Politique de confidentialité
PROJET NON VALIDÉ — ce texte est une proposition en cours de révision par le conseiller en protection des données de CPE Italia S.p.A. et ne constitue pas la politique de confidentialité définitive. Les parties entre crochets restent à vérifier ou à décider.
La présente politique, fournie conformément à l’article 13 du règlement (UE) 2016/679 (« RGPD »), explique comment CPE Italia S.p.A. traite les données personnelles collectées sur le site cpe-italia.com, en particulier au moyen du formulaire de contact et du formulaire de demande de catalogue. L’utilisation des cookies et technologies similaires est décrite dans la politique de cookies.
Version : [DA DECIDERE #27] — Dernière mise à jour : [DATE DE PUBLICATION]
1. Responsable du traitement
CPE Italia S.p.A. — Via Dante Chiasserini 15, 20157 Milan (Italie) — n° TVA IT06735840156 — e-mail info@cpeitalia.it — tél. +39 02 390961. [DA VALIDARE #1 : indication éventuelle de l’adresse PEC et du numéro REA]
2. Délégué à la protection des données (DPO)
[DA VERIFICARE #2 : indiquer si CPE Italia S.p.A. a désigné un DPO et ses coordonnées. Si aucun DPO n’a été désigné, remplacer par : « CPE Italia S.p.A. n’a pas désigné de délégué à la protection des données ; pour toute question, écrivez à info@cpeitalia.it ».]
3. Données que nous traitons
3.1 Données que vous saisissez dans les formulaires
- prénom et, uniquement dans le formulaire de demande de catalogue, nom ;
- entreprise ;
- adresse e-mail ;
- numéro de téléphone (facultatif) ;
- pays ;
- produit ou famille de produits concerné et catalogue demandé ;
- texte du message ;
- la case par laquelle vous confirmez avoir pris connaissance de la présente politique.
Nous vous demandons de ne pas indiquer dans votre message de données inutiles pour votre demande, en particulier des catégories particulières de données (article 9 du RGPD).
3.2 Données collectées automatiquement lors de l’envoi d’un formulaire
- langue du site, page à partir de laquelle vous envoyez la demande, page d’entrée sur le site et site de provenance (référent) ;
- paramètres de campagne éventuellement présents dans l’adresse par laquelle vous êtes arrivé sur le site (
utm_source,utm_medium,utm_campaign,utm_term,utm_content) ; - uniquement si vous avez accepté les cookies marketing : identifiants de clic publicitaire (
gclid,gbraid,wbraid,fbclid) ; - pays depuis lequel vous vous connectez, estimé à partir de l’adresse IP et communiqué par notre hébergeur (Cloudflare) ;
- une empreinte cryptographique (hachage SHA-256) de l’adresse IP, calculée avec une valeur secrète qui change chaque jour et utilisée uniquement pour limiter les envois répétés : l’adresse IP en clair n’est pas enregistrée dans l’archive des demandes ;
- le résultat de la vérification anti-spam Cloudflare Turnstile.
3.3 Données techniques de navigation
Pour vous afficher le site et le protéger, l’hébergeur traite les données techniques de chaque connexion (par exemple adresse IP, type de navigateur, page demandée, date et heure). Nous ne les utilisons pas pour vous identifier. [DA VERIFICARE #16 : journaux (logs) et durées de conservation effectivement actifs sur le compte Cloudflare] Les cookies de mesure d’audience et marketing ne sont utilisés qu’avec votre consentement : voir la politique de cookies.
