Politique de confidentialité
Dernière mise à jour : 19 octobre 2026
1. Objet
La présente Politique de confidentialité informe les utilisateurs du site www.ciblemut.net, les prospects, clients, partenaires et candidats de la manière dont CIBLEMUT (ci-après « le Prestataire ») collecte, utilise, protège et conserve leurs données personnelles, conformément :
- au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) ;
- à la loi n° 78-17 du 6 janvier 1978 modifiée, dite « Informatique et Libertés » ;
- à l'article L. 34-5 du Code des postes et des communications électroniques (prospection électronique) et à l'article 82 de la loi Informatique et Libertés (cookies).
2. Responsable de traitement et DPO
Responsable de traitement : CIBLEMUT, SARL au capital de 22 500 euros,
RCS Antibes 515 382 703,
dont le siège social est situé 520, allée des Colibris - 06410 Biot - France.
Téléphone : +33 (0)6 61 58 83 51
E-mail : contact@ciblemut.net
Délégué à la protection des données (DPO) : M. Frédéric Ryckebusch - dpo@ciblemut.net
Rôle du Prestataire
- Le Prestataire agit en tant que responsable de traitement pour ses propres besoins (gestion du Site, prospection, relation client, gestion contractuelle et administrative, recrutement, sécurité de ses systèmes).
- Le Prestataire agit en tant que sous-traitant (article 28 du RGPD) lorsqu'il traite des données pour le compte de ses clients mutuelles dans le cadre de ses progiciels et prestations. Ces traitements sont encadrés par un accord de traitement des données conclu avec chaque client ; la mutuelle concernée reste responsable de traitement et les personnes concernées (adhérents, bénéficiaires...) doivent exercer leurs droits auprès d'elle. Le Prestataire transmet sans délai au client toute demande qui lui serait adressée directement.
La présente politique porte sur les traitements dont le Prestataire est responsable.
3. Données collectées et finalités
| Catégorie de données | Exemples | Finalités |
|---|---|---|
| Identification et contact | Nom, prénom, société, fonction, e-mail, téléphone | Réponse aux demandes (formulaire de contact, S.O.S), gestion des clients et prospects, contractualisation, support |
| Données professionnelles | Fonction, service, identifiants logiciels | Support utilisateur, configuration et exploitation des progiciels |
| Connexion et sécurité | Journaux (logs), adresse IP, données d'authentification | Sécurité des systèmes d'information, traçabilité, audit, gestion des accès et des incidents |
| Données techniques | Données d'exploitation et de supervision | Exploitation, maintenance, supervision, continuité d'activité |
| Communications commerciales | Numéro de mobile, e-mail, historique d'envoi, opposition (STOP) | Envoi d'informations et d'offres par RCS, SMS ou e-mail, gestion des oppositions |
| Données de facturation | Coordonnées de facturation, factures, règlements | Gestion comptable et fiscale |
| Candidatures | CV, lettre de motivation, coordonnées | Gestion des recrutements (rubrique « Emploi - Carrière ») |
| Cookies | Cookies strictement techniques (session, sécurité) | Fonctionnement du Site ; ces cookies ne requièrent pas de consentement |
| Mesure d'audience | Pages consultées, clics sur les liens et les boutons, envoi des formulaires, adresse IP tronquée, type de navigateur et d'appareil, site de provenance | Statistiques de fréquentation et amélioration du Site ; cette mesure ne dépose aucun cookie et ne requiert pas de consentement (voir l'article 9) |
Les données marquées comme obligatoires dans les formulaires sont nécessaires au traitement de votre demande ; à défaut, celle-ci ne pourra pas être traitée.
Le Prestataire ne traite pour son propre compte aucune donnée sensible au sens de l'article 9 du RGPD. Les données des progiciels de ses clients mutuelles, qui peuvent inclure des données de santé, sont traitées uniquement en qualité de sous-traitant, sur instruction documentée du client, et ne sont jamais exploitées à des fins commerciales. Lorsque cela est requis, leur hébergement est confié à un hébergeur certifié HDS (article L. 1111-8 du Code de la santé publique).
Aucune donnée n'est vendue ni louée. Les données peuvent uniquement être communiquées aux destinataires mentionnés à l'article 5. Aucune décision fondée exclusivement sur un traitement automatisé, y compris le profilage, n'est prise à votre égard.
4. Bases légales
| Traitement | Base légale (art. 6.1 RGPD) |
|---|---|
| Gestion des clients, contrats, support et maintenance | Exécution du contrat ou de mesures précontractuelles (b) |
| Réponse aux demandes de contact et S.O.S | Mesures précontractuelles (b) ou intérêt légitime à répondre aux sollicitations (f) |
| Prospection commerciale auprès de professionnels | Intérêt légitime (f), avec droit d'opposition à tout moment |
| Sécurité des systèmes, journalisation, continuité d'activité | Intérêt légitime (f) et engagements contractuels envers les clients (b), notamment au titre du règlement DORA |
| Facturation et comptabilité | Obligation légale (c) |
| Recrutement | Mesures précontractuelles (b) |
| Mesure d'audience du Site | Intérêt légitime (f) à connaître la fréquentation du Site et à l'améliorer |
Règlement DORA
Les mutuelles clientes du Prestataire sont soumises au règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA). En tant que prestataire de services TIC, le Prestataire s'engage contractuellement auprès d'elles à respecter les exigences qui en découlent (sécurité, gestion des incidents, continuité, maîtrise de la sous-traitance), ce qui justifie certains des traitements de sécurité décrits ci-dessus.
