Politique de confidentialité
Dernière mise à jour : 10 septembre 2026
Deux responsabilités distinctes
La plateforme NOVIA traite deux ensembles de données auxquels s'appliquent des régimes différents. Cette distinction commande l'ensemble du présent document.
Le CDOS Drôme est responsable de traitement pour les données liées à la relation entre NOVIA et les structures utilisatrices : navigation sur le site, demandes de démonstration, création et gestion des comptes utilisateurs, facturation, assistance.
La structure utilisatrice est responsable de traitement pour les données qu'elle saisit dans son espace : fiche de structure, projets, dossiers de subvention, et notamment l'annuaire opérationnel de ses membres. Le CDOS Drôme intervient alors en qualité de sous-traitant au sens de l'article 28 du RGPD, et n'agit que sur instruction documentée de la structure. Les engagements correspondants figurent en annexe des conditions générales d'utilisation.
Données collectées
Sur le site vitrine
Aucune donnée personnelle n'est collectée à la simple consultation des pages publiques.
Lors d'une demande de démonstration
Le formulaire de demande de démonstration est hébergé par Microsoft (service Microsoft Forms). Sont collectés les nom, prénom, adresse électronique, structure d'appartenance et fonction du demandeur, aux seules fins de traiter la demande et d'organiser la démonstration.
Comptes utilisateurs de la plateforme
Adresse électronique, mot de passe (conservé sous forme de condensat argon2 par le service d'authentification, jamais en clair), rattachement à une structure, données de connexion.
Données de structure
Nom, description, adresse, budget, effectifs, projets, dossiers de subvention, tâches internes, financements.
Annuaire opérationnel
Chaque structure peut renseigner un annuaire de ses membres actifs (salariés, bénévoles, élus, stagiaires). Champs traités : nom, prénom, fonction, adresse électronique, téléphone, type de contrat, dates de contrat ou de mandat.
Ce que nous ne collectons pas
La plateforme ne collecte ni date de naissance, ni numéro de sécurité sociale ou identifiant national, ni coordonnées bancaires, ni donnée relative à la santé. Aucune donnée sensible au sens de l'article 9 du RGPD n'est traitée.
Finalités et bases légales
| Traitement | Finalité | Base légale |
|---|---|---|
| Demande de démonstration | Répondre à la sollicitation | Mesures précontractuelles |
| Compte utilisateur | Fournir l'accès au service, sécuriser les connexions | Exécution du contrat |
| Données de structure et dossiers | Assister la structure dans la préparation de ses dossiers | Exécution du contrat |
| Annuaire : salariés et stagiaires | Gestion opérationnelle de la structure | Exécution du contrat de travail ou de stage |
| Annuaire : élus | Tenue du registre des dirigeants | Obligation légale (loi du 1er juillet 1901) |
| Annuaire : bénévoles | Organisation de la vie associative | Intérêt légitime de la structure |
| Journalisation technique et erreurs | Sécurité et continuité du service | Intérêt légitime de l'éditeur |
Traitement par intelligence artificielle
La plateforme comporte un assistant de rédaction reposant sur le modèle Claude d'Anthropic PBC.
Les appels au modèle ne partent jamais du navigateur de l'utilisateur : ils transitent par une fonction serveur qui détient seule la clé d'accès, vérifie l'identité de l'utilisateur et journalise l'usage.
Aucune donnée nominative issue de l'annuaire opérationnel n'est transmise au modèle. Ne sont transmis que le contexte de la structure (description, moyens humains et matériels agrégés, budget, historique), la demande formulée par l'utilisateur et les données publiques d'enrichissement territorial.
Le paramètre zero data retention est activé sur le compte de l'éditeur : les requêtes et les réponses ne sont pas conservées après traitement par le fournisseur et ne sont pas utilisées pour l'entraînement de ses modèles. Cet engagement figure dans l'accord de traitement des données conclu avec Anthropic PBC.
Les textes produits par l'assistant constituent des projets de rédaction. Ils doivent être relus et validés par l'utilisateur, qui demeure seul responsable des documents qu'il dépose auprès de ses financeurs.
