Politique de confidentialité et protection des données personnelles

Le responsable du traitement des données personnelles collectées via la plateforme LMI Solution (accessible à l'adresse https://lmi-pm.fr) est la société éditrice du service :

• Raison sociale : SARL La Mousqueterie International
• Forme et capital : société à responsabilité limitée au capital variable de 366 000 EUR
• Siège social : 89 rue de la Station, 95130 Franconville, France
• Immatriculation : 810 217 109 RCS Pontoise (SIREN 810 217 109)
• TVA intracommunautaire : FR22810217109 — Code APE : 7010Z
• Téléphone : 01 39 59 46 39 — Courriel : contact@lamousqueterie-int.com
• Directeur de la publication : le gérant de la SARL La Mousqueterie International

Selon les traitements concernés, LMI agit en qualité de responsable de traitement. La répartition précise des rôles entre LMI et chaque collectivité, notamment pour les données des agents et le registre d'armurerie, relève des engagements contractuels conclus avec la collectivité.

La présente politique décrit la manière dont ces données sont collectées, utilisées, conservées et protégées, conformément au Règlement général sur la protection des données (RGPD, règlement UE 2016/679) et à la loi n° 78-17 du 6 janvier 1978 modifiée, dite « Informatique et Libertés ».

LMI Solution est une plateforme professionnelle (B2B) réservée aux polices municipales et aux collectivités territoriales françaises. Elle n'est pas destinée au grand public : les particuliers relèvent du site www.lamousqueterie-int.fr et non de la présente plateforme.

La plateforme sert à l'activité des services de police municipale : catalogue et dotations d'équipement, devis et commandes, pilotage budgétaire, registre d'armurerie réglementaire, formations et affectations d'agents.

Certaines de ces données, sans relever nécessairement des catégories particulières visées à l'article 9 du RGPD, présentent un niveau de sensibilité opérationnelle et sécuritaire élevé : identité et affectations nominatives d'agents de police municipale, numéros de série d'armes et mouvements associés. Elles font à ce titre l'objet de mesures de protection renforcées, décrites à la section « Sécurité des données ».

Les données traitées sont fournies par la collectivité cliente et par ses utilisateurs habilités, dans le cadre de l'utilisation du service. Elles ne sont pas collectées à l'insu des personnes ni acquises auprès de tiers. Les principales catégories sont les suivantes :

• Données de compte utilisateur : nom, prénom, adresse électronique professionnelle, numéro de téléphone, grade, fonction ou rôle, et mot de passe (conservé sous forme hachée).
• Données relatives à la collectivité : raison sociale, numéro SIRET, adresse, service concerné.
• Registre d'armurerie : numéros de série des armes, mouvements et affectations nominatives à des agents. Ce registre fonctionne en ajout seul : les écritures ne sont ni modifiables ni supprimables.
• Données relatives aux agents : formations, dotations et documents justificatifs téléversés.
• Données commerciales et administratives : devis, commandes, bons de commande et factures.
• Données de traçabilité : journal d'audit des actions réalisées sur la plateforme.

Les données sont traitées pour les finalités suivantes, strictement liées à la fourniture du service :

• Créer et gérer les comptes des utilisateurs habilités et sécuriser leur accès (authentification, double authentification).
• Fournir les fonctionnalités de la plateforme : consultation du catalogue, établissement des devis et des commandes, suivi des bons de commande et des factures, pilotage des budgets et des dotations.
• Tenir le registre d'armurerie réglementaire ainsi que l'historique des mouvements et des affectations d'armes.
• Gérer les formations et les documents justificatifs des agents.
• Assurer la traçabilité et la sécurité du service au moyen d'un journal d'audit des actions.
• Envoyer les courriels transactionnels nécessaires au fonctionnement du service (confirmations et notifications liées aux comptes et aux commandes).
• Superviser et corriger les erreurs techniques afin de garantir la disponibilité et la fiabilité de la plateforme.

Les traitements reposent sur les bases légales suivantes, au sens de l'article 6 du RGPD :

• L'exécution du contrat liant LMI à la collectivité cliente (article 6.1.b) : la quasi-totalité des traitements est nécessaire à la fourniture du service souscrit par la collectivité et à la gestion de la relation contractuelle.
• Le respect d'obligations légales auxquelles LMI et ses clients sont soumis (article 6.1.c) : notamment la tenue des registres réglementaires d'armurerie et la conservation des pièces comptables et commerciales.

