{% extends 'legal/legal_layout.html.twig' %}

{% block title %}Politique de Confidentialité (RGPD){% endblock %}
{% block description %}Politique de confidentialité NUM-ECARD : protection des données personnelles, RGPD, droits, durées de conservation, sous-traitants. Version 4.1 — Avril 2026.{% endblock %}

{% block page_title %}Politique de Confidentialité{% endblock %}
{% block page_subtitle %}<p class="subtitle">Protection des données personnelles — RGPD (UE) 2016/679</p>{% endblock %}
{% block page_meta %}<p class="meta">Version 4.1 — Avril 2026</p>{% endblock %}
{% block page_version %}<strong>Référence :</strong> POL-CONF-V4.1 — Avril 2026{% endblock %}

{% block content %}

<div class="legal-callout legal-callout--success">
    <strong>✅ Mise à jour v4.1 :</strong> La section §8 (Vos droits) a été enrichie pour refléter l'architecture 2 niveaux d'exercice des droits (SPEC-RGPD-DROITS-V1, Avril 2026). Les droits Niveau 1 (accès, rectification, portabilité, retrait consentement) sont désormais directement accessibles dans l'espace client.
</div>

<h2>🏢 1. Responsable du Traitement des Données</h2>
<table>
    <tbody>
        <tr><td><strong>Société</strong></td><td>SAS SANAGENCY</td></tr>
        <tr><td><strong>SIREN</strong></td><td>932 944 242</td></tr>
        <tr><td><strong>Siège social</strong></td><td>8 place Roger Salengro, 31000 Toulouse, France</td></tr>
        <tr><td><strong>Service</strong></td><td>NUM-ECARD — plateforme de cartes de visite numériques</td></tr>
        <tr><td><strong>Email RGPD</strong></td><td><a href="mailto:rgpd@num-ecard.com">rgpd@num-ecard.com</a></td></tr>
        <tr><td><strong>Téléphone</strong></td><td>09 81 19 84 02</td></tr>
    </tbody>
</table>

<h2>📊 2. Données Personnelles Collectées</h2>
<p>Nous collectons différentes catégories de données selon votre relation avec NUM-ECARD (Porteur de carte ou Visiteur) :</p>
<table>
    <thead><tr><th>Catégorie</th><th>Données concernées</th><th>Circonstance</th></tr></thead>
    <tbody>
        <tr><td><strong>Identité</strong></td><td>Nom, prénom, photo professionnelle</td><td>Création de compte</td></tr>
        <tr><td><strong>Coordonnées</strong></td><td>Email, téléphone, adresse professionnelle</td><td>Création de compte</td></tr>
        <tr><td><strong>Données professionnelles</strong></td><td>Fonction, entreprise, secteur, réseaux sociaux</td><td>Paramétrage de la carte</td></tr>
        <tr><td><strong>Données de facturation</strong></td><td>Adresse facturation, données de transaction</td><td>Commande</td></tr>
        <tr><td><strong>Analytics Visiteurs</strong></td><td>IP anonymisée, pays, clics, durée (agrégés, sans identification)</td><td>Consultation automatique à chaque visite</td></tr>
        <tr><td><strong>Token push VAPID</strong></td><td>Identifiant abonnement push, date de souscription</td><td>Sur consentement explicite (Premium &amp; FDV)</td></tr>
        <tr><td><strong>Formulaire FDV (tiers)</strong></td><td>Nom, email, message du prospect</td><td>Soumission volontaire — transmis au Porteur (voir §3.D)</td></tr>
        <tr><td><strong>Demandes RGPD</strong></td><td>Référence demande, type de droit, description, IP, userAgent</td><td>Soumission via formulaire ou espace client</td></tr>
    </tbody>
</table>

