Politique de confidentialité

2.1 Le responsable des traitements décrits dans la présente Politique est GOOD IS MERCH, société par actions simplifiée au capital de 3 000 euros, dont le siège social est situé 6, rue d'Armaillé, 75017 Paris, immatriculée au registre du commerce et des sociétés de Paris sous le numéro 991 348 962 (« GiM »).

2.2 GiM n'est pas tenue de désigner un délégué à la protection des données au sens de l'article 37 du RGPD et n'en a pas désigné. Les questions relatives à la protection des Données sont traitées par son référent, Lennon Jeaugey, président.

2.3 Toute demande relative à la présente Politique ou à l'exercice des droits visés à l'article 11 peut être valablement adressée par voie électronique à contact@goodismerch.com, ou par voie postale au siège social.

3.1 Les traitements décrits dans la présente Politique concernent, selon le cas, les catégories de personnes suivantes :

• les visiteurs du Site qui renseignent un formulaire ou s'inscrivent sur la liste d'attente, les Données étant alors collectées directement auprès d'eux ;
• les Prospects, dont les coordonnées professionnelles sont issues de sources publiquement accessibles (annuaires de l'Éducation nationale, fiches Onisep, sites des établissements, répertoire national des associations), de leurs échanges avec GiM et, le cas échéant, de leur compte Good is Campus ;
• les membres élus du bureau des associations utilisatrices de Good is Campus, y compris les élèves âgés de quinze ans et plus, dont les prénom, rôle et adresse électronique sont transmis par Good is Campus aux fins de la relation de GiM avec l'association ; les élus majeurs peuvent recevoir les courriers électroniques d'information de GiM relatifs à l'offre destinée à leur association, l'adresse d'un élu mineur n'étant jamais utilisée pour un envoi groupé sans son accord, et chacun peut s'opposer à tout moment à cette transmission ;
• les utilisateurs de Good is Campus âgés de quinze ans et plus qui ont choisi, en cochant la case prévue à cet effet ou depuis leurs réglages, de recevoir les actualités de GiM, dont le prénom et l'adresse électronique sont alors transmis par Good is Campus ;
• les Clients et leurs contacts, ainsi que les fournisseurs et leurs contacts, les Données étant collectées auprès d'eux ou de l'organisation qu'ils représentent ;
• toute personne adressant un courrier électronique à une adresse @goodismerch.com, ses messages étant reçus dans les boîtes des salariés de GiM.

3.2 Lorsque les Données ne sont pas collectées directement auprès de la personne concernée, l'information prévue à l'article 14 du RGPD lui est délivrée au plus tard lors de la première communication qui lui est adressée.

3.3 GiM ne traite aucune donnée relevant des catégories particulières visées à l'article 9 du RGPD (santé, opinions, convictions religieuses, notamment) et demande expressément qu'aucune donnée de cette nature ne soit inscrite dans les champs libres.

4.1 Chaque traitement repose sur l'un des fondements énumérés à l'article 6, paragraphe 1, du RGPD, et ses Données sont conservées pendant la durée strictement nécessaire à la finalité poursuivie, conformément à l'article 5, paragraphe 1, e), du RGPD :

• Demandes reçues par le Site (formulaire « Nous rejoindre », pièces jointes) : répondre à la demande et préparer une offre. Fondement : mesures précontractuelles prises à la demande de la personne concernée (art. 6, 1, b). Durée : 3 ans après le dernier contact en l'absence de relation contractuelle ; une pièce jointe transmise sans que la demande aboutisse est effacée dans un délai de 24 heures.
• Liste d'attente : informer la personne de l'ouverture du service. Fondement : consentement, recueilli par la confirmation de l'adresse électronique (art. 6, 1, a). Durée : 3 ans à compter de l'inscription. En cas de désinscription, les Données sont effacées sans délai ; seule une empreinte de l'adresse est conservée afin de garantir qu'aucun message ne sera plus adressé.
• Prospection des établissements et des associations (fichier, appels, courriers électroniques, rendez-vous, ouverture des liens de ces courriers et visionnage des vidéos du Site depuis ces liens) : présenter l'offre de GiM à des professionnels. Fondement : intérêt légitime de GiM à faire connaître son offre (art. 6, 1, f). Durée : 3 ans après le dernier contact, puis anonymisation. Le droit de s'opposer à la prospection s'exerce à tout moment, dans les conditions de l'article 11.
• Courriers électroniques d'information : informer les personnes inscrites sur la liste d'attente, les utilisateurs de Good is Campus qui l'ont demandé, les Prospects et leurs contacts, les élus majeurs des associations et les Clients. Fondement : consentement pour la liste d'attente et pour les utilisateurs de Good is Campus (art. 6, 1, a, et article L. 34-5 du code des postes et des communications électroniques) ; intérêt légitime de GiM à solliciter un professionnel ou le représentant d'une association sur un objet en rapport avec sa fonction (art. 6, 1, f). Durée : jusqu'au retrait du consentement ou à la désinscription, et au plus celle de la Donnée d'origine. Chaque message comporte un lien de désinscription.
• Enregistrement des appels : former l'équipe commerciale et résumer l'échange. Fondement : intérêt légitime de GiM (art. 6, 1, f). Conditions et durées : article 5.
• Recours à l'intelligence artificielle : article 6.
• Relation client (devis, commandes, bons de commande, documents, échanges, portail association) : exécuter le contrat. Fondement : exécution du contrat (art. 6, 1, b). Durée : durée de la relation, puis 5 ans.
• Facturation et comptabilité : satisfaire aux obligations comptables et fiscales. Fondement : obligation légale (art. 6, 1, c). Durée : 10 ans.
• Fournisseurs : gérer les commandes de fabrication. Fondement : exécution du contrat (art. 6, 1, b). Durée : durée de la relation, puis 5 ans.
• Sécurité du Site et des comptes (journaux, limitation des abus, alertes) : protéger le service et ses utilisateurs. Fondement : intérêt légitime de GiM et obligation de sécurité de l'article 32 du RGPD (art. 6, 1, c et f). Durée : journaux conservés 12 mois au plus ; données de session conservées jusqu'à leur expiration.
• Sauvegardes : permettre la restauration des Données en cas d'incident. Fondement : intérêt légitime de GiM (art. 6, 1, f). Durée : sauvegardes chiffrées conservées 6 mois au plus ; une Donnée effacée y demeure jusqu'à la rotation de la sauvegarde.

