Placeholder RGPD · à finaliser avec le DPO

Politique de confidentialité

Dernière mise à jour : 14 septembre 2026. Ce texte est un placeholder destiné au Sprint 0. Il devra être relu et validé par le délégué à la protection des données (DPO) de la Fondation COS avant toute mise en production.

1. Qui sommes-nous ?

ARCHE est une plateforme de mise en relation entre des stagiaires en réinsertion (travailleurs handicapés) et des entreprises proposant des stages. Le projet est piloté par la Fondation COS.

Responsable de traitement (à confirmer) : Fondation COS — coordonnées à compléter.
DPO (à confirmer) : dpo@exemple-cos.fr — à remplacer par l’adresse réelle.

2. Quelles données collectons-nous ?

Nous appliquons le principe de minimisation : seules les données nécessaires au matching et au suivi du stage sont demandées.

Stagiaires

• Identité : prénom, nom, e-mail, téléphone (optionnel)
• Localisation approximative : ville, code postal
• Parcours : courte présentation, domaine souhaité, disponibilités
• Consentements (traitement, matching, contact)

Entreprises

• Raison sociale, SIRET (optionnel), e-mail et téléphone de contact
• Adresse, ville, description de l’offre de stage, domaine

Ce que nous ne collectons pas

Aucune donnée médicale, de santé, de diagnostic, ni pièce justificative de handicap n’est stockée dans ARCHE. L’appartenance au public « travailleur handicapé / réinsertion » est un cadre d’éligibilité ; elle n’entraîne pas la collecte de données de santé au sens du RGPD (art. 9).

3. Pourquoi et sur quelle base ?

• Mise en relation stagiaire ↔ entreprise : consentement (art. 6.1.a RGPD).
• Création et gestion du compte : exécution du contrat / mesures précontractuelles (art. 6.1.b).
• Sécurité, logs techniques, obligations légales : intérêt légitime ou obligation légale (art. 6.1.f / 6.1.c).

Le consentement au matching peut être retiré à tout moment, sans remettre en cause la licéité du traitement antérieur.

4. Qui a accès aux données ?

• L’équipe COS habilitée (accompagnement, modération)
• L’entreprise uniquement si vous acceptez une mise en relation (données limitées au profil partagé)
• Prestataires techniques (hébergement, base de données — ex. Supabase) agissant en sous-traitants, avec contrat art. 28

Pas de revente, pas de prospection tierce non consentie.

5. Transferts hors UE

À préciser selon l’hébergeur retenu. Si un transfert hors Union européenne a lieu, il sera encadré (clauses types, décision d’adéquation). Placeholder : à documenter avant production.

6. Durées de conservation

Proposition (à valider) :

• Compte actif : durée de la relation + 3 ans d’inactivité
• Demandes de stage : 2 ans après clôture
• Preuves de consentement : 5 ans
• Logs techniques : 12 mois

À l’expiration : suppression ou anonymisation. Un droit à l’effacement peut être exercé plus tôt, sous réserve des obligations légales.

7. Vos droits

Conformément au RGPD, vous pouvez exercer :

• droit d’accès, de rectification, d’effacement
• droit à la limitation et à la portabilité
• droit d’opposition et de retrait du consentement
• directives relatives au sort des données après le décès (loi Informatique et Libertés)

Contact : dpo@exemple-cos.fr (adresse placeholder) en joignant un justificatif d’identité si nécessaire. Réponse sous un mois. Vous pouvez aussi saisir la CNIL.

8. Cookies

Sprint 0 n’utilise aucun cookie tiers. Les préférences d’accessibilité (thème, taille de texte) et le choix de consentement sont stockés dans le navigateur (localStorage), ce qui n’est pas un cookie HTTP.

• Nécessaires : fonctionnement, mémorisation des choix d’accessibilité. Toujours actifs.
• Mesure d’audience / marketing : désactivés par défaut, jamais pré-cochés. Non déployés en Sprint 0.

Vous pouvez modifier votre choix via le lien « Gérer les cookies » en pied de page.

9. Sécurité

Mesures prévues : HTTPS, contrôle d’accès, chiffrement au repos chez l’hébergeur, politiques RLS (row-level security) sur la base, minimisation, pas de données de santé. Les détails techniques évolueront avec les sprints.

10. Mineurs

La plateforme vise un public majeur en réinsertion professionnelle. Si un accompagnement concerne une personne de moins de 18 ans, le consentement du représentant légal sera requis (à préciser juridiquement).

11. Modifications

Cette politique pourra être mise à jour. La date en tête de page fera foi. Les changements substantiels seront signalés sur le site.

Retour à l’accueil