1. Qui est responsable de quoi
Il faut distinguer deux situations, parce que les responsabilités n'y sont pas les mêmes.
Sur ce site
Consolia est responsable de traitement pour les données recueillies sur cumaly.fr, c'est-à-dire essentiellement le formulaire de contact.
Dans l'application
Chaque coopérative est responsable de traitement pour les données de ses adhérents. C'est elle qui décide d'ouvrir des comptes, quelles informations y figurent et à qui elle donne accès. Consolia intervient comme sous-traitant, au sens de l'article 28 du règlement général sur la protection des données : nous traitons ces données uniquement sur instruction de la coopérative, pour lui fournir le service, et jamais pour notre propre compte.
Concrètement, si vous êtes adhérent et que vous souhaitez faire corriger ou supprimer une information vous concernant, adressez-vous d'abord à votre coopérative. Nous l'accompagnons techniquement dans sa réponse.
- Contact
- contact@cumaly.fr
- Éditeur
- Consolia — voir les mentions légales
2. Données collectées sur ce site
Ce site ne dépose aucun cookie de son propre chef. Il n'y a ni traceur publicitaire, ni outil de mesure extérieur. Vous n'avez donc aucune bannière à refuser. Un lien vers notre compte Instagram figure en bas de page : le suivre vous emmène sur Instagram, hors de ce site.
La page d'accueil propose une vidéo de présentation hébergée sur YouTube. Le lecteur YouTube n'est chargé que lorsque vous cliquez pour la lancer (domaine youtube-nocookie.com). Tant que vous ne cliquez pas, aucun cookie YouTube n'est déposé. Une fois la lecture démarrée, YouTube (Google) peut déposer ses propres cookies selon sa politique de confidentialité.
Nous comptons en revanche les visites, et il est honnête de le dire. Ce comptage se fait à partir des seuls journaux de notre serveur : rien n'est déposé sur votre appareil, aucun script ne vous observe, et vous n'êtes pas suivi d'un site à l'autre. Nous en retirons le nombre de pages consultées, la page par laquelle vous êtes arrivé, et le site ou le moteur de recherche qui vous a amené. Votre adresse IP n'entre pas dans ces statistiques : elle est remplacée par une empreinte, qui sert uniquement à ne pas vous compter dix fois dans la même journée et disparaît au bout de cinq semaines. Tout cela répond à une question de gestion — une plaquette distribuée dans un salon a-t-elle ramené quelqu'un — et jamais à la question de savoir qui vous êtes.
Nous retenons également votre département, et lui seul. Il est déduit à l'entrée de notre réseau, par notre hébergeur, du code postal qu'il associe à votre connexion : ni ce code postal, ni votre commune, ni votre adresse ne sont inscrits dans nos fichiers, qui ne portent jamais rien de plus précis qu'un département. Nous y lisons si l'intérêt naît près de nous ou plus loin, ce qui décide des salons auxquels nous allons. La maille est choisie, non subie — la commune était disponible, mais un visiteur unique dans un village finirait par désigner quelqu'un, alors qu'un département ne désigne personne. Les connexions venues de l'étranger sont comptées par pays.
Formulaire de contact
Lorsque vous demandez un accès d'essai, vous transmettez votre adresse électronique, le nom de votre coopérative et, si vous le souhaitez, son nombre approximatif d'adhérents ainsi qu'un mot libre décrivant votre situation. Ces informations servent uniquement à vous répondre et à ouvrir l'accès demandé.
Votre département est joint à la demande, déduit du code postal que notre hébergeur associe à votre connexion. Un nom de coopérative ne suffit pas à l'identifier — plusieurs dizaines de CUMA portent le même — et le département nous permet de retrouver la vôtre dans l'annuaire public des entreprises avant de vous rappeler. La déduction est faite à l'entrée de notre réseau et rien de plus précis n'en sort : ni votre code postal, ni votre commune, ni votre adresse IP.
Votre demande ne passe par personne d'autre que nous. Elle arrive directement sur nos serveurs, dans l'Union européenne, où elle est enregistrée puis signalée par courriel à notre boîte de contact. Vous recevez en retour un accusé de réception. Nous conservons également une empreinte de votre connexion, jamais votre adresse elle-même : elle sert uniquement à limiter le nombre d'envois qu'une même source peut déclencher, faute de quoi un formulaire ouvert à tous devient un outil d'envoi de courrier indésirable. Si vous préférez ne rien remplir, écrivez-nous à contact@cumaly.fr : le résultat est le même.
La demande est conservée trois ans après notre dernier échange, puis effacée automatiquement. Vous pouvez en obtenir la suppression avant ce terme sur simple demande.