4.2 Lorsque le traitement est fondé sur l'intérêt légitime, GiM a procédé à la mise en balance de cet intérêt avec les intérêts et droits fondamentaux des personnes concernées ; les garanties qui en résultent sont décrites aux articles 5, 6 et 11.

4.3 À l'expiration des durées ci-dessus, les Données font l'objet d'un effacement ou d'une anonymisation irréversible, opérés par des traitements automatisés. Certaines Données peuvent toutefois être conservées en archivage intermédiaire, pour la durée strictement nécessaire, lorsqu'une obligation légale l'impose ou aux fins de la constatation, de l'exercice ou de la défense d'un droit en justice.

5.1 Un appel passé par GiM n'est enregistré que sur décision du commercial, prise pour l'appel considéré. L'interlocuteur en est informé dès le début de l'appel et peut s'y opposer, auquel cas l'enregistrement est interrompu.

5.2 L'enregistrement est destiné à la formation de l'équipe commerciale et à la synthèse de l'échange dans le dossier du Prospect ou du Client. Il est transcrit par un outil hébergé par GiM au sein de l'Union européenne ; la synthèse et les recommandations adressées au commercial sont produites au moyen de l'intelligence artificielle, dans les conditions de l'article 6.

5.3 L'enregistrement sonore est effacé à l'expiration d'un délai de 6 mois ; la transcription et son analyse, à l'expiration d'un délai de 12 mois. Le résumé de l'appel et ce qui a été convenu restent ensuite au dossier de l'établissement, aussi longtemps que celui-ci est conservé. Seuls le commercial concerné et la direction ont accès à l'enregistrement et à sa transcription.

6.1 GiM recourt à des outils d'intelligence artificielle pour assister son équipe dans l'organisation et le suivi de sa relation avec les établissements, notamment la synthèse des échanges et le classement des courriers électroniques. Les Données sont alors traitées au sein de l'Union européenne.

6.2 Aucune décision fondée exclusivement sur un traitement automatisé, y compris le profilage, et produisant des effets juridiques à l'égard d'une personne ou l'affectant de manière significative de façon similaire, au sens de l'article 22 du RGPD, n'est prise : chaque proposition est soumise à la validation d'un membre de l'équipe.

7.1 Les Données sont accessibles aux seules personnes habilitées au sein de GiM, dans la limite de leurs attributions.

7.2 GiM recourt à des sous-traitants qui traitent les Données pour son compte, sur ses instructions documentées et dans les conditions de l'article 28 du RGPD. Ils relèvent des catégories suivantes :

• hébergement des serveurs, au sein de l'Union européenne (Allemagne et Finlande) ;
• messagerie des salariés, noms de domaine et téléphonie ;
• envoi et réception des courriers électroniques, en région Union européenne ;
• outils d'intelligence artificielle mentionnés à l'article 6 ;
• suivi des erreurs techniques, en région Union européenne, sans adresse IP ni cookie ;
• stockage externalisé des sauvegardes, chiffrées préalablement à leur envoi et inintelligibles pour le prestataire ;
• traitement des paiements ;
• expertise comptable ;
• outils d'assistance technique employés par l'équipe de GiM lors de ses interventions sur ses systèmes.

La liste nominative des sous-traitants est communiquée sur simple demande adressée à contact@goodismerch.com.

