Politique de confidentialité

Objet de la politique

« Open Action » est le nom commercial et la marque de la société OPEN ACTION SAS. Open Action développe et opère un logiciel en mode SaaS permettant à ses clients de déployer des sites internet, de gérer des contacts et des membres, de collecter des données au moyen de formulaires, d’envoyer des communications, de piloter des actions de mobilisation et de collecter des dons et des adhésions par l’intermédiaire d’un prestataire de paiement sécurisé.

La sécurité, la confidentialité et la protection des données personnelles sont un principe fondamental du fonctionnement d’Open Action, conformément au règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« loi Informatique et Libertés »).

La présente politique décrit les données qu’Open Action traite, les finalités de ces traitements, leurs bases légales et leurs durées de conservation, les engagements d’Open Action selon qu’elle agit comme responsable de traitement ou comme sous-traitant, et les droits des personnes concernées.

Responsable de traitement et délégué à la protection des données

Le responsable des traitements décrits dans la présente politique est OPEN ACTION SAS, immatriculée au RCS de Paris sous le numéro 992 604 876, dont le siège est situé 60, rue François Ier, 75008 Paris (« Open Action »).

Open Action a désigné un délégué à la protection des données (DPO), joignable à l’adresse dpo@openaction.eu ou par courrier à l’adresse du siège, à l’attention du DPO. Toute question relative à vos données personnelles ou à l’exercice de vos droits peut lui être adressée.

Qualité d’Open Action au regard des traitements

3.1 Qualification. Au sens de l’article 4 du RGPD, Open Action intervient, selon les traitements, soit en qualité de responsable de traitement, soit en qualité de sous-traitant. Cette qualité détermine le régime juridique applicable au traitement, le document d’information opposable aux personnes concernées et l’interlocuteur auprès duquel celles-ci exercent leurs droits.

3.2 Open Action, responsable de traitement. Open Action est responsable des traitements dont elle détermine les finalités et les moyens, à savoir les traitements relatifs aux visiteurs du site openaction.eu, à ses prospects et à ses clients, ainsi qu’aux données de compte et de connexion des utilisateurs de la plateforme. Ces traitements sont décrits aux articles 4 et 6 de la présente politique, qui constitue l’information due aux personnes concernées au titre des articles 13 et 14 du RGPD. Les droits afférents s’exercent auprès du délégué à la protection des données d’Open Action, dans les conditions de l’article 12.

3.3 Open Action, sous-traitant. Open Action agit en qualité de sous-traitant, au sens de l’article 28 du RGPD, pour les traitements que les organisations clientes mettent en œuvre au moyen de la plateforme, portant notamment sur les données de leurs contacts, membres, adhérents, donateurs, sympathisants, signataires et répondants. L’organisation cliente détermine seule les finalités et les moyens de ces traitements ; Open Action les exécute pour son compte et sur ses instructions documentées. L’information des personnes concernées relève de la politique de confidentialité de l’organisation cliente, auprès de laquelle les droits s’exercent. Toute demande d’exercice de droits adressée à Open Action et portant sur un tel traitement est transmise sans délai à l’organisation cliente concernée ; la personne concernée en est informée.

Traitements dont Open Action est responsable

La présente politique s’applique aux traitements de données personnelles qu’Open Action effectue pour son propre compte. Elle s’applique aux :

Ces traitements sont réalisés au moyen des interfaces suivantes :

• le site openaction.eu ;
• la plateforme Open Action app.openaction.eu (console, espace membre, plateforme d’action, web app) et les plateformes et applications déployées pour les clients, pour les seules données de compte, de connexion et de sécurité ;
• les échanges avec les équipes d’Open Action par email, téléphone, visioconférence, réseaux sociaux ou lors d’événements.

Rôle de sous-traitant d’Open Action

Lorsque les organisations clientes utilisent la plateforme pour collecter, importer ou traiter des données personnelles (formulaires, questionnaires, pétitions, campagnes, fichiers de contacts, dons et adhésions), elles agissent en qualité de responsables de traitement. Open Action agit alors en qualité de sous-traitant, au sens de l’article 28 du RGPD, uniquement pour leur compte. En conséquence :

• les données collectées par les clients leur appartiennent exclusivement ;
• la politique de confidentialité applicable à ces données est celle du client ;
• Open Action n’utilise pas ces données pour son propre compte et ne les vend pas ;
• le client peut exporter ses données à tout moment depuis la plateforme.

