Qui sommes-nous
Le service [nom du service] aide les proches d’une personne décédée à faire les démarches administratives : la liste des démarches selon la situation, leurs dates limites, le partage avec la famille et la conservation des documents.
Il est édité par [raison sociale, forme juridique, adresse du siège, numéro SIREN], responsable du traitement de vos données personnelles. Pour toute question sur vos données, écrivez à [adresse e-mail de contact].
Les données que nous traitons, et pourquoi
| Données | Pourquoi | Base légale |
|---|---|---|
| Votre adresse e-mail | Vous connecter sans mot de passe, par un lien ou un code envoyé à cette adresse, et vous écrire | Exécution du service que vous demandez |
| Le nom que vous choisissez d’afficher (facultatif) | Le montrer aux autres membres du dossier à la place de votre adresse | Exécution du service |
| Les réponses au questionnaire : date et lieu du décès, situation professionnelle et familiale de la personne décédée, logement, véhicule, testament, ordre de grandeur de ses biens | Établir la liste des démarches et leurs dates limites | Exécution du service |
| L’avancement des démarches, qui s’en occupe, et l’historique des changements | Suivre le dossier, seul ou à plusieurs | Exécution du service |
| Les documents que vous ajoutez (acte de décès, livret de famille, relevé d’identité bancaire, avis d’impôt…), leur nom et qui les a ajoutés | Les garder à disposition de la famille pour les démarches | Exécution du service [à valider : données de santé possibles, voir plus bas] |
| Le carnet de contacts du dossier : les organismes et professionnels avec qui la famille est en relation (notaire, banque, caisse de retraite…), avec, si vous les indiquez, un interlocuteur, un téléphone, une adresse e-mail ou postale, un numéro de contrat ou de dossier, et des notes | Retrouver au même endroit qui appeler pour chaque démarche, et le partager avec la famille | Exécution du service [à valider : coordonnées d’interlocuteurs, qui ne sont pas utilisateurs] |
| Le journal de chaque document : qui l’a consulté ou téléchargé, et quand | Permettre aux membres du dossier de savoir qui a eu accès à des documents sensibles | Intérêt légitime : la confiance entre les membres et la sécurité des documents |
| Les adresses e-mail des proches que vous invitez | Leur envoyer l’invitation, et la montrer à la famille tant qu’elle est en attente | Intérêt légitime : permettre à la famille de partager le dossier |
| Vos choix d’e-mails (rappels, point de la semaine, pause) et la liste des envois déjà faits | Vous rappeler les dates limites et faire le point chaque lundi, sans envoyer deux fois le même e-mail | Exécution du service ; vous pouvez les arrêter depuis le lien en bas de chaque e-mail |
| Vos clés d’accès (passkeys), si vous en ajoutez : leur nom, leur clé publique, leurs dates d’ajout et de dernière utilisation ; et vos codes de secours, dont nous ne gardons qu’une empreinte | Vous connecter avec votre téléphone ou votre ordinateur, ou protéger votre compte par un second facteur | Exécution du service |
| Si vous les activez dans l’application, le jeton de notification de chaque téléphone (5 au plus par compte) | Envoyer sur votre téléphone les rappels avant les dates limites | Exécution du service ; vous pouvez les désactiver dans les réglages du téléphone |
| Les sessions de connexion et les demandes de lien ou de code (adresse et date) | Vous garder connecté, limiter le nombre d’e-mails envoyés et empêcher qu’on devine un code | Exécution du service ; intérêt légitime : la sécurité du service |
| La date de votre dernière connexion | Supprimer les comptes inutilisés depuis deux ans, après un e-mail d’avertissement | Obligation légale : ne pas garder les données plus longtemps que nécessaire (article 5 du RGPD) |
| L’inscription à la bêta : votre adresse e-mail et, si vous l’indiquez, où vous en êtes | Vous prévenir quand une place se libère, et la proposer d’abord aux familles qui en ont le plus besoin | Consentement, confirmé par le lien de l’e-mail ; vous pouvez le retirer à tout moment depuis ce lien |
| Les retours envoyés pendant la bêta avec « Signaler un problème » : ce que vous faisiez, ce qui n’a pas marché, la page où vous étiez (sans ses paramètres), votre navigateur ou la version de l’application, et la capture d’écran si vous en choisissez une | Corriger les problèmes et vous répondre ; l’équipe les reçoit aussi par e-mail | Intérêt légitime : améliorer le service. Rien n’est envoyé sans que vous le demandiez, et aucun document ni contenu du dossier n’est joint automatiquement. |
| La version des conditions d’utilisation que vous avez acceptée, et la date | Pouvoir prouver votre accord | Intérêt légitime : la preuve du contrat |
Nous ne demandons ni le nom de la personne décédée, ni votre numéro de sécurité sociale, ni vos coordonnées bancaires. Les documents que vous ajoutez peuvent en contenir : vous choisissez ce que vous y mettez.
