Politique de confidentialitéPolitique de confidentialité

COSPAL, société par actions simplifiée au capital de 4 001 000 euros, dont le siège social est situé 3 rue Chauveau-Lagarde, 75008 Paris, immatriculée au Registre du commerce et des sociétés de Paris sous le numéro 933 741 639, SIRET du siège 933 741 639 00019, numéro de TVA intracommunautaire FR50933741639, code APE 46.45Z, exerçant sous le nom commercial « COSPAL », est responsable du traitement des données personnelles collectées sur le portail Pro – COSPAL Connect.

Pour toute question relative à vos données : rubrique « Confidentialité » de votre espace, formulaire de contact ou par courrier postal : COSPAL, à l'attention du référent protection des données, 3 rue Chauveau-Lagarde, 75008 Paris.

Création et gestion du compte partenaire : nom, prénom, email (vérifié), téléphone (facultatif, vérifié par SMS), mot de passe (haché, jamais stocké en clair), fonction, code de rattachement à votre point de vente, langue, et la version des Conditions générales d'utilisation que vous avez acceptée, avec sa date.

Vie du compte : adresses de livraison et de facturation, historique de points (formation, bonus, commandes), commandes cadeaux, abonnement newsletter, journaux techniques de connexion et de sécurité.

Attribution des avantages : lorsqu'une commande en boutique cadeaux donne lieu à l'attribution d'un avantage à une personne dont COSPAL n'est pas l'employeur, nous collectons en complément votre numéro de sécurité sociale et l'identité de votre employeur. Ces données sont exclusivement destinées aux formalités déclaratives prévues à l'article L. 242-1-4 du code de la sécurité sociale (voir rubrique « Avantages attribués et obligations sociales »).

Formulaire de contact : nom, adresse email, objet, contenu du message et référence de suivi ; si vous êtes connecté, le message peut être accompagné du contexte de votre compte (fonction, code de rattachement, solde de points, état de vérification) afin que le support réponde sans vous le redemander — le détail exact vous est affiché avant l'envoi.

Module Animation (partenaires concernés uniquement) : animations déclarées, lignes de ventes, pièces justificatives déposées (photos de mise en avant, justificatifs de vente) et bilan de fin d'animation, qui peut comporter le nom et le prénom des personnes formées pendant l'animation.

Module Forecasts (distributeurs concernés uniquement) : prévisions de commandes, déclarations de ventes et de stocks, avec l'auteur et la date de chaque dépôt, ainsi que les noms et adresses des points de vente déclarés.

Module Ressources (utilisateurs concernés uniquement) : consultations, téléchargements et lectures des fichiers mis à disposition.

Journal d'audit : opérations effectuées sur le portail qui modifient des données, avec leur auteur et leur date.

Notifications push (si vous les activez) : identifiant technique d'abonnement fourni par votre navigateur et clés de chiffrement associées — jamais le contenu de vos notifications.

Mesure d'usage : rubrique consultée (libellé générique, jamais l'adresse exacte de la page), type d'événement et horodatage — sans adresse IP ni identifiant d'appareil.

Les champs obligatoires sont signalés comme tels lors de la collecte. À défaut de les renseigner, nous pourrons nous trouver dans l'impossibilité de vous fournir tout ou partie du service.

• Gestion du compte partenaire, de la cagnotte de points et des commandes cadeaux : exécution du contrat (programme partenaires).
• Suivi pédagogique des formations suivies et attribution des points associés : exécution du contrat.
• Traçabilité des opérations effectuées sur le portail (journal d'audit) : intérêt légitime et obligations comptables.
• Bilan des formations dispensées pendant une animation, y compris le nom des personnes formées : intérêt légitime (preuve des actions de formation menées).
• Recueil et suivi des prévisions, des ventes et des stocks des distributeurs (module Forecasts) : exécution du contrat ; intérêt légitime pour les points de vente déclarés.
• Suivi de la diffusion des ressources mises à disposition (module Ressources) : intérêt légitime.
• Traitement de vos demandes adressées au support via le formulaire de contact : exécution du contrat et intérêt légitime (qualité de service).
• Conservation comptable des commandes : obligation légale.
• Formalités déclaratives liées aux avantages attribués : obligation légale.
• Envoi de la newsletter et attribution du bonus associé : consentement, retirable à tout moment.
• Notifications push : consentement, retirable à tout moment depuis votre espace ou les réglages de votre navigateur.
• Sécurité du portail (vérifications par code, limitation de débit, protection anti-robot, prévention des abus) : intérêt légitime.
• Mesure d'usage de l'espace pro (statistiques d'engagement et d'adoption des modules, afin de prioriser les améliorations du service) : intérêt légitime.
• Contrôle de la sincérité des déclarations d'animation et de ventes : intérêt légitime (intégrité du programme).

