Registre des activités de traitement
Article 30 du RGPD. Dernière mise à jour : 16 octobre 2026.
Ce registre décrit les traitements opérés par Capibara pour son propre compte (gestion du service). Les données saisies par une organisation cliente dans son espace (clients, ventes, salariés, billetterie, adhésions…) relèvent de son propre registre ; Capibara agit alors comme sous-traitant (voir l’Accord de traitement des données). Les durées de conservation indiquées sont des durées cibles ; elles peuvent être ajustées à l’issue de la revue juridique en cours.
Responsable et rôles
- Forge Network (association loi 1901) — éditeur, opérateur et responsable de traitement pour les traitements liés au fonctionnement de la plateforme. L’association encaisse elle-même les recettes du service et assure le support via son équipe.
- Hébergeur — Ikoula.
- Sous-traitants — la liste tenue à jour figure sur la page Sous-traitants.
Traitements
| Finalité | Catégories de données | Base légale | Destinataires | Conservation |
|---|---|---|---|---|
| Gestion des comptes et authentification | E-mail, mot de passe (haché), 2FA, sessions, journal de connexions (IP, user-agent). Si la personne choisit « Continuer avec Google » : son adresse e-mail et l’identifiant de son compte Google, reçus de Google (ni nom, ni photo, ni contacts). | Exécution du contrat (fourniture du service). | Éditeur / opérateur (Forge Network) ; hébergeur (Ikoula). | Durée de vie du compte, puis suppression sous 30 jours ; les copies de sauvegarde qui contiennent encore le compte s’effacent par rotation au plus tard 130 jours après la suppression. L’identifiant Google s’efface dès que la personne délie Google. |
| Facturation et paiement des abonnements | Identité de facturation, e-mail, historique d’abonnement et de paiement (via Stripe). | Exécution du contrat ; obligation légale (comptable et fiscale). | Forge Network (l’association encaisse elle-même) ; Stripe (prestataire de paiement). | 10 ans (pièces comptables, art. L.123-22 C. com.). |
| Facturation électronique et e-reporting des organisations | Identité de facturation des organisations (SIREN/SIRET, adresses), contenu des factures transmises, agrégats d’e-reporting. | Obligation légale (réforme de la facturation électronique) ; exécution du contrat. | Super PDP (plateforme agréée par l’administration fiscale) ; circuit officiel de l’administration. | 10 ans (archivage légal des factures). |
| Connexion bancaire des organisations (agrégation de comptes en lecture seule, formule Business) | Identifiants des comptes reliés (IBAN masqué), soldes, opérations bancaires (date, libellé, montant), correspondances avec les factures. Jamais les identifiants de connexion à la banque. | Exécution du contrat, sur activation explicite par l’organisation ; consentement de l’organisation recueilli par le prestataire agréé (DSP2, 180 jours renouvelables). | Bridge (agrégateur bancaire agréé) ; équipe conformité de l’association (accès cloisonné). | Durée de la connexion (révocable à tout moment) ; les opérations importées restent des pièces comptables de l’organisation (10 ans) et disparaissent avec elle. |
| Encaissements en ligne des organisations (Stripe Connect) | Identité du marchand (vérifiée par Stripe), événements de paiement, litiges et signalements, éléments d’examen des risques. | Exécution du contrat ; intérêt légitime (prévention de la fraude) ; obligations du prestataire de paiement. | Stripe ; équipe conformité de l’association (accès cloisonné). | Durée de la relation marchande, puis 5 ans (prévention de la fraude). |
| Support client (tickets, chat) | E-mail, contenu des messages, pièces jointes (captures, documents), métadonnées de la demande. | Exécution du contrat ; intérêt légitime (qualité de service). | Équipe support de l’association (accès cloisonné). | Durée de la relation contractuelle, puis archivage 3 ans. Pièces jointes : les images lourdes sont réduites avant l’envoi ; 3 mois après la fin d’un ticket (résolu ou fermé), ses images sont fortement allégées et ses autres fichiers supprimés, le texte des échanges restant. |
| Envoi d’e-mails transactionnels | E-mail du destinataire, contenu (invitation, facture, notification), journaux d’envoi. | Exécution du contrat. | Serveur de messagerie de la plateforme (auto-hébergé, opéré par l’association). | Journaux d’envoi : 12 mois. |
| Fonctions d’assistance et de génération par IA | Contenus soumis aux fonctions IA (textes, images à analyser), compteurs d’usage (quotas). | Exécution du contrat (fonctionnalités IA des formules concernées). | Google (modèles Gemini — sous-traitant, cf. DPA et liste des sous-traitants). | Contenus non conservés par la plateforme au-delà du traitement ; journaux d’usage : 12 mois. |