Les données ne sont accessibles qu'aux personnes habilitées à en connaître : les utilisateurs autorisés de la collectivité concernée et le personnel habilité de LMI, dans la stricte mesure nécessaire à leurs fonctions.

Chaque collectivité est cloisonnée : les données d'une collectivité ne sont jamais accessibles à une autre collectivité utilisatrice de la plateforme.

Les données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales. Pour faire fonctionner le service, LMI a recours à des sous-traitants techniques, agissant sur ses instructions et encadrés conformément à l'article 28 du RGPD. Tous sont situés dans l'Union européenne :

• Hostinger International Ltd (serveur applicatif / VPS) — 61 Lordou Vironos Street, 6023 Larnaca, Chypre.
• Supabase (base de données, authentification et stockage des fichiers) — hébergement en région eu-west-3 (Paris, France).
• Resend (envoi des courriels transactionnels) — région eu-west-1 (Irlande).
• Sentry (supervision technique des erreurs) — région Union européenne (de.sentry.io). Le service est configuré pour supprimer les données personnelles (corps des requêtes, cookies, adresse électronique, adresse IP) et n'utilise pas de rejeu de session (Session Replay).

Des données peuvent en outre être communiquées aux autorités administratives ou judiciaires compétentes lorsque la loi l'exige.

L'ensemble des données est hébergé au sein de l'Union européenne. La base de données, l'authentification et les fichiers sont hébergés en France (région de Paris, eu-west-3).

Aucun transfert de données personnelles n'est réalisé en dehors de l'Union européenne.

Les données sont conservées pour la durée nécessaire aux finalités décrites ci-dessus, puis archivées ou supprimées conformément aux obligations légales applicables. À titre indicatif :

• Données de compte : pendant toute la durée de la relation contractuelle entre LMI et la collectivité.
• Factures et pièces comptables : 10 ans, conformément aux obligations comptables et fiscales.
• Registre d'armurerie et mouvements associés : selon la durée imposée par la réglementation applicable aux registres d'armurerie.
• Journal d'audit : conservé pendant la durée de la relation contractuelle, à des fins de traçabilité et de sécurité.

Compte tenu du caractère particulièrement sensible des données traitées, LMI met en œuvre des mesures techniques et organisationnelles adaptées :

• Cloisonnement strict des données par collectivité, appliqué au niveau de la base de données (règles de sécurité au niveau des lignes, « Row Level Security » de PostgreSQL).
• Double authentification (2FA) par code temporaire (TOTP) disponible pour les comptes.
• Politique de mot de passe robuste : au minimum 8 caractères comprenant une majuscule, une minuscule, un chiffre et un caractère spécial ; les mots de passe sont conservés sous forme hachée.
• Conservation des données sensibles côté serveur / base de données.
• Supervision des erreurs configurée pour ne pas collecter de données personnelles (voir la section « Destinataires et sous-traitants »).

À ce jour, la plateforme n'utilise que des cookies (ou traceurs) strictement nécessaires à son fonctionnement, qui ne requièrent pas de consentement préalable : principalement le cookie de session d'authentification (Supabase). L'outil de supervision des erreurs (Sentry) est également mobilisé à des fins techniques.

La plateforme n'utilise aucun cookie de mesure d'audience ni de statistiques (analytics) ; seuls des cookies strictement nécessaires (session d'authentification) sont déposés.

Conformément au RGPD et à la loi Informatique et Libertés, toute personne concernée dispose des droits suivants sur ses données : droit d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité et d'opposition.

L'exercice de ces droits s'effectue par demande adressée à contact@lamousqueterie-int.com, ou par courrier à : SARL La Mousqueterie International, 89 rue de la Station, 95130 Franconville. Une preuve d'identité pourra être demandée en cas de doute raisonnable sur l'identité du demandeur.

Certaines demandes peuvent être limitées par les obligations légales pesant sur LMI ou sur la collectivité : ainsi, les écritures du registre d'armurerie (registre en ajout seul) et les pièces comptables ne peuvent être supprimées avant l'expiration des durées légales de conservation.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr.

La présente politique de confidentialité peut être amenée à évoluer, notamment pour tenir compte des évolutions légales, réglementaires ou techniques. La version applicable est celle publiée sur https://lmi-pm.fr.

La date de dernière mise à jour de la présente politique figure en tête de page.