La mesure d'usage est effectuée côté serveur, sans cookie ni traceur, sans profilage individuel ; vous pouvez vous y opposer à tout moment (voir « Vos droits »).

Les dotations produits et, le cas échéant, les chèques-cadeaux attribués via la boutique cadeaux constituent des avantages versés par une entreprise tierce à l'employeur du bénéficiaire. Ils relèvent à ce titre de l'article L. 242-1-4 du code de la sécurité sociale.

COSPAL prend en charge les formalités déclaratives et, le cas échéant, le règlement de la contribution libératoire ou des cotisations sociales correspondantes. En application du même article, COSPAL informe votre employeur des sommes et avantages qui vous ont été versés.

Ces avantages demeurent imposables à l'impôt sur le revenu selon les règles de droit commun des traitements et salaires.

Le numéro de sécurité sociale collecté à cette seule fin fait l'objet de mesures spécifiques : il n'est jamais affiché dans l'interface du portail, il est chiffré en base, et son accès est restreint aux seuls collaborateurs habilités des services comptabilité et administration du programme ainsi qu'à l'expert-comptable de COSPAL.

L'attribution des points et le calcul de votre cagnotte reposent sur des règles automatisées. Toute décision de suspension de compte, de retrait de points ou de rejet d'une déclaration fait en revanche l'objet d'un examen humain préalable, et vous pouvez présenter vos observations avant qu'elle ne devienne définitive.

COSPAL ne procède à aucun profilage publicitaire ni à aucune notation individuelle des partenaires.

Vos données sont destinées aux équipes internes habilitées de COSPAL (support, commercial, formation, administration du programme, comptabilité).

Elles sont traitées par nos sous-traitants et prestataires pour les seules finalités décrites :

• OVHcloud — hébergement, Union européenne ;
• Brevo — emails transactionnels, SMS de vérification et newsletter (cette dernière sur consentement) ;
• Shopify — préparation et expédition des commandes cadeaux Decléor et Saint-Gervais Mont Blanc ;
• B2Bylon — plateforme de formation e-learning ;
• Cloudflare — protection anti-robot du formulaire d'inscription et de contact ;
• IGN (Institut national de l'information géographique et forestière) — carte de l'adresse de livraison affichée à la confirmation d'une commande : votre navigateur charge le fond de carte auprès de l'IGN, qui reçoit votre adresse IP et la zone affichée ;
• API Adresse de l'État (Base Adresse Nationale, France) — pour placer l'adresse de livraison sur cette carte, le serveur du portail lui transmet la rue, le code postal et la ville, sans votre nom ni votre email ;
• Pluxee — émission et transmission des chèques-cadeaux dématérialisés.

Sont également destinataires, dans la limite stricte de ce qui est nécessaire : l'expert-comptable mandaté par COSPAL, les organismes publics compétents au titre de ses obligations légales (URSSAF, administration fiscale) et, pour la seule information prévue à l'article L. 242-1-4 du code de la sécurité sociale, votre employeur.

Si vous activez les notifications push, leur acheminement passe nécessairement par le service de notification de l'éditeur de votre navigateur ou de votre système (Google, Mozilla, Apple, Microsoft selon le cas) : seul l'identifiant technique d'abonnement et le message chiffré lui sont transmis.

COSPAL ne vend ni ne loue vos données personnelles.