<h2>🎯 3. Finalités et Bases Légales du Traitement</h2>
<table>
    <thead><tr><th>Finalité</th><th>Base légale (RGPD)</th><th>Données concernées</th></tr></thead>
    <tbody>
        <tr><td>Création et gestion de compte</td><td>Exécution du contrat (Art. 6.1.b)</td><td>Identité, coordonnées</td></tr>
        <tr><td>Personnalisation de la carte</td><td>Exécution du contrat (Art. 6.1.b)</td><td>Données professionnelles, photo</td></tr>
        <tr><td>Traitement commandes &amp; paiements</td><td>Exécution du contrat (Art. 6.1.b)</td><td>Coordonnées, facturation</td></tr>
        <tr><td>Émission de factures</td><td>Obligation légale (Art. 6.1.c)</td><td>Données de facturation</td></tr>
        <tr><td>Service client &amp; support</td><td>Exécution du contrat (Art. 6.1.b)</td><td>Coordonnées, communications</td></tr>
        <tr><td>Analytics Visiteurs des cartes</td><td>Intérêt légitime du Porteur (Art. 6.1.f) — IP anonymisée</td><td>Données analytics anonymes</td></tr>
        <tr><td>Notifications push Web (Mon Actu)</td><td>Consentement (Art. 6.1.a) — révocable à tout moment</td><td>Token VAPID</td></tr>
        <tr><td>Formulaire recommandation FDV</td><td>SANAGENCY = sous-traitant (Art. 28). Porteur = RT.</td><td>Nom, email, message prospect</td></tr>
        <tr><td>Gestion des demandes de droits</td><td>Obligation légale (Art. 6.1.c) + intérêt légitime anti-abus (Art. 6.1.f)</td><td>Réf demande, description, IP, userAgent</td></tr>
    </tbody>
</table>

<h3>📢 3.D — Information des Visiteurs lors du Formulaire Prospect (Art. 13 RGPD)</h3>
<p>Lorsqu'un Visiteur soumet le formulaire de contact sur une carte Force de Vente (nom, email, téléphone, message), ses données sont transmises directement au <strong>Porteur de la carte</strong>. Conformément à l'article 13 du RGPD, le Visiteur est informé au moment de la collecte des éléments suivants :</p>
<table>
    <thead><tr><th>Mention Art. 13 RGPD</th><th>Contenu affiché sur le formulaire</th></tr></thead>
    <tbody>
        <tr><td>Identité du responsable de traitement</td><td>Le Porteur de la carte (professionnel). SANAGENCY = sous-traitant (Art. 28 RGPD).</td></tr>
        <tr><td>Finalité et base légale</td><td>Prise de contact professionnelle à votre demande — intérêt légitime (Art. 6.1.f RGPD).</td></tr>
        <tr><td>Durée de conservation</td><td>Maximum 24 mois sur les serveurs SANAGENCY.</td></tr>
        <tr><td>Destinataires des données</td><td>Le Porteur (RT) + SANAGENCY (sous-traitant) + O2SWITCH (sous-traitant ultérieur, France).</td></tr>
        <tr><td>Droits de la personne</td><td>Accès, rectification, suppression, opposition — via email du Porteur ou rgpd@num-ecard.com.</td></tr>
        <tr><td>Droit de réclamation CNIL</td><td>Droit d'introduire une réclamation auprès de la CNIL — <a href="https://www.cnil.fr/fr/plaintes" target="_blank" rel="noopener">www.cnil.fr/fr/plaintes</a></td></tr>
    </tbody>
</table>

