la fourniture du service. Chaque sous-traitant est contractuellement tenu de respecter la confidentialité et la sécurité des données qui lui sont confiées, conformément à l'article 28 du RGPD :

• Supabase, Inc. (USA) — Hébergement de la base de données, authentification des utilisateurs et stockage des réponses au questionnaire.
• Stripe, Inc. (USA) — Traitement sécurisé des paiements par carte bancaire, et émission des factures à partir de la raison sociale, de l'adresse et du numéro SIREN de l'établissement. Stripe agit en tant que responsable de traitement indépendant pour les données de paiement.
• Resend, Inc. (USA) — Envoi des emails transactionnels (confirmation de commande, récapitulatifs, rappels).
• OpenAI, L.L.C. (USA) — Traitement des messages soumis au chatbot assistant Alex. Seul le contexte nécessaire à la réponse est transmis ; aucune donnée sensible n'est transmise à OpenAI.
• Cloudflare, Inc. (USA) — Hébergement et diffusion du site (journaux techniques, adresse IP).
• Google Ireland Limited (Irlande) — Mesure d'audience du site (Google Analytics 4), avec votre accord. Voir la section 10, « Cookies et traceurs ».
• HubSpot Ireland Limited (Irlande) — Outil de gestion de la relation client. Enregistrement des coordonnées des utilisateurs (nom, prénom, email, téléphone lorsqu'il est renseigné, nom et adresse de l'établissement), de l'origine de leur fiche (le site, quand elle est créée par nos serveurs), de leur statut commercial (inscrit, client) et de leur avancement dans le service (étape du parcours, secteur d'activité, section et question du questionnaire où ils se trouvent, taux d'avancement, date de dernière activité ; jamais les réponses), transmis depuis nos serveurs, à des fins d'accompagnement et d'information commerciale ; les informations de leur établissement (raison sociale, adresse, SIREN, effectif, secteur d'activité, offre en cours, date du premier achat, date du passage à l'abonnement, état de l'abonnement : pas d'abonnement, en essai, actif, résiliation prévue, paiement en échec, résilié, avec la date de fin d'accès prévue, la date de résiliation, le nombre de résiliations et la date du dernier paiement en échec) ; pour chaque paiement, chaque mensualité de l'abonnement comprise, la formule, le montant, la date et le lien vers la facture ; avec votre accord, suivi des pages consultées sur le site, rattachées à votre compte par votre adresse email (voir la section 10, « Cookies et traceurs »). Les données de notre compte HubSpot sont hébergées dans l'Union européenne (Allemagne), avec un accès possible depuis les États-Unis par le groupe HubSpot (voir la section 7).

Vos données ne sont pas vendues, louées ou cédées à des tiers à des fins commerciales ou publicitaires.

6. Durée de conservation

Les données sont conservées selon les durées suivantes :

• Données de compte et de questionnaire : conservées pendant toute la durée d'activité du compte utilisateur. La suppression du compte entraîne leur effacement immédiat et définitif — voir la section « Suppression de votre compte » ci-dessous.
• Données comptables et de facturation : conservées 10 ans à compter de la clôture de l'exercice, conformément à l'article L123-22 du Code de commerce et aux obligations fiscales applicables.
• Preuve de l'acceptation des CGV : pour chaque commande, l'identifiant de votre compte, la version des CGV acceptée, la date de l'acceptation, la formule et l'identifiant de la session de paiement Stripe. Conservée cinq ans à compter de la commande, y compris après la suppression du compte (article 20 des CGV).
• Données de connexion et logs techniques : conservées 12 mois conformément aux obligations légales applicables aux hébergeurs.
• Numéro de téléphone : conservé pendant la durée de vie du compte. Il est supprimé lorsque vous supprimez votre compte, ou sur simple demande de votre part, sans que cela affecte votre accès au service.
• Données de suivi de la relation client (HubSpot) : pendant toute la relation commerciale, puis 3 ans au plus après votre dernier contact avec nous. La suppression de votre compte entraîne la suppression de votre fiche dans HubSpot, effacée définitivement sous 90 jours. Après la suppression de votre compte, vos paiements, mensualités comprises, y restent sous une forme anonyme (formule, montant, date et secteur d'activité, sans nom ni facture), à des fins statistiques ; la fiche de votre établissement est supprimée si elle a été créée par notre service et qu'aucun autre contact n'y est rattaché ; sinon, elle est conservée.