4. Finalités et bases juridiques
Nous traitons vos données uniquement pour les finalités indiquées ci-dessous. Nous distinguons clairement la réponse à votre demande, qui ne nécessite pas votre consentement, de toute activité de marketing, que nous n’exerçons pas actuellement.
| Finalité | Données | Base juridique |
|---|---|---|
| a) Répondre à votre demande d’informations, de devis ou de catalogue, vous envoyer un accusé de réception et l’orienter vers le service compétent selon le produit, la langue et le pays | données du formulaire ; langue ; page ; pays | Article 6, paragraphe 1, point b) du RGPD : exécution de mesures précontractuelles prises à votre demande [DA VALIDARE #4] |
| b) Suivi commercial B2B ultérieur de la même demande : relances, devis, éventuelle négociation et enregistrement dans l’outil de gestion de la relation client (CRM) | données du formulaire ; état de la demande | Article 6, paragraphe 1, point b) du RGPD pour les étapes que vous avez demandées ; article 6, paragraphe 1, point f) du RGPD (intérêt légitime de CPE à assurer le suivi commercial des demandes reçues d’entreprises) pour la suite [DA VALIDARE #5] |
| c) Sécurité du site et prévention du spam, des envois automatisés et des abus (vérification Turnstile, limite d’envois fondée sur l’empreinte de l’IP, limites des e-mails de confirmation automatiques) | empreinte de l’IP ; résultat de la vérification ; données techniques | Article 6, paragraphe 1, point f) du RGPD : intérêt légitime à la sécurité des systèmes et des formulaires [DA VALIDARE #6] |
| d) Comprendre de quelle page ou campagne provient la demande (attribution interne) | page d’entrée ; référent ; paramètres utm ; pays détecté | Article 6, paragraphe 1, point f) du RGPD : intérêt légitime à évaluer l’efficacité de ses canaux de contact [DA VALIDARE #7] |
| e) Relier la demande à l’annonce publicitaire sur laquelle vous avez cliqué | gclid ; gbraid ; wbraid ; fbclid | Consentement : article 6, paragraphe 1, point a) du RGPD et article 122 du Code italien de la protection des données (décret législatif 196/2003), exprimé en acceptant les cookies marketing ; sans consentement, ces données ne sont pas collectées [DA VALIDARE #8] |
| f) Respecter les obligations légales et, si nécessaire, constater, exercer ou défendre un droit en justice | données nécessaires au cas d’espèce | Article 6, paragraphe 1, point c) du RGPD (obligation légale) et article 6, paragraphe 1, point f) du RGPD (défense des droits) |
Marketing : non actif à ce jour
Nous ne vous inscrivons à aucune newsletter et ne vous envoyons pas de communications promotionnelles automatiques : les e-mails que vous recevez concernent uniquement la demande que vous avez envoyée. Si CPE Italia S.p.A. souhaitait à l’avenir vous adresser des communications commerciales sans lien avec votre demande, elle ne le ferait que sur une base juridique distincte (en règle générale un consentement spécifique, séparé et facultatif, recueilli au moyen d’une case non pré-cochée), que vous pourrez refuser sans conséquence sur votre demande. [DA DECIDERE #9]
Intérêt légitime
Lorsque nous nous fondons sur l’intérêt légitime (finalités b, c et d), nous avons estimé que vos intérêts et droits ne prévalent pas, compte tenu du fait qu’il s’agit de coordonnées professionnelles que vous nous avez fournies vous-même dans le cadre d’une demande commerciale. Vous pouvez demander des informations sur cette évaluation et vous y opposer à tout moment (section 10). [DA VALIDARE #5 : la mise en balance doit être documentée]
5. Données obligatoires et facultatives
Les champs signalés comme obligatoires sont nécessaires pour vous répondre : sans eux, nous ne pouvons pas donner suite à votre demande. Le téléphone et les autres champs facultatifs servent uniquement à faciliter le contact. La case du formulaire sert à confirmer que vous avez pris connaissance de la présente politique : il ne s’agit pas d’une demande de consentement au traitement. [DA VALIDARE #26]
6. Modalités du traitement
Les données sont traitées par voie électronique par des personnes autorisées et formées, avec des mesures techniques et organisationnelles appropriées : connexion chiffrée (HTTPS), archive des demandes accessible uniquement au système qui gère les formulaires et aux administrateurs autorisés, empreinte de l’IP au lieu de l’adresse en clair, limites automatiques des envois et des e-mails de confirmation.
