Politique de confidentialité

La société APOCAO, société par actions simplifiée au capital de 12 000 euros, immatriculée au registre du commerce et des sociétés de Toulouse sous le numéro 109 739 813, dont le siège social est situé 176 chemin du Ramelet Moundi, 31170 Tournefeuille, édite et exploite une plateforme destinée à accompagner les entreprises dans la sensibilisation et la formation de leur personnel à la cybersécurité, ainsi que dans l’identification et le suivi de certains risques affectant leur système d’information.

La présente Politique de confidentialité décrit les conditions dans lesquelles des données à caractère personnel sont traitées dans le cadre de l’utilisation du site internet et de la Plateforme Apocao, de la fourniture des Services et des relations entretenues par Apocao avec ses prospects, ses Clients et les Utilisateurs de la Plateforme.

Selon la nature et la finalité du traitement concerné, Apocao peut agir :

en qualité de responsable de traitement, lorsqu’elle détermine elle-même les finalités et les moyens du traitement ;
en qualité de sous-traitant, lorsqu’elle traite des données pour le compte du Client et conformément à ses instructions.

Lorsque le Client agit en qualité de responsable de traitement, il lui appartient d’informer les personnes concernées, notamment les membres de son personnel, des traitements mis en œuvre au moyen de la Plateforme.

La présente Politique décrit le rôle d’Apocao dans ces traitements, mais ne se substitue pas à l’information devant être délivrée par le Client.

Les traitements pour lesquels Apocao agit en qualité de responsable de traitement et ceux qu’elle réalise pour le compte du Client sont distingués dans les développements qui suivent.

1. Définitions

Pour l’application de la présente Politique de confidentialité, les termes commençant par une majuscule ont la signification suivante :

Apocao : désigne la société APOCAO, éditrice et exploitante de la Plateforme.
Client : désigne toute personne physique ou morale souscrivant aux Services à des fins professionnelles.
Données personnelles : désigne toute donnée à caractère personnel se rapportant à une personne physique identifiée ou identifiable.
Personne concernée : désigne toute personne dont les Données personnelles sont traitées dans le cadre des activités d’Apocao, notamment les Visiteurs, Prospects, représentants et membres du personnel du Client, Utilisateurs de la Plateforme ainsi que, le cas échéant, les personnes dont les données figurent dans un courrier électronique signalé au moyen de la Plateforme.
Plateforme : désigne la solution logicielle Apocao, accessible à distance en mode SaaS, au moyen duquel les Utilisateurs accèdent notamment aux Modules mis à leur disposition, aux différentes fonctionnalités de la Plateforme, et aux Résultats.
Prospect : désigne toute personne ayant manifesté un intérêt pour les Services ou avec laquelle Apocao entre en relation en vue de leur présentation ou de leur commercialisation.
Responsable de traitement : désigne la personne physique ou morale qui détermine les finalités et les moyens essentiels d’un Traitement.
Services : désigne les services et fonctionnalités proposés par Apocao au moyen de la Plateforme.
Site : désigne le site internet édité par Apocao, accessible à l’adresse « www.apocao.com ».
Sous-traitant : désigne la personne physique ou morale qui traite des données pour le compte du Responsable de traitement, ou pour un traitement de Données personnelles donné.
Traitement : désigne toute opération ou tout ensemble d’opérations effectué sur des Données personnelles, notamment leur collecte, leur consultation, leur utilisation, leur transmission, leur conservation ou leur suppression.
Utilisateur : désigne toute personne physique autorisée par le Client à accéder à tout ou partie de la Plateforme ou à bénéficier des Services, notamment les Administrateurs et les membres du personnel du Client.
Visiteur : désigne toute personne consultant le Site.

2. Rôle d’Apocao dans le traitement des données personnelles

La qualité dans laquelle Apocao intervient dépend de la finalité poursuivie par le Traitement concerné.

Apocao agit en qualité de responsable de traitement lorsqu’elle détermine elle-même les finalités et les moyens essentiels du Traitement.

Tel est notamment le cas des Traitements nécessaires à la gestion du Site, de ses relations avec ses Prospects et Clients, à l’administration technique et à la sécurité de la Plateforme ainsi qu’à la défense de ses droits.