7. Transferts de données hors Union Européenne

Plusieurs sous-traitants de MaPrev (Supabase, Stripe, OpenAI, Resend, Cloudflare) sont établis aux États-Unis et peuvent traiter des données personnelles en dehors de l'Union européenne.

Ces transferts sont encadrés par des garanties appropriées conformément au Chapitre V du RGPD, notamment par :

• Des clauses contractuelles types (CCT) adoptées par la Commission européenne (décision d'exécution 2021/914) ;
• L'adhésion au cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) pour les sous-traitants certifiés.

Les données de mesure d'audience (Google Analytics), recueillies avec votre accord, peuvent être transférées vers les États-Unis par Google. Ce transfert est encadré par la décision d'adéquation de la Commission européenne du 10 juillet 2023 (EU-US Data Privacy Framework).

Les données de notre compte HubSpot, dont celles du suivi de navigation recueillies avec votre accord, sont hébergées au sein de l'Union européenne, dans le centre de données européen de HubSpot. Le groupe HubSpot peut toutefois y accéder depuis les États-Unis : cet accès est encadré par la décision d'adéquation de la Commission européenne du 10 juillet 2023 (EU-US Data Privacy Framework). Certains sous-traitants de HubSpot peuvent également intervenir depuis des pays tiers ; la liste de ces sous-traitants et leurs localisations sont publiées par HubSpot.

Vous pouvez obtenir des informations sur ces transferts en contactant MaPrev à [email protected].

8. Vos droits

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (article 15) : obtenir une copie des données personnelles vous concernant ;
• Droit de rectification (article 16) : faire corriger des données inexactes ou incomplètes ;
• Droit à l'effacement (article 17) : demander la suppression de vos données dans les conditions prévues par la loi ;
• Droit à la portabilité (article 20) : recevoir vos données dans un format structuré et lisible par machine ;
• Droit d'opposition (article 21) : vous opposer au traitement de vos données pour des raisons tenant à votre situation particulière ;
• Droit à la limitation du traitement (article 18) : demander la suspension temporaire du traitement de vos données.

Concernant les communications commerciales et le suivi de votre avancement, vous pouvez vous y opposer à tout moment, sans avoir à motiver votre demande, en écrivant à [email protected]. Cette opposition n'affecte ni votre compte, ni votre accès aux documents que vous avez générés.

Pour exercer l'un de ces droits, adressez votre demande par email à [email protected], en précisant votre identité. MaPrev s'engage à répondre dans un délai d'un (1) mois à compter de la réception de votre demande (délai pouvant être porté à trois mois en cas de demandes complexes ou nombreuses, avec information préalable du demandeur).

9. Suppression de votre compte

Vous pouvez supprimer votre compte MaPrev à tout moment, directement depuis l'application : Mon compte → onglet Compte → Supprimer mon compte. Une confirmation par saisie de votre adresse email est requise avant toute suppression. La suppression est immédiate et définitive.

Ce qui est effacé définitivement

• Le compte utilisateur ;
• Le profil (prénom, nom, nom de l'établissement) ;
• Le DUERP et l'intégralité des réponses au questionnaire ;
• Les risques personnalisés et les actions correctives ;
• Le lien de lecture de vos salariés et le compteur de ses ouvertures ;
• Le service de santé au travail que vous avez enregistré ;
• Votre fiche dans notre outil de gestion de la relation client (HubSpot) : coordonnées, suivi de votre avancement et pages consultées, ainsi que la fiche de votre établissement, avec votre offre, l'état et l'historique de votre abonnement et la date de votre premier achat, si elle a été créée par notre service et qu'aucun autre contact n'y est rattaché ; une fiche d'établissement qui existait avant votre inscription est conservée, avec les informations de l'établissement. HubSpot les place dans sa corbeille, d'où elles sont effacées définitivement sous 90 jours. Vos paiements, mensualités comprises, y restent sous une forme anonyme (formule, montant, date et secteur d'activité), sans nom ni facture ;
• La ligne d'abonnement.

