Politique de confidentialité
Dernière mise à jour : 29 septembre 2026
La présente politique décrit comment la société TRASH SCORE traite les données à caractère personnel des utilisateurs du service Trash View by Trash Score, conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.
1. Responsable de traitement
Le responsable de traitement est TRASH SCORE (SAS, RCS Lille Métropole 989 493 028), dont le siège social est situé 7 sentier du Curé, 59260 Lille (voir les mentions légales).
TRASH SCORE intervient à un double titre. Elle est responsable de traitement pour ses propres traitements : comptes utilisateurs, sécurité et journaux d'audit, demandes d'inscription et prospection commerciale, commandes, facturation et paiement, e-mailing de service. Elle agit en revanche comme sous-traitant (art. 28 du RGPD), pour le compte de l'entreprise cliente qui reste responsable de traitement, s'agissant des données d'exploitation déchets que le client saisit ou dépose dans la plateforme (conformément à l'article 9.12 des conditions générales d'utilisation). Ce rôle de sous-traitant est régi par l'accord de sous-traitance des données, annexe des conditions générales acceptée avec elles : pour ces données, adressez vos demandes d'exercice de droits en priorité à l'entreprise cliente, responsable de traitement.
La société n'a pas désigné de délégué à la protection des données (DPO), sa désignation n'étant pas obligatoire au regard de l'article 37 du RGPD. Pour toute question relative à vos données : contact@trash-score.com.
2. Données collectées
- Données de compte : nom, prénom, adresse e-mail professionnelle, mot de passe (conservé sous forme hachée avec l'algorithme bcrypt — jamais en clair ni sous une forme réversible), rôle et société de rattachement.
- Données de sécurité : secret de double authentification (2FA, stocké chiffré) et codes de secours (hachés), lorsque cette fonction est activée ; compteurs anti-abus (tentatives de connexion, envois d'e-mails) tenus sous forme d'empreintes, sans adresse e-mail ni IP en clair.
- Journaux de connexion et d'audit : adresse IP, type de navigateur (user-agent), horodatage des connexions et des actions réalisées sur la plateforme.
- Données d'exploitation déchets : sites, flux, enlèvements, coûts, prestataires, réponses aux questionnaires d'audit, documents déposés (bordereaux, factures, bons de pesée, contrats, agréments, certificats).
- Données de facturation et de paiement : raison sociale, SIREN, adresse et e-mail de facturation, commandes, factures, références de paiement, libellé masqué du moyen de paiement (marque, quatre derniers chiffres, date d'expiration) et référence du mandat de prélèvement ; attestation d'effectif, le cas échéant (nom de l'utilisateur qui atteste, date, effectif déclaré, tranche publiée). Les données de carte et l'IBAN sont saisis sur la page du prestataire de paiement et ne transitent pas par nos serveurs.
Les données d'exploitation déchets sont des données de l'entreprise cliente ; elles ne constituent pas, en principe, des données à caractère personnel, sous réserve des noms et coordonnées de contacts éventuellement présents sur les documents.