Apocao agit également en qualité de Responsable de traitement lorsqu’un Utilisateur choisit, de sa propre initiative, d’activer la fonctionnalité facultative de surveillance d’une adresse électronique personnelle. Cette activation repose sur le consentement de l’Utilisateur, est indépendante des autres Services et n’emporte aucune conséquence en cas de refus ou de retrait du consentement. Le Client n’a accès ni à l’adresse électronique personnelle renseignée par l’Utilisateur ni aux Résultats associés.

En revanche, Apocao agit en qualité de Sous-traitant pour les Traitements mis en œuvre dans le cadre de l’utilisation des Services à l’égard de ses Utilisateurs et des membres du personnel du Client.

Apocao intervient alors pour le compte du Client et conformément à ses instructions, le Client déterminant les finalités et les moyens essentiels de ces Traitements et agissant à ce titre en qualité de Responsable de traitement, notamment pour :

la réalisation et le suivi des campagnes de simulation ;
la fourniture et le suivi des formations ;
l’établissement des scores, statistiques et classements ;
la réalisation des audits de configuration ;
la surveillance des fuites associées aux adresses électroniques professionnelles ;
la réception et l’hébergement des courriers électroniques signalés ;
la production et la vérification des attestations de formation.

Il appartient au Client de déterminer les finalités de ces Traitements, de s’assurer de leur licéité et d’informer les Personnes concernées. Apocao lui apporte l’assistance prévue par la réglementation applicable et, le cas échéant, par l’accord relatif au traitement des données personnelles conclu entre les Parties.

Une même Donnée personnelle peut être traitée par Apocao sous des qualités différentes lorsqu’elle est utilisée pour des finalités distinctes.

3. Modalités de collecte des données personnelles

Les Données personnelles sont collectées selon les modalités suivantes :

Personnes concernées	Modalités de collecte	Qualité d’Apocao
Visiteurs	Automatiquement lors de la consultation du Site, notamment au moyen des journaux de connexion et, le cas échéant, des cookies et autres traceurs.	Responsable de traitement
Prospects	Directement auprès de la personne, notamment lorsqu’elle complète un formulaire, demande une démonstration ou échange avec Apocao	Responsable de traitement
Représentants et interlocuteurs du Client	Directement auprès de la personne ou par l’intermédiaire du Client, notamment lors de la souscription et du suivi de la relation contractuelle.	Responsable de traitement
Administrateurs et Utilisateurs	Auprès du Client ou de ses Administrateurs ; depuis l’environnement Microsoft ou Google connecté par le Client ; lors de la création du compte et de l’utilisation de la Plateforme.	Sous-traitant pour la fourniture des Services ; Responsable de traitement pour les opérations relevant de la sécurité de la Plateforme
Utilisateurs surveillant une adresse électronique personnelle	Directement auprès de l’Utilisateur ; auprès du service externe recherchant si l’adresse apparaît dans une fuite de données connue	Responsable de traitement
Personnes mentionnées dans un courriel signalé	Indirectement, lorsqu’un Utilisateur transmet à la Plateforme un courriel qu’il estime suspect.	Sous-traitant pour le compte du Client

Certaines informations techniques sont collectées automatiquement lors de l’utilisation du Site ou de la Plateforme, notamment l’adresse IP, les dates et heures de connexion, le type de navigateur et d’appareil utilisé ainsi que les événements enregistrés dans les journaux de sécurité.

Lorsque le Client active le mode d’injection directe, les autorisations accordées à Apocao depuis son environnement Microsoft ou Google peuvent techniquement permettre un accès au contenu des messageries de ses Utilisateurs.

Apocao n’utilise toutefois ces autorisations que pour déposer les messages nécessaires aux campagnes de simulation et ne consulte, n’extrait ni ne conserve le contenu des autres messages.

Une information complémentaire est présentée à la Personne concernée au moment de la collecte lorsque la nature du Traitement ou de la fonctionnalité concernée le justifie, notamment lors de l’activation de la surveillance facultative d’une adresse électronique personnelle.

