Registre des activités de traitement
Responsable du traitement : Pascal MAISON, entrepreneur individuel (EI), noms commerciaux MiaSys et AlonePc — 1 chemin des Bartriers, 63430 Pont-du-Château, France — SIREN 518 875 406.
Contact : le responsable (Pascal MAISON) — contact@miasys.fr. Aucun délégué à la protection des données n'a été désigné.
Référence : règlement (UE) 2016/679 (RGPD), article 30. La partie A recense les traitements dont MiaSys est responsable ; la partie B, les traitements réalisés pour le compte de ses clients, en qualité de sous-traitant (article 30, paragraphe 2).
Partie A — Traitements dont MiaSys est responsable
A1 — Gestion des prospects
| Finalité | Réponse aux demandes de contact, de démonstration et de devis ; enquête sur les tarifs |
|---|---|
| Base légale | Intérêt légitime (art. 6.1.f) ; mesures précontractuelles (art. 6.1.b) pour les devis |
| Catégories de données | Nom, entreprise, e-mail, téléphone, message, réponses à l'enquête, adresse IP et navigateur (lutte contre les abus) |
| Personnes concernées | Prospects professionnels, visiteurs du site |
| Destinataires | Le responsable ; hébergeur O2switch (sous-traitant) |
| Transferts hors UE | Adresse IP des visiteurs transmise à Google Fonts (Google LLC, États-Unis) lors du chargement des polices |
| Durée de conservation | 3 ans à compter du dernier contact |
A2 — Gestion des clients, des comptes et du support
| Finalité | Création et gestion des comptes, authentification, essai gratuit, exécution du contrat, support |
|---|---|
| Base légale | Exécution du contrat (art. 6.1.b) |
| Catégories de données | Identité, coordonnées professionnelles, entreprise (SIREN/SIRET), e-mail, téléphone, rôle, mot de passe haché (bcrypt), secret de double authentification chiffré, préférences d'affichage, échanges avec le support |
| Personnes concernées | Clients professionnels et leurs utilisateurs |
| Destinataires | Le responsable ; hébergeur O2switch (sous-traitant) |
| Transferts hors UE | Aucun |
| Durée de conservation | Durée du contrat, puis 30 jours pour permettre la récupération des données ; archive de 5 ans pour la preuve (délai de prescription) |
A3 — Facturation et comptabilité
| Finalité | Émission, transmission et archivage des devis et factures de MiaSys, suivi des encaissements, comptabilité |
|---|---|
| Base légale | Obligation légale (art. 6.1.c) — Code de commerce, Code général des impôts |
| Catégories de données | Identité, entreprise, SIREN/SIRET, adresse de facturation, montants, références de paiement (jamais les numéros de carte) |
| Personnes concernées | Clients professionnels |
| Destinataires | Le responsable ; hébergeur O2switch ; Stripe et SumUp (paiement par carte) ; plateforme agréée de facturation électronique ; le cas échéant, expert-comptable ; administration fiscale en cas de contrôle |
| Transferts hors UE | Possibles via Stripe (États-Unis) et SumUp (Royaume-Uni), encadrés par une décision d'adéquation ou des clauses contractuelles types |
| Durée de conservation | 10 ans à compter de la clôture de l'exercice (art. L123-22 du Code de commerce) |
A4 — Information et prospection commerciale
| Finalité | Envoi d'informations sur le service et d'offres aux clients et prospects professionnels |
|---|---|
| Base légale | Intérêt légitime (art. 6.1.f), avec droit d'opposition à tout moment |
| Catégories de données | Nom, e-mail professionnel, entreprise |
| Personnes concernées | Clients et prospects professionnels |
| Destinataires | Le responsable ; hébergeur O2switch |
| Transferts hors UE | Aucun |
| Durée de conservation | 3 ans à compter de la fin de la relation ou du dernier contact |
A5 — Sécurité et journalisation
| Finalité | Sécurité du service, détection des fraudes et des intrusions, preuve en cas de litige |
|---|---|
| Base légale | Intérêt légitime (art. 6.1.f) — sécurité du système d'information |
| Catégories de données | Journaux de connexion, adresse IP, navigateur, actions sensibles, tentatives de connexion |
| Personnes concernées | Utilisateurs du service |
| Destinataires | Le responsable (super-administrateur) |
| Transferts hors UE | Aucun |
| Durée de conservation | Journal d'audit : 3 ans ; tentatives de connexion : 30 jours au plus ; jetons de réinitialisation : jusqu'à leur expiration |
A6 — Cookies et demandes d'exercice des droits
| Finalité | Preuve des choix en matière de cookies ; traitement des demandes d'exercice des droits |
|---|---|
| Base légale | Obligation légale (art. 6.1.c) — article 82 de la loi Informatique et Libertés ; articles 12 à 22 du RGPD |
| Catégories de données | Identifiant aléatoire, choix, date, navigateur, empreinte (hachage SHA-256) de l'adresse IP ; identité et contenu des demandes |
| Personnes concernées | Visiteurs et utilisateurs |
| Destinataires | Le responsable ; hébergeur O2switch |
| Transferts hors UE | Aucun |
| Durée de conservation | Choix cookies : 13 mois ; demandes : durée de leur traitement, puis archive pendant le délai de prescription |
Mesures de sécurité (partie A)
HTTPS/TLS avec HSTS ; mots de passe hachés (bcrypt) et politique de mots de passe robustes ; double authentification TOTP ; secrets chiffrés (AES-256-GCM) ; contrôle d'accès par rôles ; limitation des tentatives de connexion ; journal d'audit chaîné ; sauvegardes quotidiennes par l'hébergeur. Détail sur la page Sécurité.
