1. Responsable du traitement

Le responsable du traitement détermine les finalités et les moyens du traitement de vos données personnelles. Pour toute question relative à vos données, vous pouvez écrire au DPO ou directement à contact@dap98.com.

2. Données personnelles collectées

DAP98 collecte uniquement les données strictement nécessaires au fonctionnement du service. Aucune donnée sensible au sens de l'article 6 de la loi du pays NC (origine, opinions politiques, santé, vie sexuelle, etc.) n'est collectée.

3. Finalités & bases légales

Chaque traitement repose sur une base légale précise au sens de l'article 5 de la loi du pays NC :

Vous pouvez retirer votre consentement à tout moment sans que cela affecte la licéité des traitements effectués avant le retrait.

4. Durées de conservation

Au-delà de ces durées, les données sont anonymisées de façon irréversible ou supprimées. Une demande de suppression anticipée peut être adressée par email (voir §9).

5. Sous-traitants & destinataires

Vos données sont accessibles aux personnes habilitées de DAP98 (gérant, équipe opérationnelle) et à un nombre limité de sous-traitants, sélectionnés pour leurs garanties contractuelles et techniques :

DAP98 ne vend, ne loue et ne cède jamais vos données à des tiers commerciaux. Vos données ne sont communiquées à des tiers que dans les cas suivants :

• aux sous-traitants ci-dessus, strictement dans le cadre de l'exécution de leur prestation ;
• à l'autorité judiciaire ou administrative compétente, sur réquisition régulière ;
• à notre expert-comptable ou aux services fiscaux dans le cadre d'obligations légales.

6. Hébergement & localisation des données

Les données du site DAP98 sont hébergées dans plusieurs infrastructures distinctes :

• Firebase / Firestore (Google Cloud) : base de données principale (utilisateurs, devis, commandes). Région par défaut nam5 (multi-région États-Unis) telle que définie par le projet Firebase au moment de sa création. Les données peuvent transiter via les datacenters européens et nord-américains de Google.
• Firebase Storage (Google Cloud) : photos jointes aux demandes. Même région que Firestore.
• Hostinger (Chypre, UE) : code source du site, fichiers PHP, base de données Dolibarr (MySQL), backups SQL, journaux applicatifs.
• Stripe (Irlande, UE) : données de paiement et identifiants de transaction.

DAP98 n'héberge aucune donnée personnelle sur ses propres serveurs en Nouvelle-Calédonie. Tout est délégué à des prestataires reconnus disposant de garanties contractuelles et techniques solides.

7. Transferts hors territoire de la Nouvelle-Calédonie

La quasi-totalité des données étant traitée par des prestataires basés en Union européenne (Hostinger, Stripe, Meta Ireland, Google Ireland) ou aux États-Unis (Google LLC pour certaines régions Firebase), un transfert de données hors du territoire de la Nouvelle-Calédonie a effectivement lieu.

Ces transferts sont encadrés :

• par les Clauses Contractuelles Types (SCC) approuvées par la Commission européenne (décision 2021/914) pour les transferts hors UE ;
• par le Data Privacy Framework UE–États-Unis auquel Google LLC et Meta Platforms adhèrent ;
• par les certifications de sécurité des prestataires (ISO 27001/27017/27018, SOC 2 Type II, PCI-DSS) ;
• par le chiffrement systématique des données en transit (TLS 1.2+) et au repos (AES-256).

En créant un compte sur DAP98, vous êtes informé(e) de ces transferts et consentez à ce que vos données soient traitées dans ce cadre.

8. Sécurité technique & organisationnelle

DAP98 met en œuvre les mesures de sécurité suivantes :

Mesures techniques

• Chiffrement TLS 1.2/1.3 pour toutes les communications (HSTS activé, max-age 1 an) ;
• Chiffrement au repos AES-256 appliqué par Google Cloud et Hostinger ;
• Mots de passe hachés côté Firebase Auth (bcrypt + sel) ; aucun mot de passe en clair n'est jamais stocké ni transmis à DAP98 ;
• Règles d'accès Firestore strictes : un utilisateur ne peut lire/modifier que ses propres données ; les rôles administrateurs sont contrôlés serveur-side ;
• Authentification 2 facteurs côté administrateur (compte Google) ;
• Pare-feu applicatif Hostinger, headers de sécurité HTTP (CSP, X-Frame-Options, Permissions-Policy, Referrer-Policy) ;
• Limitation anti-abus : 3 recherches par jour pour les utilisateurs anonymes, journalisation des IP ;
• Sauvegardes chiffrées Dolibarr stockées en zone privée non publique du serveur ;
• Aucun stockage côté DAP98 du numéro de carte bancaire (délégation totale à Stripe).

