Politique de confidentialité

Dernière mise à jour : 29 septembre 2026

1. Objet et champ d'application

Oursbl.eu SAS attache une importance particulière à la protection de la vie privée et des données personnelles. La présente politique explique quelles données nous collectons, pourquoi nous les collectons, combien de temps nous les conservons, avec qui nous les partageons et quels sont vos droits.

Elle s'applique :

• au site oursbl.eu et à ses sous-domaines ;
• à nos échanges commerciaux, contractuels et de support ;
• aux services que nous éditons et exploitons : Muppy, Manganese, Sunray et Odizy.

Elle est rédigée conformément au Règlement Général sur la Protection des Données (Règlement UE 2016/679, dit « RGPD ») et à la loi n°78-17 du 6 janvier 1978 modifiée, dite « Informatique et Libertés ».

Les mentions légales du site sont accessibles sur la page Mentions légales.

2. Qui est responsable de vos données ?

OURSBL.EU S.A.S., société par actions simplifiée au capital de 1 500 €, immatriculée au RCS de Grenoble sous le SIREN 844 900 332, dont le siège social est situé 1472 route de la Croix de May, 38160 Saint-Sauveur, France.

Contact pour toute question relative à la protection des données : [email protected].

Responsable de traitement ou sous-traitant ?

Cette distinction est essentielle pour comprendre nos obligations :

• Nous sommes responsable de traitement pour les données que nous collectons pour notre propre compte : visiteurs du site, prospects, clients, interlocuteurs de nos partenaires, candidats, comptes d'administration de nos services.
• Nous sommes sous-traitant, au sens de l'article 28 du RGPD, pour les données que nos clients hébergent ou traitent dans les environnements que nous exploitons pour eux (bases de données applicatives, environnements Manganese, instances Muppy, annuaires protégés par Sunray, projets Odizy). Nous n'accédons à ces données que sur instruction documentée du client, dans le cadre de l'exploitation, du support ou de la sécurité du service. Ces traitements sont encadrés par un accord de sous-traitance (DPA) conclu avec le client, qui reste responsable de traitement et seul interlocuteur des personnes concernées. Pour Odizy, cet accord correspond à la section 6.5 du contrat Odizy Enterprise, qui contient la description du traitement.

3. Quelles données traitons-nous ?

Nous ne collectons que les données nécessaires aux finalités décrites à l'article 4.

3.1 Visiteurs du site

• Données de mesure d'audience anonymes ou pseudonymisées (pages consultées, référent, type d'appareil, pays) — voir l'article 6 « Cookies ».
• Adresse IP et journaux techniques des serveurs web, à des fins de sécurité et de diagnostic.

3.2 Formulaire de contact et demandes commerciales

• Identité et coordonnées : nom, prénom, adresse e-mail, téléphone, société, fonction.
• Contenu du message : objet et corps de la demande.
• Données techniques associées à l'envoi : adresse IP, agent utilisateur, horodatage (lutte contre les envois automatisés et preuve de la demande).

3.3 Clients et prospects

• Coordonnées professionnelles des interlocuteurs.
• Données contractuelles et de facturation : devis, commandes, contrats, factures, règlements.
• Historique de la relation : échanges, tickets de support, comptes rendus.

3.4 Utilisateurs de nos services (Muppy, Manganese, Sunray, Odizy)

• Données de compte : identifiant, nom, e-mail professionnel, organisation, rôle et droits.
• Données d'authentification : empreintes de mots de passe, clés publiques SSH, clés WebAuthn/passkeys, jetons d'accès. Nous ne stockons jamais les mots de passe des utilisateurs en clair. Sur Odizy, les secrets utilisés par Muppy, comme les clés d'accès, sont chiffrés avec une clé maîtresse détenue par le seul client lorsqu'il active le vault de Muppy ; à défaut, ils sont stockés dans la base de données du client, dans les conditions prévues au contrat.
• Journaux d'activité et de sécurité : connexions, adresses IP, actions d'administration, événements système, métriques d'exploitation et de supervision.
• Données de facturation et de consommation des ressources.

3.5 Données que nous ne recherchons pas

Nous ne collectons pas volontairement de données sensibles au sens de l'article 9 du RGPD. Nos sites et services ne sont pas destinés aux mineurs de moins de 16 ans et nous ne collectons pas sciemment leurs données.

4. Pourquoi et sur quelle base légale ?

Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans que cela remette en cause la licéité du traitement effectué avant le retrait.

5. Combien de temps conservons-nous vos données ?

À l'issue de ces durées, les données sont supprimées ou anonymisées de manière irréversible. Les données confiées par nos clients dans le cadre d'un contrat de service suivent la durée définie dans le contrat et le DPA correspondant.

6. Cookies et mesure d'audience

Le site oursbl.eu ne dépose aucun cookie publicitaire, aucun cookie tiers et aucun traceur de réseau social. Nous n'utilisons ni Google Analytics, ni régie publicitaire, et nous ne revendons aucune donnée.

La mesure d'audience est assurée par une solution libre que nous hébergeons nous-mêmes sur notre propre infrastructure, en Europe. Elle fonctionne sans cookie et sans identifiant persistant : les mesures sont agrégées et ne permettent pas de vous identifier ni de vous suivre d'un site à l'autre. Aucune donnée de mesure d'audience n'est transmise à un tiers. Cloudflare traite les adresses IP des visiteurs pour acheminer et protéger le trafic du site. À ce titre, et conformément aux recommandations de la CNIL relatives aux solutions de mesure d'audience exemptées, aucun bandeau de consentement n'est requis.

Seuls des cookies strictement nécessaires au fonctionnement peuvent être déposés lors de l'utilisation de nos applications authentifiées (cookie de session, préférence de langue). Ils sont exemptés de consentement.