4. Données personnelles traitées

Apocao traite les catégories de Données personnelles suivantes :

Personnes concernées	Données personnelles traitées
Visiteurs	Données de connexion et de navigation : adresse IP, dates et heures de connexion, pages consultées, type de navigateur, système d’exploitation et appareil utilisé. Données relatives aux traceurs : identifiants et informations recueillies au moyen des cookies et autres traceurs utilisés sur le Site.
Prospects	Données d’identification : nom et prénom. Données professionnelles : fonction, société représentée, adresse électronique et numéro de téléphone professionnels. Données relatives aux échanges : demandes adressées à Apocao, rendez-vous et contenu des correspondances.
Représentants et interlocuteurs du Client	Données d’identification : nom et prénom. Données professionnelles : fonction, société représentée et coordonnées professionnelles. Données contractuelles : Commande, Offre souscrite et historique de la relation contractuelle. Données de facturation et de paiement : adresse de facturation, factures, échéances, moyens de paiement et informations relatives aux règlements. Données relatives aux échanges : correspondances avec Apocao.
Administrateurs	Données d’identification / professionnelles : nom, prénom, fonction, société et coordonnées professionnelles Données d’authentification et d’habilitation : Identifiants, compte utilisé, droits et autorisations attribués Données d’utilisation : dates et heures de connexion, actions réalisées et paramètres configurés sur la Plateforme Données d’assistance : demandes adressées au support, contenu des échanges et informations communiquées pour le traitement de la demande
Utilisateurs	Données d’identification et professionnelles : nom, prénom, adresse électronique professionnelle, société, service ou unité de rattachement Données d’authentification : Identifiants et informations relatives au compte Données de connexion et d’utilisation : adresse IP, navigateur utilisé, dates et heures de connexion et actions réalisées sur la Plateforme
Utilisateurs participant aux campagnes de simulation	Données relatives à la campagne : campagne et message adressés à l’Utilisateur, dates d’envoi et de réception Données comportementales : ouverture éventuelle du message, clic sur un lien, accès à la page de simulation et indication qu’une saisie d’identifiants a été effectuée Données d’évaluation du mot de passe : niveau de robustesse et indicateurs relatifs à sa longueur et aux catégories de caractères utilisées. Données en lien avec les Résultats : score, classement et statistiques associés à l’Utilisateur.
Utilisateurs suivant des formations	Données de suivi pédagogique : formations attribuées et suivies, état d’avancement et dates de réalisation Données d’évaluation : réponses fournies, résultats et scores obtenus Données de certification : attestations délivrées, numéro d’attestation, formations validées et dates correspondantes
Utilisateurs concernés par un audit de configuration	Données relatives aux comptes : identité, compte professionnel et état du compte Données de connexion et de sécurité : journaux de connexion, événements de sécurité et signalements de comptes à risque Données de configuration : règles de messagerie et paramètres de sécurité associés au compte. Données d’utilisation : informations relatives à l’utilisation des services de messagerie.
Utilisateurs dont l’adresse électronique professionnelle fait l’objet d’une surveillance Utilisateurs ayant activé la surveillance d’une adresse électronique personnelle	Données d’identification : adresse électronique professionnelle ou personnelle Données d’exposition : présence éventuelle de l’adresse dans une fuite connue, origine et date de la fuite et catégories de données susceptibles d’avoir été compromises.
Utilisateurs signalant un courriel suspect	Données d’identification : identité du déclarant Données techniques : adresse IP, navigateur utilisé, date et heure du signalement Données relatives à l’investigation : qualification du message et notes saisies par les Administrateurs.
Personnes mentionnées dans un courriel signalé	Données d’identification et de contact : nom, adresse électronique et toute autre information figurant dans le message. Données relatives au message : objet, identifiant technique, date de réception, expéditeur, destinataires et en-têtes. Contenu du message : corps du courriel aux formats texte et HTML et noms des pièces jointes. Les pièces jointes elles-mêmes ne sont pas conservées.

Apocao ne collecte ni ne conserve la valeur du mot de passe saisi au cours d’une campagne de simulation. Son analyse est effectuée localement dans le navigateur de l’Utilisateur : seuls le niveau de robustesse et les indicateurs nécessaires à son évaluation sont transmis à la Plateforme.