| Noms de domaine et DNS des organisations | Identité du titulaire du domaine (dénomination et forme juridique, représentant, adresse, e-mail, téléphone) lors d’un achat ou d’une gestion de domaine. | Exécution du contrat. | OVH (bureau d’enregistrement et hébergement de zone DNS), à qui les coordonnées ne sont transmises qu’après le paiement ; le registre de l’extension (Afnic pour le .fr, Verisign pour le .com), responsable de son propre traitement, qui publie certaines d’entre elles dans les annuaires publics (WHOIS, RDAP) selon ses règles. | Conservées chiffrées pendant la vie du domaine chez Capibara, puis supprimées 30 jours après son expiration, son transfert ou le remboursement de l’achat ; au-delà, obligations propres au bureau d’enregistrement et au registre. |
| Preuves de signature électronique des organisations (vérification publique) | Identifiant de preuve, empreintes SHA-256 de la preuve et du fichier signé, date, nature du document, organisation ; tant que l’organisation et le salarié existent : nom, e-mail, adresse IP et appareil du signataire, exemplaire signé. | Exécution du contrat (sous-traitance pour l’organisation, responsable du traitement) ; intérêt légitime pour la preuve anonymisée (permettre aux parties de vérifier un document signé). | Le signataire et l’organisation (exemplaire complet) ; toute personne qui saisit la référence ou dépose l’exemplaire (confirmation, en initiales, sans le document). | Durée de vie de l’organisation ; à son effacement ou à la suppression du salarié, anonymisation (initiales, empreintes, date, nature), puis suppression 5 ans après. |
| Sécurité, prévention de la fraude et journalisation | Adresses IP, journaux d’erreurs et d’activité, limitation de débit. | Intérêt légitime (sécurité de la plateforme). | Éditeur / opérateur (Forge Network). | Journaux techniques : 12 mois maximum. |
| Marketplace développeurs (add-ons) | Compte développeur, identité de reversement (via Stripe Connect), publications. | Exécution du contrat (partage de revenus). | Forge Network ; Stripe (reversements). | Durée de la relation développeur, puis 10 ans pour les pièces comptables. |
| Connexion des IA choisies par l’utilisateur (Claude, ChatGPT) | Le compte, l’organisation, l’IA connectée, le niveau accordé, les dates de connexion et de dernier usage ; des jetons conservés hachés ; la liste des demandes de l’IA (outil, date, résultat, durée, identifiant de l’objet lu ou écrit), jamais leur contenu ; pendant 10 minutes, la réponse à une écriture, pour ne pas la refaire si la même demande arrive deux fois. | Exécution du contrat (fonctionnalité demandée par l’utilisateur) ; intérêt légitime de sécurité (journal des demandes, e-mail à chaque nouvelle connexion). | Éditeur / opérateur (Forge Network) ; hébergeur (Ikoula). Les éditeurs des IA (Anthropic, OpenAI) reçoivent les réponses aux demandes de l’IA que l’utilisateur a connectée : ce sont des destinataires qu’il choisit, pas des sous-traitants de Forge Network. | La connexion jusqu’à sa déconnexion (elle cesse de fonctionner après 60 jours sans usage), sa trace 12 mois après ; la liste des demandes 12 mois ; la réponse d’une écriture sert 10 minutes et s’efface au plus tard le lendemain. |
| Sauvegarde et continuité du service | Copie de l’ensemble des données du service (comptes, données des organisations, messagerie, fichiers, réglages de la plateforme), chiffrée sur le serveur avant l’envoi : base de données, messagerie et réglages chaque nuit, fichiers toutes les 6 heures. Avant une mise à jour complète, une copie de la base reste aussi sur le serveur (point de restauration, accès réservé à l’exploitation). | Obligation de sécurité (RGPD, art. 32 : capacité à rétablir la disponibilité des données) ; exécution du contrat. | OVH (copie principale, France) ; Hetzner (seconde copie, Allemagne). Ni l’un ni l’autre ne peut lire les copies. | Rotation sur 90 jours ; effacement physique au plus tard 130 jours après une suppression ; un point de restauration s’efface au plus tard 30 jours après la mise à jour. Une copie ne sert qu’à rétablir le service après un incident. |
Vos droits et l’export de vos données
Chaque organisation cliente peut exporter les données de son espace depuis Mon organisation → Confidentialité (RGPD) (portabilité). Chaque personne peut exporter les données de son compte depuis Mon compte. Pour toute demande relative à vos droits (accès, rectification, effacement, opposition), contactez le responsable via la politique de confidentialité.
Voir aussi : Politique de confidentialité · DPA · Sous-traitants.