3. Finalités et bases légales
| Traitement | Finalité | Base légale (art. 6 RGPD) |
|---|---|---|
| Comptes utilisateurs | Fourniture et gestion du service souscrit, accès des utilisateurs habilités | Exécution du contrat (art. 6.1.b) |
| Journaux de connexion et d'audit | Sécurité du système, prévention des accès frauduleux, traçabilité | Intérêt légitime — sécurité (art. 6.1.f), et obligation légale (art. 6.1.c) |
| Double authentification (2FA) | Renforcement de la sécurité des comptes | Intérêt légitime (art. 6.1.f) |
| E-mails de service (activation, invitation, réinitialisation) | Envoi des messages transactionnels nécessaires au service | Exécution du contrat (art. 6.1.b) |
| Demandes d'inscription / prospects | Traitement de la demande d'accès et contact commercial afférent | Mesures précontractuelles (art. 6.1.b) et/ou intérêt légitime (art. 6.1.f) |
| Informations légales de la société | Mise à jour, à la demande de la société et chaque mois automatiquement, de ses informations légales (raison sociale, adresse, activité, tranche d'effectif, état administratif, catégorie juridique) depuis l'annuaire public des entreprises, afin qu'elles restent exactes (principe d'exactitude, art. 5.1.d) ; conservation, en lecture seule, de l'historique des anciennes demandes de modification. Ce sont des données publiques d'entreprise, issues du répertoire Sirene de l'INSEE | Exécution du contrat (art. 6.1.b) |
| Certification Trash Score | Audit et certification des pratiques de gestion des déchets de la société, délivrés par TRASH SCORE SAS | Exécution du contrat (art. 6.1.b) |
| Commandes, paiements, relances et factures | Souscription et gestion de l'abonnement, encaissement, relances d'impayé, factures et avoirs | Exécution du contrat (art. 6.1.b) |
| Conservation des pièces comptables | Obligations comptables et fiscales | Obligation légale (art. 6.1.c ; C. com. L123-22 ; CGI art. 289) |
| Prévention de la fraude à la souscription | Confirmation de l'adresse e-mail avant paiement, limitation des tentatives, contrôles de cohérence ; recours à un prestataire doté de ses propres dispositifs anti-fraude | Intérêt légitime (art. 6.1.f) |
| Contrôle de l'effectif déclaré | Comparaison avec la tranche publiée au répertoire Sirene, attestation d'effectif | Exécution du contrat (art. 6.1.b) ; conservation de l'attestation : intérêt légitime (art. 6.1.f) |
| Traçabilité réglementaire des déchets | Respect des obligations de suivi (registre, bordereaux) | Obligation légale (art. 6.1.c ; Code de l'environnement) |
4. Lecture automatique des pièces et intelligence artificielle
Les documents que vous déposez sur la plateforme peuvent faire l'objet d'une lecture automatique, exécutée exclusivement sur l'infrastructure de l'éditeur de la plateforme, sans transmission à un tiers : aucune donnée n'est transmise à un service d'IA tiers ni à un cloud externe.
Pièces déchets déposées (bordereaux, bons de pesée, factures…) : la pièce est lue par des contrôles automatiques et, le cas échéant, par le moteur d'IA locale. Si la lecture est jugée fiable, l'enlèvement correspondant est enregistré automatiquement, sans relecture humaine ; en cas de doute, il est enregistré avec la marque « à vérifier » et une fiabilité réduite. Vous pouvez à tout moment confirmer ou corriger l'enregistrement depuis votre espace ; une pièce illisible est refusée et n'est pas enregistrée.
Ces traitements portent sur des données d'entreprise. Aucune décision produisant des effets juridiques à l'égard d'une personne physique, ou l'affectant de manière significative, n'est prise sur le seul fondement d'un traitement automatisé (art. 22 du RGPD).
5. Destinataires et sous-traitants
Les données sont accessibles aux utilisateurs habilités de l'entreprise cliente et à l'équipe Trash Score, pour les besoins du service. Elles ne sont ni vendues ni louées, et ne sont communiquées à aucun tiers à des fins de prospection ou de publicité. Seuls les destinataires ci-dessous les reçoivent, pour les finalités indiquées.
5.1 Sous-traitants (article 28 du RGPD), encadrés par un contrat conforme à cet article :
- OVHcloud (OVH SAS) — hébergement de la plateforme (serveur en France) et stockage de la copie chiffrée des sauvegardes (stockage objet, dans l'Union européenne) ; son service SMTP est prévu pour l'acheminement des e-mails transactionnels (activation, invitation, réinitialisation). Tant que cet envoi automatique n'est pas activé, les liens d'activation et de réinitialisation sont remis à la personne qui a créé le compte ou à votre interlocuteur Trash Score, qui vous les transmet.