Votre adresse IP sert, le temps d’une heure et seulement en mémoire, à limiter le nombre de demandes venant d’une même adresse. Nous ne l’enregistrons pas. [À compléter : journaux techniques de l’hébergeur et leur durée]
[À valider : certains documents peuvent contenir des données de santé (certificat de décès, courrier de mutuelle, facture d’hôpital), ce qui peut demander un hébergement certifié HDS ou un consentement explicite.]
Les données de la personne décédée
Le RGPD ne s’applique pas aux personnes décédées. La loi Informatique et Libertés (article 85) permet toutefois à chacun de laisser des directives sur ses données après sa mort, et donne certains droits à ses héritiers. Nous ne traitons de la personne décédée que ce qui sert aux démarches, et ces informations restent dans le dossier de la famille.
Ce que nous ne faisons pas
- Nous ne vendons ni ne louons vos données.
- Nous n’utilisons ni publicité, ni traceurs, ni outil de mesure d’audience.
- Le site ne dépose que les cookies nécessaires pour vous garder connecté : la session (30 jours au plus) et, pour un compte protégé par une clé d’accès, l’étape de connexion en attente (10 minutes). Sans connexion, vos réponses restent dans le navigateur (stockage local) ou dans l’application, sur votre appareil. Connectée, l’application garde sur le téléphone une copie chiffrée du dossier et des documents déjà ouverts, pour les consulter sans réseau ; elle est effacée à la déconnexion. Ces stockages servent seulement au service que vous demandez : ils ne demandent pas votre consentement.
- Nous ne gardons pas votre position. Si vous demandez les pompes funèbres, la préfecture ou les notaires proches de vous, la position est arrondie à environ un kilomètre sur votre appareil, envoyée pour trier la liste, puis oubliée ; la commune que vous tapez reste seulement sur votre appareil, pour les autres démarches.
- Nous ne prenons aucune décision automatisée qui produise des effets juridiques à votre égard. La liste des démarches est calculée à partir de vos réponses ; elle vous informe et ne remplace pas l’avis d’un professionnel.
Qui peut voir vos données
- Les membres du dossier. Chaque personne invitée voit le dossier : réponses, démarches, membres (nom affiché et adresse e-mail), historique, carnet de contacts, documents et leur journal. Selon le rôle donné, elle peut le modifier ou seulement le consulter.
- L’équipe du service lit les retours que vous lui envoyez avec « Signaler un problème ». Elle n’ouvre pas vos dossiers ni vos documents. Pour suivre la bêta, elle consulte aussi des totaux calculés sur le serveur (nombre de dossiers, de démarches cochées, de documents…), sans traceur ni donnée sur une personne en particulier.
- Nos prestataires, qui agissent pour nous et selon nos instructions (sous-traitants au sens du RGPD), listés ci-dessous.
- Les autorités, uniquement quand la loi nous y oblige.
| Prestataire | Rôle | Lieu |
|---|---|---|
| OVH SAS (OVHcloud) | Serveur du site et de l’application, et base de données | Strasbourg, France |
| Scaleway SAS | Copies de sauvegarde chiffrées, stockées hors de la base | Amsterdam, Pays-Bas |
| Scaleway SAS (Transactional Email) | Envoi des e-mails : connexion, invitations, rappels, point de la semaine | France |
| Expo (650 Industries, Inc.) | Notifications sur le téléphone, transmises ensuite par Apple ou Google. Expo reçoit le jeton du téléphone et le contenu de la notification, limité au titre de la démarche et à des nombres : ni nom, ni adresse e-mail. | États-Unis |
| Sentry (Functional Software, Inc.), région Union européenne | Suivi des erreurs du site, du serveur et de l’application, et de la disponibilité du site. Un rapport dit où le code a échoué (type d’erreur, page, version, système et modèle d’appareil) ; les noms, adresses e-mail, documents, contenus, jetons, identifiants et adresses IP en sont retirés avant l’envoi. Contrat de sous-traitance avec clauses contractuelles types. | Francfort, Allemagne |
L’application mobile est distribuée par Apple (App Store) et Google (Google Play), selon leurs propres conditions. Elle ne leur transmet pas le contenu de vos dossiers.
Pour retrouver l’employeur de la personne décédée, le nom d’entreprise que vous cherchez est envoyé directement depuis votre appareil à l’annuaire public des entreprises de l’État (recherche-entreprises.api.gouv.fr), qui n’agit pas pour nous : rien d’autre ne lui est transmis. L’e-mail préparé pour l’employeur part de votre propre messagerie, pas de nos serveurs.
Vos données sont hébergées dans l’Union européenne. Seules les notifications sur le téléphone, si vous les activez, passent par Expo, Apple ou Google, aux États-Unis : ce transfert est encadré par [à vérifier : certification Data Privacy Framework d’Expo, ou clauses contractuelles types de la Commission européenne].