5. Finalités et bases juridiques des traitements

5.1 Traitements réalisés par Apocao en qualité de Responsable de traitement

Finalités	Données concernées	Bases juridiques
Assurer le fonctionnement technique, la disponibilité et la sécurité du Site et de la Plateforme	Données de connexion et de navigation*	Intérêt légitime d’Apocao à assurer le fonctionnement et la sécurité de son Site et la Plateforme
Répondre aux demandes de renseignements, de démonstration ou de prise de contact	Données d’identification, coordonnées professionnelles et contenu des échanges	Exécution du contrat : mesures précontractuelles prises à la demande de la Personne concernée Intérêt légitime d’Apocao à répondre aux demandes adressées par Prospects
Présenter et promouvoir les Services auprès de professionnels	Données d’identification, fonction, société et coordonnées professionnelles	Intérêt légitime d’Apocao à développer son activité, sous réserve du droit d’opposition de la Personne concernée
Conclure et exécuter le Contrat et assurer le suivi de la relation avec le Client	Données d’identification et professionnelles, Données contractuelles et correspondances	Exécution du Contrat
Établir les factures, suivre les paiements et satisfaire aux obligations comptables et fiscales	Données d’identification, Données contractuelles, de facturation et de paiement	Exécution du Contrat Respect des obligations légales d’Apocao
Traiter les demandes d’assistance et diagnostiquer les dysfonctionnements signalés	Données d’identification, professionnelles, techniques et contenu des échanges avec le support	Exécution du Contrat Intérêt légitime d’Apocao à assurer la qualité et la sécurité de ses Services
Assurer la sécurité de la Plateforme, prévenir les utilisations frauduleuses et conserver les éléments nécessaires à la constatation d’un incident ou d’une Anomalie au sens des CGV	Données d’identification, d’authentification, de connexion et journaux de sécurité	Intérêt légitime d’Apocao à protéger la Plateforme, ses Clients et ses Utilisateurs
Assurer la surveillance d’une adresse électronique personnelle	Adresse électronique personnelle et Données d’exposition associées aux fuites identifiées	Consentement de l’Utilisateur
Établir, exercer ou défendre les droits d’Apocao	Données nécessaires à la gestion de la réclamation ou du litige	Intérêt légitime d’Apocao à assurer la défense de ses droits

* Les traceurs qui ne sont pas strictement nécessaires au fonctionnement du Site ou de la Plateforme ne sont déposés qu’avec le consentement de la Personne concernée.

5.2 Traitements réalisés pour le compte du Client

Dans le cadre de la fourniture des Services, Apocao traite des Données personnelles pour les finalités déterminées par le Client, notamment afin de :

créer et administrer les comptes et les droits d’accès des Utilisateurs ;
organiser, réaliser et suivre les campagnes de simulation ;
fournir les formations et suivre la progression des Utilisateurs ;
produire les scores, statistiques, classements et autres Résultats ;
réaliser les audits de configuration et présenter les risques identifiés ;
rechercher les fuites associées aux adresses électroniques professionnelles ;
recevoir, héberger et mettre à la disposition du Client les courriels signalés comme suspects ;
permettre au Client de qualifier ces courriels et de documenter ses investigations ;
établir et permettre la vérification des attestations de formation ;
fournir l’assistance demandée par le Client ;
réaliser, dans le cadre de l’Offre gérée, les opérations confiées à Apocao par le Client.

Le Client détermine la base juridique applicable à ces Traitements et en informe les Personnes concernées.

6. Destinataires des données personnelles

Les Données personnelles sont accessibles aux membres du personnel d’Apocao qui en ont besoin dans le cadre de leurs fonctions et dans la limite des habilitations qui leur sont attribuées.

Lorsqu’Apocao agit en qualité de Sous-traitant, les Données personnelles et les Résultats sont également accessibles aux Administrateurs désignés par le Client, selon les droits définis par celui-ci.

Le Client n’a toutefois accès ni aux adresses électroniques personnelles dont la surveillance est activée directement par un Utilisateur ni aux Résultats correspondants.

