Protection des données personnelles et DPA

Le présent document constitue la documentation relative à la protection des données mise à disposition par IRMA Match, à laquelle renvoient les Conditions générales d’utilisation (CGU). Il comprend deux parties :

la Partie 1 décrit les traitements qu’IRMA Match réalise pour son propre compte, en qualité de responsable de traitement ;
la Partie 2 constitue l’accord relatif au traitement des données personnelles (DPA) conclu avec le Client pour les données qu’IRMA Match traite pour son compte, au sens de l’article 28 du Règlement (UE) 2016/679 (RGPD).

Les termes « Plateforme », « Service », « Utilisateur », « Client », « Compte », « CGS » et « DPA » ont le sens qui leur est donné dans les CGU.

IRMA Match, SASU au capital de 3 000 €, immatriculée au Registre du commerce et des sociétés de Paris sous le numéro 988 802 195, dont le siège social est situé 58 rue de Monceau, 75008 Paris. Contact protection des données : support@irmamatch.com.

PARTIE 1 – TRAITEMENTS RÉALISÉS PAR IRMA MATCH POUR SON PROPRE COMPTE

1.1 DONNÉES CONCERNÉES

IRMA Match traite, en qualité de responsable de traitement :

les données de Compte : nom, prénom, adresse e-mail, téléphone, fonction, entreprise de rattachement et paramètres du Compte ;
les données de connexion et d’utilisation : journaux techniques, adresse IP, événements d’utilisation du Service et, avec l’accord de l’Utilisateur, enregistrements des sessions de navigation ;
les données nécessaires à la relation contractuelle : abonnement, facturation, échanges avec le support ;
les autorisations d’accès aux messageries connectées par les Utilisateurs, décrites à l’article 1.3.

1.2 FINALITÉS ET BASES LÉGALES

Ces données sont traitées pour créer et gérer les Comptes, fournir le Service, gérer la relation contractuelle et la facturation, assurer la sécurité du Service et prévenir les abus, diagnostiquer les erreurs, mesurer l’audience et améliorer le Service, et respecter les obligations légales d’IRMA Match.

Ces traitements reposent sur l’exécution du contrat, le respect des obligations légales, l’intérêt légitime d’IRMA Match à sécuriser et faire fonctionner le Service et, pour la mesure d’audience, sur le consentement de l’Utilisateur. Les traceurs utilisés sont décrits à l’article 1.8.

1.3 MESSAGERIES CONNECTÉES

Lorsqu’un Utilisateur connecte sa messagerie au Service, IRMA Match obtient uniquement :

pour une messagerie Google (Gmail) : l’autorisation d’envoyer des e-mails au nom de l’Utilisateur, ainsi que son adresse e-mail et son nom de profil ;
pour une messagerie Microsoft (Outlook) : l’autorisation d’envoyer des e-mails au nom de l’Utilisateur et de lire son profil de base ;
pour une messagerie SMTP : les paramètres de connexion que l’Utilisateur renseigne, son mot de passe étant chiffré au moyen d’une clé qu’il détient.

Ces accès servent exclusivement à envoyer les messages que l’Utilisateur déclenche depuis le Service. IRMA Match ne lit pas la boîte de réception de l’Utilisateur. Les autorisations sont conservées dans la base de données du Service, avec un accès restreint, jusqu’à la déconnexion de la messagerie. Les données obtenues ne sont ni vendues, ni utilisées à des fins publicitaires, ni utilisées pour entraîner des modèles d’intelligence artificielle. L’Utilisateur peut révoquer l’accès à tout moment depuis les paramètres du Service ou depuis son compte Google ou Microsoft.

L’utilisation et le transfert à toute autre application des informations reçues des API Google par IRMA Match respectent la Google API Services User Data Policy, y compris les exigences relatives à l’usage limité (Limited Use).

1.4 DESTINATAIRES

Les données sont accessibles aux seules personnes habilitées d’IRMA Match et aux sous-traitants ultérieurs listés à l’article 2.6, dans la limite de leurs prestations. Le site internet d’IRMA Match est hébergé par Vercel.

1.5 DURÉES DE CONSERVATION

Données de Compte : pendant l’abonnement, puis douze mois après la date de fin d’accès demandée par le Client ou, à défaut, la fin de son abonnement, conformément aux CGU.
Journaux techniques : pendant la durée nécessaire à la sécurité du Service, et au plus douze mois.
Autorisations d’accès aux messageries : jusqu’à leur révocation ou à la suppression du Compte.
Pièces comptables et de facturation : dix ans, conformément aux obligations légales.