<h2>⏱️ 4. Durée de Conservation des Données</h2>
<table>
    <thead><tr><th>Type de données</th><th>Durée de conservation</th><th>Base légale</th></tr></thead>
    <tbody>
        <tr><td>Compte utilisateur actif</td><td>Tant que le compte est actif</td><td>Exécution du contrat</td></tr>
        <tr><td>Compte inactif</td><td>3 ans après dernière connexion</td><td>Intérêt légitime</td></tr>
        <tr><td>Données de facturation</td><td>10 ans (clôture exercice)</td><td>Obligation légale (Code de commerce)</td></tr>
        <tr><td>Données de paiement</td><td>Non conservées (gérées par Stripe)</td><td>—</td></tr>
        <tr><td>Données de carte de visite</td><td>Durée du service + 30 jours après suppression</td><td>Exécution du contrat</td></tr>
        <tr><td>Logs de connexion / IP</td><td>12 mois maximum</td><td>Obligation légale (LCEN)</td></tr>
        <tr><td>Analytics Visiteurs des cartes</td><td>12 mois glissants — suppression automatique</td><td>Intérêt légitime (Art. 6.1.f)</td></tr>
        <tr><td>Token push VAPID</td><td>Jusqu'à révocation consentement ou désactivation carte</td><td>Consentement (Art. 6.1.a)</td></tr>
        <tr><td>Données formulaire FDV</td><td>24 mois maximum sur serveurs SANAGENCY</td><td>Sous-traitance (Art. 28 RGPD)</td></tr>
        <tr><td>Données de prospection (newsletter)</td><td>3 ans après dernier contact</td><td>Recommandation CNIL</td></tr>
        <tr><td>Échanges service client</td><td>5 ans après clôture du dossier</td><td>Intérêt légitime (gestion litiges)</td></tr>
        <tr><td>Demandes de droits RGPD</td><td>3 ans après clôture du dossier — purge auto CRON</td><td>Obligation légale (Art. 6.1.c)</td></tr>
        <tr><td>Fichiers export utilisateur</td><td>24 heures — purge CRON quotidien</td><td>Intérêt légitime</td></tr>
    </tbody>
</table>

<h2>👥 5. Destinataires de vos Données</h2>
<p>Vos données sont destinées aux entités suivantes, selon les finalités décrites en §3 :</p>
<table>
    <thead><tr><th>Catégorie</th><th>Services fournis</th><th>Localisation</th></tr></thead>
    <tbody>
        <tr><td>Personnel SANAGENCY</td><td>Service client, développement, comptabilité — dans la limite de leurs attributions</td><td>France</td></tr>
        <tr><td>O2SWITCH (hébergeur)</td><td>Hébergement du site et des données</td><td>France (Clermont-Ferrand)</td></tr>
        <tr><td>Cloudflare Inc.</td><td>CDN, protection DDoS — DPA signé</td><td>UE / USA (CCT)</td></tr>
        <tr><td>Stripe Inc.</td><td>Traitement sécurisé des paiements — DPA signé, PCI-DSS</td><td>UE / USA (CCT)</td></tr>
        <tr><td>Google Analytics 4</td><td>Statistiques site vitrine uniquement (pas les cartes)</td><td>USA (DPF + CCT)</td></tr>
        <tr><td>Porteur de la carte FDV</td><td>Responsable de traitement pour les données prospects via formulaire FDV</td><td>Variable (client SANAGENCY)</td></tr>
    </tbody>
</table>
<div class="legal-callout legal-callout--success">🚫 <strong>Aucune vente de données :</strong> nous ne vendons jamais vos données personnelles à des tiers à des fins commerciales.</div>

<h2>🌍 6. Transferts de Données Hors UE</h2>
<p>Certains de nos prestataires sont établis hors de l'Union Européenne. Ces transferts sont encadrés par les garanties appropriées suivantes :</p>
<ul>
    <li>Clauses Contractuelles Types (CCT) adoptées par la Commission Européenne</li>
    <li>Data Privacy Framework UE-USA pour les prestataires éligibles</li>
    <li>Engagements contractuels de conformité RGPD (DPA signé avec chaque prestataire concerné)</li>
    <li><strong>Hébergement principal (O2SWITCH) et analytics des cartes : 100% en France</strong> — aucun transfert hors UE</li>
</ul>