Prise de décision automatisée
Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire. La vérification anti-spam est un contrôle technique : si elle détecte un envoi automatisé, le formulaire n’est pas accepté et vous pouvez nous écrire à info@cpeitalia.it ; si la vérification ne peut pas être effectuée (par exemple parce que votre navigateur bloque le script), la demande parvient tout de même à CPE, mais sans e-mail de confirmation automatique. [DA VALIDARE #28]
7. Destinataires des données
Les données sont traitées par le personnel autorisé de CPE Italia S.p.A., notamment le service commercial qui reçoit la notification de la demande, ainsi que par les entités suivantes, agissant en qualité de sous-traitants au sens de l’article 28 du RGPD sur la base d’un contrat ou d’un accord de traitement des données :
| Destinataire | Activité | Localisation et garanties |
|---|---|---|
| Rockslam S.r.l. | agence qui gère le site et les campagnes pour le compte de CPE ; reçoit en copie la notification de chaque demande pour l’assistance technique et le contrôle du bon fonctionnement | Italie — désignation comme sous-traitant [DA FORMALIZZARE #14] |
| Cloudflare, Inc. | hébergement du site (Cloudflare Pages), traitement des formulaires (Functions et Workers), archive des demandes (base de données D1, région Europe de l’Ouest), vérification anti-spam (Turnstile) | États-Unis — voir section 8 [DA VERIFICARE #16] |
| Sendinblue SAS (Brevo) | envoi des e-mails de notification interne et de l’e-mail de confirmation au demandeur [DA DECIDERE #18 : le suivi des ouvertures est actuellement activé dans le compte Brevo ; s’il n’est pas désactivé, il doit être indiqué ici] | France (UE) [DA VERIFICARE #17] |
| Microsoft (service Microsoft 365 utilisé par CPE Italia) | messagerie de l’entreprise sur laquelle arrivent les notifications | [DA VERIFICARE #21] |
| HubSpot — prévu, pas encore actif | outil de gestion de la relation client (CRM) : enregistrement du contact et de l’affaire | centre de données UE demandé ; voir section 8 [DA VERIFICARE #19] |
Google (Google Tag Manager, Google Analytics 4, Google Ads) ne reçoit des données de navigation que si vous acceptez les cookies correspondants : voir la politique de cookies. [DA VALIDARE #20]
Autres destinataires : [DA DECIDERE #15 : sociétés du groupe CPE, distributeurs ou agents qui traiteront les demandes pour certains pays ou certaines langues ; le cas échéant, ils doivent être indiqués ici avec leur rôle]. Les données peuvent être communiquées aux autorités publiques lorsque la loi l’exige. Les données ne sont pas rendues publiques.
8. Transferts hors de l’Espace économique européen
Certains prestataires appartiennent à des groupes établis aux États-Unis et peuvent traiter des données hors de l’Espace économique européen (EEE), y compris uniquement à des fins d’assistance ou de sécurité. Dans ce cas, le transfert repose sur la décision d’adéquation de la Commission européenne du 10 juillet 2023 (EU-U.S. Data Privacy Framework), si le prestataire y a adhéré, ou sur les clauses contractuelles types adoptées par la Commission (décision d’exécution (UE) 2021/914), assorties le cas échéant de mesures supplémentaires.
| Prestataire | Garantie proposée |
|---|---|
| Cloudflare, Inc. | Data Privacy Framework et/ou clauses contractuelles types [DA VERIFICARE #16] |
| Google Ireland Ltd / Google LLC | Data Privacy Framework et/ou clauses contractuelles types [DA VERIFICARE #20] |
| HubSpot | Data Privacy Framework et/ou clauses contractuelles types ; stockage dans le centre de données UE [DA VERIFICARE #19] |
| Sendinblue SAS (Brevo) | établie dans l’UE ; éventuels sous-traitants ultérieurs hors EEE à vérifier [DA VERIFICARE #17] |
| Microsoft | [DA VERIFICARE #21] |
Vous pouvez obtenir des informations sur les garanties mises en place en écrivant à info@cpeitalia.it.
