Dernière mise à jour : 31 juillet 2026
La présente politique décrit la manière dont REP·Pro (Bachir Djebaili, entrepreneur individuel — ci-après « REP·Pro », « nous ») collecte, utilise et protège les données à caractère personnel des utilisateurs et clients de son service REP·Pro (ci-après le « Service »), conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »).
Le responsable de traitement est :
Double rôle. Selon le traitement concerné, REP·Pro agit soit comme responsable de traitement (données de son propre Service : comptes, prospects, facturation, sécurité), soit comme sous-traitant au sens de l'article 28 du RGPD lorsqu'un cabinet d'expertise comptable utilise la console pour traiter les données de ses propres clients. Dans ce dernier cas, REP·Pro traite ces données pour le compte et sur instruction du cabinet, qui demeure responsable de traitement ; ce cadre est formalisé par un accord de sous-traitance (DPA) conforme à l'article 28.
Compte tenu de la taille de la structure et de la nature des traitements, la désignation d'un délégué à la protection des données (DPO) n'est pas obligatoire à ce stade (art. 37 du RGPD) ; un point de contact dédié est mis à disposition pour toute question relative à vos données ou pour exercer vos droits.
Nous collectons et traitons les catégories de données suivantes :
| Catégorie | Exemples de données |
|---|---|
| Identité de l'entreprise cliente | Dénomination sociale, SIREN/SIRET, forme juridique, code APE, adresse, nom du dirigeant/représentant légal (issus notamment de l'API publique recherche-entreprises.api.gouv.fr) |
| Données de contact et de compte | Nom, prénom, fonction, adresse électronique, numéro de téléphone professionnel |
| Données d'authentification | Adresse email (OTP), secret/statut d'authentification à double facteur (TOTP), codes de secours (sous forme hachée), journaux de connexion |
| Données métier (emballages) | Nature, matériaux, quantités et poids d'emballages mis sur le marché, catégories de produits, données servant au calcul de l'éco-contribution |
| Données de facturation et de paiement | Coordonnées de facturation, historique d'abonnement et de factures, identifiant de transaction Stripe (les données complètes de carte bancaire sont traitées directement par Stripe et ne sont pas conservées par REP·Pro) |
| Données de déclaration | Contenu des déclarations préparées et, le cas échéant, déposées auprès d'un éco-organisme |
| Données techniques et d'usage | Adresse IP, logs, type de navigateur, données de navigation, cookies (voir Article 11) |
| Données de prospection / prospects (capture progressive et formulaire de contact) | Raison sociale, SIREN, nom, prénom, fonction, email et téléphone professionnels, site web, effectif ou tranche de chiffre d'affaires ; abonnement à la veille barème (opt-in distinct) ; éléments de diagnostic fournis volontairement (matériaux, tonnages, estimation d'éco-contribution, éco-organisme, IDU) servant à personnaliser l'accompagnement ; préférences de contact et historique d'échanges. Via le formulaire de contact qualifié (/contact) s'ajoutent : filières REP concernées, volumétrie approximative (tonnage, nombre de références), pays du siège, état de conformité et d'adhésion, besoin et échéance, message libre, et — pour les experts-comptables — taille du portefeuille et logiciel comptable. Un champ technique anti-robot (« honeypot ») peut figurer dans le formulaire : s'il est rempli, la demande est ignorée et aucune donnée n'est enregistrée. Base légale : mesures précontractuelles et/ou intérêt légitime pour répondre à une sollicitation entrante ; consentement pour la veille barème et la prospection marketing (optionnels, jamais requis pour utiliser le service). L'acceptation de la présente politique conditionne l'envoi du formulaire à titre d'information et ne vaut pas consentement au traitement. |
Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale déterminée :
| Finalité | Base légale |
|---|---|
| Création et gestion du compte, authentification (OTP / TOTP) | Exécution du contrat (art. 6.1.b) — fourniture du Service |
| Calcul de l'éco-contribution, préparation et dépôt de la déclaration REP | Exécution du contrat (art. 6.1.b) — la déclaration relève d'une obligation légale pesant sur le Client, dont REP·Pro facilite le respect |
| Facturation et gestion des abonnements | Exécution du contrat (art. 6.1.b) et obligation légale de conservation comptable (art. 6.1.c) |
| Sécurité du Service, prévention de la fraude, journalisation | Intérêt légitime (art. 6.1.f) — garantir la sécurité et l'intégrité du Service |
| Amélioration du Service, statistiques agrégées | Intérêt légitime (art. 6.1.f) |
| Répondre à une demande via le formulaire de contact (/contact) | Mesures précontractuelles (art. 6.1.b) et/ou intérêt légitime (art. 6.1.f) — traiter une sollicitation entrante B2B ; l'acceptation de la politique vaut information, non consentement au traitement |
| Prospection commerciale et communications marketing | Consentement (art. 6.1.a) lorsqu'il est requis ; intérêt légitime pour la prospection B2B de produits analogues auprès de clients existants, avec droit d'opposition |
| Veille réglementaire et alertes | Exécution du contrat (art. 6.1.b) et/ou consentement selon le canal |
| Cookies non essentiels (le cas échéant, si introduits à l'avenir) | Consentement (art. 6.1.a) |
Les données sont destinées aux services habilités de REP·Pro. Liste des sous-traitants et destinataires effectivement mobilisés à ce jour (au 31 juillet 2026), encadrés par des accords conformes à l'article 28 du RGPD. Cette liste est tenue à jour : toute évolution est publiée sur cette page.