Ce qui est conservé, et pourquoi

En cas d'achat, une trace comptable pseudonymisée est conservée : identifiant de votre compte, identifiant de la transaction Stripe, formule souscrite, date de souscription. Elle ne contient ni nom, ni prénom, ni adresse email, ni aucun contenu de DUERP. S'y ajoute la preuve de l'acceptation des CGV (identifiant de votre compte, version, date, formule et identifiant de la session de paiement), conservée cinq ans à compter de la commande.

Durée de conservation : la durée légale de conservation des pièces comptables, soit 10 ans (article L123-22 du Code de commerce).

Il s'agit d'un archivage intermédiaire à accès restreint, conforme à la doctrine de la CNIL : le droit à l'effacement (article 17 du RGPD) ne fait pas obstacle à la conservation de ce qui est légalement obligatoire.

Aucune trace n'est conservée pour un compte n'ayant donné lieu à aucune transaction.

Données de paiement (Stripe)

Les données de paiement sont détenues par Stripe, notre prestataire de paiement, qui les conserve au titre de ses propres obligations légales. La suppression du compte MaPrev n'entraîne pas leur effacement chez Stripe.

Remboursement

La suppression du compte ne constitue pas une demande de remboursement et n'ouvre aucun droit à remboursement.

10. Cookies et traceurs

Le site maprev.fr enregistre et lit des informations dans votre navigateur (cookies et stockage local) dans deux cas seulement : quand c'est strictement nécessaire au service, et, avec votre accord, pour mesurer sa fréquentation et suivre votre parcours. Aucun cookie publicitaire ni de réseaux sociaux n'est utilisé.

Traceurs strictement nécessaires, sans consentement

Indispensables au service que vous demandez, ils ne servent à aucun suivi et ne requièrent pas votre consentement (article 82 de la loi Informatique et Libertés) :

• Session de connexion (Supabase Auth) : une entrée du stockage local de votre navigateur, « sb-…-auth-token », garde votre session ouverte. Elle est effacée à la déconnexion.
• Votre choix sur les cookies : le cookie « tarteaucitron » retient votre accord ou votre refus pendant 6 mois. Votre choix vous est ensuite redemandé.
• La vue de « Mes actions » : une entrée du stockage local, « espace-actions-vue », retient sur votre appareil la vue que vous avez choisie, tableau ou liste.

Mesure d'audience, soumise à votre accord

Avec votre accord, nous utilisons Google Analytics 4. Sans accord, ou après un refus, Google Analytics n'est pas chargé et aucune donnée n'est transmise à Google.

• Finalité : mesurer la fréquentation du site et améliorer le service.
• Cookies : « _ga » et « _ga_<ID> », où <ID> est l'identifiant de notre propriété Google Analytics, pour 13 mois au plus.
• Conservation des données : 14 mois.
• Destinataire : Google Ireland Limited, en qualité de sous-traitant.
• Transfert : les données peuvent être transférées vers les États-Unis. Ce transfert est encadré par la décision d'adéquation de la Commission européenne du 10 juillet 2023 (EU-US Data Privacy Framework).

Suivi de la relation commerciale, soumis à votre accord

Avec votre accord, nous utilisons HubSpot. Sans accord, ou après un refus, HubSpot n'est pas chargé et aucune donnée de navigation ne lui est transmise.