9. Durée de conservation
Nous conservons les données uniquement pendant la durée nécessaire aux finalités indiquées. Les durées suivantes sont des propositions qui doivent encore être approuvées :
| Données | Durée proposée |
|---|---|
| Demandes n’ayant pas abouti à un devis ou à une relation commerciale (archive du site, CRM, e-mails de notification) | 24 mois à compter de la demande [DA DECIDERE #10] |
| Demandes ayant abouti à un devis ou à un contrat | pendant toute la durée de la relation puis, après sa fin, pendant la durée prévue par la loi pour les documents contractuels et comptables (en règle générale 10 ans) [DA DECIDERE #11] |
| Empreinte de l’IP utilisée pour la limite d’envois | 48 heures [DA DECIDERE #12] |
| Copie de la notification reçue par Rockslam S.r.l. | [DA DECIDERE #13] |
| Journaux d’envoi des e-mails chez Brevo | selon les paramètres du compte Brevo [DA VERIFICARE #13] |
| Identifiants de clic publicitaire collectés avec consentement | jusqu’au retrait du consentement et au plus tard jusqu’à la fin de la durée de conservation de la demande à laquelle ils se rapportent [DA DECIDERE #10] |
À l’échéance, les données sont supprimées ou anonymisées. Elles ne peuvent être conservées plus longtemps que si cela est nécessaire pour respecter une obligation légale ou pour défendre un droit.
10. Vos droits
Vous pouvez à tout moment demander à CPE Italia S.p.A. :
- l’accès à vos données et une copie de celles-ci (article 15 du RGPD) ;
- la rectification des données inexactes ou le complément des données incomplètes (article 16) ;
- l’effacement (article 17) ;
- la limitation du traitement (article 18) ;
- la portabilité des données que vous nous avez fournies, dans les cas prévus (article 20) ;
- à vous opposer à tout moment, pour des raisons tenant à votre situation particulière, aux traitements fondés sur l’intérêt légitime (article 21) ;
- à retirer à tout moment votre consentement, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant ce retrait (article 7, paragraphe 3).
Pour exercer vos droits, écrivez à info@cpeitalia.it [DA DECIDERE #3]. Nous répondons dans un délai d’un mois, qui peut être prolongé de deux mois pour les demandes complexes (article 12 du RGPD) ; nous pourrons vous demander des informations pour vérifier votre identité.
Pour retirer ou modifier votre consentement aux cookies, utilisez le lien « Préférences cookies » en bas de chaque page du site.
Réclamation auprès d’une autorité de contrôle
Si vous estimez que le traitement de vos données constitue une violation du RGPD, vous pouvez introduire une réclamation auprès de l’autorité de contrôle de l’État membre dans lequel se trouve votre résidence habituelle, votre lieu de travail ou le lieu où la violation aurait été commise (article 77 du RGPD), ou former un recours juridictionnel. Par exemple :
- en France : Commission nationale de l’informatique et des libertés (CNIL) — www.cnil.fr ;
- en Italie, où est établi le responsable du traitement : Garante per la protezione dei dati personali — www.garanteprivacy.it.
11. Modifications de la présente politique
Nous pouvons mettre à jour la présente politique, par exemple en cas de changement de prestataires ou de finalités. La version en vigueur est toujours publiée sur cette page avec sa date de mise à jour, et chaque demande envoyée depuis le site enregistre la version de la politique en vigueur au moment de l’envoi. [DA DECIDERE #27] La présente politique est disponible en italien, anglais, français et espagnol ; en cas de divergence, la version italienne prévaut. [DA DECIDERE #30]