Compass : Politique de confidentialité

1. Introduction

Compass Political Intelligence Platform (ci-après « Compass ») est éditée par CL Corporate Affairs Consulting E.I. (ci-après « CL » ou « CL Corporate Affairs Consulting », indifféremment utilisés dans le présent document), dont le siège social est situé 1 avenue de l'Observatoire, 75006 Paris, France (VAT: FR58902992189), et qui dispose d'un bureau de représentation à l'avenue de Tervueren 103, B-1040 Bruxelles, Belgique. La présente Politique de confidentialité explique comment nous collectons, utilisons et protégeons les données à caractère personnel au sein de la plateforme Compass, dans le respect du Règlement (UE) 2016/679 (le « RGPD ») et de la loi française Informatique et Libertés.

Compass est conçue et exploitée par un cabinet de conseil en affaires publiques en exercice, et peut être mise à disposition de ses pairs, tels que des équipes internes d'affaires publiques, des fédérations professionnelles, des ONG et d'autres organisations dont l'activité recoupe notre propre champ de pratique. Ce contexte particulier façonne la manière dont nous avons conçu la plateforme : si CL applique, en tant que devoir professionnel fondateur, une politique stricte de refus de tout conflit d'intérêts (voir également la section 3 des Conditions générales), nous estimons que cet engagement contractuel et éthique doit être adossé à des garanties techniques et organisationnelles conférant à chaque utilisateur un contrôle réel et démontrable sur ses propres données. Les dispositions qui suivent, en particulier le chiffrement de bout en bout optionnel (section 10.1) et notre politique délibérée en matière d'IA (section 9), constituent l'expression pratique de cette conviction. Ce ne sont pas des formules génériques de conformité : elles traduisent un choix de positionnement que nous jugeons inséparable du type de plateforme qu'un cabinet d'affaires publiques peut raisonnablement proposer à ses pairs.

2. Responsable de traitement

CL Corporate Affairs Consulting E.I.
1 avenue de l'Observatoire, 75006 Paris, France
Avenue de Tervueren 103, B-1040 Bruxelles, Belgique
Contact : compass.eu.com/contact

3. Rôles et responsabilités au regard du RGPD

La répartition des rôles en matière de protection des données au sein de Compass dépend du contexte spécifique d'utilisation, apprécié au cas par cas, conformément aux articles 4, point 7, 4, point 8, 26 et 28 du RGPD. Le facteur déterminant est l'identification de la partie qui décide des finalités et des moyens essentiels de chaque opération de traitement, et non la seule qualification contractuelle.

Lorsque CL utilise Compass pour sa propre activité de conseil, CL Corporate Affairs Consulting agit en qualité d'unique responsable de traitement pour l'ensemble des données traitées au sein de la plateforme, y compris les données de référence, la cartographie des parties prenantes, l'analyse des positions et les comptes-rendus d'engagement.

Lorsqu'un utilisateur tiers accède à Compass dans le cadre de ses propres activités d'affaires publiques, les rôles respectifs sont déterminés par la nature de la mission et le degré d'autonomie de chaque partie :

Si l'utilisateur définit la stratégie, sélectionne les parties prenantes, détermine les données à collecter et contrôle les livrables, l'utilisateur agit en qualité de responsable de traitement et CL Corporate Affairs Consulting agit en qualité de sous-traitant (article 4, point 8, du RGPD), en fournissant l'infrastructure technique et en ne traitant les données que pour le compte de l'utilisateur et conformément à ses instructions.
Si, au-delà de la seule mise à disposition de la plateforme, CL Corporate Affairs Consulting est également engagée au titre d'une mission de conseil et détermine avec l'utilisateur les objectifs et les moyens essentiels d'un traitement donné, les deux parties peuvent être considérées comme co-responsables de traitement (article 26 du RGPD) pour ce traitement précis. Dans ce cas, les obligations respectives sont définies dans le contrat de mission. La seule utilisation de la plateforme, en dehors d'une telle mission, ne relève pas de ce cas de figure : CL y agit exclusivement en qualité de sous-traitant (voir section 3.1).

Dans tous les cas, CL Corporate Affairs Consulting s'engage à mettre en œuvre des mesures techniques et organisationnelles appropriées pour assurer la sécurité et la confidentialité des données à caractère personnel, conformément au RGPD. Lorsque CL Corporate Affairs Consulting agit en qualité de sous-traitant, les Conditions générales de la plateforme régissent les obligations de chaque partie conformément à l'article 28 du RGPD.

3.1 Cas particulier : les méthodologies analytiques conçues par CL

Les rôles décrits à la section 3 distinguent qui décide quoi dans une opération de traitement donnée. Dans ce cadre, une nuance mérite d’être explicitement énoncée : Compass intègre un certain nombre de méthodologies analytiques conçues par CL Corporate Affairs Consulting, notamment la pondération de l’influence appliquée aux parties prenantes, le score d’urgence qui signale les engagements sensibles au temps, la détection des cibles à activer qui fait remonter les contacts prioritaires, et l’estimation prédictive des durées législatives fondée sur des schémas procéduraux passés. L’utilisateur maîtrise qui est ajouté à la plateforme, quelles données y sont saisies et la finalité stratégique poursuivie ; CL est l’auteur de la méthodologie qui transforme cette donnée maîtrisée par l’utilisateur en score, en classement ou en estimation.

En tant qu’éditeur qui définit la méthodologie, la responsabilité de CL Corporate Affairs Consulting se borne à la mise à disposition de l’outil, et elle en répond avec diligence au regard de ses obligations réglementaires et juridiques. En saisissant des données, en identifiant les personnes et les institutions concernées, en priorisant celles dont la mobilisation importe le plus au regard de leur influence présumée, et en assumant la finalité du traitement des données qui les concernent, l’utilisateur en demeure par voie de conséquence le responsable de ce traitement au sens du RGPD. Chaque valeur suggérée reste d’ailleurs visible et peut être ajustée ou écrasée à la main. La conception de la méthodologie ne confère à CL Corporate Affairs Consulting aucun pouvoir de décision sur les finalités ni sur les moyens essentiels du traitement des données de l’utilisateur, et n’emporte donc pas de responsabilité conjointe au sens de l’article 26 du RGPD. Cette répartition est celle qu’énonce la section 7 des conditions générales, lesquelles constituent l’accord de sous-traitance au sens de l’article 28 du RGPD.

Concrètement, l’utilisateur reste libre de contester un score, de le remplacer manuellement, et d’utiliser Compass sans s’en remettre à la pondération suggérée : les positions et les valeurs d’influence peuvent toujours être renseignées ou écrasées à la main. La méthodologie de scoring conçue par CL repose sur des pondérations et des modalités d’analyse de l’influence dérivées de la littérature pertinente en science politique. Ce que l’utilisateur reçoit, c’est un contrôle effectif sur le résultat : chaque valeur suggérée est visible et peut être ajustée ou écrasée à la main ; et CL assume la méthodologie qu’elle conçoit. Cette part résiduelle de responsabilité méthodologique ne s’étend pas au travail de cartographie de l’utilisateur dans son ensemble : pour les données saisies, les personnes concernées sélectionnées et la finalité poursuivie, l’utilisateur demeure le responsable du traitement.

4. Catégories de données traitées

Compass traite trois catégories distinctes de données à caractère personnel, chacune soumise à son propre régime :

Données de référence : informations institutionnelles et organisationnelles issues des bases de données officielles et publiquement accessibles de l'Union européenne (Parlement européen, Conseil de l'Union européenne, Commission européenne, Registre de transparence de l'UE). Cela inclut les noms, fonctions, mandats, appartenances en commission, affiliations à un groupe politique, nationalité et coordonnées officielles des personnalités publiques agissant dans leur capacité institutionnelle. CL Corporate Affairs Consulting est responsable de la collecte et de la mise à jour périodique de ces données.
Données de cartographie et de positions des parties prenantes : informations publiquement accessibles agrégées par l'utilisateur, avec assistance optionnelle de l'IA : positions déclarées publiquement, prises de parole publiées, votes, communiqués de presse, publications publiques sur les réseaux sociaux (à partir de comptes explicitement validés par l'utilisateur). L'utilisateur sélectionne les parties prenantes à suivre, valide chaque position attribuée et détermine la manière dont ces données sont utilisées dans le cadre de son activité professionnelle.
Notes internes et comptes-rendus d'engagement : contenu en texte libre saisi exclusivement par l'utilisateur : comptes-rendus de réunion, notes d'appel téléphonique, actions de suivi, observations informelles, appréciations personnelles. Ce contenu est rédigé par l'utilisateur seul, accessible uniquement à l'utilisateur qui l'a créé, et n'est en aucune manière consulté, modéré, analysé ou exploité par CL Corporate Affairs Consulting. L'utilisateur est seul responsable du contenu, de l'exactitude et de la licéité de ces notes, au même titre que pour tout dossier professionnel privé.

Les données du compte utilisateur (nom, adresse e-mail, société, numéro de téléphone si fourni, identifiants de connexion hachés) sont également traitées dans le but de fournir l'accès à la plateforme.

Données de navigation : un unique cookie de session (HTTP-only, strictement fonctionnel, sans traçage) est utilisé pour l'authentification.

Données de demande de compte : lorsqu’un compte est demandé via le formulaire de demande de compte, nous traitons les éléments d’identité, de contact et d’activité professionnelle fournis, l’organisation et, le cas échéant, les clients déclarés, les logos éventuellement joints, la manière dont le demandeur a connu Compass, ainsi que l’adresse IP depuis laquelle la demande a été envoyée. Ces données ont une seule finalité : statuer sur la demande. Si elle est acceptée, elles deviennent des données de compte ; si elle est refusée, elles sont supprimées, logos compris.

5. Base juridique et finalités

Le traitement des données à caractère personnel au sein de Compass repose sur les bases juridiques suivantes :

Intérêt légitime (article 6, paragraphe 1, point f, du RGPD) : la cartographie des parties prenantes, le suivi des positions et la gestion de l'engagement sont des fonctions reconnues comme centrales dans la pratique des affaires publiques. L'intérêt légitime invoqué est celui du responsable du traitement qui exerce cette activité, tel qu'identifié à la section 3, en premier lieu l'utilisateur, agissant dans l'exercice de sa propre profession réglementée d'affaires publiques ; et CL Corporate Affairs Consulting uniquement dans la mesure où elle est elle-même responsable du traitement, c'est-à-dire pour son propre usage de conseil de la plateforme (section 3). La conception de la méthodologie analytique ne fait pas de CL un responsable du traitement pour les traitements de l'utilisateur (section 3.1). Les données traitées se limitent aux informations publiquement accessibles ou directement pertinentes pour la relation professionnelle entre l'utilisateur et la partie prenante.
Exécution d'un contrat (article 6, paragraphe 1, point b, du RGPD) : les données du compte utilisateur sont traitées pour fournir l'accès à la plateforme et délivrer le service convenu.
Obligation légale (article 6, paragraphe 1, point c, du RGPD) : le cas échéant, conformité aux obligations de transparence (Registre de transparence de l'UE, déclarations HATVP en droit français).

Demandes de compte. Une demande de compte est traitée en vue de prendre des mesures précontractuelles à la demande de l’intéressé (article 6, §1, b) du RGPD). La vérification de conflit d’intérêts décrite à l’article 3 des conditions générales, ainsi que la protection du formulaire public contre les abus automatisés, reposent sur l’intérêt légitime (article 6, §1, f) du RGPD).