| Destinataire / Sous-traitant | Rôle | Localisation & encadrement |
|---|---|---|
| Cloudflare, Inc. | Hébergement du site, CDN et exécution des fonctions serveur (API) | États-Unis — EU-US Data Privacy Framework et/ou clauses contractuelles types (CCT) |
| Supabase | Base de données, authentification et stockage des pièces (comptes, portefeuilles clients, déclarations) | Union européenne |
| Stripe (Stripe Payments Europe, Ltd.) | Prestataire de paiement et de facturation des abonnements | Irlande (UE) ; sous-traitants hors-UE encadrés par CCT/DPF. Les données de carte sont traitées par Stripe, jamais conservées par REP·Pro |
| API Sirene (INSEE) et recherche-entreprises.api.gouv.fr (DINUM) | Source publique de pré-remplissage des données d'entreprise (dénomination, SIREN/SIRET, dirigeant, code APE) | France / UE — données publiques (licence Ouverte Etalab 2.0) |
| Anthropic, PBC — assistant IA du site, lorsqu'il est activé | Traitement des messages échangés avec l'assistant du site (données éventuellement saisies volontairement par le visiteur) | États-Unis — clauses contractuelles types ; aucune donnée de compte ne lui est transmise |
Destinataire futur. Le ou les éco-organismes agréés (Citeo Pro, Léko Pro, Twiice) seront destinataires des données de déclaration uniquement en cas de dépôt, lorsque le portail de la filière sera ouvert. À ce jour, aucun dépôt n'est effectué en votre nom.
Connecteurs comptables non actifs. Les connecteurs (Pennylane, MyUnisoft, agrégateur Chift…) ne sont pas mobilisés à ce jour ; ils ne le seront qu'après connexion volontaire d'un cabinet, et cette liste sera alors mise à jour en conséquence.
Aucune donnée n'est vendue à des tiers. Les données peuvent être communiquées aux autorités administratives ou judiciaires lorsque la loi l'exige.
| Catégorie de données | Durée de conservation |
|---|---|
| Données de compte et d'identité | Durée de la relation contractuelle, puis suppression ou anonymisation dans un délai de 3 mois après clôture du compte |
| Données d'authentification et logs de connexion | 12 mois (sécurité) |
| Données métier (emballages) et déclarations | Durée de la relation contractuelle + durée nécessaire à la preuve de conformité, dans la limite de 6 ans (aligné sur les obligations liées à la déclaration) |
| Données de facturation et pièces comptables | 10 ans à compter de la clôture de l'exercice (obligation légale — art. L.123-22 Code de commerce) |
| Données de prospection (prospects) | 3 ans à compter du dernier contact resté sans suite |
| Consentement aux cookies (le cas échéant) | 13 mois maximum ; durée de vie des cookies conforme aux recommandations CNIL |
À l'issue de ces durées, les données sont supprimées ou anonymisées.
REP·Pro privilégie un hébergement et un traitement des données au sein de l'Union européenne. Lorsqu'un sous-traitant est susceptible de traiter des données en dehors de l'UE/EEE (par exemple certains services de Stripe ou d'infrastructure), le transfert est encadré par des garanties appropriées au sens des articles 44 et suivants du RGPD, notamment des Clauses Contractuelles Types (CCT) de la Commission européenne et/ou une décision d'adéquation, assorties de mesures supplémentaires le cas échéant. Une copie de ces garanties peut être obtenue auprès de notre point de contact « protection des données ».
REP·Pro met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données, notamment :
En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, REP·Pro notifie la CNIL dans les 72 heures et, le cas échéant, informe les personnes concernées, conformément aux articles 33 et 34 du RGPD.
Conformément au RGPD, vous disposez des droits suivants sur vos données :
Vous pouvez exercer ces droits en écrivant à notre point de contact « protection des données » (privacy@rep-pro.fr). Une preuve d'identité pourra être demandée en cas de doute raisonnable. Nous répondons dans un délai d'un mois, prolongeable de deux mois en cas de complexité.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
À ce jour, le Service ne dépose que des cookies strictement nécessaires à son fonctionnement et à sa sécurité (par exemple les cookies techniques de l'hébergeur Cloudflare et, dans l'espace connecté, les jetons de session). Aucun traceur de mesure d'audience, ni cookie marketing ou de personnalisation, n'est déposé : aucun consentement n'est donc requis et il n'existe pas de bandeau de consentement.
Si un traceur soumis à consentement (mesure d'audience, marketing) devait être introduit à l'avenir, un bandeau de recueil du consentement serait mis en place et la présente section serait mise à jour en conséquence. La durée de conservation d'un éventuel consentement serait alors de 13 mois maximum, conformément aux recommandations de la CNIL.
REP·Pro peut modifier la présente politique pour l'adapter aux évolutions légales ou du Service. La version applicable est celle publiée sur le Service à la date de la consultation. Les modifications substantielles sont notifiées aux clients.
Pour toute question : support@rep-pro.fr — REP·Pro, Bachir Djebaili, entrepreneur individuel.