Politique de confidentialité

${t.lastUpdated}

Responsable de traitement : WorldExpat OÜ (société de droit estonien), Tallinn, Estonie. Cadre juridique applicable : Règlement (UE) 2016/679 (RGPD / GDPR) et législations locales équivalentes.

1${t.dataCollection}

Nous collectons les données strictement nécessaires à la fourniture de nos services :

- Identité et contact : nom, prénom, email, téléphone, pays de résidence ;

- Données de paiement : traitées exclusivement par nos prestataires de paiement certifiés PCI-DSS (Stripe et PayPal). SOS Expat ne stocke aucune donnée de carte bancaire ;

- Métadonnées d'appel : horodatage, durée, identifiants techniques (les contenus d'appel ne sont pas enregistrés par défaut) ;

- Données de connexion : adresse IP, identifiant de session, user-agent, journaux d'accès ;

- Contenu de la demande : objet et description fournis par l'utilisateur.

2${t.dataProtection}

Chiffrement en transit (TLS 1.2+) et au repos lorsque possible. Mesures techniques et organisationnelles renforcées (contrôle d'accès, audits, journalisation, principe de minimisation). Notification des violations sous 72h conformément à l'article 33 RGPD.

3${t.dataSharing}

3.1. Aucune revente

Aucun commerce des données. Aucune cession à des tiers à des fins publicitaires.

3.2. Sous-traitants (article 28 RGPD)

Nous partageons strictement le minimum nécessaire avec les sous-traitants suivants, sous contrats de sous-traitance (DPA) conformes au RGPD :

| Sous-traitant | Finalité | Localisation des données | Garanties |

|---|---|---|---|

| Stripe Payments Europe Ltd. | Encaissement des paiements, KYC/LCB-FT, versements aux prestataires | Irlande (UE) + USA | Clauses contractuelles types UE, certification PCI-DSS niveau 1 |

| PayPal (Europe) S.à r.l. et Cie, S.C.A. | Paiement alternatif client, versements internationaux aux prestataires | Luxembourg (UE) | Clauses contractuelles types UE, certification PCI-DSS |

| Twilio Inc. | Mise en relation téléphonique (acheminement d'appel, IVR, SMS, conférence) | USA (DPF Data Privacy Framework) | DPF, clauses contractuelles types UE |

| Google Cloud / Firebase (Google Ireland Ltd.) | Hébergement applicatif, base de données, authentification, fonctions serverless | UE (europe-west1, europe-west3) + USA (us-central1, nam7) | Clauses contractuelles types UE, certifications ISO 27001/27017/27018, SOC 2 |

| Cloudflare Inc. | CDN, protection anti-DDoS, sécurité applicative, edge cache | Mondial (DPF) | DPF, clauses contractuelles types UE |

| Zoho Corporation B.V. | Messagerie professionnelle, support, transactionnel | UE / Inde | Clauses contractuelles types UE |

La liste ci-dessus est mise à jour en cas de changement matériel. Aucun nouveau sous-traitant n'est ajouté sans information préalable.

3.3. Transferts internationaux

Les transferts de données hors EEE sont encadrés par des clauses contractuelles types approuvées par la Commission européenne, des décisions d'adéquation, ou le Data Privacy Framework (USA).

4${t.yourRights}

- ${t.rights[0]}

- ${t.rights[1]}

- ${t.rights[2]}

- ${t.rights[3]}

- ${t.rights[4]}

Conservation : données conservées pendant la durée de la relation contractuelle, puis archivées pendant les durées légales de prescription (généralement 5 à 10 ans selon le type de donnée et l'obligation légale applicable). Les journaux d'acceptation des CGU sont conservés 10 ans (preuve eIDAS).

5${t.contact}