Courriels de rappel. Lorsqu’un compte n’a fait l’objet d’aucune connexion pendant 30 jours, nous adressons à son titulaire un courriel bref rappelant ce que fait la plateforme et renvoyant au formulaire de contact, puis un second 90 jours après le précédent tant que le compte reste inutilisé. Ce traitement repose sur l’intérêt légitime (article 6, §1, f) du RGPD) : un compte existe pour être utilisé, et un compte inutilisé traduit le plus souvent un obstacle pratique que nous pouvons lever. Ces courriels ne sont jamais adressés à des tiers et ne font jamais la promotion d’autre chose que le service dont le titulaire dispose déjà. Chacun comporte un lien de désinscription, la préférence est modifiable à tout moment dans Gérer mon compte, et s’y opposer n’a aucun effet sur le compte lui-même (section 13).

6. Évaluation de l'intérêt légitime

Conformément à l'article 6, paragraphe 1, point f, du RGPD, le recours à l'intérêt légitime comme base juridique du traitement des données de parties prenantes a été apprécié comme suit :

Légitimité de l'intérêt : le suivi des processus législatifs, la cartographie des positions des parties prenantes et la gestion de l'engagement institutionnel constituent des activités professionnelles licites et bien établies dans le domaine des affaires publiques et de la représentation d'intérêts, activités elles-mêmes encadrées par des régimes de transparence tels que le registre de transparence de l'UE. Elles servent l'intérêt légitime du responsable du traitement qui les exerce : au premier chef l'utilisateur, dans l'exercice de sa propre profession d'affaires publiques, et CL Corporate Affairs Consulting uniquement dans la mesure où elle agit comme responsable du traitement au sens de la section 3, c'est-à-dire pour son propre usage de conseil de la plateforme.
Nécessité : le traitement est nécessaire pour atteindre ces objectifs. Comprendre qui sont les décideurs pertinents, quelles positions ils défendent et comment évolue l'équilibre législatif ne peut être réalisé sans traiter des données à caractère personnel relatives à ces personnalités publiques.
Mise en balance des intérêts : les données traitées portent dans leur très grande majorité sur des personnes agissant dans leur capacité publique officielle (élus, hauts fonctionnaires, représentants d'intérêts enregistrés). Ces personnes bénéficient d'une attente réduite de vie privée à l'égard de leurs activités institutionnelles, qui sont par nature publiques. Les données proviennent de bases de données institutionnelles officielles ou de prises de position que les personnes concernées ont elles-mêmes rendues publiques. Le traitement n'implique pas de profilage à des fins commerciales, ne cherche pas à prédire des comportements privés, ne cible pas des personnes vulnérables, et se limite à ce qui est nécessaire à des activités légitimes d'affaires publiques. Les personnes concernées conservent à tout moment leur droit d'opposition prévu à l'article 21 du RGPD.

7. Données publiquement accessibles et catégories particulières

Une part importante des données à caractère personnel traitées dans Compass se rapporte à des personnalités publiques agissant dans leur capacité officielle (députés européens, commissaires, fonctionnaires du Conseil, représentants d'intérêts enregistrés). Ces données proviennent de bases de données institutionnelles officielles et publiquement accessibles :

Site web du Parlement européen, Observatoire législatif (OEIL) et annuaire EU Who is Who
Registre de transparence de l'UE et LobbyFacts.eu
Registres publics du Conseil de l'Union européenne
Organigrammes et salle de presse de la Commission européenne
Comptes publics de réseaux sociaux (X/Twitter, LinkedIn) : uniquement les comptes explicitement validés par l'utilisateur

Lorsque les données traitées incluent des informations susceptibles de révéler des opinions politiques au sens de l'article 9, paragraphe 1, du RGPD (par exemple : votes enregistrés, positions déclarées publiquement sur des dossiers législatifs, affiliation à un groupe politique), ce traitement est autorisé en vertu de l'article 9, paragraphe 2, point e, du RGPD, en ce qu'il porte exclusivement sur des données à caractère personnel que la personne concernée a manifestement rendues publiques par des canaux institutionnels officiels, des votes parlementaires, des prises de position publiques ou des publications volontaires sur des comptes publics de réseaux sociaux. Cette exception est appliquée strictement aux données déjà accessibles au public par l'effet des propres actions de la personne concernée dans sa capacité officielle.

Une distinction doit être faite entre ces données sous-jacentes manifestement publiques et l'évaluation analytique d'attitude qu'un utilisateur peut attacher à une partie prenante. Cette évaluation (le score attitude, apprécié par l'utilisateur) constitue la caractérisation, par l'utilisateur lui-même, d'une position politique que la personnalité publique a elle-même manifestement rendue publique : par des votes enregistrés, des positions déclarées sur des dossiers législatifs et des prises de position publiques. Par prudence, dans la mesure où l'évaluation d'attitude touche à des données révélant des opinions politiques, CL s'appuie sur un double fondement : l'article 9, paragraphe 2, point e, du RGPD (données manifestement rendues publiques par la personne concernée), parce que l'évaluation caractérise une position que la personnalité a publiquement manifestée dans sa capacité officielle, conjointement avec le fondement de l'intérêt légitime (article 6, paragraphe 1, point f, du RGPD), au titre de l'évaluation exposée à la section 6 (personnalités publiques agissant à titre professionnel ou public, sources publiques, absence de profilage commercial). CL ne s'appuie pas sur le seul article 6, paragraphe 1, point f, pour cet aspect relevant des catégories particulières. L'article 9, paragraphe 2, point e, demeure, en tout état de cause, le fondement applicable aux données sous-jacentes véritablement et manifestement publiques (votes enregistrés, positions déclarées, affiliation à un groupe politique).

8. Notre approche du contrôle utilisateur et de la transparence

Deux des choix de conception les plus déterminants de Compass, le chiffrement de bout en bout optionnel du contenu rédigé par l'utilisateur (section 10.1) et la politique d'IA de la plateforme (section 9), sont régis par un même principe sous-jacent. Les technologies modernes (cryptographie avancée, modèles de langage) apportent une réelle valeur ajoutée au travail d'affaires publiques, mais elles soulèvent aussi des questions légitimes : qui peut lire quoi, par où circulent les données, et que contrôle réellement l'utilisateur. Plutôt que d'apporter à ces questions des réponses générales et rassurantes, Compass est conçue pour que les réponses soient visibles, vérifiables et choisies par l'utilisateur.

Cela se traduit par trois règles opérationnelles applicables tant au chiffrement qu'à l'IA :

Choix explicite de l'utilisateur sur tout traitement non trivial. Les options sensibles (activation du chiffrement de bout en bout, activation d'un fournisseur d'IA externe) ne sont jamais activées par défaut ni imposées : chacune requiert une action délibérée et informée de l'utilisateur. La configuration par défaut est celle qui préserve le mieux la vie privée (pas d'IA externe, aucune transmission hors UE ; chiffrement disponible mais non imposé).
Transparence sur ce qui se passe réellement, y compris sur les limites. Nous documentons non seulement ce que la plateforme fait, mais aussi ce qu'elle ne fait pas, et où se situent les frontières de chaque garantie. La section 10.1 énumère explicitement les champs chiffrés et ceux qui ne le sont pas, et pourquoi ; la section 9 expose ce qui serait transmis à l'API européenne de Mistral si l'utilisateur choisit d'activer l'IA. Nous évitons les formulations qui suggéreraient des garanties plus fortes que ce que la technologie procure réellement.
Garanties techniques en complément, et non en remplacement, des engagements éthiques et contractuels. Notre refus des conflits d'intérêts, notre engagement contractuel à ne jamais lire le contenu rédigé par l'utilisateur et l'impossibilité technique que nous offrons grâce au chiffrement de bout en bout opèrent à trois niveaux différents et se renforcent mutuellement. Lorsque la technologie peut rendre une garantie incassable, nous la déployons ; lorsqu'elle ne le peut pas, nous le disons clairement et nous nous appuyons sur les engagements contractuels et éthiques qui régissent notre profession.

Les deux sections qui suivent appliquent ce cadre aux deux cas spécifiques de l'analyse assistée par IA (section 9) et du chiffrement de bout en bout (section 10.1).

9. Services d’IA

Compass intègre une couche d’intelligence artificielle qui assiste des tâches analytiques telles que la classification de positions, l’analyse de parties prenantes, la production de notes stratégiques et la suggestion de positionnement et de réécriture sur les textes en discussion. La plateforme est conçue autour d’un principe ferme : l’utilisateur choisit toujours quelle configuration d’IA est utilisée, le cas échéant, et peut à tout moment revenir à une configuration dans laquelle aucune IA n’intervient.

CL Corporate Affairs Consulting a délibérément limité le périmètre d’IA de Compass à Mistral, le fournisseur européen d’IA dont le siège est à Paris (France). Aucun autre fournisseur d’IA tiers, ni OpenAI, ni Anthropic, ni aucun modèle non européen, n’est intégré à la plateforme, et aucun n’est envisagé pour une intégration future. Compass repose sur une unique configuration d’IA : l’API commerciale européenne de Mistral, décrite ci-après. Le traitement IA demeure sur une infrastructure européenne, sans aucun transfert de données vers des fournisseurs non européens.

9.1 API commerciale européenne de Mistral

Dans cette configuration, les requêtes d’IA sont adressées à l’API commerciale de Mistral AI (api.mistral.ai). Mistral AI est une société de droit français ; selon les déclarations de Mistral, les données de l’API sont hébergées par défaut dans l’Union européenne. Selon les fonctionnalités utilisées, Mistral peut recourir aux sous-traitants ultérieurs listés dans son Trust Center ; tout transfert au sein de la propre chaîne de sous-traitance de Mistral est régi par son avenant de traitement des données (décisions d’adéquation ou clauses contractuelles types). Cette configuration opère selon une modalité unique :

Une clé personnelle, fournie par un utilisateur (jamais par CL) : les fonctionnalités d’IA s’exécutent exclusivement sur une clé d’API Mistral fournie par un utilisateur, capacité indépendante, facturée au propre compte Mistral de celui-ci et régie par ce compte. CL Corporate Affairs Consulting ne détient aucune clé commune et ne fournit aucune capacité d’IA propre. Dans un espace de travail collaboratif, un membre qui n’a pas ajouté sa propre clé utilise celle de son gestionnaire de compte : la consommation est alors facturée au compte Mistral du gestionnaire et régie par le plan et les paramètres de ce dernier, seul le modèle standard est utilisé, et le membre en est explicitement informé dans Gérer mon compte. Chaque utilisateur est invité à ajouter sa propre clé, pour disposer d’une capacité indépendante sous son propre compte et ses propres paramètres ; hors espace collaboratif, une clé personnelle est requise et, à défaut, les fonctionnalités d’IA restent indisponibles. Cet usage est régi par les conditions que l’utilisateur a acceptées auprès de Mistral (y compris son plan et les paramètres de confidentialité et d’entraînement de son compte), que l’utilisateur est invité à consulter. La clé est chiffrée au repos et déchiffrée uniquement le temps d’un appel, y compris lorsque l’utilisateur n’a pas activé le chiffrement de bout en bout. Les requêtes sont strictement cloisonnées par utilisateur : aucun utilisateur n’a accès aux invites ni aux réponses d’un autre. Ce que cela implique pour le chiffrement de bout en bout. L’IA est optionnelle et désactivée par défaut, et c’est la seule opération au cours de laquelle un contenu chiffré est momentanément manipulé en clair. Pour émettre une requête, le contenu est déchiffré dans le navigateur de l’utilisateur puis transmis à Mistral par l’intermédiaire du serveur de la plateforme, qui le relaie : le temps de ce relais, le contenu est lisible par Mistral, sous le compte dont la clé est utilisée, et, en mémoire uniquement, par le serveur de la plateforme. L’impossibilité technique décrite à la section 10.1 ne couvre pas ce moment. Rien, en revanche, n’est écrit sur disque. Le serveur de la plateforme ne conserve ni ne journalise le contenu des invites ou des réponses ; seules des métadonnées techniques (horodatage, identifiant de l’utilisateur, type de tâche, modèle et volume de jetons) sont conservées, aux seules fins de suivi d’usage.

