Politique de confidentialité — MyApplication Catalog

1. Mentions légales

Éditeur de la plateforme: Norcan France
Siège social: 48 rue des Aviateurs, 67500 Haguenau, France
Représentant légal: Alfred KREISS
Responsable de traitement (RGPD): Norcan France
Point de contact RGPD: Elodie CHRISTOPHEL (juriste RGPD interne)
Hébergeur: OVHcloud (2 rue Kellermann, 59100 Roubaix, France)

2. Objet de la plateforme

MyApplication Catalog est une plateforme web interne au groupe Norcan permettant la centralisation, la valorisation et la gestion du catalogue des applications utilisées par les entités du groupe. L'accès à la plateforme est strictement réservé aux collaborateurs des entités membres du groupe Norcan disposant d'un compte utilisateur valide.

3. Données personnelles traitées

Dans le cadre du fonctionnement de la plateforme, Norcan France, en qualité de responsable de traitement, collecte et traite les catégories de données suivantes vous concernant :

▸Identité professionnelle : votre nom et prénom, utilisés pour vous identifier au sein de la plateforme et dans les échanges liés à la gestion des fiches d'applications.
▸Coordonnées professionnelles : votre adresse email professionnelle, utilisée pour la création de votre compte, les notifications et les communications liées à votre rôle.
▸Identifiants techniques : un identifiant de compte généré automatiquement et un identifiant de session, actif uniquement pendant la durée de votre connexion.
▸Rôles et habilitations : le rôle applicatif qui vous est attribué (parmi les huit rôles de la plateforme) ainsi que le périmètre d'entités auquel votre compte donne accès.
▸Logs de connexion et d'activité : données techniques pseudonymisées enregistrant les connexions et actions réalisées sur la plateforme, dans le seul but d'assurer la sécurité du système.
▸Contacts métier déclarés sur une fiche application : le nom, le prénom et la fonction d'un intervenant métier peuvent être renseignés librement par l'entité, à titre de traçabilité documentaire interne. Ces données ne sont pas reliées à un compte utilisateur.
▸Contacts référents d'entité : l'identité et les coordonnées professionnelles du référent désigné par chaque entité, utilisées pour coordonner le déploiement de la plateforme.

La plateforme ne traite aucune donnée sensible au sens de l'article 9 du RGPD (santé, origine ethnique, opinions politiques, etc.).

4. Finalités et bases légales des traitements

Finalité	Base légale
Création et gestion de votre compte utilisateur	Art. 6.1.b — Exécution d'un contrat
Authentification et contrôle des accès	Art. 6.1.b — Exécution d'un contrat
Gestion de vos rôles et habilitations	Art. 6.1.b — Exécution d'un contrat
Journalisation des connexions et de l'activité (sécurité)	Art. 6.1.f — Intérêt légitime
Coordination du déploiement avec les référents entités	Art. 6.1.b — Mesures précontractuelles
Documentation des intervenants métier sur les fiches application	Art. 6.1.f — Intérêt légitime

5. Durées de conservation

Vos données sont conservées pour les durées suivantes :

▸Données de compte (identité, coordonnées, rôles) : durée de votre relation avec la plateforme, puis anonymisation dans un délai maximum d'un an suivant la désactivation de votre compte.
▸Logs de connexion et d'activité : 12 mois glissants, puis purge automatique par le système.
▸Contacts référents d'entité : durée de la mission du référent, puis suppression dans un délai de six mois.
▸Contacts métier déclarés sur une fiche application : durée de vie de la fiche sur la plateforme.

À l'issue de ces délais, vos données sont anonymisées de façon irréversible ou supprimées.

6. Destinataires des données

Vos données personnelles sont accessibles uniquement aux personnes habilitées suivantes :

▸L'administrateur système de Norcan France, pour la gestion technique de la plateforme et l'accès aux logs de sécurité.
▸Les administrateurs de votre entité, dans la limite stricte des données nécessaires à la gestion des comptes de leur périmètre.

Aucune donnée personnelle n'est communiquée à des tiers extérieurs au groupe Norcan, à l'exception du sous-traitant technique mentionné à l'article 7.