Mesures organisationnelles

• Accès admin restreint à un nombre strictement limité de personnes habilitées ;
• Sensibilisation interne aux risques de phishing et d'ingénierie sociale ;
• Journal d'audit des actions administrateur (création, modification, suppression).

9. Vos droits

Conformément aux articles 36 et suivants de la loi du pays NC, et par engagement volontaire au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès : obtenir copie des données vous concernant ;
• Droit de rectification : corriger des données inexactes ou incomplètes ;
• Droit à l'effacement ("droit à l'oubli") : sous réserve des obligations comptables et légales en cours ;
• Droit à la limitation du traitement ;
• Droit à la portabilité : récupérer vos données dans un format structuré (JSON/CSV) ;
• Droit d'opposition au traitement fondé sur l'intérêt légitime ;
• Droit de retirer votre consentement à tout moment lorsque le traitement repose sur ce fondement ;
• Droit de définir des directives post-mortem relatives au sort de vos données après votre décès.

Pour exercer ces droits, écrivez à contact@dap98.com en joignant un justificatif d'identité (copie d'une pièce d'identité). Une réponse vous sera apportée dans un délai maximum de 30 jours. Voir aussi la page dédiée RGPD.

10. Cookies & stockage local

DAP98 utilise exclusivement des cookies et mécanismes de stockage local strictement nécessaires au fonctionnement du service. Aucun cookie publicitaire, aucun traceur tiers, aucun pixel marketing n'est déposé.

Ces cookies étant strictement nécessaires au service (article 8.II de la délibération CNIL 2020-091 — exception à l'obligation de consentement préalable), aucune bannière de consentement n'est légalement requise. Vous pouvez néanmoins effacer ces données à tout moment via les paramètres de votre navigateur.

11. Mineurs

Le service DAP98 s'adresse à un public majeur (18 ans révolus). En créant un compte, vous garantissez avoir l'âge légal pour conclure un contrat de vente. Aucun traitement spécifique de données de mineurs n'est volontairement effectué. Si nous apprenons qu'un compte a été ouvert par un mineur sans autorisation parentale, le compte sera immédiatement supprimé et les données associées effacées.

12. Profilage & décision automatisée

DAP98 n'effectue aucune décision entièrement automatisée produisant des effets juridiques ou affectant significativement l'utilisateur (au sens de l'article 39 de la loi du pays NC). Toutes les décisions commerciales (validation de devis, livraison, application de garantie, banissement) sont prises ou validées par une personne humaine habilitée.

Le service de limitation des recherches anonymes (3 par 24h) repose sur un seuil purement quantitatif et ne constitue pas un profilage.

13. Notification en cas de violation de données

En cas de violation de données personnelles susceptible d'entraîner un risque pour vos droits et libertés, DAP98 s'engage à :

• notifier la violation à la CNIL (autorité compétente en Nouvelle-Calédonie depuis 2019) dans un délai de 72 heures après en avoir pris connaissance ;
• vous en informer directement, par email, si la violation présente un risque élevé pour vos droits ;
• documenter la violation, son ampleur et les mesures prises pour y remédier.

14. Réclamation & contact

Si vous estimez que vos droits ne sont pas respectés, vous pouvez :

1. nous écrire en priorité à contact@dap98.com ou au DPO noumeacomputer@gmail.com ;
2. introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), autorité de contrôle compétente en Nouvelle-Calédonie :
   CNIL — 3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07, France
   Téléphone : +33 (0)1 53 73 22 22 · www.cnil.fr

15. Modifications de la présente politique

DAP98 se réserve le droit de modifier la présente politique pour refléter les évolutions légales, techniques ou organisationnelles. Toute modification substantielle vous sera notifiée par email et/ou par bandeau sur le site au moins 15 jours avant son entrée en vigueur. La version en vigueur est celle publiée à l'URL www.dap98.com/confidentialite.html.