Les garanties suivantes s’appliquent :

Utilisation des données pour l’entraînement du modèle : la possibilité pour Mistral d’utiliser les entrées et sorties d’API pour améliorer ses modèles dépend des conditions propres à Mistral ainsi que du plan et des paramètres de confidentialité du propre compte Mistral de l’utilisateur. Les utilisateurs sont invités à vérifier (et peuvent désactiver) ce paramètre dans leur compte Mistral ; lorsqu’un compte Mistral a ce paramètre activé, Mistral indique que les données utilisées sont anonymisées.
Conservation : Mistral conserve les invites et réponses d’API pendant 30 jours glissants au maximum, à des fins de surveillance contre les usages abusifs (un traitement que Mistral opère en qualité de responsable autonome selon ses propres conditions), puis les supprime. Une option Zero Data Retention (ZDR) peut être demandée à Mistral sur certains plans payants, sous réserve de son accord, directement depuis le propre compte de l’utilisateur.
Garanties contractuelles : un avenant de traitement des données (DPA) et des conditions alignées sur le RGPD s’appliquent par défaut. CL Corporate Affairs Consulting et Mistral AI étant l’un comme l’autre établis dans l’Union européenne, le trajet Compass→Mistral lui-même n’implique aucun transfert hors EEE ; les éventuels transferts au sein de la propre chaîne de sous-traitance de Mistral sont régis par le DPA de Mistral, comme indiqué ci-dessus. (L’ensemble des ressources chargées dans le navigateur, polices web et bibliothèque de visualisation D3.js, sont auto-hébergées sur les serveurs UE de CL, de sorte qu’aucun transfert hors UE ne résulte du rendu des pages ; voir section 10.)
Sous-traitance : l’IA s’exécutant sur la propre clé de l’utilisateur, celui-ci est client direct de Mistral et Mistral agit comme son propre sous-traitant, en vertu du contrat que l’utilisateur a accepté auprès de Mistral ; CL Corporate Affairs Consulting se borne à relayer ses requêtes en qualité de sous-traitant agissant sur ses instructions documentées, et n’est pas partie au contrat de l’utilisateur avec Mistral.

Documentation de référence. Conditions Mistral : legal.mistral.ai/terms · Avenant de traitement des données : legal.mistral.ai/terms/data-processing-addendum.

9.2 Recherche assistée de sources publiques

Sur action explicite de l’utilisateur, la couche d’IA peut consulter des sources publiquement accessibles (site officiel d’une organisation, prises de position publiques, position papers) afin d’aider à caractériser le positionnement d’une organisation ou d’un client, ou à identifier les clients déclarés d’un cabinet de conseil. Cette consultation n’est jamais automatique : elle résulte d’une commande explicite de l’utilisateur, est journalisée, et son résultat est présenté à l’utilisateur pour validation avant tout enregistrement. Le Registre de transparence de l’Union européenne est, quant à lui, consulté localement à partir des données déjà intégrées à Compass, sans aucune requête externe.

9.3 Aucun fournisseur d’IA n’est jamais imposé à l’utilisateur

L’activation de la configuration d’IA suppose une action délibérée de l’utilisateur depuis Manage my account. Par défaut, l’état de tout compte Compass est « aucune IA » : les fonctionnalités assistées par IA sont simplement absentes tant que l’utilisateur n’a pas explicitement activé l’API européenne de Mistral. L’utilisateur peut revenir à « aucune IA » à tout moment, sans persistance de données entre configurations.

9.4 eTranslation — traduction automatique de la Commission européenne

Compass propose une traduction optionnelle des textes que vous avez produits dans la plateforme — analyse d’amendements déposés, projet de message à une partie prenante — vers l’une des 24 langues officielles de l’Union. Les praticiens ont régulièrement besoin de s’adresser à une délégation nationale ou à un rapporteur dans sa langue, et les documents sources eux-mêmes parviennent en plusieurs langues.

Cette traduction est assurée par eTranslation, le service de traduction automatique de la Commission européenne, exploité par sa direction générale de la traduction dans le cadre du programme pour une Europe numérique. Il s’agit donc d’un service public européen opéré par une institution de l’Union, et non d’un prestataire privé ni d’un prestataire non européen : les solutions couramment employées à cette fin auraient impliqué le transfert de vos travaux vers un sous-traitant établi hors de l’Union, ce que CL a refusé.

Rien n’est envoyé sans votre action. La fonctionnalité n’est jamais automatique. Le texte ne quitte la plateforme que lorsque vous sélectionnez une langue cible et cliquez sur Traduire, et seul le texte que vous avez choisi est transmis — jamais vos dossiers, votre cartographie ni les données de votre compte.
Rôle de chacun. À la différence de la fonctionnalité d’IA décrite à la section 9.1, qui s’exécute sous le compte Mistral de l’utilisateur, la traduction utilise des identifiants détenus par CL. La Commission européenne agit donc ici comme sous-traitant ultérieur mandaté par CL au sens de l’article 28 du RGPD, et figure à ce titre à la section 12.
Où vont les données. Le traitement s’effectue sur l’infrastructure de la Commission européenne, au sein de l’Union. Aucun transfert hors EEE ne résulte de cette fonctionnalité.
Durée de conservation. Une demande de traduction n’est conservée sur notre serveur que le temps d’acheminer le résultat vers votre navigateur, et en tout état de cause 30 minutes au maximum, après quoi elle est supprimée. Les conditions d’utilisation propres à la Commission européenne régissent ce qu’elle en fait de son côté.
Contenus chiffrés de bout en bout. Si vous avez activé le chiffrement, le texte affiché à l’écran a déjà été déchiffré par votre navigateur. L’envoyer en traduction est donc un acte délibéré de votre part, et ce texte sort de la protection du chiffrement de bout en bout le temps de cette requête. Compass ne déchiffre jamais de sa propre initiative pour traduire.

Les contenus générés par IA, produits via l’API européenne de Mistral, sont fournis à titre informatif uniquement et doivent toujours être relus et validés par l’utilisateur avant d’être exploités ou partagés à l’extérieur. CL Corporate Affairs Consulting ne garantit ni l’exactitude, ni l’exhaustivité, ni la fiabilité des productions générées par IA.

10. Sécurité des données et hébergement

L'ensemble des données traitées par Compass est conservé sur des serveurs privés et dédiés situés au sein de l'Union européenne, sous le contrôle physique de CL Corporate Affairs Consulting ; aucun hébergeur public en nuage (cloud) ne stocke ces données. L'accès public est acheminé vers eux par un reverse proxy situé au sein de l'Union européenne, via un réseau privé chiffré ; le relais ne stocke aucune donnée à caractère personnel, et aucune donnée à caractère personnel n'est stockée en dehors de l'Union européenne.

Lorsque CL Corporate Affairs Consulting traite des données à caractère personnel pour le compte d’un utilisateur, elle s’appuie sur un ensemble délibérément restreint de sous-traitants ultérieurs, chacun lié par un contrat de traitement des données au sens de l’article 28 du RGPD, actuellement deux : la Commission européenne (direction générale de la traduction), pour la fonctionnalité optionnelle eTranslation décrite à la section 9.4, qui s’exécute sous des identifiants détenus par CL et ne traite que le texte qu’un utilisateur soumet explicitement à la traduction, sur l’infrastructure de la Commission européenne au sein de l’Union ; et OVHcloud (France), qui achemine nos courriers électroniques transactionnels sortants — création de compte, réinitialisation de mot de passe, avis de sécurité — et traite à ce titre le nom du destinataire, son adresse et les liens sécurisés que ces messages contiennent. Nous n’envoyons aucun courriel de prospection. En revanche, la fonctionnalité Mistral optionnelle et soumise à opt-in, désactivée par défaut, décrite à la section 9.1, s’exécute sous le propre compte et la propre clé d’API Mistral de l’utilisateur, Mistral agissant alors comme sous-traitant de l’utilisateur, et non comme sous-traitant ultérieur de CL. CL tient à jour la liste de ses sous-traitants ultérieurs et informera les utilisateurs de toute modification substantielle, en particulier avant qu’un nouveau sous-traitant ultérieur ne commence à traiter des données à caractère personnel. Les utilisateurs peuvent s’opposer à un tel ajout ou remplacement, pour des motifs légitimes tenant à la protection des données, dans un délai de quinze (15) jours suivant l’information.

Les ressources chargées dans le navigateur sont auto-hébergées sur une infrastructure UE. L’ensemble des ressources chargées dans le navigateur du visiteur, y compris les polices web (Cormorant Garamond, Vollkorn et Montserrat) et la bibliothèque JavaScript de visualisation (D3.js) utilisée sur la page de cartographie des parties prenantes, sont servies directement depuis les serveurs hébergés en UE de CL Corporate Affairs Consulting. Aucune page ne charge de ressources depuis Google, Cloudflare ou un quelconque autre réseau de diffusion de contenu non européen, et aucune adresse IP de visiteur ni aucun détail de navigateur n’est transmis à de tels fournisseurs lors du rendu. En conséquence, le seul transfert de données à caractère personnel associé à la plateforme est la fonctionnalité Mistral AI optionnelle et soumise à opt-in (désactivée par défaut), dont le traitement demeure au sein de l’Union européenne (voir section 9.1).