Apocao peut également communiquer ou rendre accessibles certaines Données personnelles aux destinataires suivants :

Destinataires	Objet de leur intervention
Google Cloud Platform	Hébergement de la Plateforme et des Données personnelles dans une région située en France
OVH SAS	Hébergement, en France, du serveur de réception des courriels signalés et des sauvegardes chiffrées de la Plateforme
Firebase (Firebase Hosting et Cloud Functions), fourni par Google Ireland Limited	Hébergement du Site et journaux de connexion associés ; traitement du formulaire de demande de démonstration, exécuté dans la région européenne europe-west1
Pipedrive	Outil de gestion de la relation client dans lequel sont enregistrées et suivies les demandes de démonstration
Microsoft et Google	Connexion de l’environnement du Client à la Plateforme et fonctionnement des Modules activés par celui-ci
Have I Been Pwned (HIBP), exploité par Superlative Enterprises Pty Ltd	Recherche de l’apparition d’une adresse électronique dans une fuite de données connue
Prestataires techniques, de paiement, de communication ou d’assistance utilisés par Apocao	Fourniture des prestations nécessaires au fonctionnement du Site, de la Plateforme et à la gestion de la relation avec les Clients
Conseils professionnels d’Apocao	Conseil, constatation, exercice ou défense des droits d’Apocao
Autorités administratives ou judiciaires	Respect d’une obligation légale, d’une décision ou d’une demande ayant force obligatoire

Les Données personnelles ne sont ni vendues ni louées à des tiers.

7. Transferts de données hors de l’Espace économique européen

Les Données personnelles hébergées sur la Plateforme sont stockées en France auprès de Google Cloud Platform. Les sauvegardes automatiques de la base de données sont conservées par Google Cloud Platform dans l’Union européenne. Le serveur de réception des courriels signalés et les sauvegardes chiffrées hors site sont hébergés en France par OVH SAS.

Certains prestataires utilisés par Apocao peuvent néanmoins traiter des Données personnelles depuis un pays situé en dehors de l’Espace économique européen. Tel est notamment le cas de Have I Been Pwned, exploité par la société australienne Superlative Enterprises Pty Ltd.

Les transferts de Données personnelles vers HIBP sont encadrés par l’accord relatif au traitement des données conclu avec ce prestataire, lequel incorpore les clauses contractuelles types adoptées par la Commission européenne applicables aux transferts entre responsable de traitement et sous-traitant.

Apocao veille également à la mise en œuvre, lorsque cela est nécessaire, de mesures complémentaires destinées à assurer un niveau de protection approprié des Données personnelles transférées.

Apocao peut également être tenue de communiquer certaines Données personnelles à une autorité administrative ou judiciaire étrangère. Elle examine alors la légalité de la demande, en conteste la portée lorsque cela est raisonnablement possible et limite la communication aux seules données dont la transmission est obligatoire. La Personne concernée ou, lorsque Apocao agit en qualité de Sous-traitant, le Client, en est informé sauf interdiction légale.

Des informations complémentaires relatives aux garanties encadrant les transferts peuvent être obtenues auprès d’Apocao à l’adresse contact@apocao.com.

8. Durées de conservation

Les Données personnelles sont conservées pendant la durée nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées, sous réserve des obligations légales imposant une durée différente et des données dont la conservation est nécessaire à la constatation, à l’exercice ou à la défense d’un droit.

8.1 Traitements réalisés par Apocao en qualité de Responsable de traitement

Catégories de données	Durées de conservation
Données des Prospects	3 ans à compter de leur collecte ou du dernier contact émanant du Prospect
Données relatives aux Clients et à leurs interlocuteurs	Pendant la relation contractuelle, puis 5 ans à compter de son terme pour les données nécessaires à la constatation, à l’exercice ou à la défense d’un droit
Factures et pièces comptables	10 ans à compter de la clôture de l’exercice concerné
Demandes adressées au support	Pendant la durée nécessaire au traitement de la demande, puis, lorsque leur conservation est nécessaire à titre de preuve, pendant cinq ans au plus
Journaux applicatifs	90 jours
Événements enregistrés par le dispositif de détection d’intrusion	12 mois
Adresse électronique personnelle surveillée et Résultats correspondants	Jusqu’au retrait de l’adresse par l’Utilisateur, entraînant leur suppression immédiate, ou au plus tard dans les vingt-quatre heures suivant le départ de l’Utilisateur signalé par le Client
Données nécessaires à la gestion d’un différend	Pendant la durée du différend, puis jusqu’à l’expiration des délais de prescription applicables

