Politique de confidentialité
Dernière mise à jour : 24 août 2026
La présente politique décrit comment la société TRASH SCORE traite les données à caractère personnel des utilisateurs de la plateforme Trash Score (application « TraceWaste »), conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.
1. Responsable de traitement
Le responsable de traitement est TRASH SCORE (SAS, RCS Lille Métropole 989 493 028), dont le siège social est situé 7 sentier du Curé, 59260 Lille (voir les mentions légales).
TRASH SCORE intervient à un double titre. Elle est responsable de traitement pour ses propres traitements : comptes utilisateurs, sécurité et journaux d'audit, demandes d'inscription et prospection commerciale, e-mailing de service. Elle agit en revanche comme sous-traitant (art. 28 du RGPD), pour le compte de l'entreprise cliente qui reste responsable de traitement, s'agissant des données d'exploitation déchets que le client saisit ou dépose dans la plateforme (conformément à l'article 9.4 des conditions générales d'utilisation).
La société n'a pas désigné de délégué à la protection des données (DPO), sa désignation n'étant pas obligatoire au regard de l'article 37 du RGPD. Pour toute question relative à vos données : contact@trash-score.com.
2. Données collectées
- Données de compte : nom, prénom, adresse e-mail professionnelle, mot de passe (conservé sous forme hachée avec l'algorithme bcrypt — jamais en clair ni sous une forme réversible), rôle et société de rattachement.
- Données de sécurité : secret de double authentification (2FA, stocké chiffré) et codes de secours (hachés), lorsque cette fonction est activée.
- Journaux de connexion et d'audit : adresse IP, type de navigateur (user-agent), horodatage des connexions et des actions réalisées sur la plateforme.
- Données d'exploitation déchets : sites, flux, enlèvements, coûts, prestataires, réponses aux questionnaires d'évaluation, documents déposés (bordereaux, factures, bons de pesée, contrats, agréments, certificats).
Les données d'exploitation déchets sont des données de l'entreprise cliente ; elles ne constituent pas, en principe, des données à caractère personnel, sous réserve des noms et coordonnées de contacts éventuellement présents sur les documents.
3. Finalités et bases légales
| Traitement | Finalité | Base légale (art. 6 RGPD) |
|---|---|---|
| Comptes utilisateurs | Fourniture et gestion du service souscrit, accès des utilisateurs habilités | Exécution du contrat (art. 6.1.b) |
| Journaux de connexion et d'audit | Sécurité du système, prévention des accès frauduleux, traçabilité | Intérêt légitime — sécurité (art. 6.1.f), et obligation légale (art. 6.1.c) |
| Double authentification (2FA) | Renforcement de la sécurité des comptes | Intérêt légitime (art. 6.1.f) |
| E-mails de service (activation, invitation, réinitialisation) | Envoi des messages transactionnels nécessaires au service | Exécution du contrat (art. 6.1.b) |
| Demandes d'inscription / prospects | Traitement de la demande d'accès et contact commercial afférent | Mesures précontractuelles (art. 6.1.b) et/ou intérêt légitime (art. 6.1.f) |
| Traçabilité réglementaire des déchets | Respect des obligations de suivi (registre, bordereaux) | Obligation légale (art. 6.1.c ; Code de l'environnement) |
4. Analyse documentaire par intelligence artificielle
Les documents déposés sont analysés par un moteur d'IA exécuté exclusivement sur l'infrastructure de la plateforme : aucune donnée n'est transmise à un service d'IA tiers ni à un cloud externe. L'analyse sert uniquement à pré-remplir et à vérifier vos informations ; chaque proposition est validée par un utilisateur avant enregistrement. Aucune décision produisant des effets juridiques n'est prise sur le seul fondement d'un traitement automatisé (art. 22 du RGPD).
5. Destinataires et sous-traitants
Les données sont accessibles aux utilisateurs habilités de l'entreprise cliente et à l'équipe Trash Score, pour les besoins de l'accompagnement. Elles ne sont ni vendues ni transmises à des tiers à des fins commerciales. Trash Score fait appel aux sous-traitants suivants, encadrés par un contrat conforme à l'article 28 du RGPD :
- OVHcloud (OVH SAS) — hébergement de la plateforme et acheminement des e-mails transactionnels (activation, invitation, réinitialisation) via son service SMTP, en France.
- Brevo (Sendinblue SAS, RCS Paris 498 019 298) — prestataire français d'envoi d'e-mails, envisagé pour l'acheminement des messages transactionnels mais non encore mis en œuvre à ce jour ; le cas échéant, il hébergera les données au sein de l'Union européenne.
La plateforme s'appuie par ailleurs sur deux services publics qui traitent exclusivement des données d'entreprise (et non des données à caractère personnel) ; ils ne constituent pas des sous-traitants au sens de l'article 28 du RGPD :
- Annuaire des entreprises (recherche-entreprises.api.gouv.fr, service public de l'État) — recherche et pré-remplissage des informations légales d'une société à partir de son SIRET.
- Trackdéchets (téléservice public du ministère de la Transition écologique) — consultation des données de traçabilité et d'établissement liées aux déchets.