La plateforme met en œuvre les mesures de sécurité suivantes :

Authentification par e-mail et mot de passe, les mots de passe étant hachés avec PBKDF2-HMAC-SHA256 (600 000 itérations, conformément aux recommandations actuelles de l'OWASP) et un sel unique par utilisateur ;
Sessions gérées via des cookies sécurisés HTTP-only, SameSite=Lax ;
Jetons CSRF par session, vérifiés sur chaque requête modifiant l'état ;
Verrouillage automatique du compte après 5 tentatives de connexion infructueuses (refroidissement de 15 minutes) et limitation du débit au niveau de l'IP (blocage de 30 minutes après échecs répétés depuis la même source) ;
Chiffrement HTTPS en transit (TLS via certificat Let's Encrypt) ;
En-têtes de réponse HTTP en défense en profondeur (X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Content-Security-Policy) ;
Un journal de sécurité et de redevabilité de base, recensant les événements d'authentification, les actions privilégiées et les défaillances significatives de sécurité, tenu afin de détecter et d'investiguer les incidents de sécurité et d'appuyer la réponse aux violations ainsi que la redevabilité externe (par exemple auprès de la CNIL ou devant une juridiction), et non comme un mécanisme de contrôle interne ; proportionné au risque au sens de l'article 32 du RGPD, il n'est conservé ni sous une forme infalsifiable ni hors serveur, et n'enregistre que le fait et l'horodatage d'une action accompagnés de métadonnées techniques limitées (telles que l'adresse e-mail et l'adresse IP), jamais le contenu rédigé par l'utilisateur ;
Pas d'indexation de la zone authentifiée par les moteurs de recherche : seules les pages publiques (page d'accueil, Politique de confidentialité, Conditions générales) sont indexables ; tout autre chemin (tableaux de bord, gestion de compte, interfaces administratives, points de terminaison d'API) est explicitement bloqué via robots.txt et des directives noindex ;
Par défaut, aucune IA n’est activée et aucune donnée n’est envoyée pour traitement IA. Lorsque l’utilisateur active l’API commerciale européenne de Mistral (section 9.1, sur sa propre clé d’API), les invites et réponses transitent vers l’infrastructure de Mistral (hébergée par défaut dans l’Union européenne, selon les déclarations de Mistral) ; la conservation par Mistral est limitée à 30 jours glissants à des fins de surveillance contre les usages abusifs ; l’utilisation éventuelle des données pour l’entraînement des modèles dépend des paramètres du propre compte Mistral de l’utilisateur (invité à les vérifier), et la plateforme elle-même ne conserve aucun contenu d’invite ou de réponse.

Les e-mails liés à la gestion de compte (création de mot de passe, réinitialisation, notifications de changement) sont envoyés via SMTP avec chiffrement TLS.

10.1 Chiffrement de bout en bout optionnel

Pourquoi cette fonctionnalité existe. Compass est conçue et exploitée par un cabinet de conseil en affaires publiques en exercice dont les utilisateurs sont eux-mêmes, le plus souvent, des professionnels des affaires publiques travaillant sur des dossiers sensibles, et parfois sur des dossiers qui touchent les mêmes domaines de politique publique que ceux dans lesquels CL est elle-même engagée ou que ses autres clients suivent. Même si CL Corporate Affairs Consulting applique, en tant que devoir professionnel fondateur, une politique stricte de refus de tout conflit d'intérêts (voir également la section 3 des Conditions générales) et s'engage contractuellement à ne jamais lire le contenu rédigé par les utilisateurs (voir section 11 des Conditions générales), nous considérons que les utilisateurs ne devraient pas avoir à accorder cet engagement uniquement sur la base de la confiance. Le chiffrement de bout en bout est la traduction technique de cette conviction : il offre aux utilisateurs un moyen de garantir, par l'architecture même de la plateforme, que leur travail analytique est mathématiquement hors de portée des opérateurs CL, de tout tiers qui obtiendrait l'accès aux serveurs, et de toute autorité requérant une divulgation contrainte. C'est, à nos yeux, une conséquence naturelle du fait de construire un outil pour sa propre profession.

En quoi cela consiste, en pratique. En complément des mesures de sécurité de base ci-dessus, Compass propose un mode chiffrement de bout en bout optionnel que les utilisateurs peuvent activer à tout moment depuis Gérer mon compte. Cette fonctionnalité n'est pas activée par défaut ; il s'agit d'un opt-in explicite, destiné aux utilisateurs qui manipulent des éléments particulièrement sensibles et qui souhaitent ajouter une garantie technique aux engagements contractuels de CL. Les utilisateurs qui ne l'activent pas sont, bien entendu, pleinement couverts par l'engagement contractuel de non-consultation, qui s'applique indépendamment du statut de chiffrement ; la fonctionnalité est offerte comme une couche supplémentaire pour ceux qui le souhaitent, et non comme une condition préalable à l'utilisation de la plateforme.

Ce qui est chiffré. Lorsque le chiffrement de bout en bout est activé sur un compte, les données suivantes sont chiffrées dans le navigateur de l'utilisateur avant d'être stockées sur le serveur : les notes personnelles, le contenu rédigé par l'utilisateur de la cartographie des parties prenantes (résumés de position attribués, arguments, commentaires privés et sources), les mots-clés de veille (en mode Recherche sécurisée), les noms de sujets, les biographies et notes de profil rédigées par l'utilisateur, les entrées du journal d'engagement (comptes-rendus de réunion, enseignements, signaux), le cache de radar personnel de l'utilisateur et tout autre contenu rédigé personnellement par l'utilisateur. Le périmètre de chiffrement est délibérément large et vise à empêcher tout observateur du serveur (y compris les opérateurs CL) de profiler l'activité, les centres d'intérêt ou les positions analytiques de l'utilisateur.

Ce qui n'est pas chiffré, et pourquoi. Les catégories suivantes restent non chiffrées, par conception : la liste des dossiers suivis par l’utilisateur (le numéro de procédure est la clé par laquelle le serveur récupère et actualise chaque dossier auprès des sources publiques européennes — OEIL, votes, actes délégués, calendriers institutionnels — et par laquelle les alertes sont rapprochées ; le chiffrer romprait cet enrichissement automatisé, qui fait la substance du service. Ce numéro est lui-même une référence de procédure publique. Cette précision figure à l’identique à la section 11 des conditions générales) ; données de référence publiques partagées entre l'ensemble des utilisateurs (députés européens, commissaires, agents de la Commission, agents du Conseil, organisations du Registre de transparence, événements du calendrier institutionnel, toutes issues des bases de données officielles de l'UE) ; informations de compte nécessaires à l'authentification et aux notifications (prénom, nom, e-mail, numéro de téléphone, organisation) ; identifiants techniques nécessaires aux jointures SQL (clés primaires, clés étrangères, identifiants d'utilisateur) ; horodatages d'audit (heures de création, de modification, de connexion) ; empreintes cryptographiques de recherche (condensats SHA-256 irréversibles des mots-clés de veille en mode Recherche sécurisée, utilisés pour la correspondance côté serveur sans révéler le mot-clé) ; et les scores analytiques et les classements qui en découlent (les scores d'influence, d'urgence, d'engagement et d'attitude attachés à chaque partie prenante, ainsi que le quadrant de priorité et les marqueurs « cible à activer » calculés à partir d'eux). Ces derniers ne sont pas du texte rédigé par l'utilisateur mais des valeurs produites par les méthodologies analytiques conçues par CL (pondération d'influence, scoring d'urgence et de cible à activer), que le serveur calcule et recalcule ; garder les scores numériques lisibles par le moteur est précisément ce qui permet à la plateforme de positionner les parties prenantes sur la carte, de les classer et de recalculer leur quadrant. Le raisonnement écrit qui justifie chaque score est, lui, chiffré, et un simple nombre (une influence de 80, par exemple) est de toute façon bien moins révélateur que l'analyse rédigée, qui reste protégée. Ces catégories sont soit déjà publiques par nature, soit nécessaires au fonctionnement technique du service. Nous les énumérons ici, plutôt que d'évoquer le chiffrement en termes vagues, parce que nous considérons qu'une description honnête des frontières de la garantie fait partie de la garantie elle-même.

Comment cela fonctionne : en langage simple. Lorsqu'un utilisateur active le chiffrement de bout en bout, deux choses se produisent à l'intérieur de son navigateur, l'une et l'autre invisibles pour le serveur. Premièrement, une nouvelle clé maîtresse est générée localement : c'est elle qui chiffrera réellement le contenu de l'utilisateur. Deuxièmement, cette clé maîtresse est elle-même placée à l'intérieur d'une enveloppe scellée dont seule la mot de passe de connexion de l'utilisateur ouvre le verrou. Le serveur stocke l'enveloppe scellée, mais jamais la clé maîtresse en clair, et jamais le mot de passe. À chaque connexion, le mot de passe ouvre l'enveloppe localement dans le navigateur, la clé maîtresse est récupérée le temps de la session, et les champs chiffrés peuvent être lus ; lorsque l'utilisateur se déconnecte, tout retourne à l'intérieur de son enveloppe scellée côté serveur. CL ne détient jamais la clé maîtresse et ne peut pas la reconstituer : la garantie cryptographique est que ce qui est stocké sur nos serveurs, sous forme chiffrée, est par construction illisible pour nous.

Comment cela fonctionne : en termes techniques. Le schéma est zero-knowledge : les clés qui déchiffrent les données de l'utilisateur ne quittent jamais son appareil et ne sont pas stockées sur le serveur sous une forme exploitable. Plus précisément :

Dérivation de clé. Une première clé est dérivée dans le navigateur à partir du mot de passe de connexion de l'utilisateur au moyen de PBKDF2-HMAC-SHA256 avec 600 000 itérations (conformément aux recommandations actuelles de l'OWASP) et d'un sel aléatoire de 16 octets généré à l'activation. Le sel est stocké côté serveur (il n'est pas secret) ; le mot de passe lui-même, et la clé qui en est dérivée, ne le sont pas.
Conception à deux clés (key-wrapping). La clé dérivée du mot de passe n'est pas utilisée directement pour chiffrer les données de l'utilisateur. Elle sert plutôt à protéger une clé maîtresse distincte, générée aléatoirement, qui est la clé qui chiffre réellement le contenu de l'utilisateur. Seule la clé maîtresse, sous sa forme protégée (« encapsulée »), est stockée sur le serveur. Cette conception à deux clés est la même approche que celle utilisée par les applications zero-knowledge réputées (gestionnaires de mots de passe professionnels, messageries chiffrées de bout en bout). Elle a une conséquence pratique importante, décrite au paragraphe suivant : elle permet aux utilisateurs de changer leur mot de passe de connexion sans rechiffrer aucune de leurs données stockées.
Chiffrement authentifié. Les données utilisateur sont chiffrées avec AES-256-GCM, un nonce de 96 bits tiré d'une source aléatoire cryptographiquement sûre pour chaque écriture, et un tag d'authentification vérifié à la lecture. Le même algorithme protège la clé maîtresse à l'intérieur de son enveloppe.
Format de stockage. Les contenus chiffrés sont stockés sous forme de chaînes encodées en base64url préfixées d'une courte balise de version, de sorte que le serveur puisse distinguer les champs chiffrés des champs en clair sans jamais pouvoir les déchiffrer.
Prérequis navigateur. La fonctionnalité utilise l'API standard Web Crypto disponible dans tous les navigateurs modernes via HTTPS. Elle ne dépend d'aucun service externe ni d'aucune bibliothèque tierce.

Ce que cela signifie au quotidien. La conception à deux clés présente un bénéfice direct et concret pour les utilisateurs :

Changer son mot de passe est sûr et instantané. Au moyen du flux normal Changer le mot de passe (qui requiert le mot de passe actuel), la clé maîtresse est brièvement récupérée avec le mot de passe actuel et immédiatement re-protégée avec le nouveau. Les données stockées de l'utilisateur ne sont jamais rechiffrées, jamais retransmises, et il n'y a aucun risque de perte d'accès ; c'est structurellement identique à ce qui se passe dans un gestionnaire de mots de passe professionnel.
Oublier son mot de passe est, en revanche, irréversible pour les données chiffrées. Si le mot de passe est oublié, l'enveloppe qui protège la clé maîtresse ne peut être ouverte par personne : ni par CL, ni par l'utilisateur. Le flux Mot de passe oublié peut réinitialiser le mot de passe, mais ne peut pas récupérer la clé maîtresse, et les champs chiffrés existants deviennent dès lors définitivement illisibles. Ce compromis est le prix de l'architecture zero-knowledge et c'est la raison pour laquelle la fonctionnalité est strictement opt-in. Les utilisateurs qui activent le chiffrement de bout en bout sont vivement encouragés à conserver leur mot de passe dans un gestionnaire de mots de passe et à en garder au moins une sauvegarde sécurisée.