8.2 Traitements réalisés par Apocao en qualité de Sous-traitant

Catégories de données	Durées de conservation
Adresse IP et navigateur associés aux événements de simulation	24 mois
Résultats nominatifs des simulations et des formations, scores et classements	Tant que l’Utilisateur participe au programme mis en œuvre par le Client, puis pendant 12 mois à compter du constat de son départ
Résultats relatifs aux fuites associées à une adresse électronique professionnelle	Jusqu’à 6 mois après le départ de l’Utilisateur
Contenu des messages d’alerte relatifs aux fuites de données	12 mois
Contenu des courriels signalés, en-têtes, noms des pièces jointes, adresse IP et navigateur du déclarant	6 mois à compter du signalement
Métadonnées subsistant après la suppression du contenu d’un courriel signalé	12 mois à compter du signalement
Dossiers d’incident clôturés et chronologie des événements	5 ans à compter de la clôture de l’incident
Journaux d’audit	5 ans
Attestations de formation	6 ans

Le départ d’un Utilisateur est constaté au moyen des informations transmises par le Client. La simple désactivation manuelle de son compte ne déclenche pas le délai d’anonymisation. Lorsque l’Utilisateur réintègre les effectifs du Client avant l’expiration de ce délai, le processus d’anonymisation est interrompu.

Douze mois après le constat du départ, le nom, le prénom, le poste, l’adresse électronique et les identifiants d’annuaire de l’Utilisateur sont supprimés. Son historique est conservé sans ces éléments afin de préserver les statistiques établies antérieurement.

L’Administrateur peut reporter cette échéance une fois pour une durée supplémentaire de douze mois, sous réserve d’indiquer un motif écrit, conservé dans le journal d’audit. Il peut mettre fin à ce report ou demander l’anonymisation immédiate de l’Utilisateur.

Après cette opération, demeurent conservés :

le nom et le prénom figurant dans le registre des attestations, pendant 6 ans à compter de leur délivrance ;
les données contenues dans les sauvegardes, jusqu’à l’expiration de leur cycle de trente-cinq jours ;
les identifiants figurant dans les journaux d’audit, pendant cinq ans.

Ces éléments restent soumis à la présente Politique aussi longtemps qu’ils permettent d’identifier directement ou indirectement une personne.

Les statistiques rendues anonymes de manière irréversible peuvent être conservées sans limitation de durée.

8.3 Fin du Contrat et sauvegardes

Les données d’un Client sont supprimées de la Plateforme par un opérateur habilité dans un délai de trente jours suivant la fin du Contrat. Cette opération fait l’objet d’une journalisation.

Les données supprimées des bases actives peuvent subsister dans les sauvegardes chiffrées et immuables pendant une durée maximale supplémentaire de trente-cinq jours. Ces sauvegardes ne sont pas utilisées dans le cours normal du Service et ne peuvent être restaurées qu’en cas de nécessité technique. En cas de restauration, les opérations de suppression intervenues depuis leur création sont de nouveau appliquées.

9. Sécurité et confidentialité des données

Apocao met en œuvre les mesures techniques et organisationnelles appropriées afin de préserver la confidentialité, l’intégrité et la disponibilité des Données personnelles et de prévenir leur accès, leur utilisation, leur modification ou leur divulgation non autorisés.

Ces mesures comprennent notamment :

la limitation des accès aux seules personnes habilitées, selon leurs fonctions et le besoin d’en connaître ;
la gestion et le contrôle des droits d’accès à la Plateforme ;
la journalisation des accès et des actions sensibles ;
la détection et le suivi des événements susceptibles d’affecter la sécurité de la Plateforme ;
le chiffrement et l’immuabilité des sauvegardes ;
la réalisation de sauvegardes conservées selon un cycle de trente-cinq jours ;
l’encadrement des accès réalisés par les personnes habilitées d’Apocao.

Dans le cadre d’une demande d’assistance, les personnes habilitées par Apocao peuvent accéder temporairement à l’espace du Client avec des droits de lecture équivalents à ceux de ses Administrateurs. Cet accès est limité au traitement de la demande, réalisé depuis un environnement restreint et fait l’objet d’une journalisation.

Lorsque le Client souscrit à l’Offre gérée, les opérations confiées à Apocao sont réalisées sous une identité dédiée permettant de les distinguer de celles accomplies par les Administrateurs du Client.