- Messagerie de contact@trash-score.com — réception de vos demandes, dont l'exercice de vos droits : Microsoft 365 (Microsoft Ireland Operations Limited) ; localisation : Union européenne (EU Data Boundary de Microsoft) ; transfert hors de l'Union européenne : États-Unis, de façon limitée (opérations de support et de sécurité exclues de l'EU Data Boundary) ; Microsoft Corporation est certifiée au cadre de protection des données UE–États-Unis (décision d'adéquation du 10 juillet 2023, art. 45 du RGPD), complété par les clauses contractuelles types de l'accord de traitement des données de Microsoft (art. 46).
- Brevo (Sendinblue SAS, RCS Paris 498 019 298) — prestataire français d'envoi d'e-mails, envisagé pour l'acheminement des messages transactionnels mais non encore mis en œuvre à ce jour ; le cas échéant, il hébergera les données au sein de l'Union européenne.
- Prestataire de paiement (Stripe) — exécution des paiements en ligne, lorsque vous payez en ligne (voir ci-dessous).
5.2 Destinataires agissant pour leur propre compte :
- Le prestataire de paiement, pour ses obligations propres (voir ci-dessous).
Prestataire de paiement : Stripe (Stripe Payments Europe, Limited, Dublin, Irlande). Lorsque vous payez par carte ou par prélèvement SEPA, vos données de paiement (numéro de carte ou IBAN, nom du titulaire, adresse e-mail, adresse IP, informations de la transaction) sont saisies directement sur la page sécurisée du prestataire et ne transitent pas par nos serveurs. Il ne reçoit aucune donnée d'exploitation déchets. Stripe agit en qualité de sous-traitant de TRASH SCORE pour l'exécution des paiements, et en qualité de responsable de traitement distinct pour ses obligations propres (prévention et détection de la fraude, lutte contre le blanchiment de capitaux et le financement du terrorisme, connaissance du client, prévention des pertes) ; dans les limites de son accord de traitement des données, il peut aussi utiliser ces données pour améliorer ses services de paiement. Pour ces traitements, l'autorité de contrôle chef de file est la Data Protection Commission irlandaise. Ces traitements sont décrits dans sa politique de confidentialité (stripe.com/fr/privacy). TRASH SCORE ne conserve que les références du paiement, un libellé masqué du moyen de paiement et, pour un prélèvement, la référence du mandat.
La plateforme s'appuie par ailleurs sur deux services publics, destinataires pour leur propre compte, qui traitent exclusivement des données d'entreprise (et non des données à caractère personnel) ; ils ne constituent pas des sous-traitants au sens de l'article 28 du RGPD :
- Annuaire des entreprises (recherche-entreprises.api.gouv.fr, service public de l'État) — recherche et pré-remplissage des informations légales d'une société à partir de son SIRET, contrôle de sa tranche d'effectif au dépôt d'une demande d'inscription, puis mise à jour des informations légales de la société cliente, à sa demande et chaque mois (seul le SIRET est transmis).
- Trackdéchets (téléservice public du ministère de la Transition écologique) — consultation des données de traçabilité et d'établissement liées aux déchets.
6. Transferts hors Union européenne
Hormis la messagerie de contact et le prestataire de paiement indiqués au § 5, aucun transfert de données à caractère personnel hors de l'Union européenne n'est réalisé par TRASH SCORE ou pour son compte. Pour l'exécution des paiements, Stripe transfère certaines données à Stripe, LLC, aux États-Unis. Ce transfert est fondé sur la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis (art. 45 du RGPD), Stripe, LLC étant certifiée à ce cadre ; à défaut, il est encadré par les clauses contractuelles types de la Commission (décision d'exécution (UE) 2021/914, art. 46). Stripe peut en outre faire intervenir des sociétés de son groupe et des sous-traitants situés dans d'autres pays tiers, notamment pour le support (liste publiée par Stripe : stripe.com/legal/service-providers) ; ces transferts sont encadrés par les clauses contractuelles types. Vous pouvez obtenir une copie de ces garanties en écrivant à contact@trash-score.com. Sur la page de paiement, hébergée par Stripe, celui-ci dépose ses propres cookies, nécessaires à la sécurité du paiement, sous sa responsabilité ; aucune de nos pages ne charge de script de Stripe.