Si vous êtes contact, membre, adhérent, donateur ou sympathisant d’une organisation utilisant Open Action, c’est auprès de cette organisation que vous devez exercer vos droits ; sa politique de confidentialité est publiée sur ses propres sites. Si vous vous adressez à Open Action, nous transmettons votre demande à l’organisation concernée et vous en informons.

Engagements d’Open Action en qualité de sous-traitant

Dans le cadre des traitements réalisés pour le compte de ses clients, et conformément à l’accord de traitement des données conclu avec chacun d’eux, Open Action s’engage à :

1. 1ne traiter les données que sur instruction documentée du client et pour les finalités qu’il a définies, sans les réutiliser pour d’autres finalités ;
2. 2informer immédiatement le client si une instruction lui paraît contraire à la réglementation applicable ;
3. 3limiter l’accès aux données aux seules personnes habilitées, soumises à une obligation de confidentialité et régulièrement formées à la protection des données ;
4. 4appliquer les principes de protection des données dès la conception et par défaut dans l’ensemble de ses outils et services ;
5. 5tenir un registre des catégories d’activités de traitement effectuées pour le compte de ses clients ;
6. 6informer le client avant tout ajout ou remplacement d’un sous-traitant ultérieur, lui permettre de s’y opposer pour un motif légitime, et imposer à ses sous-traitants des obligations équivalentes aux siennes ;
7. 7transmettre sans délai au client toute demande d’exercice de droits reçue directement d’une personne concernée, et l’aider à y répondre, notamment au moyen des fonctions d’export, de rectification et de suppression de la plateforme ;
8. 8notifier au client toute violation de données personnelles dans un délai de quarante-huit (48) heures suivant sa détection, et l’assister dans ses démarches auprès de la CNIL et des personnes concernées ;
9. 9l’assister, dans la limite des traitements qu’elle réalise pour lui, pour la réalisation d’analyses d’impact et, le cas échéant, la consultation préalable de la CNIL ;
10. 10informer le client de toute demande de communication de données émanant d’une autorité, sauf interdiction légale.

Traitements effectués pour le compte d’Open Action

Open Action ne traite vos données que pour des finalités déterminées, sur une base légale identifiée, et ne les conserve que le temps nécessaire. Les durées indiquées sont des durées en base active ; à leur expiration, les données sont supprimées, ou archivées de manière restreinte lorsqu’une obligation légale l’impose.

7.1 Visiteurs du site openaction.eu

7.2 Prospects

7.3 Clients

7.4 Utilisateurs de la plateforme

7.5 Paiements des dons et adhésions

Les paiements effectués via les tunnels de dons et d’adhésion des organisations clientes sont traités par le prestataire de paiement de l’organisation. Open Action ne collecte ni ne stocke aucune donnée bancaire ni aucun numéro de carte, et ne transmet au prestataire que les données strictement nécessaires au paiement. Ces traitements relèvent de l’organisation cliente, dans les conditions de l’article 4.

Destinataires des données

Vos données sont traitées par les équipes d’Open Action habilitées (commerce, support, technique, administration), dans la limite de leurs fonctions. Elles sont transmises, lorsque c’est nécessaire, aux sous-traitants suivants, qui ne peuvent les utiliser pour leur propre compte :

• nos prestataires techniques (hébergement, emails, SMS) ;
• nos prestataires de paiement ;
• nos prestataires support.

Vos données peuvent également être communiquées aux autorités administratives ou judiciaires lorsque la loi l’impose, et aux conseils d’Open Action (avocats, experts-comptables, commissaires aux comptes) tenus au secret professionnel.

Open Action ne vend pas vos données et ne les communique à aucun tiers à des fins de prospection.

Transferts hors de l’Union européenne

Les données sont hébergées au sein de l’UE (Allemagne).

Certains prestataires peuvent être situés hors UE. Dans ce cas :

• le pays doit être reconnu adéquat, ou
• des Clauses Contractuelles Types et des mesures supplémentaires sont appliquées.

La liste précise des prestataires est différente selon le client et peut être fournie sur demande auprès du DPO.