Conséquences pour CL. La clé qui protège la clé maîtresse étant dérivée du mot de passe de l'utilisateur et ne quittant jamais son navigateur, CL Corporate Affairs Consulting et ses administrateurs ne peuvent pas, par construction, lire les champs chiffrés d'un compte sur lequel le chiffrement de bout en bout est activé. Cette propriété est imposée techniquement, et non simplement contractuellement, et s'applique même face à une enquête interne, à un incident de sécurité ou à une réquisition judiciaire : CL ne détient pas la clé, ne peut pas la reconstituer et ne peut pas être contrainte de produire le contenu en clair des champs chiffrés. Cette limite s'applique également à CL elle-même et est assumée comme une conséquence délibérée de l'architecture zero-knowledge (voir également section 11 des Conditions générales).

Les champs qui ne sont pas chiffrés restent techniquement accessibles aux opérateurs CL. En l'absence de chiffrement de bout en bout, cela inclut le contenu des notes, de la cartographie des parties prenantes, des positions attribuées, des commentaires privés et de tout autre contenu rédigé par l'utilisateur. La non-consultation de ces champs par CL est régie exclusivement par l'engagement contractuel énoncé à la section 11 des Conditions générales et n'est pas, en l'absence de chiffrement de bout en bout, garantie par une impossibilité technique. Nous estimons que cette distinction doit être énoncée explicitement : elle marque la différence entre une garantie que nous nous engageons à honorer et une garantie que la plateforme impose elle-même.

Même lorsque le chiffrement de bout en bout est activé, certaines métadonnées d'exploitation demeurent techniquement visibles aux opérateurs CL, en conséquence inéluctable de l'exploitation d'un service web. Ces métadonnées ne permettent pas la reconstitution du contenu chiffré, mais peuvent permettre d'inférer certaines caractéristiques d'usage :

Volume approximatif de données : le nombre de lignes chiffrées stockées dans chacune des tables personnelles de l'utilisateur est visible côté serveur (par exemple, qu'un utilisateur suit 47 dossiers ou possède 312 entrées de journal d'engagement), sans que le contenu lui-même ne soit lisible ;
Horodatages d'activité : les connexions, écritures et lectures sont horodatées à des fins d'audit ;
Adresse IP : requise par le protocole TCP/IP, permettant d'inférer une localisation géographique approximative ;
Schémas d'activité corrélés : si plusieurs utilisateurs modifient des enregistrements liés à des moments proches, une relation de collaboration peut être inférée.

Ces métadonnées structurelles relèvent du même engagement contractuel de non-consultation que toute autre donnée non chiffrée (section 11 des Conditions générales). CL Corporate Affairs Consulting s'engage à ne pas les exploiter à d'autres fins que la supervision technique du service (surveillance de sécurité, débogage, planification de capacité). Nous les documentons ici, plutôt que de les omettre, parce que la crédibilité de la garantie globale dépend d'une description transparente de ses frontières.

À l'inverse, les champs qui ont été chiffrés au titre du chiffrement de bout en bout ne peuvent être lus par personne d'autre que l'utilisateur, y compris par CL elle-même. Il s'agit d'une propriété de la conception cryptographique, et non d'une promesse contractuelle : la clé qui la déverrouille est dérivée du mot de passe de l'utilisateur à l'intérieur de son propre navigateur et ne quitte jamais l'appareil de l'utilisateur. CL ne détient pas la clé, ne peut pas la reconstituer et ne peut pas être contrainte de produire le contenu en clair des champs chiffrés : ni en réponse à une réquisition judiciaire, ni dans le cadre d'une enquête de sécurité, ni à la demande d'un tiers qui obtiendrait l'accès aux serveurs. Cette limite s'applique également à CL Corporate Affairs Consulting et est assumée comme une conséquence délibérée de l'architecture zero-knowledge.

10.2 Séparation entre la plateforme Compass et la pratique de conseil de CL Corporate Affairs

CL Corporate Affairs Consulting exerce deux activités distinctes au sein d’une même entité juridique : l’édition de Compass et une pratique de conseil en affaires publiques. Ce double rôle peut, dans certains cas, créer un risque de conflit d’intérêts auquel répondent déjà l’engagement contractuel de non-consultation (section 11 des Conditions générales) et le chiffrement de bout en bout optionnel (section 10.1). Les dispositions qui suivent complètent ce cadre par des engagements pratiques qui ne requièrent, pour être tenus, aucun dispositif formel de conformité.

(a) Non-réutilisation des données utilisateurs dans les missions de conseil de CL. CL Corporate Affairs Consulting s’engage à ne jamais utiliser, dans ses propres missions de conseil, la moindre donnée, analyse, position, cartographie, commentaire, projet d’amendement, liste de veille ou information saisis par un utilisateur de Compass, que le chiffrement de bout en bout soit activé ou non. Cet engagement couvre l’identité des dossiers suivis par l’utilisateur, la substance de son travail analytique, et jusqu’au simple fait qu’il s’intéresse à un sujet donné. Lorsque le chiffrement de bout en bout est activé, l’engagement est en outre garanti par une impossibilité cryptographique (section 10.1).

(b) Taxonomie des données en trois catégories. Compass traite trois catégories distinctes de données, chacune dotée de son propre régime de protection :

Données de référence publiques : députés européens, commissaires, agents du Conseil et de la Commission, Registre de transparence de l’UE, calendriers institutionnels ; issues des bases officielles de l’UE et partagées entre tous les utilisateurs ; jamais chiffrées dans aucune configuration (la donnée est par nature publique).
Données de compte : prénom, nom, e-mail, téléphone, organisation. Nécessaires à l’authentification et aux notifications ; stockées en clair ; protégées par le socle RGPD et par l’engagement contractuel de non-consultation ; non concernées par le chiffrement de bout en bout (qui empêcherait la connexion et la prise de contact).
Contenus analytiques rédigés par l’utilisateur : cartographie des parties prenantes, positions, notes, journal d’engagement, projets d’amendements, observations internes, mots-clés de veille. (La liste des dossiers suivis et les scores analytiques qui en découlent ne sont pas chiffrés, pour les raisons fonctionnelles exposées à la section 10.1.) Lorsque le chiffrement de bout en bout est désactivé (par défaut), stockés en clair côté serveur ; la protection repose alors sur l’engagement contractuel de non-consultation et sur le point (a) ci-dessus. Lorsque le chiffrement de bout en bout est activé (sur opt-in), chiffrés dans le navigateur avant stockage à l’aide d’une clé maîtresse aléatoire, elle-même scellée par une clé dérivée du mot de passe de l’utilisateur (section 10.1) ; CL ne peut, par construction, en lire le contenu.

(c) Politique des droits d’accès. L’accès à la base de données de production est limité aux fonctions techniques nécessaires à l’exploitation du service et n’a rien de routinier : il intervient pour l’exploitation, la maintenance et le support, et non pour consulter les contenus des utilisateurs ; les actions privilégiées sont consignées dans le journal de sécurité et de redevabilité mentionné à la section 10, qui sert à détecter et à investiguer les incidents et à appuyer la redevabilité, et non comme un mécanisme de contrôle interne. La plateforme tourne sur des serveurs privés situés en UE et physiquement contrôlés par CL Corporate Affairs, sans recours à un fournisseur cloud public ni à un tiers ayant accès aux contenus utilisateurs ; l’accès public est acheminé par un reverse proxy au sein de l’Union européenne qui ne stocke aucun contenu utilisateur. Le cloisonnement entre comptes est assuré au niveau applicatif par des requêtes scopées par utilisateur, et renforcé (pour les comptes ayant activé le chiffrement de bout en bout) par des enveloppes de chiffrement par utilisateur : aucun utilisateur ne peut accéder aux contenus analytiques d’un autre.

(d) Engagement de confidentialité renforcé. Au-delà du RGPD, CL Corporate Affairs Consulting aligne volontairement sa pratique sur les standards de confidentialité professionnelle applicables aux praticiens des affaires publiques : le Code de conduite du Registre de transparence de l’UE annexé à l’Accord interinstitutionnel de 2021 entre le Parlement, le Conseil et la Commission (en particulier ses dispositions sur l’obtention, le traitement et la diffusion honnêtes de l’information européenne) ; les valeurs d’intégrité, transparence, exactitude et confidentialité énoncées par le Code de conduite de la SEAP (Society of European Affairs Professionals) ; et les standards déontologiques de la Haute Autorité pour la transparence de la vie publique (HATVP) pour les représentants d’intérêts déclarés, notamment l’interdiction d’obtenir des informations par des moyens frauduleux et de vendre des informations obtenues auprès de responsables publics. Au moment d’accepter une nouvelle mission de conseil, CL Corporate Affairs vérifie de bonne foi qu’il n’existe pas de recoupement manifeste avec l’activité connue d’un utilisateur de Compass, et décline la mission si tel est le cas.

(e) Procédure simple de signalement, dans les deux sens.

De l’utilisateur vers CL. Un utilisateur de Compass qui a des raisons de penser qu’une mission de conseil de CL pourrait recouper son propre travail de manière conflictuelle peut le signaler via le formulaire de contact. CL s’engage à examiner le signalement de bonne foi et, lorsqu’un recoupement avéré est identifié, à suspendre la mission de conseil concernée et à confirmer à l’utilisateur la résolution de la situation. Le chiffrement de bout en bout atténue substantiellement ce risque à la source : lorsqu’il est activé, CL n’a aucun moyen technique de seulement remarquer un tel recoupement.
De CL vers elle-même. Symétriquement, lorsque CL identifie via sa propre pratique de conseil qu’une mission potentielle recoupe l’activité connue d’un utilisateur de Compass (dans la mesure limitée où cela est techniquement détectable, et seulement lorsque le chiffrement est désactivé), CL s’engage à décliner la mission avant tout commencement de travail, sans divulguer l’identité de l’utilisateur au prospect.
Les recours externes restent disponibles, indépendamment de CL. Toute personne conserve les recours qui existent déjà pour elle en droit français et européen : la CNIL (cnil.fr) pour les questions de protection des données, la HATVP (hatvp.fr) pour les questions relevant du cadre de transparence du lobbying, ou les autorités judiciaires compétentes en cas de soupçon d’infraction pénale. Il ne s’agit pas de canaux désignés par CL : ils existent par eux-mêmes et CL se borne à rappeler leur disponibilité à toute personne qui souhaiterait y recourir.
Absence de représailles. CL Corporate Affairs s’engage à ne prendre aucune mesure de représailles contre un utilisateur de Compass qui signale de bonne foi un conflit ou un manquement présumé : ce qui inclut l’absence de résiliation de l’abonnement, l’absence de dégradation du service, et l’absence de divulgation de son identité à des tiers au-delà de ce qui est strictement nécessaire à l’examen du signalement.

