Protection des données personnelles

Politique conforme au Règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »). Version du 23 octobre 2026.

En bref

Vos dossiers et vos fichiers sont stockés en Europe et le serveur de l'outil fonctionne à Paris.
Personne d'autre que vous ne lit votre dossier, pas même l'administrateur du site — sauf les personnes à qui vous l'ouvrez vous-même, pour ce que vous leur ouvrez.
Un seul cookie, celui qui vous garde connecté. Aucune publicité, aucune mesure d'audience, aucun pistage.
Rien n'est vendu ni cédé, et vos données ne servent à rien d'autre qu'à faire fonctionner l'outil.
L'aide par l'IA est facultative : rien ne part vers un prestataire d'intelligence artificielle sans votre accord, donné dans l'outil et retirable à tout moment.
Vous gardez la main : copie complète de vos données en un clic, suppression immédiate du compte en libre-service.

1. Qui est responsable de vos données

Le responsable du traitement est l'éditeur du site foret-gestion.fr et de l'outil Gestion Forêt, identifié dans les mentions légales (ci-après « l'Éditeur »).

Pour toute question sur vos données ou pour exercer vos droits, écrivez-nous par le formulaire de contact au bas de la section 9. Aucun délégué à la protection des données n'est désigné : l'Éditeur n'y est pas tenu (article 37 du RGPD) et traite lui-même ces demandes.

2. Deux rôles distincts : vos données, et celles que vous saisissez

Pour les données de votre compte (adresse e-mail, mot de passe, connexions), l'Éditeur est responsable du traitement : c'est lui qui décide pourquoi et comment elles sont traitées.

Pour le contenu de votre dossier, vous êtes maître de ce que vous y mettez. Un dossier contient souvent des données sur d'autres personnes : associés d'un groupement et leurs parts, gérants, partenaires, acheteurs de bois, entreprises de travaux. Pour ces données, vous êtes responsable du traitement et l'Éditeur agit comme sous-traitant, sur vos seules instructions : il les héberge et les traite pour faire fonctionner l'outil, et pour rien d'autre. Les engagements de l'Éditeur à ce titre sont détaillés à la section 10.

Concrètement : si un associé vous demande l'accès à ses données ou leur rectification, c'est à vous, gérant, de répondre. L'outil vous en donne les moyens (fiche de l'associé, registre, export). L'Éditeur vous aide si besoin.