Destinataires et sous-traitants
Les données ne font l'objet d'aucune cession ni d'aucune communication à des tiers à des fins commerciales. Elles sont accessibles aux seuls sous-traitants suivants :
| Sous-traitant | Rôle | Région | Accord |
|---|---|---|---|
| Stratia Conseil (SAS) | Développement et maintenance applicative | France (Toulouse) | Contrat de prestation |
| Vercel Inc. | Hébergement front-end, diffusion | Francfort (fra1) | Oui |
| Supabase Inc. | Base de données, authentification, fonctions serveur | eu-central-1, Francfort | Oui |
| Anthropic PBC | Modèle d'intelligence artificielle | API globale, zero data retention activé | Oui |
| Sentry (Functional Software) | Supervision des erreurs | Francfort | Oui |
| Microsoft Corporation | Formulaire de demande de démonstration | Union européenne | Oui |
La plateforme consomme par ailleurs, en lecture seule, les données publiques du service data.sports.gouv.fr de la Direction des Sports, afin d'enrichir ses recommandations territoriales. Aucune donnée personnelle n'y transite.
Localisation et transferts
L'intégralité des données personnelles est hébergée dans l'Union européenne, en région de Francfort.
Les appels au modèle d'intelligence artificielle sont adressés à l'interface d'Anthropic PBC, dont le périmètre de traitement est mondial. Ces appels ne contiennent aucune donnée nominative, le paramètre de non-conservation est activé, et le transfert est encadré par les clauses contractuelles types de la Commission européenne figurant à l'accord de traitement conclu avec ce fournisseur.
Durées de conservation
Les données sont conservées tant que le compte de la structure est actif. La suppression d'un compte ou d'une structure entraîne la suppression en cascade des données rattachées, dans un délai de trente jours suivant la confirmation de reprise des données par la structure.
Avant toute suppression, la structure est invitée à exporter ses dossiers : il lui appartient de conserver les pièces qu'elle doit tenir à disposition de ses financeurs au titre de ses propres obligations comptables et de contrôle.
Les demandes de démonstration non converties sont supprimées à l'issue d'un délai de douze mois.
Sécurité
Chiffrement des échanges en TLS 1.3. Cloisonnement strict des données entre structures assuré au niveau de la base de données et vérifié par une suite de tests automatisés. Mots de passe stockés sous forme de condensat argon2. Second facteur d'authentification disponible. Sauvegardes quotidiennes de la base de données. Supervision des erreurs configurée pour masquer les contenus textuels et les médias.
Vos droits
Toute personne dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur les données la concernant.
Si vous êtes membre d'une structure utilisatrice (salarié, bénévole, élu, stagiaire figurant à l'annuaire opérationnel), votre interlocuteur est votre structure, qui est responsable de ces données. Le CDOS Drôme lui apporte son assistance pour y répondre.
Pour toute autre demande, ou en l'absence de réponse de votre structure, vous pouvez écrire à : novia@franceolympique.com. Une réponse vous sera apportée dans un délai d'un mois.
Vous disposez également du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
Cookies et traceurs
La plateforme dépose uniquement les cookies et données de session strictement nécessaires à son fonctionnement : maintien de la session authentifiée et sécurité. Ces éléments ne nécessitent pas de recueil du consentement.
Aucun outil de mesure d'audience tiers, aucun cookie publicitaire, aucun pixel de traçage. Aucune donnée n'est transmise à des régies ou à des réseaux sociaux.
Enregistrement échantillonné de sessions (opt-in)
Lors de votre inscription, vous pouvez consentir à l'enregistrement d'un échantillon de vos sessions à des fins de diagnostic technique. Cet enregistrement est effectué par notre prestataire Sentry (Frankfurt, Allemagne), avec masquage systématique de tout texte affiché et blocage des médias : seule la structure des interactions est captée, jamais le contenu que vous saisissez ou visualisez.
Vous pouvez retirer ce consentement à tout moment depuis les paramètres de votre compte. En l'absence de consentement, seules les sessions durant lesquelles une erreur survient sont enregistrées, dans les mêmes conditions de masquage, au titre de notre intérêt légitime à assurer la sécurité et la continuité du service.
Évolution du présent document
La présente politique peut être mise à jour pour tenir compte des évolutions de la plateforme ou de la réglementation. La date de dernière mise à jour figure en tête de document.