L'hébergement et les sauvegardes sont assurés par OVHcloud dans l'Union européenne. L'analyse documentaire par intelligence artificielle s'exécute localement sur l'infrastructure de la plateforme : aucun service d'IA ni modèle de langage hébergé dans le cloud n'est sollicité. Les polices de caractères sont auto-hébergées (aucun appel à un fournisseur de polices tiers) et la plateforme n'intègre aucun traceur ni outil de mesure d'audience externe.
Le seul prestataire d'infrastructure complémentaire est Let's Encrypt (Internet Security Research Group), autorité de certification qui délivre les certificats TLS assurant le chiffrement HTTPS des échanges ; elle ne traite que le nom de domaine du service, à l'exclusion de toute donnée à caractère personnel.
Localisation (règlement (UE) 2023/2854, articles 28 et 32). Le Service est hébergé en France par OVHcloud, et ses sauvegardes chiffrées le sont dans l'Union européenne ; son infrastructure relève du droit français et du droit de l'Union. L'Éditeur s'oppose à toute demande d'accès ou de transfert émanant d'une autorité d'un pays tiers qui ne reposerait pas sur un accord international ou sur le droit de l'Union, et en informe le Client lorsque la loi le permet.
7. Durées de conservation
| Donnée | Durée de conservation | Fondement |
|---|---|---|
| Compte utilisateur (identité, e-mail, rôle) | Durée de la relation contractuelle, puis anonymisation à l'issue de la période de récupération (90 jours après la fin du contrat) | Exécution du contrat ; minimisation (art. 5.1.e) |
| Mot de passe (haché), secret 2FA (chiffré) | Jusqu'à la désactivation de la fonction ou la clôture du compte | Sécurité (art. 32) |
| Journaux de connexion et d'audit (IP, user-agent, détail des modifications) | 12 mois pour les adresses IP, navigateurs et adresses e-mail des connexions ; 5 ans pour le détail des modifications (valeurs avant et après : registre des déchets, prestataires, sites, comptes), durée alignée sur la conservation des bordereaux ; au-delà, seul le squelette « qui, quoi, quand » est conservé (purge hebdomadaire automatique). Un compte anonymisé voit son adresse e-mail effacée du journal sans attendre | Intérêt légitime (sécurité, preuve des corrections du registre, art. 6.1.f) ; obligation de tenue du registre (C. env., art. R541-43) ; minimisation (art. 5.1.e) |
| Demandes d'inscription (prospects) | Rejetées : supprimées après 6 mois. Approuvées : coordonnées de contact effacées 3 mois après l'approbation (la date et la version des CGU acceptées sont conservées) | Minimisation (art. 5.1.e) ; intérêt légitime |
| Anciennes demandes de modification de la fiche entreprise (historique : plus aucune demande n'est reçue depuis le 29 septembre 2026) | 12 mois après clôture (24 mois si jamais clôturée), puis suppression ; message effacé dès l'anonymisation du compte demandeur | Minimisation (art. 5.1.e) ; exécution du contrat |
| Lecture automatique des pièces déposées (analyse interne) | Effacée 3 mois après la décision ; le fichier d'une pièce refusée est alors supprimé, celui d'une pièce enregistrée suit la durée du registre | Minimisation (art. 5.1.e) |
| Registre chronologique des déchets et pièces qui le justifient | Au moins 5 ans (le minimum légal est de 3 ans pour le registre) ; après la fin du contrat, 5 ans sans accès des utilisateurs, puis effacement — ou effacement dans les 30 jours qui suivent la période de récupération, si le client l'a choisi (CGU, art. 9.9) ; une archive ZIP est remise sur demande pendant la conservation | Code de l'environnement, art. R541-43 ; art. 17.3.b du RGPD |
| Pièces sans lien avec un enlèvement (pièces libres, documents d'un flux) | Durée du contrat, effaçables depuis la page Documents (voir § 10) ; après la fin du contrat, 5 ans sans accès des utilisateurs, puis effacement — ou effacement dans les 30 jours qui suivent la période de récupération, si le client l'a choisi (CGU, art. 9.9) | Exécution du contrat ; après sa fin, preuve du service rendu (prescription de droit commun, art. 2224 du Code civil ; art. 17.3.e du RGPD) |
| Questionnaires d'audit Trash Score et leurs preuves | Durée du contrat ; après sa fin, 5 ans sans accès des utilisateurs, puis effacement (ou effacement choisi par le client, CGU, art. 9.9) — la Certification délivrée et l'en-tête de son questionnaire (date, périmètre, résultat et validité) restent conservés pour la durée de la prescription | Exécution du contrat ; après sa fin, preuve de l'audit et de la certification délivrés (art. 2224 du Code civil ; art. 17.3.e du RGPD) |
