Politique de confidentialité
Dernière mise à jour : 21 mai 2026 (version 1.3 — précision de la visibilité du numéro de téléphone personnel des élus)
En résumé
- Qui ? L'éditeur d'Orbite, particulier fondateur du service, est responsable du traitement de vos données.
- Pourquoi ? Pour vous fournir un outil de centralisation et de coordination de l'information communale, dans le cadre d'une phase de test (beta).
- Quoi ? Vos données d'identification (email, nom, prénom, rôle, commune), les contenus que vous déposez dans l'application, et des données techniques nécessaires au fonctionnement du service.
- Où ? Vos données sont stockées en région Union européenne (Irlande) et le traitement applicatif s'exécute en France (Paris). Aucun transfert technique de vos données hors de l'Union européenne pour le service Orbite.
- Combien de temps ? Tant que votre compte est actif, et au maximum 30 jours après suppression. Les comptes inactifs sont suspendus à 12 mois et supprimés à 24 mois.
- Vos droits ? Accès, rectification, effacement, opposition, portabilité, limitation. Demande à rgpd@orbite-elus.fr.
1. Qui est responsable du traitement ?
Le responsable du traitement de vos données personnelles dans le cadre du service Orbite est l'éditeur d'Orbite, particulier fondateur du service, agissant à titre personnel.
Contact RGPD : rgpd@orbite-elus.fr
Conformément à l'article 6.III.2 de la LCEN, l'éditeur, en sa qualité de personne physique non-professionnelle, a choisi de préserver son anonymat. Ses coordonnées complètes ont été communiquées à l'hébergeur et sont disponibles sur demande légitime à rgpd@orbite-elus.fr.
Le service est exploité à titre personnel, en dehors de toute fonction municipale.
2. Quelles données sont collectées et pourquoi ?
2.1 Données d'identification et de profil
| Donnée | Finalité | Base légale |
|---|---|---|
| Identification, connexion par lien magique, notifications | Exécution du service | |
| Nom et prénom | Identification dans l'application | Exécution du service |
| Commune de rattachement | Cloisonnement des données par commune | Exécution du service |
| Rôle municipal (maire, adjoint, conseiller…) | Application des droits et autorisations | Exécution du service |
| Camp politique (majorité / opposition) | Cloisonnement des informations confidentielles | Exécution du service |
| Date d'arrivée et de départ du mandat | Activation et désactivation automatique du compte | Exécution du service |
| Numéro de téléphone personnel (facultatif) | Affichage dans l'annuaire de l'équipe municipale et dans le planning d'astreintes, accessible en permanence aux autres élus de votre commune | Exécution du service (intérêt légitime des pairs élus à pouvoir vous joindre dans l'exercice du mandat) |
2.2 Contenus déposés dans l'application
Vous pouvez déposer dans Orbite des contenus liés à votre activité d'élu :
- Documents communaux (PV, ordres du jour, contrats, notes…)
- Convocations à des réunions
- Plannings d'astreinte
- Suivi de projets et de promesses
- Annuaire d'élus de votre commune
Ces contenus sont stockés exclusivement sur les serveurs Supabase en Irlande (Union européenne).
Vous restez propriétaire des contenus que vous déposez. L'éditeur ne les utilise pas à d'autres fins que la fourniture du service.
2.3 Données techniques de fonctionnement
| Donnée | Finalité | Conservation |
|---|---|---|
| Logs de connexion (date, heure) | Sécurité, détection d'anomalies | 6 mois |
| Logs d'audit (qui a fait quoi) | Traçabilité, sécurité | 12 mois |
| Adresse IP de connexion | Sécurité, lutte contre la fraude | 6 mois |
| Adresse IP de consentement | Preuve d'acceptation des CGU et de la politique (art. 7 RGPD) | Tant que le compte existe ; supprimée immédiatement à la suppression du compte |
2.4 Cookies et traceurs
Pendant la phase beta, l'application n'utilise aucun cookie publicitaire ni traceur d'analyse comportementale. Seuls des cookies strictement nécessaires au fonctionnement du service sont utilisés (cookies d'authentification de session).
Si cette politique évolue à l'avenir, un bandeau de consentement conforme aux recommandations de la CNIL sera mis en place.
3. Qui a accès à vos données ?
Vos données sont accessibles uniquement :
- À vous-même : pour l'ensemble de vos données ;
- Aux autres élus de votre commune : selon les règles métier d'Orbite (droits de visibilité par rôle, par commission, par camp politique). Un cloisonnement strict empêche les élus d'autres communes d'accéder à vos données. Si vous renseignez un numéro de téléphone personnel dans votre profil, celui-ci est visible en permanence par les autres élus de votre commune — notamment dans l'annuaire de l'équipe municipale et dans le planning d'astreintes. Vous pouvez supprimer ce numéro à tout moment depuis vos paramètres de profil ;
- À l'éditeur d'Orbite : pour les besoins d'administration technique, de support, de correction de bugs et d'amélioration du service. L'accès est strictement limité à ce qui est nécessaire ;
- Aux sous-traitants techniques listés au point 4 ci-dessous, uniquement pour les opérations techniques de stockage et d'envoi.
Vos données ne sont jamais vendues, louées ou transférées à des fins commerciales.