Les personnes habilitées à traiter des Données personnelles pour le compte d’Apocao sont soumises à une obligation de confidentialité.

En cas de violation de Données personnelles, Apocao prend les mesures nécessaires pour en limiter les conséquences. Lorsqu’elle agit en qualité de Sous-traitant, elle en informe le Client dans les meilleurs délais et lui communique les informations utiles au respect de ses obligations. Lorsqu’elle agit en qualité de Responsable de traitement, elle procède aux notifications requises par la réglementation applicable.

10. Droits des personnes concernées

Dans les conditions prévues par la réglementation applicable, la Personne concernée peut demander :

l’accès aux Données personnelles la concernant et l’obtention d’une copie ;
la rectification des Données personnelles inexactes ou incomplètes ;
l’effacement de ses Données personnelles ;
la limitation de leur Traitement ;
la communication des Données personnelles qu’elle a fournies dans un format structuré et lisible par machine, lorsque le droit à la portabilité est applicable ;
l’exercice de son droit d’opposition, pour des raisons tenant à sa situation particulière, lorsque le Traitement repose sur un intérêt légitime ;
l’arrêt de toute prospection commerciale, sans avoir à fournir de motif ;
le retrait de son consentement à tout moment, sans que ce retrait remette en cause la licéité des Traitements antérieurement réalisés ;
la définition de directives relatives au sort de ses Données personnelles après son décès.

Lorsque Apocao agit en qualité de Responsable de traitement, ces droits peuvent être exercés auprès d’elle à l’adresse contact@apocao.com.

L’Utilisateur ayant activé la surveillance d’une adresse électronique personnelle peut retirer son consentement et supprimer cette adresse depuis la Plateforme. Il peut également s’adresser directement à Apocao pour exercer ses autres droits.

Lorsque les Données personnelles sont traitées par Apocao pour le compte du Client, les demandes doivent être adressées au Client en sa qualité de Responsable de traitement. Apocao lui apporte l’assistance nécessaire pour y répondre. Lorsqu’une demande lui est adressée directement, Apocao la transmet au Client, sauf instruction contraire de celui-ci.

Apocao peut demander les informations nécessaires à la vérification de l’identité du demandeur lorsqu’elle nourrit un doute raisonnable à ce sujet.

Les demandes sont traitées dans un délai d’un mois à compter de leur réception. Ce délai peut être prolongé de deux mois lorsque la complexité ou le nombre de demandes le justifie. La Personne concernée en est alors informée dans le délai initial d’un mois.

La Personne concernée peut introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, sur son site internet accessible à l’adresse www.cnil.fr ou par courrier à l’adresse suivante : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

11. Cookies et autres traceurs

Le Site et la Plateforme peuvent utiliser des cookies et autres traceurs afin d’assurer leur fonctionnement, de sécuriser les connexions, de mémoriser les choix des Utilisateurs et, le cas échéant, de mesurer leur fréquentation.

Les cookies strictement nécessaires au fonctionnement et à la sécurité du Site ou de la Plateforme sont déposés sans consentement. Les autres traceurs ne sont utilisés qu’après avoir recueilli le consentement de la Personne concernée.

Lorsqu’un consentement est requis, la Personne concernée peut accepter ou refuser les traceurs selon leur finalité. Elle peut modifier ses choix ou retirer son consentement à tout moment au moyen de l’outil « Gestion des cookies » accessible depuis le Site.

Le refus ou le retrait du consentement n’empêche pas l’accès aux fonctionnalités qui ne dépendent pas du traceur concerné.

La liste des traceurs utilisés, leurs finalités, leurs fournisseurs et leurs durées de conservation figure dans les tableaux ci-dessous.

Cookies déposés par la Plateforme

Ces cookies sont strictement nécessaires au fonctionnement et à la sécurité de la Plateforme.

