Registre des activités de traitement
Article 30 du RGPD. Dernière mise à jour : 4 septembre 2026.
Ce registre décrit les traitements opérés par Capibara pour son propre compte (gestion du service). Les données saisies par une organisation cliente dans son espace (clients, ventes, salariés, billetterie, adhésions…) relèvent de son propre registre ; Capibara agit alors comme sous-traitant (voir l’Accord de traitement des données). Les durées de conservation indiquées sont des durées cibles ; elles peuvent être ajustées à l’issue de la revue juridique en cours.
Responsable et rôles
- Forge Network (association loi 1901) — éditeur, opérateur et responsable de traitement pour les traitements liés au fonctionnement de la plateforme. L’association encaisse elle-même les recettes du service et assure le support via son équipe.
- Hébergeur — Ikoula.
- Sous-traitants — la liste tenue à jour figure sur la page Sous-traitants.
Traitements
| Finalité | Catégories de données | Base légale | Destinataires | Conservation |
|---|---|---|---|---|
| Gestion des comptes et authentification | E-mail, mot de passe (haché), 2FA, sessions, journal de connexions (IP, user-agent). | Exécution du contrat (fourniture du service). | Éditeur / opérateur (Forge Network) ; hébergeur (Ikoula). | Durée de vie du compte, puis suppression sous 30 jours (sauvegardes purgées ensuite). |
| Facturation et paiement des abonnements | Identité de facturation, e-mail, historique d’abonnement et de paiement (via Stripe). | Exécution du contrat ; obligation légale (comptable et fiscale). | Forge Network (l’association encaisse elle-même) ; Stripe (prestataire de paiement). | 10 ans (pièces comptables, art. L.123-22 C. com.). |
| Facturation électronique et e-reporting des organisations | Identité de facturation des organisations (SIREN/SIRET, adresses), contenu des factures transmises, agrégats d’e-reporting. | Obligation légale (réforme de la facturation électronique) ; exécution du contrat. | Super PDP (plateforme agréée par l’administration fiscale) ; circuit officiel de l’administration. | 10 ans (archivage légal des factures). |
| Connexion bancaire des organisations (agrégation de comptes en lecture seule, formule Business) | Identifiants des comptes reliés (IBAN masqué), soldes, opérations bancaires (date, libellé, montant), correspondances avec les factures. Jamais les identifiants de connexion à la banque. | Exécution du contrat, sur activation explicite par l’organisation ; consentement de l’organisation recueilli par le prestataire agréé (DSP2, 180 jours renouvelables). | Bridge (agrégateur bancaire agréé) ; équipe conformité de l’association (accès cloisonné). | Durée de la connexion (révocable à tout moment) ; les opérations importées restent des pièces comptables de l’organisation (10 ans) et disparaissent avec elle. |
| Encaissements en ligne des organisations (Stripe Connect) | Identité du marchand (vérifiée par Stripe), événements de paiement, litiges et signalements, éléments d’examen des risques. | Exécution du contrat ; intérêt légitime (prévention de la fraude) ; obligations du prestataire de paiement. | Stripe ; équipe conformité de l’association (accès cloisonné). | Durée de la relation marchande, puis 5 ans (prévention de la fraude). |
| Support client (tickets, chat) | E-mail, contenu des messages, métadonnées de la demande. | Exécution du contrat ; intérêt légitime (qualité de service). | Équipe support de l’association (accès cloisonné). | Durée de la relation contractuelle, puis archivage 3 ans. |
| Envoi d’e-mails transactionnels | E-mail du destinataire, contenu (invitation, facture, notification), journaux d’envoi. | Exécution du contrat. | Serveur de messagerie de la plateforme (auto-hébergé, opéré par l’association). | Journaux d’envoi : 12 mois. |
| Fonctions d’assistance et de génération par IA | Contenus soumis aux fonctions IA (textes, images à analyser), compteurs d’usage (quotas). | Exécution du contrat (fonctionnalités IA des formules concernées). | Google (modèles Gemini — sous-traitant, cf. DPA et liste des sous-traitants). | Contenus non conservés par la plateforme au-delà du traitement ; journaux d’usage : 12 mois. |
| Noms de domaine et DNS des organisations | Identité du titulaire du domaine (nom, adresse, e-mail, téléphone) lors d’un achat ou d’une gestion de domaine. | Exécution du contrat. | OVH (bureau d’enregistrement et hébergement de zone DNS). | Durée d’enregistrement du domaine, puis obligations propres au bureau d’enregistrement. |
| Sécurité, prévention de la fraude et journalisation | Adresses IP, journaux d’erreurs et d’activité, limitation de débit. | Intérêt légitime (sécurité de la plateforme). | Éditeur / opérateur (Forge Network). | Journaux techniques : 12 mois maximum. |
| Marketplace développeurs (add-ons) | Compte développeur, identité de reversement (via Stripe Connect), publications. | Exécution du contrat (partage de revenus). | Forge Network ; Stripe (reversements). | Durée de la relation développeur, puis 10 ans pour les pièces comptables. |
Vos droits et l’export de vos données
Chaque organisation cliente peut exporter les données de son espace depuis Mon organisation → Confidentialité (RGPD) (portabilité). Chaque personne peut exporter les données de son compte depuis Mon compte. Pour toute demande relative à vos droits (accès, rectification, effacement, opposition), contactez le responsable via la politique de confidentialité.
Voir aussi : Politique de confidentialité · DPA · Sous-traitants.