Version 1.0 — Date d'entrée en vigueur : [01/09/2026]
Document complémentaire : Charte d'utilisation d'Atheme HUB.
La présente politique informe les utilisateurs et les organisations clientes de la solution SaaS Atheme HUB des modalités de collecte, d'utilisation, de conservation et de protection des données personnelles, conformément au Règlement général sur la protection des données (RGPD — UE 2016/679).
Elle s'applique à toute personne disposant d'un accès à la plateforme. Elle est complétée par la Charte d'utilisation, qui définit les règles d'usage du service, et, pour les organisations clientes, par le contrat de sous-traitance (DPA) signé.
Atheme HUBdd
Adresse : 55 rue Ligier, 33000 Bordeaux
SIRET : 808 861 405 00013
Contact protection des données : [email RGPD]
Atheme HUB intervient à deux titres distincts, selon la nature des données concernées.
| Nature des données | Rôle d'Atheme HUB | Responsable de traitement |
|---|---|---|
| Contenus déposés par les utilisateurs dans le cadre de leur activité professionnelle (tableaux, documents, informations métier) | Sous-traitant | L'organisation cliente |
| Données de gestion du service : comptes utilisateurs, authentification, journalisation, sécurité, support, facturation, preuve d'acceptation des documents légaux | Responsable de traitement | Atheme HUB |
| Données de mise en relation dans le cadre des appels d'offres | Responsable de traitement | Atheme HUB |
Lorsqu'Atheme HUB agit en qualité de sous-traitant, les traitements sont encadrés par le DPA conclu avec l'organisation cliente. Les demandes d'exercice de droits portant sur ces données sont transmises à cette organisation, seule habilitée à en décider.
Aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions politiques, convictions religieuses, orientation sexuelle, données biométriques ou judiciaires) n'est traitée. Le dépôt de telles données sur la plateforme est interdit par la Charte d'utilisation.
| Finalité | Base légale |
|---|---|
| Fourniture du service et gestion des comptes utilisateurs | Exécution du contrat |
| Support technique et service client | Exécution du contrat |
| Sécurisation de la plateforme, journalisation des accès et des actions sensibles | Intérêt légitime (sécurité du service et des données) |
| Mise en relation dans le cadre des appels d'offres | Consentement de l'utilisateur, matérialisé par l'expression d'intérêt |
| Conservation de la preuve d'acceptation des documents légaux | Intérêt légitime (preuve) et obligation légale (accountability, art. 5.2 RGPD) |
| Amélioration continue du service | Intérêt légitime |
| Obligations comptables et fiscales | Obligation légale |
| Communications non contractuelles (newsletters) | Consentement |
Aucune donnée n'est cédée, louée ou revendue à des tiers.
Les accès et les actions réalisés sur la plateforme font l'objet d'une journalisation à des fins de sécurité, de traçabilité et d'audit. Sont identifiées et journalisées de manière spécifique les actions suivantes :
Chaque entrée comporte l'identifiant de l'auteur, la nature de l'action, l'objet concerné, la date et l'heure. Les journaux sont conservés neuf mois puis purgés automatiquement. Ils sont consultables par l'organisation cliente pour les besoins d'audit, dans les conditions prévues au DPA.
Lorsqu'un utilisateur exprime son intérêt pour un appel d'offres, les données suivantes sont transmises à l'organisation émettrice : nom, prénom, adresse email, organisation et expression d'intérêt.
Ces données sont supprimées automatiquement de la plateforme trente jours après la date limite de l'appel d'offres concerné. Cette suppression ne donne pas lieu à une notification individuelle : l'utilisateur en est informé par la présente politique et par un rappel affiché au moment où il exprime son intérêt.
Les échanges engagés en dehors de la plateforme à la suite d'une mise en relation relèvent de la responsabilité des parties concernées. Atheme HUB n'en est ni destinataire ni responsable.
| Catégorie de données | Durée de conservation |
|---|---|
| Données du compte utilisateur | Durée d'activité du compte |
| Données après fin de contrat | Suppression effective sous 45 jours maximum |
| Sauvegardes chiffrées | 90 jours |
| Journaux techniques et journaux d'actions sensibles | 9 mois |
| Données de mise en relation (appels d'offres) | 30 jours après la date limite de l'appel d'offres |
| Preuve d'acceptation des documents légaux | Durée du compte, puis [3] ans |
| Données de facturation | 10 ans (obligation légale) |
Les durées ci-dessus sont celles de la version signée du DPA. Les purges sont automatisées.
Lorsqu'un contrat est marqué comme terminé, un processus de suppression des données est déclenché automatiquement. La suppression est effective dans un délai maximum de 45 jours, sous réserve des obligations légales de conservation. Les sauvegardes chiffrées contenant les données concernées sont purgées dans un délai maximum de 90 jours. Un rapport de suppression est généré à l'issue du processus.
Avant le déclenchement de ce processus, l'organisation cliente peut demander la restitution de ses données plutôt que leur suppression directe. Les données sont alors restituées dans un format structuré, couramment utilisé et lisible par machine : le format JSON. La restitution s'effectue en autonomie depuis la plateforme ; Atheme HUB peut également transmettre à l'utilisateur titulaire du compte un lien sécurisé, à durée de validité limitée, permettant de récupérer l'archive.
Conformément aux articles 15 à 22 du RGPD, toute personne concernée dispose des droits suivants :
Ces droits s'exercent auprès de [email RGPD]. Une réponse est apportée dans un délai d'un mois à compter de la réception de la demande, prolongeable de deux mois en cas de complexité.
Lorsque la demande porte sur des données traitées par Atheme HUB en qualité de sous-traitant, elle est transmise sans délai à l'organisation cliente concernée, responsable du traitement.
Droit de réclamation. Toute personne estimant, après avoir contacté Atheme HUB, que ses droits ne sont pas respectés peut introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
La solution est hébergée par [nom de l'hébergeur], dont les centres de données sont situés [localisation].
La liste des sous-traitants ultérieurs est tenue à jour et communiquée aux organisations clientes. Toute modification fait l'objet d'une information préalable, dans les conditions prévues au DPA. Le DPA est disponible sur demande.
Atheme HUB met en œuvre des mesures techniques et organisationnelles adaptées au risque :
En cas de violation de données personnelles, Atheme HUB notifie la CNIL dans un délai de 72 heures lorsque la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes, et informe les personnes concernées lorsque le risque est élevé.
Lorsqu'Atheme HUB agit en qualité de sous-traitant, l'organisation cliente est informée sans délai injustifié afin de lui permettre de procéder aux notifications qui lui incombent.
La présente politique peut être modifiée. Chaque version est identifiée par un numéro et une date d'entrée en vigueur.
Toute modification substantielle donne lieu à une nouvelle demande d'acceptation par les utilisateurs, selon les modalités prévues par la Charte d'utilisation : écran de consentement à cases non pré-cochées, et blocage des fonctionnalités collaboratives jusqu'à acceptation. Les modifications mineures font l'objet d'une simple information.
Les utilisateurs peuvent consulter à tout moment, depuis leur profil, la version des documents qu'ils ont acceptée ainsi que la date de cette acceptation.
Pour toute question relative à la protection des données : [email RGPD]
Pour signaler une faille de sécurité : [email sécurité]