Politique de confidentialité

1. Responsable du traitement

TurboCereal SCIC SAS — voir adresse complète dans les mentions légales.
Délégué à la protection des données (DPO) : contact@turbocereal.com (en cours de nomination)

2. Données collectées

Nous collectons et traitons les catégories de données suivantes :

Données d'identité

• Nom, prénom, date de naissance
• Email, téléphone, adresse postale
• Pour les personnes morales : raison sociale, SIRET, forme juridique

Données KYC (Know Your Customer)

• Pièce d'identité (CNI, passeport)
• Justificatif de domicile (- 3 mois)
• RIB / IBAN pour les souscriptions et le versement des ristournes ou intérêts aux parts
• Pour les personnes morales : KBIS, statuts, bilan

Données financières

• Montants souscrits, parts détenues, collège de vote
• Mouvements du compte courant d'associé (CCA)
• Historique des ristournes et intérêts aux parts versés
• Bulletins de souscription de parts sociales et pièces justificatives associées

Données métier (agriculteurs)

• Parcelles RPG (Telepac), assolement, interventions phytosanitaires
• Stocks, livraisons, contrats de vente
• Données géolocalisées des bâtiments d'exploitation

Données techniques

• Adresse IP, type de navigateur, système d'exploitation
• Historique de connexion (date, heure, durée)
• Cookies techniques et mesure d'audience (voir § 6)

3. Finalités du traitement

• Gestion du sociétariat : inscription, KYC, attribution du collège de vote, suivi du capital
• Obligations légales : registre des associés (art. L. 211-2 C. mon. fin.), TRACFIN (anti-blanchiment), déclarations fiscales
• Exécution du contrat : souscriptions, livraisons grain, paiements, ristournes et intérêts aux parts
• Vie coopérative : assemblées générales, votes, communication aux sociétaires
• Sécurité : prévention de la fraude, lutte contre le blanchiment
• Amélioration du service : mesure d'audience agrégée (Vercel) et, avec votre accord, statistiques de fréquentation (Metricool)

4. Base légale du traitement

• Exécution du contrat (art. 6.1.b RGPD) : pour la gestion de votre souscription et des prestations associées
• Obligation légale (art. 6.1.c RGPD) : pour la conservation des justificatifs comptables (10 ans, art. L. 123-22 C. com.), KYC (5 ans, L. 561-12 CMF), déclarations fiscales
• Intérêt légitime (art. 6.1.f RGPD) : pour la sécurité du système d'information et l'amélioration du service
• Consentement (art. 6.1.a RGPD et art. 82 loi Informatique et Libertés) : pour les communications marketing optionnelles et la mesure d'audience Metricool sur le site vitrine

5. Durée de conservation

• Données du sociétariat : pendant toute la durée du sociétariat + 5 ans après la sortie
• Pièces KYC : 5 ans après la fin de la relation contractuelle (art. L. 561-12 CMF)
• Documents comptables : 10 ans (art. L. 123-22 C. com.)
• PV d'assemblées générales : 5 ans minimum (durée de vie de la coopérative)
• Logs techniques : 12 mois
• Cookies : 13 mois maximum (recommandation CNIL)

7. Destinataires des données

Vos données sont accessibles uniquement aux personnes habilitées :

• Équipe interne TurboCereal SCIC SAS (administration, comptabilité)
• Expert-comptable et commissaire aux comptes (obligation légale)
• Administrations compétentes lorsque la loi l'impose
• Banque partenaire (uniquement RIB, montants)
• Sous-traitants techniques : Supabase (base de données, hébergement UE — Francfort), Vercel (hébergement du site vitrine et mesure d'audience agrégée), Metricool (mesure d'audience du site vitrine, uniquement avec votre accord), IONOS (hébergement), Resend (envoi des e-mails de notification et transactionnels), Stripe (paiement des dons), Yousign (signature électronique)

Les données sensibles (KYC, pièces d'identité, données financières) sont hébergées et traitées dans l'Union européenne (Supabase, Francfort). Certains sous-traitants techniques sont établis aux États-Unis — Vercel (hébergement du site vitrine), Resend (envoi d'e-mails) et Stripe (paiement des dons) : les transferts éventuels vers ces prestataires sont encadrés par les clauses contractuelles types de la Commission européenne (CCT/SCC) et les accords de traitement des données (DPA) correspondants.

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 15) : obtenir une copie de vos données
• Droit de rectification (art. 16) : corriger des données inexactes
• Droit à l'effacement (art. 17) : sous réserve des obligations légales de conservation
• Droit à la limitation (art. 18) du traitement
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré
• Droit d'opposition (art. 21) au traitement
• Droit de retirer votre consentement à tout moment
• Droit d'introduire une réclamation auprès de la CNIL (cnil.fr)

Pour exercer vos droits, contactez-nous à contact@turbocereal.com avec une copie de votre pièce d'identité. Nous répondons sous 30 jours.

9. Sécurité

• Authentification Supabase Auth (mots de passe hashés bcrypt côté serveur, sessions JWT signées)
• Row Level Security PostgreSQL : chaque sociétaire n'accède qu'à ses propres données
• Connexions chiffrées TLS 1.3 (HTTPS partout)
• Hébergement RGPD-conforme dans l'Union européenne (Francfort)
• Sauvegardes quotidiennes chiffrées
• Audits de sécurité réguliers
• Vérification email obligatoire à l'inscription
• OTP téléphone disponible pour les opérations sensibles