6. Transferts hors Union européenne
Aucun transfert de données à caractère personnel hors de l'Union européenne n'est réalisé. L'hébergement et l'envoi des e-mails de service sont assurés par OVHcloud en France. L'analyse documentaire par intelligence artificielle s'exécute localement sur l'infrastructure de la plateforme : aucun service d'IA ni modèle de langage hébergé dans le cloud n'est sollicité. Les polices de caractères sont auto-hébergées (aucun appel à un fournisseur de polices tiers) et la plateforme n'intègre aucun traceur ni outil de mesure d'audience externe.
Le seul prestataire d'infrastructure complémentaire est Let's Encrypt (Internet Security Research Group), autorité de certification qui délivre les certificats TLS assurant le chiffrement HTTPS des échanges ; elle ne traite que le nom de domaine du service, à l'exclusion de toute donnée à caractère personnel.
7. Durées de conservation
| Donnée | Durée de conservation | Fondement |
|---|---|---|
| Compte utilisateur (identité, e-mail, rôle) | Durée de la relation contractuelle, puis anonymisation | Exécution du contrat ; minimisation (art. 5.1.e) |
| Mot de passe (haché), secret 2FA (chiffré) | Jusqu'à la désactivation de la fonction ou la clôture du compte | Sécurité (art. 32) |
| Journaux de connexion et d'audit (IP, user-agent) | 12 mois au plus ; purge automatique des adresses IP au-delà | Intérêt légitime / minimisation (art. 5.1.e) |
| Demandes d'inscription (prospects) | Rejetées : 6 mois. Approuvées : coordonnées redactées (anonymisées) une fois le compte créé | Minimisation (art. 5.1.e) ; intérêt légitime |
| Registre chronologique des déchets | Au moins 3 ans | Code de l'environnement, art. R541-43 |
| Bordereaux de suivi de déchets (BSD) | 5 ans | Code de l'environnement, art. R541-45 |
| Sauvegardes chiffrées | 30 jours glissants | Sécurité et continuité (art. 32) |
Les sauvegardes chiffrées sont conservées sur une fenêtre glissante de 30 jours à des fins de sécurité et de continuité de service : une donnée anonymisée ou supprimée de la plateforme active peut, de ce fait, subsister dans ces sauvegardes jusqu'à 30 jours avant d'en disparaître définitivement.
8. Sécurité
Les accès sont protégés par authentification individuelle, hachage des mots de passe, double authentification optionnelle (TOTP), chiffrement des secrets sensibles et cloisonnement strict des données entre entreprises clientes. Les échanges sont chiffrés en transit (HTTPS). Ces mesures répondent à l'obligation de sécurité de l'article 32 du RGPD.
9. Cookies
La plateforme n'utilise que des cookies strictement nécessaires ou fonctionnels à son fonctionnement, à l'exclusion de tout traceur analytique ou publicitaire :
| Cookie | Finalité | Nature | Durée |
|---|---|---|---|
| Session (next-auth) | Vous maintenir connecté à votre espace | Strictement nécessaire | 8 heures ; supprimé à la déconnexion |
| Anti-CSRF (next-auth) | Sécurité du formulaire de connexion | Strictement nécessaire | Le temps de la session ; supprimé à la déconnexion |
| tw-known | Routage de la page d'accueil (visiteur déjà connu du service) | Fonctionnel | 1 an |
| tw-view | Mémorisation de la vue affichée (évaluateur / client) pour les membres de l'équipe | Fonctionnel | 30 jours |
| ts-acting | Immersion temporaire d'un membre de l'équipe dans l'espace d'un client (support) | Fonctionnel | 2 heures |
Ces cookies sont tous strictement nécessaires ou fonctionnels et, à ce titre, exemptés de consentement au titre de l'article 82 de la loi Informatique et Libertés ; aucun bandeau n'est donc requis. La plateforme n'utilise aucun traceur publicitaire ni outil de mesure d'audience tiers. Vous pouvez à tout moment configurer votre navigateur pour bloquer les cookies, au risque d'empêcher la connexion au service.
10. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données à caractère personnel :
- Accès (art. 15) : depuis votre espace, rubrique Paramètres → Mes données personnelles, vous téléchargez à tout moment l'intégralité de vos données personnelles (profil, historique de connexion) au format JSON.
- Portabilité (art. 20) : ce droit porte uniquement sur les données que vous nous avez fournies, traitées de manière automatisée sur la base de l'exécution du contrat ; il ne s'étend pas aux journaux de connexion et de sécurité, fondés sur l'intérêt légitime.
- Rectification (art. 16) : vous pouvez corriger vos données inexactes, depuis votre espace ou en nous contactant.
- Effacement (art. 17) : sur demande, l'administrateur de votre organisation procède à l'anonymisation de votre compte (identité, identifiants et journaux de connexion effacés). Les enregistrements de déchets, soumis à conservation légale, sont préservés (art. 17.3.b du RGPD ; art. R541-43 et R541-45 du Code de l'environnement).
- Limitation et opposition (art. 18 et 21) : vous pouvez demander la limitation d'un traitement ou vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l'intérêt légitime.
Pour exercer ces droits, écrivez à contact@trash-score.com. Il vous sera répondu dans un délai d'un mois (art. 12 du RGPD). Vous pouvez également introduire une réclamation auprès de la CNIL (art. 77 du RGPD) — www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
11. Mise à jour
La présente politique peut être mise à jour pour tenir compte des évolutions légales ou du service. La date de dernière mise à jour figure en tête de page ; les modifications importantes vous seront signalées.