Traceur	Finalité	Fournisseur	Durée de conservation
`access_token`	Authentifier l’Utilisateur connecté et maintenir sa session.	Apocao	15 minutes
`refresh_token`	Renouveler la session sans nouvelle connexion, dans la limite de 8 heures après la connexion.	Apocao	1 heure, renouvelée à chaque utilisation
`apocao_pending_login`	Permettre de demander un nouveau lien de connexion lorsque le précédent a expiré.	Apocao	24 heures
`__Host-oauth_state`	Sécuriser le retour depuis Microsoft lors de l’inscription (protection contre la falsification de requêtes).	Apocao	15 minutes
`__Host-ms_onboarding`	Relier entre elles les étapes de l’inscription par Microsoft.	Apocao	10 minutes
`locale`	Mémoriser la langue d’affichage.	Apocao	12 mois

Informations enregistrées dans le navigateur par la Plateforme

La Plateforme enregistre également les informations suivantes dans le stockage local du navigateur de l’Utilisateur. Elles servent uniquement au fonctionnement de l’interface.

Traceur	Finalité	Fournisseur	Durée de conservation
`apocao_last_refresh_ts`	Coordonner le renouvellement de la session entre plusieurs onglets ouverts.	Apocao	Jusqu’à son effacement depuis le navigateur
`apocao_admin_welcomed` `apocao_urgence_welcomed` `apocao_conformite_onboarded` `planning_onboarding_seen`	Ne pas réafficher un écran d’accueil déjà vu.	Apocao	Jusqu’à son effacement depuis le navigateur
`apocao_module_[nom du module]`	Mémoriser les modules déjà découverts, pour adapter le menu de navigation.	Apocao	Jusqu’à son effacement depuis le navigateur
`reports.downloaded`	Signaler dans l’historique les rapports déjà téléchargés.	Apocao	Jusqu’à son effacement depuis le navigateur
`apocao-whitelist-m365`	Mémoriser l’avancement dans le guide de configuration Microsoft 365.	Apocao	Jusqu’à son effacement depuis le navigateur
`apocao_consent_state`	Conserver les informations saisies d’une étape à l’autre de l’inscription.	Apocao	Jusqu’à la fermeture de l’onglet
`reports.pendingSelection`	Transmettre une sélection de rapports d’un écran à l’autre.	Apocao	Jusqu’à la fermeture de l’onglet
`apocao_upgrade_banner_[emplacement]` `apocao_email_scan_banner_dismissed`	Ne pas réafficher un bandeau d’information fermé.	Apocao	Jusqu’à la fermeture de l’onglet

Services tiers

Le Site ne dépose aucun cookie. Les services tiers suivants peuvent néanmoins être sollicités depuis le Site ou la Plateforme.

Traceur	Finalité	Fournisseur	Durée de conservation
Lecteur vidéo YouTube (youtube-nocookie.com)	Lire les vidéos de présentation proposées dans la Plateforme. Le lecteur n’est chargé que lorsque l’Utilisateur ouvre une vidéo, en mode de confidentialité avancé.	Google Ireland Limited	Fixée par Google
Cloudflare Turnstile	Protéger le formulaire de demande de démonstration du Site contre les robots. Des signaux techniques du navigateur sont analysés au moment de la vérification.	Cloudflare, Inc.	Aucun cookie déposé

Ces services sont régis par la politique de leur fournisseur : https://policies.google.com/technologies/cookies pour Google, https://www.cloudflare.com/turnstile-privacy-policy/ pour Cloudflare.

12. Contact

Pour toute question relative à la présente Politique ou aux Traitements réalisés par Apocao en qualité de Responsable de traitement, la Personne concernée peut contacter Apocao :

par courrier électronique : contact@apocao.com ;
par courrier postal : 176 chemin du Ramelet Moundi, 31170 Tournefeuille.

Lorsque la demande porte sur un Traitement réalisé pour le compte du Client, elle doit en principe être adressée à celui-ci en sa qualité de Responsable de traitement. Apocao peut néanmoins être contactée afin que la demande lui soit transmise.

13. Modification de la politique

Apocao peut modifier la présente Politique afin de tenir compte de l’évolution de ses Services, de ses pratiques ou de la réglementation applicable.

La date de sa dernière mise à jour figure en tête du document. Lorsque la modification affecte substantiellement les conditions dans lesquelles les Données personnelles sont traitées, les Personnes concernées en sont informées par tout moyen approprié.

Lorsqu’une modification concerne un Traitement fondé sur le consentement, un nouveau consentement est recueilli si la nature ou la finalité du Traitement est modifiée de telle sorte que le consentement initial ne soit plus suffisant.