Certains sous-traitants et prestataires (notamment Shopify, Cloudflare et les services de notification push) peuvent traiter des données en dehors de l'Union européenne. Ces transferts sont encadrés par des garanties appropriées au sens du chapitre V du RGPD (clauses contractuelles types de la Commission européenne, mesures complémentaires le cas échéant). Une copie de ces garanties peut être obtenue via le formulaire de contact.

• Compte actif : durée de la relation partenariale, puis anonymisation à la suppression du compte.
• Commandes et pièces comptables : 5 à 10 ans (obligations légales).
• Données collectées au titre des obligations sociales, dont le numéro de sécurité sociale : 3 ans à compter de l'année d'attribution de l'avantage, correspondant au délai de reprise applicable en matière de cotisations sociales, puis suppression.
• Journal d'audit des opérations effectuées sur le portail : 5 ans — il conserve l'identifiant de l'auteur de chaque opération et n'est donc pas effacé à la suppression du compte.
• Pièces justificatives d'animation : conservées avec les documents comptables associés ; les fichiers non rattachés à une animation finalisée sont purgés automatiquement.
• Noms des personnes formées pendant une animation : 3 ans, puis effacement automatique ; seul le nombre de personnes formées est conservé.
• Prévisions, ventes et stocks déclarés (module Forecasts) : durée de la relation avec le distributeur.
• Consultations et téléchargements des ressources : durée de la relation partenariale.
• Abonnements aux notifications push : jusqu'à désactivation, ou suppression dès que le navigateur signale que l'abonnement n'est plus valide.
• Journaux d'accès (reverse proxy) : 30 jours, à des fins de sécurité.
• Événements de mesure d'usage : 13 mois glissants, puis suppression automatique.
• Codes de vérification (email, SMS) : 15 minutes maximum, puis suppression automatique.
• Données du tunnel d'inscription non finalisé : 1 heure maximum, puis suppression automatique.
• Preuve du consentement aux cookies : 6 mois.

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, du droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci, ainsi que du droit de définir des directives post-mortem.

En particulier, vous pouvez vous opposer à tout moment à la mesure d'usage de l'espace pro, fondée sur l'intérêt légitime.

Exercez-les directement depuis la rubrique « Confidentialité » de votre espace (export de vos données au format JSON, suppression de compte) ou via le formulaire de contact. Nous répondons dans un délai d'un mois à compter de la réception de votre demande, prorogeable de deux mois en cas de complexité.

Portée de la suppression de compte : vos données d'identité et de contact sont anonymisées et votre accès est fermé. Restent conservées, parce que la loi ou la traçabilité l'exige : les pièces comptables des commandes, les données déclaratives liées aux avantages attribués pendant leur durée légale de conservation, et le journal d'audit des opérations effectuées sur le portail, qui conserve l'identifiant technique de leur auteur pendant cinq ans. Ces éléments ne permettent plus de vous recontacter.

Vous pouvez également introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

Le portail n'utilise que les cookies et le stockage local strictement nécessaires à son fonctionnement : session d'authentification, sécurité, préférence de langue, mémorisation de votre choix en matière de cookies et, dans la boutique, contenu de votre panier. Ils ne servent ni au profilage ni à la publicité.

Aucun cookie de mesure d'audience ni de marketing n'est déposé à ce jour : les catégories correspondantes du bandeau restent inactives. Si un tel outil venait à être déployé, il ne serait activé qu'après votre consentement, recueilli de manière libre et spécifique, le refus étant aussi simple que l'acceptation.

La mesure d'usage de l'espace pro décrite plus haut est réalisée côté serveur, sans cookie ni traceur.

Vous pouvez consulter et modifier vos choix à tout moment via « Gérer mes cookies » en pied de page ; l'état de votre consentement est également récapitulé au bas de cette page.

COSPAL met en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des échanges (TLS), mots de passe hachés, chiffrement en base des données les plus sensibles, vérification des emails et téléphones par code à usage unique, limitation de débit anti-abus, protection anti-robot, cloisonnement des accès par profil d'habilitation et journalisation.

Aucun système n'étant infaillible, signalez sans délai toute activité suspecte via le formulaire de contact. En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, vous en serez informé conformément à l'article 34 du RGPD.