Partie B — Traitements réalisés pour le compte des clients (sous-traitant)
| Clients responsables de traitement | Les professionnels ayant souscrit une offre MiaSys ou démarré un essai gratuit (établissements de tous secteurs : hébergement, services, artisanat et bâtiment, maintenance, dépannage informatique, formation, commerce…) |
|---|---|
| Catégories de traitements | Hébergement et gestion, pour le compte de chaque établissement, des données de ses clients, prospects, salariés, apprenants et utilisateurs : réservations et planning, relation client, devis et factures, caisse, planification du personnel, formation, boutique en ligne, avis, marketing, portail client, messagerie |
| Catégories de données | Identité, coordonnées, données de réservation, de prestation et de facturation, données de planning, données de formation, contenus et messages ; selon l'activité de l'établissement, informations propres à ses prestations |
| Sous-traitants ultérieurs | O2switch SAS (hébergement, France) ; Anthropic (fonctions d'intelligence artificielle, États-Unis), uniquement si l'établissement les active |
| Services tiers activés par l'établissement | OpenAI, Meta (WhatsApp), Google (Agenda, Search Console, avis), Stripe, SumUp, plateforme agréée de facturation électronique (SuperPDP), service d'e-mails de l'établissement : voir l'article 6 du DPA |
| Transferts hors UE | Uniquement en cas d'activation d'un service tiers établi hors de l'Union européenne, encadrés par une décision d'adéquation de la Commission européenne ou des clauses contractuelles types |
| Mesures de sécurité | Celles de la partie A, ainsi que le cloisonnement des données de chaque établissement |
Sous-traitants de MiaSys (article 28 du RGPD)
| Sous-traitant | Prestation | Localisation |
|---|---|---|
| O2switch SAS | Hébergement (serveurs, bases de données, sauvegardes), acheminement des e-mails | France (Clermont-Ferrand) |
| Stripe Payments Europe Ltd | Paiement par carte des offres MiaSys | Irlande ; transferts possibles vers les États-Unis |
| SumUp | Paiement par carte (terminal, lien de paiement) | Union européenne et Royaume-Uni |
| Plateforme agréée de facturation électronique | Transmission des factures | France |
| Anthropic, PBC | Fonctions d'intelligence artificielle (partie B), si activées | États-Unis |
Toute modification de la liste des sous-traitants ultérieurs intervenant pour le compte des clients leur est notifiée avec un préavis de 30 jours (voir le DPA).
Analyses d'impact (AIPD)
Les traitements de la partie A ne relèvent pas, à ce jour, d'une obligation d'analyse d'impact au sens de l'article 35 du RGPD : ils ne portent pas sur des données sensibles au sens de l'article 9, ne comportent pas de décision automatisée produisant des effets juridiques et ne réalisent pas de profilage à grande échelle. Une analyse sera réalisée avant toute évolution susceptible d'engendrer un risque élevé pour les droits et libertés des personnes.
Pour les traitements de la partie B, il appartient à chaque établissement, responsable de traitement, d'apprécier la nécessité d'une analyse d'impact ; MiaSys l'y aide dans les conditions du DPA.
Mise à jour du registre
Ce registre est revu au moins une fois par an et à chaque évolution significative (nouveau sous-traitant, nouvelle finalité, nouvelle catégorie de données). Dernière révision : 27 septembre 2026.
Disponibilité : ce registre est tenu à la disposition de la CNIL, conformément à l'article 30, paragraphe 4, du RGPD. Il peut être obtenu sur demande auprès du responsable (Pascal MAISON) — contact@miasys.fr.