Chaque signalement est pris au sérieux. Tout signalement reçu (d’un utilisateur, de CL elle-même ou d’un tiers) est examiné avec diligence éthique et juridique. Nous tenons ce traitement comme une condition même de la crédibilité de la plateforme et de son éditeur, et non comme une courtoisie facultative : dans une profession où la discrétion fait partie du livrable, un outil qui prendrait à la légère des signalements de conflit d’intérêts perdrait ce qui justifie son usage.

11. Durée de conservation des données

Conformément au principe de limitation de la conservation (article 5(1)(e) du RGPD), les données à caractère personnel ne sont conservées que le temps nécessaire aux finalités pour lesquelles elles sont traitées. Tant qu'un compte est actif, les données sont conservées sur le fondement juridique de l'exécution du contrat (article 6(1)(b) du RGPD) : les dossiers, cartographies de parties prenantes, positions, notes et comptes-rendus d'engagement propres à l'utilisateur constituent le contenu même que le service a pour objet de stocker et de mettre à disposition, et sont conservés tant que l'utilisateur maintient son compte. L'utilisateur contrôle directement ce contenu : chaque dossier, note ou autre élément peut être supprimé depuis la plateforme à tout moment.

Données de compte utilisateur : conservées pour la durée du compte et supprimées lors de la suppression du compte (voir ci-dessous). Le titulaire du compte peut rectifier lui-même ses informations de compte à tout moment et supprimer lui-même chaque élément de contenu quand il le souhaite.
Exporter vos données : tant que le compte est actif, le titulaire peut à tout moment obtenir une copie complète de son propre contenu y compris tout contenu chiffré de bout en bout, qui est déchiffré à l’intérieur de son propre navigateur, via l’export en libre-service décrit à la section 13 (droit à la portabilité des données, article 20 du RGPD). Cet export n’est disponible que lorsque l’utilisateur est connecté. Nous recommandons malgré tout de l’utiliser avant de désactiver ou de demander une suppression — non parce que vous resteriez autrement sans copie (voir le point suivant), mais parce que c’est la seule voie qui puisse inclure vos notes et votre raisonnement chiffrés. Ce qui est protégé par le chiffrement de bout en bout est chiffré avec votre mot de passe et nous est illisible : aucune copie préparée de notre côté ne pourra jamais le contenir. C’est la garantie qui fonctionne comme annoncé, non une limite du service.
La copie que nous préparons pour vous, et sa durée de conservation. Lorsqu’un compte est désactivé ou supprimé, quel qu’en soit l’initiateur, la plateforme prépare automatiquement une archive de tout ce que CL est techniquement en mesure de lire : les informations de votre compte, vos dossiers suivis, et la liste complète de votre cartographie avec, pour chaque entrée, son organisation, son rôle, ses scores d’influence, d’attitude, d’implication et d’urgence ainsi que son quadrant de priorité. Un lien de téléchargement est envoyé à votre adresse enregistrée. Vous n’avez rien eu à anticiper, et vous n’avez pas besoin de pouvoir vous connecter.

Comment ce lien est protégé. Il porte un jeton aléatoire à usage unique ; lorsque votre compte utilisait l’authentification à deux facteurs, l’un de vos codes de sauvegarde est également exigé, car un code envoyé par courriel arriverait dans la même boîte que le lien et n’ajouterait rien. L’archive est supprimée de nos serveurs dès qu’elle a été téléchargée, et en tout état de cause au bout de 30 jours, après quoi le lien cesse de fonctionner. Chaque téléchargement, et chaque code refusé, déclenche une alerte de notre côté. Si vous n’avez plus vos codes de sauvegarde, écrivez-nous depuis votre adresse enregistrée : nous vérifions nous-mêmes la demande et vous envoyons un nouveau lien. Ni l’administrateur qui déclenche une copie, ni quiconque chez CL, ne se voit montrer ce lien, généré et envoyé par le serveur directement vers vous.
Désactiver votre compte. Vous pouvez désactiver votre compte à tout moment depuis Manage my account. La connexion est immédiatement bloquée et toutes vos sessions actives sont fermées, mais il s’agit d’une suspension et non d’une suppression : votre compte et son contenu sont conservés en l’état, aussi longtemps que vous le souhaitez, et rien n’est effacé par l’écoulement du temps. Vous pouvez nous demander sa réouverture quand vous le voulez : cette demande n’a pas de date d’expiration. L’archive décrite ci-dessus est préparée et vous est envoyée automatiquement à ce moment-là ; si vous utilisez le chiffrement de bout en bout, exportez d’abord depuis la plateforme (voir le premier point ci-dessus), car c’est la seule copie qui puisse inclure vos contenus chiffrés.
Supprimer votre compte (droit à l’effacement, article 17 du RGPD). Une demande d’effacement peut être formulée à tout moment via notre formulaire de contact, y compris depuis un compte que vous avez déjà désactivé, et elle est traitée dans les délais prévus à la section 13 (en principe un mois, prorogeable de deux mois pour les demandes complexes). La suppression place le compte dans un état restaurable pendant 30 jours, durant lesquels il peut être intégralement rétabli sur demande et durant lesquels vous conservez l’accès à une copie de vos données ; à l’issue de ce délai, le compte et l’ensemble des contenus créés sous celui-ci — dossiers, cartographies de parties prenantes, positions, notes, brouillons, mots-clés et caches dérivés — sont définitivement et irréversiblement purgés. Ce délai de 30 jours s’applique à tous les cas de suppression, quel qu’en soit l’initiateur.
Comptes jamais utilisés. Un compte dont le titulaire ne s’est jamais connecté est supprimé immédiatement, sans délai de 30 jours. Ce délai existe pour laisser au titulaire le temps d’exporter ses données ; un compte jamais activé ne contient rien à exporter et personne ne s’y est fié.
Comptes jamais finalisés. Un compte dont le titulaire n’a pas accepté les Conditions et la Politique de confidentialité lors de la première connexion n’est pas opérationnel et ne contient aucun contenu. L’administrateur qui en répond reçoit un rappel au bout de 30 jours, puis un second au bout de 60 jours, et le compte est supprimé automatiquement 90 jours après sa création ou son approbation, en application du principe de limitation de la conservation. Le refus des Conditions, comme l’annulation d’une demande de compte, supprime le compte et tout ce qui a été fourni aussitôt, sans délai de 30 jours. Les rappels comportent les nom, adresse et organisation du titulaire ainsi que la date de création, et aucun contenu ; ils reposent sur l’intérêt légitime d’administrer les comptes ouverts à la demande de cet administrateur (article 6, §1, f) du RGPD). Voir la section 2 des Conditions générales.
Courriels de rappel. Pour les courriels décrits à la section 5, nous conservons uniquement la date d’envoi du dernier, leur nombre et votre préférence. Rien d’autre n’est conservé à cette fin, et cet enregistrement est supprimé avec le compte.
Suppression ou désactivation à l’initiative de CL. CL Corporate Affairs Consulting peut, à sa discrétion, désactiver ou supprimer définitivement un compte — la désactivation étant la mesure réversible et la suppression la mesure définitive. Les motifs sont communiqués sur demande. Lorsque le motif est un conflit d’intérêts, le compte est désactivé et jamais supprimé, et le titulaire est prévenu le plus rapidement possible, en fonction de ce que les circonstances permettent ; la suppression est réservée à un usage illicite de la plateforme. Il s’agit d’une résiliation du service sur le fondement de l’article 3 des conditions générales, et non d’une décision portant sur les contenus qui nous sont confiés : lorsque CL agit de sa propre initiative, le titulaire en est informé et le même délai de 30 jours s’applique avant tout effacement.
Comptes d’organisation. Au sein d’une organisation collaborative, le gestionnaire de compte peut désactiver ou supprimer chaque sous-compte individuellement. Un membre s’adresse à son gestionnaire plutôt que d’agir seul, le compte relevant de l’abonnement de l’organisation. La suppression du compte d’un gestionnaire n’entraîne pas celle des comptes de ses membres : ceux-ci subsistent, et la purge du gestionnaire est différée aussi longtemps qu’un compte reste rattaché à l’organisation, afin qu’aucun membre ne se retrouve orphelin.
Ce que nous conservons séparément. Les entrées du journal de sécurité et de traçabilité sont conservées indépendamment du compte, sur le fondement de l’intérêt légitime et de l’obligation légale de détecter et d’investiguer les incidents de sécurité et d’étayer la réponse aux violations et la responsabilité (article 6, paragraphe 1, points c) et f), du RGPD), pour une durée bornée de douze mois et non indéfinie ; elles n’enregistrent que le fait et l’heure d’actions administratives, accompagnés de métadonnées techniques limitées (telles que l’adresse e-mail et l’adresse IP associées à une action), et non vos contenus analytiques. Ce journal est proportionné au risque au sens de l’article 32 du RGPD et n’est pas conservé sous une forme infalsifiable.
Contenu chiffré de bout en bout : lorsque l'utilisateur a activé le chiffrement de bout en bout, le contenu n'est stocké que sous forme de texte chiffré (préfixé cv1: ou co1:) que CL ne peut pas déchiffrer. La suppression du compte efface à la fois le texte chiffré et les paramètres de chiffrement (sel et clé maîtresse encapsulée) détenus côté serveur ; une fois ceux-ci effacés, le contenu est irrécupérable par quiconque, y compris CL. Il en va de même si l'utilisateur perd le mot de passe qui protège sa clé, indépendamment de toute suppression (voir section 8).
Données de référence (institutionnelles, issues des bases de données officielles de l'UE) : mises à jour périodiquement, conservées tant que la plateforme est en exploitation. Les entrées obsolètes sont écrasées lors de l'actualisation. Il s'agit de données de référence publiques, non rattachées à un compte individuel.
Données de cartographie et de positions des parties prenantes : conservées aussi longtemps que le compte existe, et supprimées avec lui. Ces contenus appartiennent à l’utilisateur, qui en est le responsable de traitement ; CL les traite sur ses instructions et ne dispose d’aucun droit de conservation autonome sur eux. Ils ne font donc l’objet d’aucun archivage, et aucune durée de conservation administrative ou probatoire ne leur est applicable : à la suppression du compte, ils suivent le modèle d’effacement décrit ci-dessus et sont purgés définitivement à l’issue du délai de restauration de 30 jours.
Notes internes et comptes-rendus d'engagement : conservés aussi longtemps que le compte existe, et supprimés avec lui, au même titre et sans archivage. L'utilisateur peut supprimer ses propres notes à tout moment.
Documents contractuels et comptables propres à CL (lettres de mission, factures, correspondance associée) : conservés jusqu'à 6 ans, durée de conservation professionnelle usuelle en droit commercial français. Cette durée ne concerne que les documents que CL détient en qualité de responsable de traitement de sa propre relation d'affaires, et jamais les contenus créés dans la plateforme, couverts par les deux points ci-dessus.

Cessation du fonctionnement de la plateforme. En cas de cessation du fonctionnement de la plateforme, les utilisateurs seront informés à l'avance et pourront télécharger leurs données. Les modalités et les limites de cet engagement figurent à la section 10.1 des Conditions générales.

Cession de la plateforme. En cas de cession de Compass, les utilisateurs seront informés dans un délai de deux semaines suivant la conclusion de l'accord avec l'acquéreur, lequel s'enquerra des obligations légales lui incombant. Pendant ce délai, chacun peut exporter ses données et demander la suppression de son compte s'il ne souhaite pas poursuivre sous l'égide du nouvel exploitant (section 10.2 des Conditions générales).