1.6 TRANSFERTS HORS DE L’ESPACE ÉCONOMIQUE EUROPÉEN

Les transferts éventuels de données hors de l’Espace économique européen et leurs garanties sont décrits à l’article 2.7.

1.7 DROITS DES PERSONNES

Toute personne dispose d’un droit d’accès, de rectification, d’effacement, de limitation et de portabilité des données qui la concernent, ainsi que d’un droit d’opposition à leur traitement. Ces droits s’exercent par e-mail à support@irmamatch.com.

Lorsque les données figurent dans les contenus importés par un Client, la demande relève de ce Client ; IRMA Match la lui transmet.

Toute personne peut introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL) : https://www.cnil.fr.

1.8 COOKIES ET TRACEURS

Le site et la Plateforme n’utilisent que les traceurs suivants. Aucun traceur publicitaire n’est utilisé.

Traceur	Finalité	Durée de conservation	Consentement
Session de connexion	Maintenir l’Utilisateur connecté au Service	Jusqu’à la déconnexion	Non requis : nécessaire au fonctionnement
Préférences et état de l’application	Mémoriser l’entreprise sélectionnée, les préférences d’affichage et les données mises en cache	Jusqu’à leur suppression par l’Utilisateur ou par le navigateur	Non requis : nécessaire au fonctionnement
Choix relatif aux cookies	Mémoriser le choix de l’Utilisateur	6 mois	Non requis : nécessaire au fonctionnement
Mesure d’audience (PostHog, Union européenne)	Statistiques d’utilisation, enregistrement des sessions de navigation (champs de saisie masqués) et diagnostic des erreurs	12 mois	Requis

Le consentement à la mesure d’audience est facultatif ; le refuser ne limite pas l’accès au Service. Il peut être donné ou retiré à tout moment depuis le lien « Gestion des cookies », présent en bas des pages du site et dans le menu du compte. Le choix est conservé six mois, puis redemandé. Le retrait du consentement supprime les traceurs de mesure d’audience du navigateur.

Lorsque l’Utilisateur affiche une carte, le service Google Maps est chargé dans les conditions décrites dans les CGU.

PARTIE 2 – ACCORD RELATIF AU TRAITEMENT DES DONNÉES PERSONNELLES (DPA)

2.1 OBJET ET PARTIES

Le présent accord est conclu entre le Client, responsable de traitement, et IRMA Match, sous-traitant au sens de l’article 28 du RGPD. Il s’applique lorsque les contenus que le Client et ses Utilisateurs importent ou saisissent dans le Service contiennent des données personnelles (ci-après les « Données du Client »). Il est accepté par le Client lors de sa souscription au Service et complète les CGU et les CGS.

2.2 DURÉE

Le présent accord s’applique pendant toute la durée du contrat de service et, au-delà, jusqu’à la suppression des Données du Client dans les conditions de l’article 2.11.

2.3 DESCRIPTION DU TRAITEMENT

Nature des opérations : hébergement, stockage, structuration, analyse automatisée, y compris au moyen de modèles d’intelligence artificielle, mise à disposition des membres autorisés du Compte et envoi de messages à la demande des Utilisateurs.
Finalité : fournir au Client les fonctionnalités du Service qu’il utilise.
Catégories de données : données d’identification et coordonnées professionnelles, informations professionnelles, contenus des fichiers importés et des messages envoyés depuis le Service.
Personnes concernées : les Utilisateurs et les personnes dont les données figurent dans les contenus que le Client importe ou saisit dans le Service.

Le Service n’est pas destiné au traitement de données sensibles au sens de l’article 9 du RGPD ni de données relatives aux condamnations pénales et aux infractions. Le Client s’abstient d’en importer.

2.4 OBLIGATIONS DU CLIENT

Le Client garantit la licéité des traitements qu’il confie à IRMA Match, notamment l’existence d’une base légale et l’information des personnes concernées pour les données qu’il importe ou saisit dans le Service. Ses instructions résultent des CGU, des CGS, du présent accord et de l’utilisation qu’il fait des fonctionnalités du Service.