Courrier envoyé à contact@cumaly.fr
Cette adresse n'est pas une boîte aux lettres classique. Les messages sont reçus par Amazon Web Services en Irlande, déposés sur un espace de stockage privé, puis réexpédiés vers la boîte personnelle du dirigeant. La copie déposée sur cet espace est effacée automatiquement au bout de trente jours ; le message réexpédié, lui, suit le sort ordinaire d'un courrier électronique. Aucun autre traitement n'est appliqué : ni analyse du contenu, ni constitution de liste de diffusion.
Journaux techniques
Notre hébergeur enregistre, comme tout serveur web, les informations de connexion nécessaires à la sécurité et au bon fonctionnement du site : adresse IP, date et heure, page demandée, type de navigateur, ainsi que le département déduit plus haut. Ces fichiers servent également à établir le comptage de visites décrit plus haut, sous forme de totaux par journée. Ils sont effacés automatiquement au bout de trente jours, et ne sont jamais utilisés pour vous identifier. Les totaux, qui ne désignent personne, sont conservés plus longtemps.
Polices de caractères
Les polices d'écriture sont chargées depuis les serveurs de Google Fonts, ce qui transmet votre adresse IP à Google. Nous prévoyons de les héberger nous-mêmes pour supprimer cette dépendance.
3. Données traitées dans l'application
Cumaly est conçue pour n'enregistrer que ce qui sert à la gestion du matériel. Il n'y a ni géolocalisation, ni suivi de déplacement, ni collecte à l'insu des utilisateurs.
Identité et compte
- Nom, prénom, adresse électronique.
- Numéro de téléphone, si l'adhérent le renseigne ou si la coopérative active les notifications par SMS.
- Exploitation ou société de rattachement, et rôle dans la coopérative.
- Date de création du compte et date de dernière connexion.
Activité
- Emprunts et retours : matériel, dates et heures, relevés de compteur, coût calculé.
- Réservations effectuées et annulées.
- Signalements de panne, avec le commentaire et, le cas échéant, les photographies jointes.
- Journal d'activité de la coopérative, qui conserve la trace des actions marquantes.
- Pour les coopératives qui l'utilisent, les heures d'entraide de la banque de travail.
Données techniques
- Un identifiant de connexion géré par le service d'authentification. Nous ne stockons aucun mot de passe : ils sont conservés, sous forme chiffrée, par Amazon Cognito.
- Si l'adhérent accepte les notifications, l'abonnement technique de son navigateur et ses préférences d'alerte.
- Un journal des connexions : date et heure, réussite ou échec, moyen employé — mot de passe ou empreinte digitale — et nature de l'appareil. En cas d'échec, l'adresse saisie y figure. Ce journal permet de repérer une tentative d'intrusion et d'aider concrètement quelqu'un qui n'arrive plus à entrer ; il est effacé au bout de quatre-vingt-dix jours. Comme sur le site, l'adresse IP n'y est pas conservée, seulement une empreinte.
- Les journées où chaque compte a utilisé l'application, pour mesurer si l'outil est réellement adopté. Cette trace dit qu'il y a eu passage, pas ce qui a été consulté, et elle est effacée au bout de treize mois.
4. Finalités et bases légales
| Traitement | Finalité | Base légale |
|---|---|---|
| Formulaire de contact | Répondre à une demande d'essai ou de démonstration | Mesures précontractuelles à la demande de la personne |
| Département joint à la demande | Retrouver la coopérative dans l'annuaire public des entreprises | Intérêt légitime à identifier son interlocuteur |
| Comptes et emprunts | Gérer le parc de la coopérative et répartir les frais | Exécution du contrat d'abonnement, et intérêt légitime de la coopérative à administrer son matériel |
| Notifications | Avertir d'un retour attendu, d'une panne ou d'une révision | Intérêt légitime, avec possibilité de désactivation individuelle |
| Journaux techniques | Sécurité et bon fonctionnement du service | Intérêt légitime |
| Comptage des visites du site | Savoir combien de personnes viennent, par quel chemin et de quel département | Intérêt légitime, sans cookie ni suivi d'un site à l'autre |
| Journal des connexions | Repérer une tentative d'intrusion, dépanner un accès | Intérêt légitime à la sécurité du service |
| Journées d'utilisation | Mesurer l'adoption de l'outil dans la coopérative | Exécution du contrat d'abonnement |
| Facturation | Établir et conserver les factures d'abonnement | Obligation légale |
5. Qui accède aux données
Chaque coopérative est cloisonnée : les données d'une coopérative ne sont jamais visibles depuis une autre.
À l'intérieur d'une coopérative, l'accès dépend du rôle. Un adhérent voit le parc et ses propres emprunts. Un responsable de matériel voit en plus les machines qui lui sont confiées et leur historique. Le responsable de coopérative voit l'ensemble, ce qui est nécessaire pour établir les comptes de fin de campagne : les emprunts d'un adhérent sont donc visibles par lui, et cette visibilité est le principe même de l'outil.