Sécurité

Open Action met en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données contre la perte, l’altération, l’accès non autorisé et la divulgation, notamment :

• hébergement au sein de l’Union européenne chez un hébergeur certifié ISO/IEC 27001 ;
• chiffrement des données en transit (HTTPS/TLS) ;
• politique de gestion des accès selon le principe du moindre privilège, et journalisation ;
• authentification à deux facteurs proposée à tous les utilisateurs de la plateforme et fortement recommandée aux administrateurs ;
• mots de passe stockés sous forme hachée ;
• sauvegardes quotidiennes sécurisées et procédures de restauration ;
• protection avancée contre les attaques par déni de service (Cloudflare) ;
• sensibilisation des équipes et encadrement contractuel des sous-traitants.

Une fiche détaillée des mesures de sécurité est disponible sur demande.

Violations de données

En cas de violation de données personnelles :

Dans tous les cas, Open Action documente la violation, ses effets et les mesures prises pour y remédier.

Cookies

Les cookies éventuellement déposés par les sites des organisations clientes relèvent de la responsabilité de chaque organisation.

Vos droits

Pour les traitements dont Open Action est responsable, vous disposez des droits suivants :

Comment les exercer

Adressez votre demande au DPO à dpo@openaction.eu ou par courrier au siège. Si nous avons un doute raisonnable sur votre identité, nous pouvons vous demander un justificatif, que nous supprimons après vérification. Nous répondons dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes ; nous vous en informons alors. Pour vous désinscrire de la newsletter, utilisez le lien présent dans chaque envoi.

Si vous êtes contact, membre, adhérent, donateur ou sympathisant d’une organisation cliente, vos droits s’exercent auprès de cette organisation (voir article 4).

Réclamation

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur cnil.fr. Nous vous invitons à contacter d’abord notre DPO pour tenter de résoudre la difficulté.

Décisions automatisées et profilage

Open Action ne prend aucune décision produisant des effets juridiques à votre égard ou vous affectant de manière significative sur la seule base d’un traitement automatisé, et n’effectue aucun profilage.

15.1 Assistance à la création par intelligence artificielle

La plateforme propose aux Collaborateurs des fonctions d’assistance à la création (création de formulaires, d’actualités, pétitions et autres contenus), qui transmettent les instructions saisies par l’utilisateur et, le cas échéant, les contenus qu’il y joint à un modèle d’intelligence artificielle fourni par un sous-traitant d’Open Action. Ce traitement est réalisé pour le compte de l’organisation cliente, dans les conditions de l’article 5. Le fournisseur traite ces données uniquement pour produire la réponse, ne les utilise pas pour entraîner ses modèles. Les contenus générés sont proposés à l’utilisateur, qui les vérifie et les valide avant toute publication. Open Action n’utilise aucune donnée personnelle pour entraîner ou améliorer un modèle d’intelligence artificielle.

15.2 Connecteur pour agents d’intelligence artificielle

Open Action met à la disposition de ses clients un connecteur MCP permettant à un agent d’intelligence artificielle d’interagir avec leurs Expériences. Ce connecteur fonctionne exclusivement avec le compte que l’organisation cliente détient auprès du fournisseur d’intelligence artificielle de son choix, avec lequel elle contracte seule. Les données transmises à ce fournisseur le sont à l’initiative et sous la responsabilité de l’organisation cliente, qui en détermine la nature et s’assure de la conformité de ce transfert ; Open Action agit, pour ce flux, en qualité de sous-traitant, dans les conditions de l’article 5. Le fournisseur d’intelligence artificielle n’est pas un sous-traitant d’Open Action.

15.3 Décisions automatisées

Open Action ne prend aucune décision produisant des effets juridiques à votre égard ou vous affectant de manière significative sur la seule base d’un traitement automatisé, et n’effectue aucun profilage.

Modifications et version de référence

Open Action peut modifier la présente politique pour tenir compte des évolutions de ses services, de ses prestataires ou de la réglementation. La date de la dernière mise à jour figure en tête du document. Les modifications substantielles sont portées à votre connaissance par une mention sur le site ou, pour les clients et utilisateurs de la plateforme, par une notification. En cas de divergence entre plusieurs versions, la version française prévaut.