7.3 Un moteur de recherche externe reçoit exclusivement des noms d'établissements, à l'exclusion de toute Donnée. Les alertes de sécurité internes transitent par une messagerie instantanée sans aucune donnée identifiante, les adresses électroniques et IP y étant masquées.

7.4 Les Données ne font l'objet d'aucune cession, location ou commercialisation. Elles peuvent être communiquées aux autorités administratives ou judiciaires qui en font la demande dans le cadre de leurs prérogatives légales.

8.1 Les Données font l'objet d'un hébergement au sein de l'Union européenne. Certains sous-traitants (envoi des courriers électroniques, suivi des erreurs, sauvegardes, paiements, certains outils d'intelligence artificielle et d'assistance technique) sont toutefois susceptibles, dans le cadre de l'exécution de leurs prestations, d'y accéder depuis un pays tiers, notamment les États-Unis, ou de les y traiter. Conformément au chapitre V du RGPD, chacun de ces transferts est encadré par des garanties appropriées : la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis (art. 45 du RGPD), pour les prestataires certifiés à ce titre, et, dans tous les cas, les clauses contractuelles types adoptées par la Commission européenne (art. 46 du RGPD).

8.2 Toute personne concernée est en droit d'obtenir une copie de ces garanties en adressant sa demande à contact@goodismerch.com.

9.1 Le Site ne recourt, à la date d'entrée en vigueur de la présente Politique, à aucun traceur de mesure d'audience ni de publicité.

9.1 bis La lecture des vidéos des guides est comptée sans cookie, sans stockage sur l'appareil et sans adresse IP : la durée regardée, par visite de page, pour savoir quelles vidéos sont utiles. Lorsque la page est ouverte depuis un lien d'un courrier électronique de GiM, cette lecture et l'ouverture du lien sont rattachées à l'établissement destinataire, dans le cadre de la prospection décrite à l'article 4.

9.2 Il ne dépose que des cookies strictement nécessaires à la fourniture du service expressément demandé, dispensés de consentement en application de l'article 82 de la loi Informatique et Libertés : le cookie « gim-wl », qui protège l'inscription à la liste d'attente pendant 24 heures ; les cookies de session de l'espace client et du back office, renouvelés à l'usage ; et, au choix de l'utilisateur, un cookie mémorisant pendant 30 jours un appareil de confiance aux fins de la double authentification.

9.3 Les erreurs techniques sont suivies sans cookie ni adresse IP ; les adresses de pages comportant un jeton sont masquées préalablement à leur envoi.

9.4 La recherche d'un établissement dans le formulaire interroge directement, depuis le navigateur de l'utilisateur, l'annuaire public de l'Éducation nationale (data.education.gouv.fr).

10.1 Conformément à l'article 32 du RGPD, GiM met en œuvre des mesures techniques et organisationnelles appropriées au regard des risques : chiffrement des échanges (HTTPS) ; chiffrement au repos des volumes portant la base de données, les fichiers et les enregistrements ; chiffrement des sauvegardes ; accès aux serveurs limité à des clés nominatives ; contrôle hebdomadaire des sauvegardes et des paramètres de sécurité ; dispositif d'alerte en cas d'activité suspecte.

10.2 En cas de violation de Données susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, GiM la notifie à la Commission nationale de l'informatique et des libertés dans les conditions de l'article 33 du RGPD. Lorsque la violation est susceptible d'engendrer un risque élevé, les personnes concernées en sont informées dans les conditions de l'article 34 du RGPD.

11.1 Toute personne concernée dispose, dans les conditions prévues aux articles 15 à 22 du RGPD, d'un droit d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition et de portabilité, ainsi que du droit de retirer à tout moment un consentement donné, sans que ce retrait porte atteinte à la licéité du traitement effectué avant celui-ci.

11.2 Toute personne peut s'opposer à la prospection à tout moment, sans avoir à justifier d'un motif, au moyen du lien figurant dans chaque courrier électronique ou par une demande adressée à contact@goodismerch.com. GiM s'interdit alors toute nouvelle sollicitation à son égard.

11.3 Les demandes sont adressées à GiM, par tout moyen permettant d'en établir la date de réception, par voie électronique à contact@goodismerch.com ou par voie postale au siège social. GiM y répond dans un délai d'un mois à compter de leur réception, ce délai pouvant être prolongé de deux mois compte tenu de la complexité ou du nombre des demandes, dans les conditions de l'article 12, paragraphe 3, du RGPD. Un justificatif d'identité n'est demandé qu'en cas de doute raisonnable sur l'identité du demandeur.

11.4 Toute personne peut définir des directives relatives au sort de ses Données après son décès, en application de l'article 85 de la loi Informatique et Libertés.

11.5 Toute personne qui estime, après avoir saisi GiM, que ses droits ne sont pas respectés peut introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

12.1 GiM se réserve la faculté de modifier la présente Politique et procède à sa mise à jour à chaque évolution de ses traitements ou de ses sous-traitants. La version opposable est celle publiée sur le Site, dont la date d'entrée en vigueur figure en tête du document.