Demandes de compte. Une demande refusée est supprimée immédiatement au moment de la décision, avec les logos éventuellement fournis. Lorsqu’une demande est acceptée, les informations fournies deviennent des données de compte et suivent les règles ci-dessus ; seule la trace de la décision est conservée, sans les pièces jointes. Une demande restée sans décision pendant 30 jours expire et est supprimée dans les mêmes conditions, le demandeur en étant informé.

12. Destinataires des données

Les données à caractère personnel traitées au sein de Compass ne sont accessibles qu'aux utilisateurs autorisés de la plateforme. Chaque utilisateur n'accède qu'aux données pertinentes pour sa propre activité. Les notes internes et comptes-rendus d'engagement ne sont visibles que par l'utilisateur qui les a créés.

Alertes du Parlement européen. Compass peut vous abonner au service d’alerte de l’Observatoire législatif du Parlement pour une procédure que vous suivez. Si vous le demandez, et seulement alors, votre adresse électronique est transmise au Parlement européen afin qu’il crée l’abonnement et vous envoie sa propre confirmation. L’abonnement ne devient actif qu’au moment où vous cliquez sur cette confirmation, et vous acceptez alors les conditions du Parlement et non les nôtres. Compass n’envoie pas ces alertes, ne les reçoit pas, et ne conserve aucune trace de ce qui vous est signalé. Vous pouvez vous désabonner à tout moment directement auprès du Parlement.

Il s’agit d’un engagement contractuel opposable à CL Corporate Affairs Consulting et à tout administrateur agissant pour son compte, et non de la simple description du fonctionnement du logiciel. Lorsque l’utilisateur a activé le chiffrement de bout en bout, cet engagement est renforcé par une impossibilité technique : le contenu ne nous est pas seulement interdit, il nous est illisible. Les deux jouent ensemble : l’engagement couvre ce que nous pourrions techniquement lire, le chiffrement supprime la question pour le reste.

Administration de la plateforme. Compass est administrée par CL Corporate Affairs Consulting. Son fondateur détient le compte administrateur maître et est la seule personne pouvant créer, modifier ou retirer des droits d’administration : ce pouvoir n’est délégable à personne, par conception et non par simple engagement.

À côté de lui, CL peut accorder un compte d’administrateur délégué à une personne assistant à l’exploitation de la plateforme. Un tel compte ne détient que les capacités qui lui ont été accordées, une par une, et rien d’autre : par exemple redémarrer le serveur, ou gérer les comptes, ou consulter la boîte contact@compass.eu.com. Un administrateur délégué ne peut jamais s’octroyer une capacité supplémentaire, créer un autre administrateur, ni agir sur le compte de l’administrateur maître. Chaque action menée sous un compte délégué est consignée dans le journal d’audit et identifiée comme telle.

Deux limites s’appliquent à tout administrateur, maître ou délégué, et elles sont techniques et non contractuelles. Aucun administrateur ne peut lire un contenu chiffré de bout en bout (vos notes, votre raisonnement, vos prises de position) car il est chiffré avec votre mot de passe et le serveur n’en détient jamais la clé (section 10.1). Et lorsqu’un administrateur fait préparer une copie des données d’un compte pour son titulaire, le lien de téléchargement ne lui est jamais montré : il est généré par le serveur et envoyé directement au titulaire (section 11). Nous l’indiquons ici parce que l’administration déléguée est une capacité réelle de la plateforme, et que nous préférons la décrire avant qu’elle ne serve plutôt qu’après.

Aucune donnée n'est partagée avec des tiers, sauf :

Lorsque la loi l'exige (autorités judiciaires, policières ou administratives) ;
Uniquement lorsque CL est responsable de traitement au sens de la section 3, c'est-à-dire pour son propre usage de la plateforme dans le cadre de ses missions de conseil : avec un client de CL Corporate Affairs Consulting, lorsque le partage est strictement nécessaire à l'exécution de la mission et défini contractuellement. Cette hypothèse ne concerne jamais les données d'un utilisateur tiers, pour lesquelles CL agit comme sous-traitant et n'a aucun droit de partage ;
Avec Mistral AI, uniquement lorsque l’utilisateur a explicitement activé l’option API commerciale européenne de Mistral décrite à la section 9.1. Aucune donnée n’est transmise à un service d’IA lorsqu’aucune IA n’est activée (état par défaut).

Ce qu’une réquisition légale peut et ne peut pas obtenir. Lorsqu’une autorité judiciaire, policière ou administrative nous adresse une demande qui s’impose à nous, nous y déférons. Il importe d’être précis sur ce que cette exécution permet de produire, afin que nul, utilisateur comme autorité, ne s’en fasse une idée fausse.

Pour les données détenues en clair, l’exécution ne présente aucune particularité : les informations de compte, la liste des dossiers suivis, les cartographies de parties prenantes et les scores analytiques qui s’y rattachent sont lisibles par la plateforme et peuvent être produits. Pour les contenus que l’utilisateur a protégés par le chiffrement de bout en bout, ce que nous détenons est du texte chiffré, et c’est ce que nous sommes en mesure de produire. Nous ne pouvons pas produire le texte en clair, car nous n’avons pas la clé : elle est dérivée du mot de passe de l’utilisateur, que nous ne recevons ni ne conservons jamais, et l’architecture qui l’impose est décrite à la section 10.1 et était en place avant que la moindre demande puisse survenir.

Il ne s’agit ni d’un refus de coopérer, ni de l’invocation d’un secret. C’est une absence de moyen technique, annoncée à l’avance, qui s’applique uniformément et à nous autant qu’à quiconque. Nous ne détenons aucune clé maîtresse, aucune clé de recouvrement, aucune copie séquestrée, et nous ne pouvons pas en créer rétroactivement pour un contenu déjà chiffré — une clé qui n’existe pas ne peut pas être remise. Une autorité recherchant le contenu en clair devrait s’adresser à la personne qui détient la clé, c’est-à-dire l’utilisateur. C’est exactement ce que nous exposerons, en produisant tout ce que nous détenons, chaque fois que nous y serons légalement tenus. Il reste néanmoins, en tant que responsables principaux du traitement, de la responsabilité des utilisateurs de coopérer pleinement en cas de requêtes judiciaires, CL Corporate Affairs Consulting assistant au mieux dans le cadre des obligations qui lui incombent et dans la latitude des moyens techniques dont elle dispose.

Nous préférons énoncer la limite de cette position plutôt que de la laisser lire pour plus qu’elle n’est. Ce que nous décrivons ici est une impossibilité de déchiffrer un contenu déjà chiffré. Ce n’est pas l’affirmation qu’aucune injonction ne pourrait jamais rien exiger de nous pour l’avenir : un juge peut légalement imposer des mesures prospectives, et nous y serions tenus comme tout autre exploitant. Deux conséquences en découlent, que nous préférons préciser, à des fins de parfaite transparence et de diligence. Le chiffrement protège ce qui est déjà scellé, non ce qui n’a pas encore été rédigé. Et le seul moment où un contenu chiffré est manipulé en clair est le relais IA optionnel décrit à la section 9.1, désactivé par défaut, fonctionnant uniquement sur une clé fournie par l’utilisateur, n’écrivant rien sur disque, et c’est la raison pour laquelle cette section le décrit avec autant de précision. Si nous étions un jour contraints d’amender des éléments substantiels de la présente politique, nous la modifierions dans le strict respect de nos obligations réglementaires, en tenant compte des limites techniques dans lesquelles de telles futures modifications pourraient s’inscrire, et d’éventuelles autres obligations légales que nous sommes également tenus d’observer.

La liste complète des sous-traitants ultérieurs, ainsi que la confirmation que l’ensemble des ressources chargées dans le navigateur (polices web et bibliothèque de visualisation D3.js) sont auto-hébergées sur les serveurs UE de CL et notre engagement à informer les utilisateurs de tout nouveau sous-traitant ultérieur, figurent à la section 10.

Cloudflare (Turnstile). Le formulaire public de demande de compte est protégé contre les abus automatisés par Cloudflare Turnstile. Pour effectuer cette vérification, Cloudflare reçoit l’adresse IP, l’agent utilisateur du navigateur et des signaux techniques issus de celui-ci. Ce dispositif ne s’exécute que sur cette seule page publique, jamais sur une page où l’utilisateur est connecté, et n’est utilisé ni à des fins publicitaires ni de profilage comportemental. Cloudflare, Inc. est établie aux États-Unis ; son intervention se limite à cette vérification sur cette page, et aucun contenu hébergé dans Compass ne lui est exposé.

13. Vos droits

Le RGPD confère des droits spécifiques aux personnes dont les données à caractère personnel sont traitées. Au sein de Compass, ces droits s'exercent différemment selon la catégorie de personne concernée :

Les utilisateurs de la plateforme (titulaires de comptes) peuvent à tout moment :

Accéder aux données de leur compte et obtenir des informations sur leur traitement (article 15 du RGPD) ;
Rectifier les données de compte inexactes ou incomplètes (article 16 du RGPD) ;
Supprimer leur compte et toutes les données associées (droit à l'effacement, article 17 du RGPD), comme décrit à la section 11 ;
Limiter le traitement dans les cas prévus par l'article 18 du RGPD ;
S'opposer au traitement fondé sur l'intérêt légitime (article 21 du RGPD) ;
Retirer leur consentement à tout moment pour la fonctionnalité d'IA optionnelle, désactivée par défaut et reposant sur le consentement de l'utilisateur (article 7, paragraphe 3, du RGPD) ; le retrait ne porte pas atteinte à la licéité du traitement effectué avant celui-ci ;
Changer leur mot de passe depuis le tableau de bord ;
Se désinscrire des courriels de rappel décrits à la section 5, depuis le lien figurant dans chacun d’eux ou depuis Gérer mon compte, à tout moment et sans effet sur le compte ;
Exporter leur propre contenu (y compris le contenu chiffré de bout en bout) via un export dédié en libre-service dans Gérer mon compte, accessible au seul titulaire du compte. Le contenu chiffré ne pouvant être déchiffré qu'avec le mot de passe de l'utilisateur, au sein de son propre navigateur, l'export est généré côté client pendant que l'utilisateur est connecté et déverrouillé ; CL n'a jamais accès au contenu déchiffré, et l'export comprend donc des éléments qui sont, par construction, illisibles pour CL (portabilité des données, article 20 du RGPD). L'export couvre le contenu rédigé par l'utilisateur, y compris la liste complète de la cartographie avec ses scores et ses quadrants de priorité. La correction de l'adresse e-mail du compte n'est pas encore disponible en ligne et s'effectue sur demande via notre formulaire de contact. Le périmètre d'un export dépend de la capacité du titulaire à se connecter encore : réalisé depuis une session active, il contient tout, y compris les contenus chiffrés, puisque le navigateur les déchiffre localement ; demandé à CL une fois la connexion désactivée, il ne peut contenir que ce que CL est techniquement en mesure de lire — informations de compte, dossiers suivis et liste de cartographie, non chiffrés par construction — et jamais les contenus chiffrés de bout en bout. Dans un compte d'organisation collaboratif, chaque membre exporte le contenu qu'il a personnellement rédigé ; les données à l'échelle de l'organisation sont gérées par le gestionnaire de compte.

