[À COMPLÉTER AVANT PUBLICATION DÉFINITIVE] Ce projet est présenté pour relecture. L’identité du vendeur et les mentions signalées dans le texte restent à compléter.
Version de travail du 8 octobre 2026, à compléter avant publication.
1. Responsable et contact
Le responsable des traitements est [À CONFIRMER : identité légale, pays et adresse du vendeur], exploitant de Rishouy. Pour les questions relatives aux données et l’exercice de vos droits : par courriel, à contact@rishouy.com.
[À CONFIRMER : DPO désigné ou non ; représentant dans l’Union européenne si requis]. Aucune désignation n’est présumée dans ce projet.
2. Données et utilisations
| Utilisation | Données concernées | Base juridique envisagée lorsque le RGPD s’applique |
|---|---|---|
| Créer le compte et vous connecter | Courriel, identifiant, informations de profil disponibles, données de session ; identité transmise par Google si cette connexion est choisie | Exécution du service demandé, art. 6.1.b |
| Calculer et enregistrer un parcours indicatif | Durée et secteur d’exercice, stage, antécédent d’échec à l’examen, statut en Israël, année ou ancienneté de l’alyah, résultat du calcul | Mesures précontractuelles ou exécution du service demandé, art. 6.1.b |
| Fournir la préparation et personnaliser les révisions | Ressources consultées ou terminées, réponses, résultats, temps d’examen, cartes de révision et échéances | Exécution du contrat, art. 6.1.b |
| Encaisser et ouvrir les accès | Offre, montant, devise, références et statut du paiement, courriel, période d’accès | Exécution du contrat, art. 6.1.b |
| Facturer et respecter les obligations comptables | Identité disponible, coordonnées de facturation, montants, taxes, références de facture ou reçu | Obligation légale, art. 6.1.c ; [À CONFIRMER : textes applicables] |
| Accompagner le dossier | Identité, photos et justificatifs demandés, diplômes, attestations, documents administratifs, état et historique du dossier | Exécution du contrat pour les données ordinaires ; voir restrictions ci-dessous |
| Établir la preuve contractuelle et protéger le service | Version acceptée, horodatage, identifiant, empreinte d’adresse IP, navigateur et journaux techniques selon configuration | Intérêt légitime à la preuve et à la sécurité, art. 6.1.f ; obligations légales selon les archives concernées |
| Répondre à une demande ou réclamation | Coordonnées, message et pièces strictement nécessaires communiquées au support | Mesures précontractuelles ou contrat ; intérêt légitime pour les demandes générales |
| Mesurer l’audience du site, si vous l’acceptez | Pages consultées, provenance de la visite, type d’appareil et de navigateur, localisation approximative déduite de l’adresse IP, identifiant de cookie | Consentement, art. 6.1.a ; retirable à tout moment avec « Gérer les cookies » |
Ces bases sont [À CONFIRMER : après identification de l’exploitant, examen de la nécessité des données et documentation des intérêts légitimes]. Aucun consentement général aux traitements n’est déduit de l’acceptation des conditions.
Le calculateur peut mémoriser votre saisie dans le navigateur. Lors de votre accès à l’espace personnel, cette saisie est automatiquement rattachée au compte si aucun profil de parcours n’y existe déjà. Après un rattachement réussi, la copie locale est supprimée. Il convient d’éviter la saisie d’informations personnelles sur un appareil partagé.
La connexion Google communique les informations autorisées dans son écran de connexion ; [À CONFIRMER : champs et autorisations effectivement demandés]. Aucune newsletter ni publicité comportementale n’est utilisée. La mesure d’audience par Google Analytics n’a lieu qu’avec votre accord : voir la politique cookies.
3. Pièces à protection renforcée
L’accompagnement prévoit notamment une pièce d’identité israélienne avec adresse, des photos, un questionnaire professionnel, des diplômes et un Certificate of Good Standing. Un tel certificat n’est pas nécessairement un extrait de casier judiciaire ; son contenu exact doit être examiné.
Ne déposez pas de données de patients ou d’informations personnelles étrangères à la démarche. [À CONFIRMER AVANT COLLECTE : contenu des questionnaires et attestations ; éventuelles données de santé ou relatives à des infractions ; fondement spécifique des articles 9 ou 10 du RGPD si nécessaire ; possibilité d’un envoi direct à l’autorité sans copie chez Rishouy]. Le contrat seul ne suffit pas à autoriser toutes ces catégories de données.
4. Origine, caractère requis et destinataires
Les données proviennent de vos saisies et dépôts, de votre utilisation du service et, selon votre choix, du fournisseur de connexion et du prestataire de paiement. Les données indispensables à l’accès, au paiement ou à la prestation sont distinguées des informations facultatives. Leur absence peut empêcher la fonctionnalité concernée, sans empêcher la consultation des pages publiques.
Les personnes habilitées chez l’exploitant accèdent aux données dans le cadre de leurs missions. Les accès au dossier sont réservés au client concerné et au personnel habilité selon les règles applicatives.
Les outils identifiés sont Supabase pour les comptes, données et fichiers ; Stripe pour les paiements lorsqu’il est configuré ; Google pour la connexion choisie par l’utilisateur ; Green Invoice pour la facturation en shekels si cette option est activée ; Vercel pour l’hébergement du site ; Cloudflare pour la réception des courriels adressés à l’adresse de contact ; Google Analytics pour la mesure d’audience, seulement si vous l’acceptez. [À CONFIRMER : fournisseurs réellement utilisés, entités contractantes et prestataire d’envoi des courriels]. Les prestataires de paiement ou d’identité peuvent également agir pour leurs propres finalités selon leur politique.
