Les autres sections de la politique de confidentialité seront publiées prochainement.
Quand votre CSE vous invite sur Winaly, il nous transmet votre nom, votre prénom et votre adresse email. Nous les utilisons pour vous envoyer l'email d'invitation et ses relances, pour pré-remplir votre formulaire d'inscription et pour ne pas vous inviter deux fois. Les personnes qui administrent Winaly les voient, avec l'état de votre invitation.
Votre compte garde vos réponses aux questionnaires, vos éligibilités aux aides, vos démarches et votre conversation avec le Conseiller. Vous pouvez le supprimer à tout moment dans vos réglages, onglet Sécurité.
Si vous ne vous servez pas de votre compte pendant 24 mois, nous l'effaçons avec tout ce qu'il contient. Nous vous prévenons par email 30 jours avant, en vous donnant la date. Pour le garder, il vous suffit de vous connecter avant cette date. Si votre compte est suspendu, ou si votre CSE ou votre collectivité n'a plus accès à Winaly, vous ne pouvez plus vous connecter. Nous ne vous envoyons donc pas d'email, et nous effaçons votre compte 24 mois après votre dernière visite. Si vous essayez de vous connecter avec le bon mot de passe, l'écran de connexion vous dit que votre accès est suspendu et vous donne l'adresse où écrire pour récupérer vos données ou les faire supprimer sans attendre. Si vous étiez déjà connecté, nous vous déconnectons dès votre prochaine action.
Nous détruisons votre justificatif de domicile dès qu'il est vérifié ou rejeté, et ne gardons que la décision. Si votre compte est suspendu alors que votre justificatif attend encore sa vérification, nous le détruisons aussi. Si votre compte est rouvert, vous en déposez un nouveau.
Quand vous demandez un lien de réinitialisation du mot de passe, nous gardons votre adresse email et une empreinte du lien. Le lien expire au bout de 60 minutes. Nous l'effaçons dès que vous vous en servez, et nous effaçons chaque nuit les liens qui ont expiré.
Si l'envoi d'un de nos emails échoue, nous gardons une trace de l'échec pendant 30 jours. Elle contient ce qu'il fallait pour l'envoyer, par exemple l'identifiant interne de votre compte, votre prénom ou votre lien d'invitation. Elle contient aussi le message d'erreur du serveur d'emails, qui peut citer votre adresse email.
Quand une erreur survient, nous la notons dans le journal technique de Winaly, sur notre serveur. Une ligne peut contenir l'identifiant interne de votre compte et un message d'erreur qui cite des données que vous avez saisies. [À compléter par l'opérateur une fois LOG_STACK=daily et LOG_DAILY_DAYS=30 réglés en production. Laravel garde alors les 30 derniers fichiers du journal, un par jour où il écrit une ligne, donc un jour sans ligne allonge la durée. Texte prévu : « Nous gardons ce journal 30 jours. »]
Ces deux fonctionnalités vous aident à trouver les aides et les Moments de vie qui vous concernent. Elles reposent sur votre consentement, au sens de l'article 6.1.a du RGPD. Nous vous le demandons avant le premier usage et chaque fois que le texte de l'accord change. Si vous refusez, seules ces deux fonctionnalités restent fermées.
Elles passent par Mistral AI, notre sous-traitant d'intelligence artificielle, c'est-à-dire un prestataire qui traite ces données pour notre compte. [À confirmer par l'opérateur sur le DPA : la société, Mistral AI, établie en France.]
Pour le Conseiller, nous transmettons à Mistral AI ce que vous lui écrivez et ses réponses précédentes, les Moments de vie que vous avez déclarés et votre éligibilité aux aides. Pour la Recherche de moment, nous lui transmettons le texte que vous tapez et la liste des Moments de vie que vous n'avez pas encore déclarés. Cette liste laisse donc deviner ceux que vous avez déclarés.
Nous ne transmettons à Mistral AI ni votre nom, ni votre adresse email. Pour le Conseiller, nous retirons les Moments liés à la santé, au handicap ou à l'autonomie que vous avez déclarés, et votre éligibilité aux aides de ces Moments. [À trancher par l'opérateur : le Moment « Adapter mon logement pour y rester » n'est pas retiré aujourd'hui.] Ce que vous écrivez vous-même est transmis tel quel, même si vous y parlez de votre santé.
[À compléter par l'opérateur une fois le DPA de Mistral AI signé et sa console réglée. Où Mistral AI et ses propres sous-traitants traitent ces données. Pour un traitement hors de l'Union européenne, les garanties de transfert et le moyen d'en obtenir une copie. Combien de temps Mistral AI garde ces données, et s'il s'en sert pour entraîner ses modèles.]