Les personnes référencées en tant que parties prenantes (personnalités publiques, acteurs institutionnels) dont les données publiquement accessibles sont traitées dans Compass peuvent :

Accéder aux données détenues à leur sujet et obtenir des informations sur les finalités du traitement ;
Rectifier les données inexactes ;
S'opposer au traitement fondé sur l'intérêt légitime (article 21 du RGPD), auquel cas le responsable de traitement appréciera si des motifs légitimes impérieux prévalent sur l'opposition ;
Demander l'effacement de leurs données, sous réserve d'un intérêt légitime impérieux ou d'une obligation légale.

À qui s'adresser : les demandes relatives aux données de compte utilisateur doivent être adressées à CL Corporate Affairs Consulting. Lorsqu'un utilisateur tiers agit en qualité de responsable de traitement pour des données de parties prenantes qu'il a saisies, les demandes des parties prenantes relatives à ces données doivent être adressées à l'utilisateur concerné (responsable de traitement). CL Corporate Affairs Consulting assistera, le cas échéant, l'acheminement de ces demandes.

Pour exercer l'un quelconque de ces droits, veuillez nous contacter via notre formulaire de contact. En cas de doute raisonnable sur l'identité de la personne qui introduit une demande, nous pouvons demander les informations nécessaires pour confirmer cette identité avant de donner suite. Nous répondons aux demandes dans un délai d'un mois à compter de leur réception ; ce délai peut être prolongé de deux mois supplémentaires lorsque la demande est complexe ou en cas de pluralité de demandes, auquel cas nous en informons le demandeur dans le premier mois. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr) ou de toute autorité de contrôle compétente.

14. Cookies

Compass utilise un cookie de session propriétaire strictement nécessaire (compass_session) requis pour l'authentification. Il est HTTP-only et Secure, défini avec l'attribut SameSite=Lax, et ne stocke qu'un identifiant de session : aucune donnée à caractère personnel au-delà de cet identifiant et aucun traçage entre sites. Sa durée de vie correspond à la session de l'utilisateur ; elle est prolongée lorsque l'utilisateur sélectionne « se souvenir de moi » et reste, à défaut, de courte durée.

Sur les pages publiques (la page d'accueil et les autres pages hors application), Compass dépose également deux cookies propriétaires purement fonctionnels, qui ne contiennent aucune donnée à caractère personnel, aucun identifiant et n'effectuent aucun traçage : compass_lang mémorise la langue d'interface choisie par le visiteur (EN/FR/DE/IT) afin de ne pas avoir à la resélectionner à chaque visite, et compass_intro_seen enregistre que la brève animation d'introduction a déjà été affichée afin qu'elle ne soit pas rejouée à chaque visite. Tous deux sont propriétaires, expirent au bout d'environ 7 jours et ne stockent qu'une simple valeur de préférence.

Aucun cookie de traçage, de profilage ou publicitaire n'est utilisé, et aucun outil de mesure d'audience n'est déployé sur la plateforme Compass. Le cookie de session étant strictement nécessaire à la fourniture du service demandé par l'utilisateur (l'authentification) et les deux cookies de préférence étant purement fonctionnels (limités à la mémorisation de choix activement effectués par l'utilisateur et ne stockant aucune donnée à caractère personnel), ils relèvent de l'exemption « strictement nécessaires / fonctionnels » de la directive ePrivacy (article 5, paragraphe 3, de la directive 2002/58/CE, telle que transposée en droit français) et ne requièrent donc aucun bandeau de consentement. L'authentification repose uniquement sur le cookie de session et non sur le stockage du navigateur ; les éventuelles données conservées dans le stockage local du navigateur se limitent à des préférences d'interface non personnelles.

Le formulaire public de demande de compte charge Cloudflare Turnstile (article 12), qui peut déposer dans le navigateur un jeton technique de courte durée à seule fin de valider la vérification anti-robot. Il n’a aucune fonction publicitaire ni de suivi, n’est présent sur aucune autre page, et relève de la même exemption de stricte nécessité, étant requis pour sécuriser un service que le visiteur a lui-même sollicité.

15. Notification de violation de données à caractère personnel

CL Corporate Affairs Consulting exploite l'infrastructure de Compass et est responsable, en qualité de responsable de traitement à l'échelle de la plateforme, de la détection, de l'évaluation et du traitement des violations de données à caractère personnel. Si nous avons connaissance d'une violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes physiques, nous le notifierons à la CNIL dans les meilleurs délais et, dans la mesure du possible, 72 heures au plus tard après en avoir pris connaissance (article 33 du RGPD). Lorsqu'une violation est susceptible d'engendrer un risque élevé pour les personnes concernées, nous en informerons ces personnes dans les meilleurs délais (article 34 du RGPD) afin qu'elles puissent prendre des mesures de protection.

Si un utilisateur soupçonne un incident de sécurité ou une violation affectant ses données, il peut nous le signaler via notre formulaire de contact ; CL procédera à l'investigation et, lorsque les seuils ci-dessus sont atteints, effectuera les notifications requises. Le contenu pour lequel un utilisateur a activé le chiffrement de bout en bout optionnel (section 10.1) n'est stocké que sous forme de texte chiffré que CL ne peut pas lire, ce qui réduit sensiblement l'impact qu'une telle violation aurait sur ce contenu.

16. Registre des activités de traitement (article 30)

Bien que CL Corporate Affairs Consulting soit une petite organisation, l'exemption prévue à l'article 30, paragraphe 5, pour les organisations de moins de 250 employés ne s'applique pas ici, car le traitement est régulier et peut porter sur des données révélant des opinions politiques (catégorie particulière au sens de l'article 9 du RGPD). CL tient donc un registre de ses activités de traitement, mis à la disposition de la CNIL sur demande.

17. Analyse d'impact relative à la protection des données (article 35)

Dès lors que Compass comporte une évaluation systématique (scoring) de personnes physiques identifiables (les notations d'influence, d'attitude et d'urgence) sur des données susceptibles de révéler des opinions politiques, CL Corporate Affairs Consulting considère ces fonctionnalités comme nécessitant une analyse d'impact relative à la protection des données au titre de l'article 35 du RGPD et en a réalisé une. Cette analyse documente les garanties sur lesquelles le traitement repose : la nature publique de la capacité dans laquelle agissent les personnalités concernées, le recours exclusif à des sources publiques, l'évaluation de l'intérêt légitime exposée à la section 6, la disponibilité du chiffrement de bout en bout optionnel, la faculté pour l'utilisateur d'écraser chaque valeur, et l'absence de tout profilage commercial de personnes physiques privées. Le scoring des personnalités publiques repose sur l'intérêt légitime (article 6, paragraphe 1, point f, du RGPD), étayé par cette analyse, qui est tenue sous revue. L'analyse complète est exposée dans notre Analyse d'impact relative à la protection des données (AIPD).

18. Délégué à la protection des données (article 37) et point de contact en matière de confidentialité

La question de l'article 37 suit la répartition des rôles exposée aux sections 3 et 3.1 : comme la CJUE l'a jugé dans les arrêts Wirtschaftsakademie (C-210/16) et Fashion ID (C-40/17), la responsabilité en matière de protection des données (et, avec elle, le rôle de délégué à la protection des données et de point de contact) s'attache au périmètre réel de chaque opération de traitement et à la partie qui en détermine les moyens et les finalités, et non à une qualification unique. Compass comporte deux opérations distinctes, et la réponse diffère pour chacune.

En premier lieu, pour les données des tiers traitées au sein de l'interface (les parties prenantes qu'un utilisateur cartographie et évalue), les choix déterminants (quelles personnes sont traitées, quelles données, pour quelle finalité) appartiennent de manière prépondérante à l'utilisateur. L'utilisateur est dès lors le responsable de traitement pour ce traitement et, lorsque sa propre activité rend une désignation obligatoire au titre de l'article 37 du RGPD, la partie qui désigne le délégué à la protection des données à ce titre. CL Corporate Affairs fournit la plateforme, la méthodologie et les garanties techniques.

En second lieu, pour les données des utilisateurs eux-mêmes (leurs données de compte et d'identification), CL Corporate Affairs Consulting est le responsable de traitement et, par l'intermédiaire de son représentant légal, agit comme délégué à la protection des données et point de contact. Elle est joignable via notre formulaire de contact, assurant la supervision de la conformité pour le traitement à l'échelle de la plateforme, le traitement des demandes relatives aux données de compte et la liaison avec la CNIL. Ce traitement de données de compte étant limité et ne constituant pas, en lui-même, un suivi à grande échelle ni un traitement à grande échelle de catégories particulières, CL n'est pas tenue de désigner un délégué formel distinct au titre de l'article 37 à ce titre, et tient cette appréciation sous revue.

La désignation par CL de son référent à la protection des données est consignée par écrit : voir notre Désignation d’un référent à la protection des données.

19. Information fournie aux parties prenantes (article 14)

Une partie des données à caractère personnel traitées dans Compass concerne des tiers (les personnalités publiques que les utilisateurs cartographient) et est obtenue non pas auprès de ces personnes elles-mêmes mais à partir de sources publiques (les bases de données et registres institutionnels officiels énumérés aux sections 4 et 7). Lorsque les données à caractère personnel ne sont pas obtenues auprès de la personne concernée, l'article 14 du RGPD s'applique. Dès lors que c'est l'utilisateur qui sélectionne les parties prenantes à cartographier et qui détermine les données saisies et la finalité poursuivie (sections 3 et 3.1), l'obligation d'information de l'article 14 incombe principalement à l'utilisateur, en qualité de responsable de traitement de cette analyse ; CL Corporate Affairs Consulting, en tant que fournisseur de la plateforme, facilite la conformité, notamment en rendant publiquement accessibles les informations générales ci-dessous et en permettant aux personnes concernées d'exercer leurs droits (section 13).

Notifier individuellement chacune de ces personnes représenterait, compte tenu du nombre de personnalités publiques référencées sur l'ensemble de la plateforme, un effort disproportionné et compromettrait gravement les objectifs du traitement. Dans ces circonstances, l'exemption prévue à l'article 14, paragraphe 5, point b, du RGPD s'applique. À titre de garantie exigée par cette disposition, ces informations sont rendues publiquement accessibles par la présente Politique de confidentialité elle-même, qui décrit les catégories de données, les sources, les finalités et bases juridiques, ainsi que les droits ouverts aux personnes concernées (voir en particulier les sections 4, 6, 7 et 13).

L'analyse qu'un utilisateur produit d'une partie prenante (les positions attribuées, les évaluations et le raisonnement qui les accompagne) constitue un travail professionnel confidentiel, et la décision de le publier ou de le divulguer appartient à ce seul utilisateur. En conséquence, une demande d'accès à de telles données au titre de l'article 15 du RGPD est soumise à la limite reconnue à l'article 15, paragraphe 4, du RGPD et au considérant 63, en vertu desquels le droit d'obtenir une copie ne doit pas porter atteinte aux droits et libertés d'autrui, y compris la confidentialité du travail analytique de l'utilisateur et les éventuels secrets d'affaires applicables.

20. Modifications de la présente politique

La présente politique peut être mise à jour pour refléter des évolutions des fonctionnalités de la plateforme, de la législation applicable ou des lignes directrices réglementaires. Les modifications sont publiées sur cette page avec une date de mise à jour. Lorsque des modifications affectent de manière substantielle le traitement des données à caractère personnel, les utilisateurs en sont informés à leur connexion suivante.