Les autorités et professionnels intervenant dans une démarche ne reçoivent des pièces que dans un cadre légal et défini avec le client. [À CONFIRMER : qui transmet effectivement les documents, à quels destinataires et sous quel mandat]. Une étiquette « envoyé » dans l’interface ne prouve pas une transmission automatisée.
5. Lieux de traitement et transferts
Le site est hébergé par Vercel Inc., aux États-Unis. Google Analytics est fourni par Google, les données pouvant être traitées aux États-Unis. Vercel et Google déclarent adhérer au cadre de protection des données UE–États-Unis (Data Privacy Framework). Les comptes, données et fichiers sont hébergés par Supabase dans l’Union européenne (Francfort, Allemagne). [À CONFIRMER : accès du personnel depuis Israël ou d’autres pays, sous-traitants ultérieurs et pays des autres prestataires]. Une région de stockage européenne ne suffit pas à exclure des accès depuis l’étranger.
Lorsque le RGPD exige des garanties pour un transfert, elles doivent être identifiées pour chaque flux : décision d’adéquation applicable ou garanties appropriées, notamment clauses contractuelles types et mesures complémentaires si nécessaires. Ce projet ne certifie aucun mécanisme de transfert sans examen du contrat et du flux. Vous pourrez demander des informations sur ces garanties et une copie accessible au contact indiqué.
6. Conservation
Les durées ci-dessous sont des propositions à confirmer et à mettre en œuvre ; elles ne décrivent pas des purges déjà vérifiées.
| Données | Durée proposée et point de départ |
|---|---|
| Compte, parcours, progression et révisions | Pendant l’utilisation, puis suppression après 24 mois d’inactivité, sans supprimer un service encore en cours ; clôture demandée : traitement sous un mois, hors exceptions légales |
| Copies de pièces du dossier | Suppression au plus tard 3 mois après clôture de la mission ; suppression plus tôt des pièces devenues inutiles |
| Preuves minimales de prestation, commande, acceptation et litiges | Archive restreinte pendant 5 ans après la fin du contrat, sous réserve d’un autre délai légal applicable et d’un litige en cours |
| Factures et justificatifs comptables | [À CONFIRMER : durée imposée dans le pays du vendeur ; 10 ans pour les pièces comptables soumises à cette obligation française] |
| Demandes générales sans contrat | 12 mois après résolution de la demande |
| Journaux de sécurité | 6 mois à compter de leur enregistrement, sauf extraction nécessaire à un incident ou contentieux |
| Mesure d’audience (Google Analytics) | 14 mois pour les données de mesure ; 13 mois au plus pour les cookies ; votre choix, 6 mois |
| Sauvegardes | [À CONFIRMER : cycle d’effacement et traitement des restaurations] |
Ces durées doivent être ajustées aux obligations d’archivage particulières, notamment pour certains contrats électroniques. Une conservation probatoire ne justifie pas de garder systématiquement toutes les pièces d’identité. Le stockage dans le navigateur est détaillé dans la politique cookies.
7. Sécurité
Le code prévoit des contrôles d’accès liés au compte, un stockage privé pour les dossiers et des liens temporaires de consultation pour le personnel habilité. Les moyens de paiement complets sont saisis auprès du prestataire de paiement. L’empreinte d’une adresse IP reste une donnée personnelle pseudonymisée, pas une donnée anonyme.
[À CONFIRMER : application effective des politiques d’accès en production, chiffrement des échanges, accès administrateurs, sauvegardes et procédure d’incident]. Aucun système ne peut garantir une sécurité absolue.
8. Vos droits
Lorsque le RGPD s’applique, vous pouvez demander l’accès, la rectification, l’effacement ou la limitation de vos données, ainsi que la portabilité dans les cas prévus. Vous pouvez vous opposer aux traitements fondés sur l’intérêt légitime et retirer un consentement lorsqu’un traitement repose effectivement sur celui-ci.
Écrivez au contact indiqué en section 1. Une vérification d’identité proportionnée peut être demandée en cas de doute. La réponse intervient en principe sous un mois ; une prolongation de deux mois peut être nécessaire, avec information motivée dans le premier mois. Vous pouvez saisir l’autorité de contrôle compétente, notamment la CNIL.
9. Calculs automatisés et mises à jour
Les règles d’orientation et les scores servent à proposer un parcours et des exercices. Dans le fonctionnement examiné, ils n’accordent ni ne refusent une licence et ne constituent pas une décision administrative. Leur qualification au regard du profilage et la nécessité d’une analyse d’impact doivent être évaluées dans leur contexte réel.
La politique sera mise à jour lorsque les services, outils ou usages des données évoluent. Toute nouvelle finalité sera expliquée avant sa mise en œuvre et soumise au consentement lorsqu’il est requis.
Avertissement de rédaction. Ce document est une base de travail générée automatiquement, non validée par un avocat ou un DPO. Les mentions « À CONFIRMER » doivent être résolues avant publication. Une revue juridique est nécessaire pour la vente transfrontalière et le traitement des pièces administratives.