Du côté de Consolia, seules les personnes chargées de l'exploitation technique et de l'assistance peuvent accéder aux données, dans la stricte mesure nécessaire à une intervention, et à la demande de la coopérative.
Aucune donnée n'est vendue, louée, cédée ni transmise à des fins publicitaires ou statistiques, y compris sous forme agrégée, sans accord écrit de la coopérative.
Pour notre propre pilotage, nous établissons des totaux d'utilisation : combien de comptes se connectent, quelles fonctions servent, quelles coopératives ont pris l'outil en main. Ils nous servent à savoir où porter nos efforts et à repérer une coopérative en difficulté avant qu'elle ne renonce. Ils restent dans la maison, et ne sont communiqués à personne.
6. Prestataires et transferts
| Prestataire | Rôle | Localisation |
|---|---|---|
| Amazon Web Services | Hébergement, base de données, authentification, réception et envoi des courriels, envoi des SMS | Union européenne |
| Google Fonts | Polices de caractères du site | États-Unis |
| YouTube (Google) | Hébergement de la vidéo de présentation, uniquement si vous lancez la lecture | États-Unis |
Les données de l'application sont hébergées dans l'Union européenne. Les transferts hors Union concernent les polices de caractères de ce site vitrine et, le cas échéant, la lecture de la vidéo YouTube — et non les données des coopératives ; ils reposent sur les clauses contractuelles types de la Commission européenne. Le formulaire de contact passait auparavant par un prestataire américain : il est traité par nos propres serveurs depuis août 2026.
7. Durées de conservation
| Donnée | Conservation |
|---|---|
| Demande envoyée par le formulaire | Trois ans après le dernier échange, sauf souscription |
| Comptes et activité d'une coopérative | Durée de l'abonnement, puis trois mois pour permettre l'export |
| Photographies jointes aux signalements | Un an après leur dépôt, puis suppression automatique |
| Factures | Dix ans, en application des obligations comptables |
| Journaux techniques du site | Trente jours, puis effacement automatique |
| Empreintes servant à compter les visiteurs | Cinq semaines |
| Statistiques de fréquentation, par journée et par département | Vingt-cinq mois, de quoi comparer une saison à la précédente |
| Journal des connexions à l'application | Quatre-vingt-dix jours |
| Journées d'utilisation par compte | Treize mois |
| Copie des courriels reçus à contact@cumaly.fr | Trente jours, puis effacement automatique |
Un adhérent qui quitte la coopérative peut voir son compte désactivé immédiatement. Ses emprunts passés restent dans l'historique tant que la campagne concernée n'est pas soldée, faute de quoi les comptes de la coopérative ne seraient plus justifiables.
8. Sécurité
Les mesures en place aujourd'hui :
- Toutes les communications avec l'application sont chiffrées par HTTPS.
- Les mots de passe sont gérés par Amazon Cognito et ne transitent jamais par nos serveurs. La connexion peut se faire par empreinte ou reconnaissance du visage lorsque le téléphone le permet.
- Les comptes sont nominatifs et les droits déterminés par le rôle.
- Les données de chaque coopérative sont isolées les unes des autres.
- Une sauvegarde quotidienne de la base est réalisée par l'hébergeur.
Nous préférons également signaler deux limites plutôt que de les taire.
Les photographies déposées dans l'application sont stockées à une adresse imprévisible mais non protégée par mot de passe : une personne qui connaîtrait l'adresse exacte d'une image pourrait l'afficher sans être connectée. Évitez d'y faire figurer des documents ou des éléments sensibles. Le renforcement de cette protection figure à notre feuille de route.
La durée de rétention des sauvegardes est actuellement courte. Elle protège d'un incident technique, pas d'une suppression constatée tardivement. Exportez vos données en fin de campagne : l'export est libre, gratuit et immédiat.
En cas de violation de données susceptible d'engendrer un risque pour les personnes, nous informons la coopérative concernée sans délai, afin qu'elle puisse remplir ses obligations de notification.
9. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur les données qui vous concernent.
Si vous êtes adhérent d'une coopérative utilisant Cumaly, adressez votre demande à votre coopérative, qui est responsable de ces données. Si elle nous sollicite, nous l'aidons à y répondre dans les délais.
Pour les données recueillies sur ce site, écrivez à contact@cumaly.fr. Nous répondons dans un délai maximum d'un mois.
Vous pouvez également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur cnil.fr.
10. Évolution de cette politique
Cette politique peut être modifiée pour suivre les évolutions de l'application ou de la réglementation. La date de dernière mise à jour figure en haut de page. Toute modification substantielle est signalée aux coopératives clientes par courriel.