<h2>🔒 7. Mesures de Sécurité des Données</h2>
<ul>
    <li>Chiffrement HTTPS/TLS sur l'ensemble des communications</li>
    <li>Mots de passe hachés (bcrypt) — jamais stockés en clair</li>
    <li>Accès aux données restreint selon le principe du moindre privilège</li>
    <li>Authentification multi-facteurs (MFA) obligatoire sur tous les outils Cloud</li>
    <li>Sauvegardes chiffrées régulières avec plan de reprise d'activité</li>
    <li>Politique de mots de passe V1.0 (Bitwarden, 12 caractères min., renouvellement annuel)</li>
    <li>Hébergement certifié en France (O2SWITCH) — protection physique et logique</li>
    <li>Rate limiting sur les endpoints publics RGPD — anti-abus</li>
    <li>Tokens signés (TTL 24h) pour les liens de téléchargement des exports de données</li>
</ul>

<h2>✅ 8. Vos Droits sur vos Données Personnelles</h2>
<p>NUM-ECARD met à votre disposition <strong>deux modes d'exercice de vos droits</strong> pour une expérience optimale :</p>

<div class="legal-callout">
    ⚡ <strong>Droits accessibles immédiatement dans votre espace client (Niveau 1 — sans délai) :</strong>
    <ul style="margin-top:8px;">
        <li>Accès à vos données et export (Art. 15) → <code>/account/data</code></li>
        <li>Portabilité (Art. 20) → <code>/account/data</code></li>
        <li>Rectification de votre profil (Art. 16) → <code>/account/profile</code></li>
        <li>Retrait de consentement newsletter et push (Art. 7) → <code>/account/preferences</code></li>
    </ul>
</div>

<table>
    <thead><tr><th>Droit RGPD</th><th>Mode d'exercice</th><th>Délai</th></tr></thead>
    <tbody>
        <tr><td><strong>Accès (Art. 15)</strong></td><td>⚡ Espace client : <code>/account/data</code> — export JSON/PDF</td><td>Immédiat (J+1)</td></tr>
        <tr><td><strong>Portabilité (Art. 20)</strong></td><td>⚡ Espace client : <code>/account/data</code> — export CSV/JSON</td><td>Immédiat (J+1)</td></tr>
        <tr><td><strong>Rectification (Art. 16)</strong></td><td>⚡ Espace client : <code>/account/profile</code> — modification directe</td><td>Immédiat (log auto)</td></tr>
        <tr><td><strong>Retrait consentement (Art. 7)</strong></td><td>⚡ Espace client : <code>/account/preferences</code> — toggle newsletter et push VAPID</td><td>Immédiat (synchrone)</td></tr>
        <tr><td><strong>Effacement (Art. 17)</strong></td><td>📋 Formulaire RGPD : <code>/mes-droits</code> — vérification manuelle requise</td><td>30 jours max.</td></tr>
        <tr><td><strong>Opposition (Art. 21)</strong></td><td>📋 Formulaire RGPD : <code>/mes-droits</code> — suspension marketing immédiate</td><td>Immédiat / 30j (réponse)</td></tr>
        <tr><td><strong>Limitation (Art. 18)</strong></td><td>📋 Formulaire RGPD : <code>/mes-droits</code> — gel des traitements</td><td>Gel immédiat / 30j</td></tr>
        <tr><td><strong>Non-automatisation (Art. 22)</strong></td><td>NUM-ECARD n'utilise aucun système de décision entièrement automatisé.</td><td>—</td></tr>
        <tr><td><strong>Réclamation (Art. 77)</strong></td><td>📋 Formulaire RGPD : <code>/mes-droits</code> — ou directement à la CNIL</td><td>30 jours</td></tr>
    </tbody>
</table>

<p>📧 <strong>Contact RGPD :</strong> <a href="mailto:rgpd@num-ecard.com">rgpd@num-ecard.com</a> | SAS SANAGENCY - Référent RGPD - 8 place Roger Salengro - 31000 Toulouse</p>

