Politique de Confidentialité P7CO EcoResupply

1. Qui sommes-nous

P7CO EcoResupply est une marque opérée par pH7x Systems JOAO P.S.V.T. LIVIO.
NIF 198690851
Siège : Rua Pulido Valente, 24 RC DTO, 2910-642 Setúbal, Portugal
Contact confidentialité privacy@ph7x.com
Contact DPO (le cas échéant) abuse@p7co.org

Cette Politique s’applique aux sites, applications et canaux de support de P7CO EcoResupply destinés à l’Union européenne et à l’Espace économique européen. Le cadre juridique principal est le Règlement (UE) 2016/679 — RGPD, complété au Portugal par la Loi n° 58/2019, la Loi n° 41/2004 (communications électroniques et cookies) et la Loi n° 93/2021 (protection des lanceurs d’alerte). Pour les services d’intermédiation et les obligations de diligence, le Règlement (UE) 2022/2065 — DSA s’applique lorsque pertinent.

L’autorité de contrôle principale est la CNPD — Comissão Nacional de Proteção de Dados au Portugal (mécanisme guichet unique du RGPD). Les utilisateurs peuvent également déposer plainte auprès de leur autorité nationale dans l’EEE.

2. Finalités et bases légales

Nous traitons des données personnelles pour des finalités déterminées et légitimes.

Catégorie	Exemples	Finalité	Base légale
Compte	nom, email, mot de passe haché, langue	création et gestion de compte, authentification, prévention des abus	exécution de contrat (RGPD art. 6/1-b) et intérêt légitime (6/1-f)
Opérations	messages, propositions, fichiers, enregistrements	faciliter les offres de surplus et la réutilisation, exécution de services	exécution de contrat (6/1-b)
Support	demandes, pièces jointes, enregistrements optionnels	assistance, preuve, amélioration de processus	intérêt légitime (6/1-f)
Analytique	événements techniques, métriques minimales	amélioration du service	consentement (6/1-a), requis par ePrivacy
Cookies	identifiants non essentiels	préférences, statistiques, publicité	consentement (6/1-a), voir section 9
Conformité	journaux de sécurité, audits, factures	respect des obligations légales et de sécurité	obligation légale (6/1-c)
Alertes	signalements, pièces jointes, métadonnées	gestion des dénonciations environnementales	obligation légale (6/1-c) et intérêt public (6/1-e), Directive (UE) 2019/1937 et lois nationales

3. Mineurs et âges de consentement numérique

Pays	Âge minimal
Portugal	13
Espagne	14
France	15
Allemagne	16
Italie	14
Pays-Bas	16
Irlande	16
Norvège	13
Islande	13
Liechtenstein	16

En dessous de ces âges, le consentement vérifiable des parents est requis (RGPD art. 8).

4. Conservation des données

• Comptes et enregistrements : actifs + 5 ans
• Journaux de sécurité : 12 mois (plus en cas d’incident)
• Facturation au Portugal : 10 ans (Décret-Loi n° 28/2019)
• Dossiers de signalement : 2 ans après clôture (sauf obligation prolongée)
• Candidatures : 12 mois avec consentement

5. Destinataires et sous-traitants

Exemples :
Microsoft Azure (UE/EEE)
Cloudflare (CDN/sécurité, restrictions régionales)
Fournisseurs d’email transactionnel dans l’UE/EEE (ex. Mailjet, Brevo)
GitHub (dépôts de code sans données personnelles productives)

6. Transferts internationaux

• Décisions d’adéquation de la Commission européenne
• Clauses contractuelles types 2021/914 avec mesures supplémentaires
• Pseudonymisation et minimisation avant transfert

7. Droits des personnes concernées

Droits RGPD art. 12–22 : accès, rectification, effacement, limitation, portabilité, opposition, absence de décision automatisée (art. 22).
Demandes : privacy@ph7x.com. Délai : 1 mois.

8. Décisions automatisées et profils

Pas de décisions automatisées ayant des effets juridiques. En cas de profilage futur : transparence, intervention humaine, droit d’opposition, opt-out.

9. Cookies et technologies similaires

Conformité avec Directive 2002/58/CE (ePrivacy).

• Nécessaires : pas de consentement requis
• Préférences, analytique, publicité : consentement requis
• Bannière avec accepter, refuser, configurer
• Renouvellement annuel

Références : Guide CNIL cookies, Guide AEPD cookies

10. Sécurité

TLS ≥ 1.2, chiffrement au repos, principe du moindre privilège, MFA admins, monitoring, audits.

11. Violations de données

Notification à l’autorité dans les 72h (art. 33) ; communication aux personnes concernées si nécessaire (art. 34). Registre et plan interne. Voir lignes directrices EDPB.

12. Canaux de signalement

Conformément à la Directive (UE) 2019/1937 :
Portugal — Loi n° 93/2021
Espagne — Ley 2/2023
France — Loi 2022-401
Allemagne — HinSchG 2023

13. Autorités de contrôle

Portugal — CNPD
Espagne — AEPD
France — CNIL
Allemagne — BfDI
Italie — Garante
Pays-Bas — AP
Irlande — DPC
Norvège — Datatilsynet
Islande — Persónuvernd
Liechtenstein — Datenschutzstelle

14. Délégué à la protection des données

Si nommé : abuse@p7co.org.
Sinon : privacy@ph7x.com.

15. Modifications

Mises à jour publiées sur le site/app et, si pertinent, notifiées par email. Versions antérieures disponibles sur demande.

16. Annexe A — bases légales courantes

• Contrat : création de comptes, transactions
• Consentement : cookies non essentiels, marketing
• Intérêt légitime : sécurité, prévention de fraude, amélioration du service
• Obligation légale : fiscalité, réponses aux autorités, signalement
• Intérêt public/exercice de droits : gestion de signalements, défense juridique

17. Annexe B — registre des traitements

Conservé selon RGPD art. 30 : finalités, catégories, destinataires, transferts, durées, mesures de sécurité. Disponible pour l’autorité.

18. Annexe C — transferts hors EEE (exemple)

Destinataire	Pays	Mécanisme	Garanties supplémentaires
Fournisseur email transactionnel	États-Unis	Décision d’adéquation ou CCT 2021/914	TLS, chiffrement, gestion des clés, minimisation
Azure	Union européenne	traitement intra-UE	chiffrement, gestion des clés, journaux, séparation

19. Exercice des droits

Envoyer demande à privacy@ph7x.com. Indiquer :

• Droit exercé
• Données d’identification minimales
• Contexte (ex. ID de compte)

Une vérification d’identité peut être demandée. Réponse dans les délais légaux.