5. Destinataires
Les données sont destinées aux seuls services habilités du Prestataire. Elles peuvent être communiquées, dans la stricte limite de leurs missions :
- à nos sous-traitants techniques (hébergement : OVH SAS, Roubaix - France ; outil de ticketing ; prestataire d'envoi de messages RCS/SMS ; outils de messagerie) ;
- à nos conseils (expert-comptable, avocats, commissaires aux comptes) ;
- aux autorités administratives ou judiciaires, lorsque la loi l'exige.
6. Sous-traitance et transferts hors UE
Toute sous-traitance fait l'objet :
- d'un contrat conforme à l'article 28 du RGPD ;
- de garanties de sécurité au moins équivalentes à celles décrites à l'article 8, y compris au regard des exigences DORA.
Les données sont hébergées au sein de l'Union européenne. Aucun transfert hors de l'Union européenne n'est réalisé sans garanties appropriées au sens des articles 44 et suivants du RGPD (décision d'adéquation ou clauses contractuelles types de la Commission européenne). Une copie de ces garanties peut être obtenue auprès du DPO.
La liste des fournisseurs critiques peut être communiquée sur demande.
7. Durées de conservation
| Données | Durée de conservation |
|---|---|
| Demandes de contact sans suite | 3 ans à compter du dernier contact |
| Prospects | 3 ans à compter du dernier contact émanant du prospect |
| Clients | Durée de la relation contractuelle, puis 5 ans en archivage intermédiaire (prescription, art. 2224 du Code civil) |
| Pièces comptables et factures | 10 ans (art. L. 123-22 du Code de commerce) |
| Comptes utilisateurs des progiciels | Durée du contrat ; suppression à son terme ou sur demande du client |
| Journaux techniques et de sécurité | 6 à 12 mois, et jusqu'à 24 mois lorsque la criticité du système ou une obligation contractuelle le justifie |
| Liste d'opposition (STOP) | 3 ans à compter de l'opposition |
| Candidatures non retenues | 2 ans après le dernier contact, sauf opposition du candidat |
| Données de mesure d'audience | 25 mois à compter de la visite |
| Sauvegardes | Durées définies par la politique de sauvegarde et le plan de continuité / reprise d'activité (PCA-PRA) |
Au-delà de ces durées, les données sont supprimées ou anonymisées.
8. Sécurité
Le Prestataire met en œuvre des mesures techniques et organisationnelles appropriées (article 32 du RGPD), notamment :
- chiffrement des données au repos et en transit ;
- contrôle des accès fondé sur les rôles (RBAC) ;
- journalisation et traçabilité des actions sensibles ;
- supervision et détection des incidents ;
- sauvegardes régulières, cloisonnées et hors site.
Dans le cadre de ses engagements DORA envers ses clients, le Prestataire documente son architecture, ses services informatiques et sa chaîne de sous-traitance, et assure une gestion des risques opérationnels numériques.
En cas de violation de données présentant un risque pour les personnes, le Prestataire notifie la CNIL dans les 72 heures et, le cas échéant, informe les personnes concernées (articles 33 et 34 du RGPD). Lorsqu'il agit en qualité de sous-traitant, il en informe sans délai le client responsable de traitement.
9. Cookies
Lors de votre visite, seuls des cookies strictement nécessaires au fonctionnement et à la sécurité du Site peuvent être déposés sur votre terminal. Conformément à l'article 82 de la loi Informatique et Libertés, ils ne requièrent pas votre consentement.
Mesure d'audience
Le Site mesure sa fréquentation avec Matomo, un outil de mesure d'audience que le Prestataire héberge lui-même, à l'adresse analytics.ciblemut.fr. Les données collectées ne sont transmises ni à l'éditeur de Matomo ni à aucun tiers.
Cette mesure est configurée selon les recommandations de la CNIL pour être dispensée de consentement :
- elle ne dépose aucun cookie sur votre terminal ;
- votre adresse IP est tronquée de ses deux derniers octets avant tout enregistrement ;
- les données servent uniquement à produire des statistiques de fréquentation anonymes du Site, et ne sont ni recoupées avec d'autres traitements ni utilisées pour vous suivre sur d'autres sites ;
- elles sont conservées 25 mois au plus.
Vous pouvez vous opposer à cette mesure en activant le réglage « Ne pas me pister » (Do Not Track) de votre navigateur : le Site ne mesure alors plus vos visites. Pour toute question sur cette mesure, vous pouvez écrire au DPO, dans les conditions de l'article 10.
10. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- droit d'accès, de rectification et d'effacement ;
- droit à la limitation du traitement ;
- droit d'opposition, notamment à la prospection commerciale (à tout moment, sans motif, y compris en répondant STOP aux messages RCS/SMS) ;
- droit à la portabilité de vos données ;
- droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).
Pour exercer vos droits : par e-mail à dpo@ciblemut.net ou par courrier à CIBLEMUT - DPO - 520, allée des Colibris - 06410 Biot. Un justificatif d'identité peut vous être demandé en cas de doute raisonnable.
Une réponse vous sera apportée dans un délai d'un mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes ; vous en serez alors informé(e).
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : 3, place de Fontenoy - TSA 80715 - 75334 Paris Cedex 07 - www.cnil.fr.
Si vos données sont traitées par le Prestataire pour le compte de votre mutuelle, adressez vos demandes en priorité à celle-ci (voir article 2).
11. Mise à jour de la politique
La présente politique peut être modifiée afin de tenir compte des évolutions légales, réglementaires ou techniques. La version en vigueur est celle publiée sur le Site, avec sa date de mise à jour. En cas de modification substantielle, les personnes concernées en seront informées par tout moyen approprié.
Voir aussi : Mentions légales · Conditions Générales de Vente et d'Utilisation (CGVU)