| Contacts nominatifs des prestataires (nom, e-mail, téléphone) | Durée du contrat ; effacés dans les 30 jours qui suivent la période de récupération (90 jours après la fin du contrat) | Exécution du contrat ; minimisation (art. 5.1.c) |
| Bordereaux de suivi de déchets (BSD) | 5 ans | Code de l'environnement, art. R541-45 |
| Factures, avoirs, paiements, remboursements et commandes payées | 10 ans | Obligation légale (C. com. L123-22) |
| Événements de paiement reçus du prestataire | 13 mois | Délai de contestation des opérations de paiement (C. mon. fin. L133-24) |
| Libellé masqué du moyen de paiement | Jusqu'à la fin de l'abonnement (la référence du mandat reste avec les paiements) | Exécution du contrat |
| Demandes et commandes jamais payées | 6 mois | Intérêt légitime ; minimisation (art. 5.1.e) |
| Attestations d'effectif (nom de l'utilisateur, date, effectif déclaré, tranche publiée) | Durée du contrat, puis 5 ans après la date d'effet de sa résiliation | Intérêt légitime : preuve du prix convenu (art. 6.1.f) |
| Données conservées par le prestataire de paiement pour ses obligations propres | Durées fixées par le prestataire selon ses obligations légales | Sa politique de confidentialité |
| Sauvegardes chiffrées | 30 jours (copie sur le serveur) ; 90 jours (copie hors site) | Sécurité et continuité (art. 32) |
Les sauvegardes chiffrées sont conservées 30 jours sur le serveur et 90 jours dans une copie hors site, à des fins de sécurité et de continuité de service : une donnée anonymisée ou supprimée de la plateforme active peut, de ce fait, subsister dans ces sauvegardes jusqu'à 90 jours avant d'en disparaître définitivement. Elles ne sont lues qu'en cas de restauration.
8. Sécurité
Les accès sont protégés par authentification individuelle, hachage des mots de passe, double authentification (TOTP) — obligatoire pour l'équipe Trash Score, activable par chaque utilisateur et imposable par l'administrateur de l'entreprise cliente —, chiffrement des secrets sensibles et cloisonnement strict des données entre entreprises clientes. Les échanges sont chiffrés en transit (HTTPS). Ces mesures répondent à l'obligation de sécurité de l'article 32 du RGPD.
9. Cookies
La plateforme n'utilise que des cookies strictement nécessaires ou fonctionnels à son fonctionnement, à l'exclusion de tout traceur analytique ou publicitaire :
| Cookie | Finalité | Nature | Durée |
|---|---|---|---|
| authjs.session-token | Vous maintenir connecté à votre espace (préfixé « __Host- » en HTTPS : réservé à ce seul domaine) | Strictement nécessaire | Expire après 8 heures d'inactivité ; refusé au-delà de 12 heures après la connexion (10 heures pour l'équipe Trash Score) ; supprimé à la déconnexion |
| authjs.csrf-token | Protéger le formulaire de connexion contre la falsification de requêtes (préfixé « __Host- » en HTTPS) | Strictement nécessaire | Jusqu'à la fermeture du navigateur |
| authjs.callback-url | Vous ramener, après la connexion, à la page que vous aviez demandée (préfixé « __Secure- » en HTTPS) | Strictement nécessaire | Jusqu'à la fermeture du navigateur |
| tw-known | Routage de la page d'accueil (navigateur déjà connecté par le passé) ; ne contient aucune donnée | Fonctionnel | 1 an |
| tv-langue | Mémorisation de la langue choisie sur les pages publiques (tarifs, inscription, connexion) ; ne contient que le code de la langue | Fonctionnel | 1 an |
| tw-view | Mémorisation de la vue affichée (évaluateur / client), pour les seuls membres de l'équipe Trash Score | Fonctionnel | 30 jours |
| ts-acting | Immersion temporaire d'un membre de l'équipe Trash Score dans l'espace d'un client (support) | Fonctionnel | 2 heures |
Ces cookies sont tous strictement nécessaires ou fonctionnels et, à ce titre, exemptés de consentement au titre de l'article 82 de la loi Informatique et Libertés ; aucun bandeau n'est donc requis. La plateforme n'utilise aucun traceur publicitaire ni outil de mesure d'audience tiers. Vous pouvez à tout moment configurer votre navigateur pour bloquer les cookies, au risque d'empêcher la connexion au service.
10. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données à caractère personnel :
- Accès (art. 15) : depuis votre espace, rubrique Paramètres → Mes données personnelles, vous téléchargez à tout moment vos données personnelles au format JSON : profil, périmètre d'accès, demandes de modification de la fiche entreprise, et historique de vos connexions et actions sur la plateforme.
- Portabilité (art. 20) : ce droit porte uniquement sur les données que vous nous avez fournies, traitées de manière automatisée sur la base de l'exécution du contrat ; il ne s'étend pas aux journaux de connexion et de sécurité, fondés sur l'intérêt légitime.
- Rectification (art. 16) : vous pouvez corriger vos données inexactes, depuis votre espace ou en nous contactant.
- Effacement (art. 17) : sur demande, un administrateur de votre organisation (compte doté du rôle Administrateur, sans restriction de site) procède à l'anonymisation de votre compte ; vous pouvez aussi écrire à Trash Score, responsable de traitement des comptes, qui y procède directement (y compris pour le dernier administrateur d'une organisation, ou si elle n'en compte aucun). Sont effacés : identité, adresse e-mail (actuelle et précédentes), mot de passe, double authentification, adresses IP de vos journaux de connexion et coordonnées de votre demande d'inscription ; la date et la version des CGU acceptées sont conservées, sans votre identité, à titre de preuve. Les enregistrements de déchets, soumis à conservation légale, sont préservés (art. 17.3.b du RGPD ; art. R541-43 et R541-45 du Code de l'environnement).
- Effacement d'une pièce déposée (art. 17) : une pièce qui ne justifie aucun enlèvement du registre peut être effacée définitivement depuis la page Documents — par la personne qui l'a déposée (qu'elle soit ou non rattachée à un flux), et, pour toute pièce de leur périmètre, par les comptes dotés du rôle Administrateur ou Responsable QHSE. Les autres comptes (notamment le rôle Client, attribué par défaut) n'effacent que les pièces qu'ils ont eux-mêmes déposées. La pièce et son fichier sont supprimés ; l'opération est tracée au journal, sans le nom du fichier. Sont en revanche conservées et ne peuvent pas être effacées : la pièce qui justifie un enlèvement du registre, pendant 5 ans (art. 17.3.b du RGPD ; art. R541-43 et R541-45 du Code de l'environnement), et la copie d'une preuve versée à un questionnaire d'audit Trash Score, qui a pu fonder une certification. Une pièce effacée subsiste dans les sauvegardes chiffrées au plus 90 jours (§ 7).
- Limitation et opposition (art. 18 et 21) : vous pouvez demander la limitation d'un traitement ou vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l'intérêt légitime.
Pour exercer ces droits, écrivez à contact@trash-score.com. Il vous sera répondu dans un délai d'un mois (art. 12 du RGPD). Vous pouvez également introduire une réclamation auprès de la CNIL (art. 77 du RGPD) — www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
11. Mise à jour
La présente politique peut être mise à jour pour tenir compte des évolutions légales ou du service. La date de dernière mise à jour figure en tête de page ; les modifications importantes vous seront signalées.