<div class="legal-callout legal-callout--warn">
    ⚠️ <strong>Note technique v4.1 :</strong> Chaque exercice de droit génère un enregistrement dans la table <code>rgpd_demande</code> pour la traçabilité de la conformité (Art. 5.2 RGPD). Les droits Niveau 1 génèrent un log silencieux automatique. Les droits Niveau 2 (effacement, opposition, limitation, réclamation) génèrent une entrée avec statut suivi et délai de réponse de 30 jours.
</div>

<h2>🍪 9. Cookies et Technologies Similaires</h2>
<table>
    <thead><tr><th>Type de cookie</th><th>Finalité</th><th>Consentement requis</th></tr></thead>
    <tbody>
        <tr><td>Strictement nécessaires</td><td>Session, sécurité, authentification</td><td>Non (exemptés)</td></tr>
        <tr><td>Performance</td><td>Google Analytics 4 — site vitrine uniquement</td><td>Oui</td></tr>
        <tr><td>Fonctionnalité</td><td>Préférences utilisateur, langue, thème</td><td>Oui</td></tr>
        <tr><td>Marketing</td><td>Non utilisés actuellement</td><td>—</td></tr>
    </tbody>
</table>
<p>Voir le détail dans la <a href="{{ path('app_legal_cookies') }}">Politique des cookies</a>.</p>

<h2>👶 10. Protection des Mineurs</h2>
<p>Le service NUM-ECARD est destiné aux personnes âgées de <strong>18 ans et plus</strong>. Nous ne collectons pas sciemment de données de personnes mineures sans le consentement parental. Si vous êtes parent ou tuteur et découvrez que votre enfant nous a fourni des données sans votre consentement, contactez-nous immédiatement à <a href="mailto:rgpd@num-ecard.com">rgpd@num-ecard.com</a>. Nous procéderons à la suppression immédiate du compte et des données.</p>

<h2>🔄 11. Modifications de la Politique</h2>
<p>Nous nous réservons le droit de modifier cette Politique à tout moment pour nous conformer aux évolutions réglementaires, jurisprudentielles, techniques ou organisationnelles. En cas de modification substantielle affectant vos droits, vous serez informé par email et par bannière d'information sur le site. La date de mise à jour est indiquée en haut de ce document.</p>

<h2>⚖️ 12. Droit de Réclamation auprès de la CNIL</h2>
<p><strong>CNIL — Commission Nationale de l'Informatique et des Libertés</strong></p>
<p>3 Place de Fontenoy - TSA 80715 - 75334 Paris Cedex 07 — Tél. : 01 53 73 22 22</p>
<p>Site web : <a href="https://www.cnil.fr" target="_blank" rel="noopener">www.cnil.fr</a> — Plainte en ligne : <a href="https://www.cnil.fr/fr/plaintes" target="_blank" rel="noopener">www.cnil.fr/fr/plaintes</a></p>

<div class="legal-callout">💡 <strong>Recommandation :</strong> avant de saisir la CNIL, nous vous encourageons à nous contacter directement à <a href="mailto:rgpd@num-ecard.com">rgpd@num-ecard.com</a>. Nous nous engageons à traiter votre demande dans les plus brefs délais.</div>

<h2>📞 13. Nous Contacter</h2>
<table>
    <tbody>
        <tr><td><strong>Email RGPD / Référent</strong></td><td><a href="mailto:rgpd@num-ecard.com">rgpd@num-ecard.com</a></td></tr>
        <tr><td><strong>Email général</strong></td><td><a href="mailto:contact@num-ecard.com">contact@num-ecard.com</a></td></tr>
        <tr><td><strong>Téléphone</strong></td><td>09 81 19 84 02 (lun-ven 9h-18h)</td></tr>
        <tr><td><strong>Courrier postal</strong></td><td>SAS SANAGENCY — Référent RGPD — 8 place Roger Salengro — 31000 Toulouse</td></tr>
    </tbody>
</table>

{% endblock %}