7. Sous-traitants et transferts de données

Sous-traitant technique

Sous-traitant	Rôle	Localisation	Garanties
OVHcloud	Hébergement de la plateforme et des données	France (Roubaix)	Certifié ISO 27001, données hébergées en France

Service de traduction automatique (DeepL)

La plateforme utilise l'API DeepL pour traduire le contenu du catalogue. Seuls le nom et la description des applications sont transmis à ce service. Ces champs ne contiennent aucune donnée à caractère personnel. Aucune de vos données personnelles n'est donc transmise à DeepL.

Transferts hors Union européenne

▸Royaume-Uni : transferts couverts par la décision d'adéquation adoptée par la Commission européenne en juin 2021.
▸Maroc : transferts encadrés par les clauses contractuelles types (décision 2021/914). Le Maroc dispose de la loi n° 09-08 supervisée par la CNDP.
▸Tunisie : transferts encadrés par les clauses contractuelles types (décision 2021/914). La Tunisie dispose de la loi organique n° 2004-63.

8. Vos droits

▸Droit d'accès (Art. 15) : vous pouvez consulter l'ensemble de vos données personnelles via la fonctionnalité d'export disponible dans les paramètres de votre compte.
▸Droit de rectification (Art. 16) : si vos données sont inexactes, vous pouvez en demander la correction auprès de l'administrateur de votre entité ou via votre profil.
▸Droit à l'effacement (Art. 17) : vous pouvez demander l'anonymisation de vos données. Votre identité sera remplacée par des valeurs anonymisées ; les fiches que vous avez soumises restent rattachées à votre entité.
▸Droit à la limitation (Art. 18) : vous pouvez demander la désactivation temporaire de votre compte. La plateforme satisfait ce droit par le même mécanisme technique que le droit d'opposition.
▸Droit d'opposition (Art. 21) : vous pouvez vous opposer au traitement de vos données fondé sur l'intérêt légitime (logs de connexion et d'activité).
▸Droit à la portabilité (Art. 20) : vous pouvez obtenir une copie de vos données dans un format structuré et lisible par machine (JSON) via la fonctionnalité d'export de votre compte.

Exercice de vos droits

Pour exercer l'un de ces droits, adressez votre demande à Elodie CHRISTOPHEL (juriste RGPD interne — point de contact RGPD de Norcan France). Votre demande sera traitée dans un délai maximum d'un mois à compter de sa réception.

9. Sécurité des données

Norcan France met en œuvre les mesures techniques et organisationnelles suivantes pour protéger vos données :

▸Chiffrement de l'ensemble des communications (protocole HTTPS/TLS)
▸Chiffrement des données au repos sur l'infrastructure OVHcloud
▸Hachage irréversible des mots de passe (algorithme bcrypt)
▸Contrôle d'accès strict par rôles et habilitations (Voters Symfony Security)
▸Pseudonymisation des journaux d'activité
▸Purge automatique des logs à 12 mois glissants

10. Cookies

La plateforme MyApplication Catalog n'utilise pas de cookies à des fins publicitaires ou de suivi tiers. Les seuls cookies utilisés sont les cookies strictement nécessaires au fonctionnement (maintien de session authentifiée), qui ne nécessitent pas de consentement préalable conformément aux recommandations de la CNIL.

11. Réclamation auprès d'une autorité de contrôle

Si vous estimez que le traitement de vos données n'est pas conforme au RGPD, vous pouvez introduire une réclamation auprès de l'autorité de contrôle de votre pays :

▸France : CNIL — www.cnil.fr
▸Maroc : CNDP — www.cndp.ma
▸Tunisie : INPDP — www.inpdp.nat.tn
▸Royaume-Uni : ICO — www.ico.org.uk
▸Autres pays UE : autorité de contrôle nationale du pays concerné.

12. Modifications de la présente politique

La présente politique peut être mise à jour pour refléter des évolutions réglementaires, techniques ou organisationnelles. En cas de modification substantielle, les utilisateurs en seront informés par notification dans la plateforme lors de leur prochaine connexion.