Politique de Confidentialité

a) Données du Client (l'organisation)

• Données de compte — l'adresse e-mail de la personne désignée, le nom de l'organisation.
• Clé publique de chiffrement — générée et stockée pour le chiffrement E2E des signalements.
• Communications — le contenu des e-mails envoyés à notre attention, les demandes de support.

b) Données du lanceur d'alerte

c) Données collectées automatiquement (tableau de bord uniquement)

• Données techniques — adresse IP, type de navigateur (uniquement pour les utilisateurs authentifiés sur le tableau de bord).
• Cookies de session — conformément à la Politique de Cookies.

• Fourniture des Services — création et gestion du compte, exploitation du canal de signalement, chiffrement et stockage des signalements.
• Communications de service — notifications concernant les nouveaux signalements, l'expiration des délais légaux, les mises à jour de la Plateforme.
• Sécurité — protection de l'infrastructure, détection des utilisations abusives, prévention des accès non autorisés.
• Conformité juridique — respect des obligations légales (Directive (UE) 2019/1937, GDPR, législation fiscale).

Nous ne vendons pas, ne louons pas et ne partageons pas les données personnelles des utilisateurs avec des tiers à des fins de marketing.

Nous traitons les données personnelles sur les bases juridiques suivantes (art. 6 GDPR) :

• Données de compte — pendant la durée d'existence du compte et jusqu'à 30 jours après la demande de suppression.
• Signalements chiffrés — conformément à la politique de rétention du Client et aux obligations de la Directive (UE) 2019/1937 (minimum 5 ans à compter de la date du signalement).
• Données techniques (tableau de bord) — 12 mois maximum à compter de la collecte.
• Communications et demandes de support — 3 ans maximum à compter de la dernière communication.
• Données de facturation — 10 ans conformément à la législation fiscale roumaine (Loi n° 82/1991).

Les données personnelles peuvent être consultées ou traitées par les sous-traitants suivants :

Pour les transferts de données en dehors de l'EEE, nous nous appuyons sur les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne.

Important : Le contenu des signalements est chiffré E2E et n'est accessible à aucun sous-traitant.

Conformément au GDPR, vous bénéficiez des droits suivants :

• Droit d'accès (art. 15) — obtenir une copie des données personnelles traitées.
• Droit de rectification (art. 16) — corriger les données inexactes ou incomplètes.
• Droit à l'effacement (art. 17) — obtenir l'effacement des données dans les conditions prévues par la loi.
• Droit à la limitation du traitement (art. 18) — limiter le traitement dans certaines situations.
• Droit à la portabilité des données (art. 20) — recevoir les données dans un format structuré (JSON/CSV).
• Droit d'opposition (art. 21) — s'opposer au traitement fondé sur l'intérêt légitime.
• Droit de retrait du consentement (art. 7) — retirer le consentement à tout moment.
• Droit de ne pas faire l'objet d'une décision automatisée (art. 22) — y compris le profilage.

Pour exercer vos droits, envoyez un e-mail à contact@whistle-box.eu avec l'objet « Demande GDPR WhistleBox ».

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles :

• Chiffrement de bout en bout (E2E) du contenu des signalements.
• Chiffrement en transit (TLS 1.2+) pour toutes les communications avec le serveur.
• Les mots de passe sont stockés à l'aide d'algorithmes de hachage sécurisés (bcrypt avec sel).
• Accès restreint aux bases de données et à l'infrastructure, selon le principe du moindre privilège.
• Serveurs situés dans l'Union européenne (Hetzner Online GmbH, Allemagne).
• Sauvegardes régulières et chiffrées.
• Surveillance continue des accès et des anomalies.
• Authentification par jetons JWT à durée limitée.
• Les pages de signalement (/r/) ne définissent pas de cookies et ne collectent pas de données d'identification.

L'Opérateur peut mettre à jour la présente politique périodiquement. Les Utilisateurs seront notifiés par e-mail et/ou par une annonce sur la Plateforme au moins 15 jours avant l'entrée en vigueur des modifications significatives.