• Finalité : suivre les pages consultées et les boutons ou liens cliqués (leur libellé), sur le site public, l'inscription, le choix du secteur et des unités de travail, et la page de vos résultats, puis les rattacher à votre compte pour mieux vous accompagner. Le suivi est coupé dans le questionnaire et dans votre espace prévention : vos réponses ne sont jamais transmises à HubSpot. Indépendamment de ce suivi par cookies, votre avancement dans le questionnaire est transmis à HubSpot depuis nos serveurs, sans vos réponses (voir les sections 3 et 5).
• Identification : par l'adresse email de votre compte, et seulement avec votre accord.
• Cookies : « __hstc » et « hubspotutk », pour 6 mois ; « __hssc », pour 30 minutes ; « __hssrc », pour la durée de la session de votre navigateur.
• Empreinte : avec votre accord, HubSpot calcule aussi une empreinte technique de votre navigateur pour reconnaître vos visites.
• Conservation des données : pendant toute la relation commerciale, puis 3 ans au plus après votre dernier contact avec nous.
• Destinataire : HubSpot Ireland Limited, en qualité de sous-traitant.
• Hébergement et transfert : les données sont hébergées dans l'Union européenne, dans le centre de données européen de HubSpot. Le groupe HubSpot peut y accéder depuis les États-Unis ; cet accès est encadré par la décision d'adéquation de la Commission européenne du 10 juillet 2023 (EU-US Data Privacy Framework).

Changer d'avis

Vous pouvez donner ou retirer votre accord à tout moment avec le bouton « Gérer mes cookies », ci-dessous ou dans le pied de page du site. Retirer votre accord supprime les cookies du service concerné, Google Analytics ou HubSpot.

11. Liste d'attente de l'ouverture

Si vous vous inscrivez sur la liste d'attente de l'ouverture de la plateforme, sans créer de compte, ce traitement s'applique :

• Données : votre adresse e-mail et, si vous l'indiquez, votre secteur d'activité.
• Finalité : vous prévenir de l'ouverture de la plateforme et de l'offre de lancement.
• Base légale : votre consentement (article 6§1-a du RGPD), retirable à tout moment en écrivant à [email protected] ou par le lien de désinscription de nos e-mails.
• Destinataire : HubSpot Ireland Limited, en qualité de sous-traitant. Les données de notre compte HubSpot sont hébergées dans l'Union européenne, avec un accès possible depuis les États-Unis par le groupe HubSpot (voir la section 7).
• Durée de conservation : jusqu'à l'ouverture de la plateforme, puis 6 mois au plus si vous ne créez pas de compte, ou jusqu'au retrait de votre consentement.

12. Sécurité des données

MaPrev met en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données personnelles contre tout accès non autorisé, perte, altération ou divulgation, notamment :

• Chiffrement des communications : l'ensemble des échanges entre votre navigateur et le serveur est chiffré via le protocole HTTPS (TLS) ;
• Sécurité de la base de données : politiques de sécurité au niveau des lignes (Row Level Security — RLS) sur Supabase, garantissant que chaque utilisateur n'accède qu'à ses propres données ;
• Authentification sécurisée : gestion des sessions via Supabase Auth, mots de passe hachés (bcrypt) ;
• Accès restreint : accès aux données en production limité aux seuls membres autorisés de l'équipe MaPrev, selon le principe du moindre privilège.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, MaPrev s'engage à notifier l'incident à la CNIL dans les 72 heures conformément à l'article 33 du RGPD, et à vous en informer si le risque est élevé.

13. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits sur vos données personnelles ne sont pas respectés, vous disposez du droit d'introduire une réclamation auprès de l'autorité de contrôle compétente :

Commission Nationale de l'Informatique et des Libertés (CNIL)
3 Place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07
Téléphone : +33 1 53 73 22 22
https://www.cnil.fr

14. Date de dernière mise à jour

4 novembre 2026.

Toute modification substantielle de la présente politique de confidentialité fera l'objet d'une information préalable aux utilisateurs concernés par email ou via une notification sur le site.