Registre des activités de traitement

*RGPD article 30. Document interne, à tenir à jour et à présenter à la CNIL sur demande. Version 2026-08-19.*

Responsable de traitement : [dénomination], [adresse], [SIREN]
DPO : dpo@leftwords.com

T1 — Gestion des comptes utilisateurs

• Finalité : création, authentification et administration des comptes.
• Personnes : utilisateurs inscrits.
• Données : adresse e-mail, mot de passe haché (Argon2id), rôle, statut, horodatages.
• Base légale : exécution du contrat (art. 6.1.b).
• Destinataires : hébergeur, prestataire d'envoi d'e-mails.
• Conservation : durée du compte, puis 30 jours (période de rétractation), puis effacement.
• Mesures : hachage Argon2id, TLS 1.3, chiffrement au repos, cloisonnement des schémas.

T2 — Sécurité et prévention des abus

• Finalité : détection des attaques par force brute, limitation de débit, journal d'audit.
• Données : empreinte HMAC de l'adresse IP, agent utilisateur, compteurs d'échec.
• Base légale : intérêt légitime (art. 6.1.f) — sécurité du service. Balance : l'IP n'est jamais conservée en clair, la finalité est strictement défensive.
• Conservation : 12 mois.

T3 — Vérification du lien avec l'employeur

• Finalité : s'assurer que l'auteur a bien travaillé dans l'entreprise concernée.
• Données : adresse professionnelle (transitoire), domaine, code haché, SIREN visé.
• Base légale : exécution du contrat (art. 6.1.b).
• Conservation : 15 minutes, destruction immédiate à l'usage. Purge automatisée horaire.
• Mesures : table dédiée, aucun stockage de l'adresse au-delà de la vérification.

T4 — Publication et diffusion des témoignages

• Finalité : mise en ligne des témoignages et des agrégats par entreprise.
• Données : texte, notes, motifs, ancienneté, intitulé de poste, empreinte anti-doublon, empreinte du code de retrait.
• Base légale : exécution du contrat (art. 6.1.b).
• Particularité : aucun identifiant de compte n'est enregistré. Le contenu publié est considéré comme non identifiant (considérant 26), sous les réserves décrites dans la politique de confidentialité.
• Conservation : jusqu'au retrait par l'auteur ou par la modération.

T5 — Modération et traitement des signalements

• Finalité : traitement des notifications, décisions motivées, réclamations.
• Données : contenu signalé, motif, exposé, adresse du notifiant, décision et motifs.
• Base légale : obligation légale (art. 6.1.c) — DSA art. 16, 17 et 20 ; LCEN art. 6.
• Conservation : 6 mois après clôture, puis anonymisation statistique.

T6 — Preuve du consentement contractuel

• Données : version des documents acceptés, horodatage, empreinte de l'IP.
• Base légale : obligation légale (art. 6.1.c) et intérêt légitime probatoire.
• Conservation : 5 ans après la fin de la relation.

T7 — Espace entreprise et facturation

• Personnes : représentants des entreprises abonnées.
• Données : identité et fonction du contact, adresse professionnelle, SIREN, factures.
• Base légale : exécution du contrat (art. 6.1.b) et obligation comptable (art. 6.1.c).
• Conservation : 10 ans pour les pièces comptables (art. L123-22 du code de commerce).
• Destinataires : prestataire de paiement, expert-comptable.

T8 — Modération assistée par modèle de langage

• Finalité : détection de l'identification indirecte et des faux témoignages.
• Données transmises : le texte du témoignage seul. Aucune donnée de compte, aucune adresse, aucun identifiant.
• Base légale : obligation légale de modération (art. 6.1.c) et intérêt légitime.
• Sous-traitant : voir Sous-traitants. Traitement sans conservation ni entraînement sur les données transmises, garanti contractuellement.
• Conservation : la décision seule (accepté / à examiner / refusé) et ses motifs.

Violations de données

Procédure : détection → qualification sous 24 h → notification CNIL sous 72 h (art. 33) → information des personnes si risque élevé (art. 34) → inscription au registre des violations. Registre tenu séparément, y compris pour les violations non notifiables.