4. Sous-traitants et localisation des données
Pour fournir le service, l'éditeur fait appel aux sous-traitants suivants :
| Sous-traitant | Rôle | Localisation | Cadre juridique |
|---|---|---|---|
| Supabase Inc. | Base de données et stockage de fichiers | Irlande (eu-west-1) — UE | Conforme RGPD |
| Vercel Inc. | Hébergement applicatif et exécution du code | France (Paris, cdg1) — UE | Conforme RGPD — DPA + Clauses Contractuelles Types (SCC) |
| Resend Inc. | Envoi d'emails transactionnels | Irlande (eu-west-1) — UE | Conforme RGPD |
| GitHub Inc. | Hébergement du code source (sans données utilisateurs) | États-Unis | Data Privacy Framework UE-US |
Depuis le 18 mai 2026, l'ensemble du traitement applicatif d'Orbite s'exécute en région Paris (Union européenne). Aucun transfert technique de vos données utilisateurs n'a lieu hors de l'Union européenne.
Vercel Inc. reste une société de droit américain ; les éventuelles demandes d'accès à distance d'autorités étrangères (notamment dans le cadre du CLOUD Act américain) sont contractuellement encadrées par le Data Processing Agreement signé entre l'éditeur et Vercel, complété par des Clauses Contractuelles Types de la Commission européenne. À ce jour, aucune demande de ce type n'a été reçue.
GitHub Inc. héberge le code source du service (sans données utilisateurs) aux États-Unis, sous le cadre du Data Privacy Framework UE-US (décision d'adéquation de la Commission européenne du 10 juillet 2023). Cette localisation est sans incidence sur les données personnelles des utilisateurs, qui ne transitent jamais par GitHub.
5. Combien de temps vos données sont-elles conservées ?
| Type de données | Durée de conservation |
|---|---|
| Données de compte (actif) | Tant que le compte est actif |
| Données de compte (suppression demandée) | 30 jours maximum après la demande |
| Compte inactif | Suspension à 12 mois sans connexion, suppression à 24 mois |
| Logs de connexion et IP | 6 mois |
| Logs d'audit | 12 mois |
| Adresse IP de consentement | Supprimée à la suppression du compte |
| Enregistrement de consentement (sans IP) | 5 ans après suppression du compte (preuve art. 7) |
| Sauvegardes techniques | 30 jours glissants |
Au-delà des durées indiquées, les données sont supprimées de manière irréversible des bases actives. Des copies peuvent subsister jusqu'à 30 jours dans les sauvegardes techniques avant disparition complète.
6. Comment vos données sont-elles sécurisées ?
L'éditeur met en œuvre les mesures techniques et organisationnelles suivantes :
- Chiffrement : toutes les communications avec le service sont chiffrées en HTTPS/TLS. Les données stockées sont chiffrées au repos par les sous-traitants techniques.
- Authentification : connexion par lien magique envoyé par email, ou par mot de passe haché. Confirmation d'email obligatoire.
- Cloisonnement : les données sont cloisonnées par commune via un système de Row Level Security (RLS) au niveau de la base de données. Un élu ne peut techniquement pas accéder aux données d'une commune dont il n'est pas membre.
- Journalisation : toutes les actions sensibles (création, modification, suppression) sont enregistrées dans un journal d'audit non falsifiable.
- Sauvegardes : la base de données est sauvegardée quotidiennement par le sous-traitant Supabase.
- Accès restreint : seul l'éditeur dispose des accès d'administration. Aucun tiers n'a accès aux données utilisateurs.
Malgré ces mesures, aucun système informatique ne peut garantir une sécurité absolue. En cas de violation de données, l'éditeur s'engage à notifier la CNIL sous 72 heures et à informer les personnes concernées dans les meilleurs délais, conformément à l'article 33 du RGPD.
7. Quels sont vos droits ?
Conformément au RGPD, vous disposez des droits suivants sur vos données :
| Droit | Description |
|---|---|
| Accès | Obtenir une copie des données vous concernant |
| Rectification | Faire corriger des données inexactes |
| Effacement | Demander la suppression de vos données |
| Opposition | Vous opposer à un traitement |
| Portabilité | Récupérer vos données dans un format réutilisable |
| Limitation | Demander le gel temporaire d'un traitement |
| Retrait du consentement | Retirer votre consentement à tout moment |
Pour exercer vos droits, écrivez à rgpd@orbite-elus.fr en précisant votre demande et en joignant un justificatif d'identité si nécessaire. L'éditeur s'engage à répondre dans un délai d'un mois (extensible à trois mois en cas de demande complexe).
Réclamation : si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous avez le droit d'introduire une réclamation auprès de la CNIL :
Commission Nationale de l'Informatique et des Libertés (CNIL)3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
https://www.cnil.fr/fr/plaintes
8. Modifications de la présente politique
L'éditeur peut être amené à modifier la présente politique de confidentialité, notamment pour l'adapter à des évolutions techniques, réglementaires ou fonctionnelles du service.
Toute modification substantielle vous sera notifiée par email et fera l'objet d'une mention sur la page d'accueil de l'application.
La date de dernière mise à jour figure en haut du présent document.
9. Contact
Pour toute question relative à la présente politique de confidentialité ou au traitement de vos données personnelles :
L'adresse postale de l'éditeur est communicable sur demande écrite à rgpd@orbite-elus.fr dans le cadre de l'exercice de vos droits RGPD.