2.5 OBLIGATIONS D’IRMA MATCH

IRMA Match s’engage à :

traiter les Données du Client uniquement sur instruction documentée du Client, y compris en ce qui concerne les transferts hors de l’Espace économique européen, et l’informer si une instruction lui paraît contraire à la réglementation ;
ne pas utiliser les Données du Client pour ses propres finalités ni pour entraîner ses algorithmes ;
veiller à ce que les personnes autorisées à traiter les Données du Client soient soumises à une obligation de confidentialité et sensibilisées à la protection des données ;
mettre en œuvre les mesures de sécurité décrites à l’article 2.8 ;
aider le Client, dans la mesure du possible, à répondre aux demandes d’exercice des droits des personnes concernées, à assurer la sécurité des traitements, à notifier les violations de données et à réaliser les analyses d’impact qui le concerneraient ;
tenir un registre des catégories d’activités de traitement effectuées pour le compte du Client.

2.6 SOUS-TRAITANTS ULTÉRIEURS

Le Client autorise IRMA Match à recourir aux sous-traitants ultérieurs suivants :

Sous-traitant ultérieur	Prestation	Localisation des données
Supabase	Base de données, authentification et stockage des fichiers, hébergés sur l’infrastructure AWS	Paris (Union européenne)
Amazon Web Services	Serveurs de traitement	Paris (Union européenne)
Mistral AI	Modèles d’intelligence artificielle	Union européenne
OpenRouter	Acheminement des requêtes vers des fournisseurs de modèles d’intelligence artificielle	États-Unis
Brevo	Envoi d’e-mails transactionnels	Union européenne
PostHog	Mesure d’audience, enregistrement des sessions et diagnostic des erreurs	Union européenne

IRMA Match impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes à celles du présent accord et demeure responsable de leur exécution. Les fournisseurs de modèles d’intelligence artificielle sont utilisés dans des conditions excluant l’utilisation des Données du Client pour l’entraînement de leurs modèles.

IRMA Match informe le Client de tout ajout ou remplacement d’un sous-traitant ultérieur avant sa mise en œuvre, par e-mail ou par un message dans le Service. Le Client peut s’y opposer pour un motif légitime dans un délai de quinze jours ; à défaut d’accord, il peut résilier son abonnement.

2.7 LOCALISATION ET TRANSFERTS

Les Données du Client sont hébergées en France (Paris). Certains sous-traitants ultérieurs sont établis hors de l’Espace économique européen ou peuvent accéder aux données depuis un pays tiers, notamment les États-Unis. Ces transferts sont encadrés par une décision d’adéquation de la Commission européenne, notamment le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le destinataire y adhère, ou à défaut par les clauses contractuelles types adoptées par la Commission européenne.

2.8 MESURES DE SÉCURITÉ

IRMA Match met en œuvre des mesures techniques et organisationnelles appropriées, notamment :

le chiffrement des communications (TLS) et le chiffrement des données au repos par l’hébergeur ;
le contrôle des accès selon le principe du moindre privilège et le cloisonnement des données entre Comptes ;
l’authentification des Utilisateurs et la gestion des droits par Compte et par membre invité ;
des sauvegardes régulières de la base de données, conservées sur un support distinct de l’infrastructure de production ;
la journalisation technique des accès et des opérations.

2.9 VIOLATIONS DE DONNÉES

IRMA Match notifie au Client toute violation de données personnelles affectant les Données du Client dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance, en précisant, dans la mesure où ces informations sont disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises ou envisagées.

2.10 DROITS DES PERSONNES CONCERNÉES

Lorsqu’une personne s’adresse à IRMA Match pour exercer ses droits sur des Données du Client, IRMA Match transmet la demande au Client dans les meilleurs délais et l’assiste pour y répondre.

2.11 FIN DU CONTRAT

À la date de fin d’accès demandée par le Client ou, à défaut, à la fin de son abonnement, l’accès au Compte est désactivé. Les Données du Client sont conservées pendant douze mois, puis supprimées, sous réserve des obligations légales de conservation. Pendant ce délai, le Client peut demander à IRMA Match :

la restitution des Données du Client dans un format structuré et couramment utilisé ;
leur suppression anticipée.

IRMA Match confirme la suppression par écrit sur demande du Client.

2.12 AUDIT

IRMA Match met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations prévues au présent accord. Le Client peut, au plus une fois par an et moyennant un préavis de trente jours, faire réaliser à ses frais un audit par un auditeur indépendant tenu au secret professionnel, sans accès aux données des autres clients et sans perturbation du Service.

2.13 MODIFICATION

IRMA Match peut modifier le présent document. Les modifications substantielles sont notifiées aux Clients avant leur entrée en vigueur, avec une date d’application identifiable.

CONTACT

Pour toute question relative à la protection des données :

IRMA Match

58 rue de Monceau, 75008 Paris

support@irmamatch.com