7. Qui a accès à vos données ?

Vos données sont destinées aux personnes habilitées d'Oursbl.eu SAS, dans la limite de leurs attributions. Elles ne sont ni vendues, ni louées, ni échangées.

Elles peuvent être communiquées à :

• nos sous-traitants techniques, uniquement pour ce qui est nécessaire à l'exécution du service ;
• nos conseils habituels (expert-comptable, avocat, commissaire aux comptes) ;
• les autorités administratives ou judiciaires, lorsque la loi nous y oblige.

Sous-traitants principaux

Cloudflare, Inc. : les sauvegardes sont stockées dans l'Union européenne, dans un espace de stockage soumis à la restriction de juridiction « Union européenne » de Cloudflare. Les services réseau reposent sur le réseau mondial de Cloudflare : chaque requête est traitée dans le centre de données qui la reçoit, en général proche de l'utilisateur, et les métadonnées de trafic, dont les adresses IP, sont traitées dans des centres de données situés aux États-Unis et en Europe. Les transferts vers Cloudflare, Inc. reposent sur sa certification au Data Privacy Framework UE–États-Unis et, si cette certification venait à cesser, sur les clauses contractuelles types de la Commission européenne intégrées à son accord de traitement des données.

Chaque sous-traitant est sélectionné pour ses garanties en matière de sécurité et de confidentialité, agit exclusivement sur nos instructions documentées et est lié par un contrat conforme à l'article 28 du RGPD. La liste à jour des sous-traitants peut être obtenue sur simple demande à [email protected].

8. Où sont hébergées vos données ?

La souveraineté numérique est au cœur de notre activité. Nos serveurs sont hébergés dans l'Union européenne par des sociétés françaises, OVHcloud et Scaleway, et les sauvegardes des instances Odizy sont stockées dans l'Union européenne.

Cloudflare, Inc. est une société américaine : elle reste soumise au droit des États-Unis, y compris aux procédures permettant aux autorités américaines d'exiger la communication de données, même stockées dans l'Union européenne. Son accord de traitement des données prévoit qu'elle nous informe de toute demande d'une autorité portant sur les données qu'elle traite pour notre compte, sauf interdiction légale, et qu'elle conteste en justice, jusqu'en appel, les demandes qu'elle identifie comme créant un conflit de lois. À la demande d'un client dont l'infrastructure est dédiée, Cloudflare peut être remplacé par un fournisseur de son choix.

Les transferts de données personnelles hors de l'Union européenne se limitent aux services réseau de Cloudflare, Inc., pour notre site et pour la Cloud Platform d'Odizy (voir section 7) : les métadonnées de trafic, dont les adresses IP, sont traitées dans ses centres de données aux États-Unis et en Europe. Ces transferts reposent sur la certification de Cloudflare au Data Privacy Framework UE–États-Unis et, si cette certification venait à cesser, sur les clauses contractuelles types de la Commission européenne.

9. Comment protégeons-nous vos données ?

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment :

• chiffrement des communications (TLS) sur l'ensemble de nos sites et services ;
• cloisonnement des environnements et des bases de données par client ;
• authentification forte des accès d'administration (clés SSH, passkeys WebAuthn via Sunray) ;
• gestion des habilitations selon le principe du moindre privilège ;
• journalisation, supervision et alerting des accès et des événements de sécurité ;
• sauvegardes régulières et procédures de restauration testées ;
• application des correctifs de sécurité et maintien en condition de sécurité.

L'hébergement de données de santé soumises à la certification Hébergeur de Données de Santé (HDS) ne fait pas partie de nos offres standard. Il peut être pris en charge en supplément, dans le cadre d'un contrat Enterprise qui en fixe les conditions. Le traitement d'autres données sensibles pour le compte d'un client fait l'objet d'un cadre spécifique défini au contrat.

Nous tenons un registre des activités de traitement, en qualité de responsable de traitement comme de sous-traitant, conformément à l'article 30 du RGPD.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous notifions la CNIL dans les 72 heures et informons les personnes concernées lorsque le risque est élevé, conformément aux articles 33 et 34 du RGPD.

Lorsque nous agissons en tant que sous-traitant, nous informons le client concerné dans les meilleurs délais après avoir pris connaissance de la violation, afin qu'il puisse lui-même notifier l'autorité de contrôle.

10. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Rectification : faire corriger des données inexactes ou incomplètes.
• Effacement : demander la suppression de vos données, dans les limites de nos obligations légales.
• Limitation : demander le gel temporaire du traitement.
• Opposition : vous opposer à un traitement fondé sur notre intérêt légitime, et à tout moment à la prospection commerciale.
• Portabilité : recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine.
• Retrait du consentement à tout moment, lorsque le traitement repose sur celui-ci.
• Directives post-mortem : définir le sort de vos données après votre décès.

Pour exercer ces droits, écrivez à [email protected] ou par courrier à Oursbl.eu SAS, 1472 route de la Croix de May, 38160 Saint-Sauveur, France. Nous pouvons vous demander un justificatif d'identité en cas de doute raisonnable sur votre identité. Nous répondons dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe.

Si vous êtes utilisateur d'un service exploité pour le compte de l'un de nos clients, adressez votre demande directement à ce client, qui en est le responsable de traitement. Nous l'assisterons dans le traitement de votre demande.

Vous avez également le droit d'introduire une réclamation auprès de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

11. Modifications de cette politique

Cette politique peut être amenée à évoluer pour refléter des changements de nos services, de nos sous-traitants ou du cadre réglementaire. La date de dernière mise à jour figure en tête de page. En cas de modification substantielle, nous informons les personnes concernées par un moyen approprié.

Pour toute question sur cette politique : [email protected].