Nous gardons votre conversation avec le Conseiller jusqu'à ce que vous retiriez votre accord ou que votre compte soit supprimé. Pour chaque réponse du Conseiller, nous gardons aussi une trace sans contenu, liée à votre compte. Elle note la date, le modèle d'IA, le volume de texte traité, la durée et le nom des outils que le Conseiller a utilisés pour lire le catalogue. Cette trace sert au quota quotidien de messages. Le modèle et le volume de texte servent aussi à suivre les coûts, mais aucun écran de Winaly ne les affiche aujourd'hui.
Vous pouvez retirer votre accord à tout moment, depuis l'onglet Profil de vos réglages. Nous effaçons alors la conversation et ces traces. Le retrait ne remet pas en cause ce que nous avons fait avec votre accord avant lui. Quand vous acceptez un nouveau texte, nous effaçons d'abord la conversation et les traces gardées sous l'accord précédent. Nous n'enregistrons pas le texte de la Recherche de moment.
Tant que votre accord est en cours, nous gardons sa date et la version du texte que vous avez acceptée, pour pouvoir prouver votre consentement. Quand vous retirez votre accord ou que votre compte est supprimé, nous les effaçons aussi.
Certaines aides dépendent de votre santé, d'un handicap ou d'une grossesse, pour vous ou pour une personne de votre foyer. Pour les évaluer, nous vous posons des questions sur ces sujets et nous gardons vos réponses. Ces données sont sensibles au sens de l'article 9 du RGPD. Nous ne les traitons qu'avec votre consentement explicite, au sens des articles 6.1.a et 9.2.a du RGPD, et nous nous en servons pour évaluer votre éligibilité aux aides qui en dépendent.
Nous vous demandons votre accord au début de l'Onboarding, avant la première question. Tant que vous n'avez pas répondu, nous faisons comme si vous aviez refusé. Si vous refusez, nous ne vous posons aucune de ces questions et nous n'évaluons pas les aides qui en dépendent. Nous ne vous proposons pas non plus les Moments de vie de la famille « Santé, handicap & autonomie », ni « Accompagner mon enfant en situation de handicap » et « Me déplacer avec un handicap », puisque les déclarer en dirait autant. « Adapter mon logement pour y rester » et « Préparer l'arrivée de mon enfant » restent proposés, car les déclarer ne dit pas de qui la santé est en jeu. Le reste de Winaly fonctionne normalement.
Si vous avez aussi donné votre accord au Conseiller IA, le Conseiller reçoit, au titre de cet autre accord, votre éligibilité aux aides qui ne relèvent d'aucun de ces Moments de vie, y compris certaines aides qui dépendent de vos réponses sur la santé, et il la transmet à Mistral AI. Vos réponses elles-mêmes ne lui sont pas transmises.
Vous pouvez changer d'avis à tout moment, depuis l'onglet Profil de vos réglages. Si vous retirez votre accord, nous effaçons vos réponses à ces questions et nous retirons de vos Moments de vie ces mêmes Moments. Nous recalculons ensuite votre éligibilité sans ces réponses. Le retrait ne remet pas en cause ce que nous avons fait avec votre accord avant lui.
Le retrait n'efface pas votre conversation avec le Conseiller, qui dépend de son propre accord. Il n'efface pas non plus les démarches que vous avez engagées, même pour une aide liée à votre santé. [À valider par l'opérateur : garder ces démarches après un retrait, décision 6 du 21/10 sur l'issue #380.]
Nous gardons vos réponses jusqu'à ce que vous retiriez votre accord ou que votre compte soit supprimé. Tant que votre compte existe, nous gardons aussi votre choix, sa date et la version du texte que vous avez acceptée ou refusée, pour pouvoir prouver votre consentement. Ils sont effacés avec votre compte.
Vos droits sur ces réponses : vous pouvez les consulter et les télécharger avec l'export de vos données, dans l'onglet Profil de vos réglages. Vous pouvez les effacer en retirant votre accord ou en supprimant votre compte, et retirer votre accord à tout moment. Vous pouvez aussi adresser une réclamation à la CNIL. Pour exercer vos autres droits, écrivez à [contact du DPO, à désigner par l'opérateur, la même adresse que DPO_EMAIL].
[À trancher par l'opérateur : le responsable de ce traitement, et si l'hébergement de ces données relève de la certification d'hébergeur de données de santé (HDS).]