Combien de temps nous les gardons
| Données | Durée |
|---|---|
| Votre compte | Jusqu’à ce que vous le supprimiez, ou deux ans après votre dernière connexion. Un mois avant, nous vous prévenons par e-mail : il suffit de vous connecter pour le garder. Sans cet e-mail, le compte n’est pas supprimé. |
| Un dossier, son carnet de contacts, ses documents et leur journal | Jusqu’à ce que la personne responsable le supprime, ou que plus aucun membre ne le suive. Un document supprimé l’est avec son journal. |
| Un lien ou un code de connexion | Utilisable une fois, pendant 15 minutes. La demande (adresse et date) est effacée au bout d’un jour. |
| Une session de connexion | 30 jours, puis effacée. Se déconnecter l’efface tout de suite. |
| Une invitation | Utilisable une fois, pendant 7 jours. Effacée dès qu’elle est acceptée, ou 30 jours après son expiration : la famille la voit jusque-là comme expirée et peut la renvoyer. |
| Une inscription à la bêta | Effacée tout de suite si vous la retirez, au bout de 7 jours si elle n’est pas confirmée, 30 jours après l’envoi de l’invitation, et au plus tard un an après l’inscription. Effacée aussi avec votre compte. |
| Un retour envoyé pendant la bêta | Un an, ou moins s’il est traité avant. Supprimé avec votre compte. |
| Un jeton de notification | Supprimé à la déconnexion du téléphone, quand l’application est désinstallée, ou avec votre compte |
| Une clé d’accès | Jusqu’à ce que vous la supprimiez depuis la page Votre compte, ou avec votre compte |
| Les codes de secours | Jusqu’à ce que vous en demandiez de nouveaux, ou avec votre compte. Un code utilisé ne sert plus. |
| La date de dernière connexion et l’acceptation des conditions | Tant que le compte existe |
| Les sauvegardes | Copie de nuit chiffrée de la base, gardée 30 jours. Une donnée supprimée disparaît donc de toutes les sauvegardes au plus tard 30 jours après. Les copies restent dans l’Union européenne. |
Ces effacements sont faits automatiquement, chaque heure. Quand votre compte est supprimé, votre adresse est aussi retirée de l’historique des dossiers, du journal des documents et des invitations : les autres membres voient alors « Un ancien compte ».
Comment vos données sont protégées
- Connexion sans mot de passe : nous ne gardons que des empreintes des liens, des codes et des sessions. Chaque code ne peut être essayé que cinq fois.
- Échanges chiffrés (HTTPS) entre votre appareil et nos serveurs.
- Les documents sont chiffrés (AES-256-GCM) avec une clé propre à chaque dossier, elle-même chiffrée par une clé gardée à part de la base de données et de ses sauvegardes. Les captures d’écran jointes aux retours sont chiffrées de la même façon.
- Chaque demande est vérifiée : une personne ne voit que les dossiers dont elle est membre.
- Vous pouvez demander une clé d’accès en plus de l’e-mail pour vous connecter.
En cas de violation de données présentant un risque pour vous, nous prévenons la CNIL dans les 72 heures et vous informons dans les meilleurs délais.
Vos droits
Vous avez le droit d’accéder à vos données, de les rectifier, de les effacer, d’en obtenir une copie dans un format réutilisable, de vous opposer à un traitement fondé sur notre intérêt légitime et d’en demander la limitation. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès.
La plupart de ces droits s’exercent directement dans le service, sur la page Votre compte :
- Télécharger vos données : une archive ZIP avec votre compte et, pour chaque dossier que vous suivez, les réponses, l’avancement des démarches, les membres, l’historique complet, le journal et le contenu des documents, le carnet de contacts, ainsi que les retours que vous avez envoyés.
- Supprimer votre compte : votre compte et votre adresse sont supprimés tout de suite. Les dossiers que vous êtes seul à suivre sont supprimés avec leurs documents. Les dossiers partagés restent aux autres membres ; si vous en étiez responsable, la personne qui peut tout modifier et qui l’a rejoint en premier le devient.
- Quitter un dossier partagé : onglet Famille.
- Supprimer un dossier dont vous êtes responsable : en bas de la page Aujourd’hui. Il est supprimé pour tous ses membres, avec ses documents.
- Corriger vos réponses ou votre nom affiché : dans le dossier, à tout moment.
- Arrêter les rappels et le point de la semaine, ou les mettre en pause : lien en bas de chaque e-mail, ou page Votre compte.
Pour toute autre demande, écrivez à [adresse e-mail de contact]. Nous répondons dans un délai d’un mois. Nous pouvons vous demander de prouver que l’adresse vous appartient, par exemple en vous connectant.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL : www.cnil.fr/fr/plaintes.
Les proches que vous invitez
Quand vous invitez quelqu’un, nous lui envoyons un seul e-mail, qui dit qui l’invite, à quoi, et renvoie vers cette politique. Si l’invitation n’est pas acceptée, elle expire au bout de 7 jours et aucun autre e-mail ne lui est envoyé.
Modifications
Si nous modifions cette politique de façon importante, nous vous prévenons par e-mail ou dans le service avant que la modification s’applique, et vous demandons de l’accepter à nouveau à votre prochaine visite.