Le journal note quand une personne qui administre Winaly consulte ou télécharge votre justificatif de domicile, le vérifie ou le rejette. Il note aussi quand elle archive ou désarchive votre compte, ou modifie votre nom, votre prénom ou votre adresse email. Pour chaque geste, nous enregistrons qui l'a fait, quel geste et quand. Ces lignes ne contiennent ni votre justificatif, ni ce qui a été modifié, ni aucune adresse IP. Ouvrir votre fiche sans ouvrir votre justificatif ne laisse pas de ligne.
Ces lignes servent à contrôler les accès à vos données et à répondre à une demande d'accès. Les personnes qui administrent Winaly peuvent les lire. [À trancher par l'opérateur : la base légale de ce traitement. Si c'est l'intérêt légitime, décrire ici l'intérêt poursuivi et comment vous y opposer.] Nous les gardons un an, puis elles sont supprimées automatiquement. Si votre compte est supprimé, ces lignes restent, sans être reliées à vous. Le journal garde le nom de la personne qui a fait chaque geste, même si son compte d'administration est supprimé ensuite.
Les comptes qui permettent d'administrer Winaly sont protégés par une double authentification obligatoire. Après son mot de passe, la personne saisit un code à usage unique, généré par une application d'authentification, ou l'un de ses codes de secours, qui ne servent qu'une fois.
Pour freiner les abus, nous comptons certaines demandes pendant une minute, et nous refusons celles qui dépassent la limite jusqu'à la fin de cette minute. Pour l'inscription, nous comptons les demandes qui viennent d'une même adresse IP, 10 au plus. Pour recevoir un lien de réinitialisation du mot de passe, nous comptons les demandes qui viennent d'une même adresse IP, 10 au plus. Nous comptons aussi celles qui visent une même adresse email depuis une même adresse IP, 3 au plus. Pour la connexion, nous comptons les essais pour une même adresse email depuis une même adresse IP, 5 au plus. Ces compteurs gardent une empreinte de votre adresse IP, et de votre adresse email quand ils la comptent.
Après un essai de connexion manqué, un second compteur garde votre adresse email et votre adresse IP en clair. Votre prochaine connexion réussie avec la même adresse email depuis la même adresse IP l'efface. Chaque compteur expire au bout d'une minute, et nous effaçons chaque nuit ceux qui ont expiré. [À trancher par l'opérateur : la base légale de ces compteurs. Si c'est l'intérêt légitime, décrire ici l'intérêt poursuivi et comment vous y opposer.]
Pour détecter les pannes et les lenteurs, nous envoyons des données techniques à Nightwatch, un service de [À confirmer par l'opérateur sur le DPA : Laravel Holdings Inc., société établie aux États-Unis]. Nightwatch reçoit :
/mes-aides/{aid} ;
Il ne reçoit ni votre nom, ni votre adresse email, ni votre adresse IP. Il ne reçoit pas non plus le contenu de vos cookies, l'adresse de la page d'où vous venez, le contenu des formulaires ni les destinataires des emails.
Pour les erreurs du calcul des aides, du Conseiller, de la base de données et de l'envoi des emails, il ne reçoit pas le message. Ce message pourrait citer vos réponses, vos questions au Conseiller ou vos données de compte. Seule exception pour la base de données, le message d'un conflit entre deux écritures simultanées peut lui parvenir. Il ne cite alors que des références internes. Pour les autres erreurs, il reçoit aussi le message.
Il reçoit parfois le chemin d'une page tel qu'il a été saisi, sans ses paramètres. C'est le cas pour une adresse qui ne correspond à aucune page, pour une page appelée d'une manière qu'elle n'accepte pas, et pour toute page ouverte pendant une maintenance. Ce chemin peut alors contenir un code secret, comme celui d'un lien de réinitialisation du mot de passe, d'invitation ou d'opposition. Il peut aussi contenir l'empreinte de votre adresse email que porte le lien de vérification.
[À trancher par l'opérateur : la base légale de ce traitement. Si c'est l'intérêt légitime, décrire ici l'intérêt poursuivi et comment vous y opposer.] [À compléter par l'opérateur : la durée de conservation chez Nightwatch, celle de l'offre souscrite.] [À compléter par l'opérateur une fois l'application de production créée en région UE et le DPA signé : la région d'hébergement, les garanties de transfert et le moyen d'en obtenir une copie.]
[À compléter par l'opérateur : le nom et le pays de l'hébergeur de Winaly, qui stocke les données décrites sur cette page. Le nom et le pays du fournisseur qui envoie nos emails, dont l'invitation, ses relances et le lien de réinitialisation du mot de passe. Pour un pays hors de l'Union européenne, les garanties de transfert et le moyen d'en obtenir une copie.]