3. Données traitées, finalités, bases légales et durées

Données	Pourquoi	Base légale	Durée de conservation
Adresse e-mail du compte ; mot de passe sous forme d'empreinte (bcrypt, jamais en clair) ; dates de création, de validation et de dernière connexion	Créer, ouvrir et sécuriser votre compte	Exécution du contrat (CGU) — art. 6.1.b	Jusqu'à la suppression du compte
Jours où vous avez utilisé le site : la date seule, sans heure, sans page consultée, sans appareil	Suivre l'usage du service et repérer un compte qui n'arrive pas à démarrer	Intérêt légitime : bon fonctionnement et amélioration du service — art. 6.1.f	Trente et un jours, puis effacés
Acceptation des conditions générales : version acceptée, date	Prouver l'accord sur les règles d'usage	Intérêt légitime : preuve de l'accord — art. 6.1.f	Jusqu'à la suppression du compte
Contenu du dossier : forêt, parcelles, interventions, comptabilité, associés, partenaires, documents, plan scanné	Fournir l'outil	Exécution du contrat — art. 6.1.b (et, pour les tiers, la base retenue par vous)	Jusqu'à la suppression du compte. Copies de sécurité : une par jour d'activité pendant trente jours, et les dix dernières copies prises avant un remplacement complet du dossier
Fichiers que vous déposez dans la rubrique Documents : leur contenu, leur nom, leur taille, leurs dates, leur rangement et leurs rattachements ; adresse e-mail de la personne qui a déposé ou supprimé chaque fichier	Conserver vos documents à côté de vos données et les retrouver depuis les fiches de l'outil	Exécution du contrat — art. 6.1.b (et, pour les tiers cités dans vos documents, la base retenue par vous)	Jusqu'à leur suppression par vous : un fichier supprimé reste trente jours à la corbeille, puis il est effacé du stockage. La pièce d'une opération d'un exercice que vous avez clos est gardée tant que l'exercice reste clos. Tous les fichiers sont effacés à la suppression du compte. Les copies de sécurité du dossier ne contiennent pas les fichiers
Cookie de session `gf_session` (identifiant aléatoire) et son empreinte en base	Vous garder connecté	Exécution du contrat ; cookie strictement nécessaire	Trente jours sans activité, effacé à la déconnexion
Liens de validation d'adresse et de réinitialisation du mot de passe, sous forme d'empreinte	Vérifier votre adresse, changer un mot de passe oublié	Exécution du contrat	48 heures (validation), une heure et un seul usage (réinitialisation)
Adresse IP et adresse e-mail des tentatives de connexion, d'inscription et d'envoi du formulaire	Bloquer les essais répétés et les abus	Intérêt légitime : sécurité du service — art. 6.1.f	Environ un jour
Partage d'un dossier, seulement si vous l'utilisez : prénom, nom, adresse e-mail et, si vous l'indiquez, société des personnes que vous invitez ; leur rôle, leurs droits, la date de fin d'accès ; adresse de la dernière personne à avoir enregistré le dossier ; date d'un accès d'assistance que vous accordez et date de sa dernière ouverture	Ouvrir votre dossier aux personnes que vous choisissez ; savoir qui l'a modifié	Exécution du contrat — art. 6.1.b	Jusqu'au retrait de l'accès, ou à la suppression du compte
Code d'invitation et adresse invitée	Ouvrir l'accès à une personne précise	Intérêt légitime : accès maîtrisé au service	Jusqu'à son retrait par l'administrateur
Formulaire de contact : nom, adresse e-mail, type de gestion, surface, message	Vous répondre ; étudier une demande d'accès	Mesures précontractuelles à votre demande — art. 6.1.b	Le message est transmis par e-mail à l'Éditeur, qui le garde au plus trois ans après le dernier échange. Pour une demande d'accès, le nom, l'adresse, le type de gestion et la surface sont aussi gardés sur le site le temps que l'Éditeur y réponde : ils sont effacés dès sa réponse, et au plus tard quatorze jours après la demande. Le message lui-même n'est jamais enregistré sur le site
Aide par l'IA, seulement si vous l'activez : date de votre accord ; nombre de demandes par mois et par type d'aide, sans leur contenu ; pièce comptable que vous choisissez de faire lire, avec le nom de la forêt, vos natures comptables, les noms de vos partenaires, vos interventions récentes et les numéros de vos sous-parcelles ; pour le rapport de gestion, la chronique de la période telle que l'outil l'affiche (coupes, travaux, ventes, loyers, relevés, notes du journal, mouvements de parts en nombre de parts, chiffres des comptes), vos réponses à l'entretien, votre rapport précédent validé dans l'outil comme exemple de style, vos consignes de style et les notes que vous ajoutez — jamais le nom des associés ni le registre des parts ; surfaces, essences, peuplements, programme, locations sans leur montant et notes du journal qui s'y rapportent, pour un texte du plan de gestion ; questions que vous posez à l'assistant, avec le nom de la rubrique ouverte et vos deux derniers échanges avec lui ; pour une note dictée, votre enregistrement vocal, la date du jour, les numéros de vos sous-parcelles et l'intitulé de l'événement que vous commentez	Lire une facture pour préparer une opération comptable ; proposer un texte pour le rapport de gestion ; répondre à vos questions sur l'utilisation de l'outil ; transcrire et mettre au propre une note dictée pour le journal de forêt	Votre consentement — art. 6.1.a, retirable à tout moment dans la rubrique Paramètres, section « Aide par l'IA »	Date de l'accord : jusqu'à son retrait ou à la suppression du compte. Contenus : le site n'en conserve aucun ; trente jours au plus chez le prestataire (section 4)
Journaux techniques du serveur (erreurs, sans contenu de dossier)	Diagnostiquer une panne	Intérêt légitime : continuité du service	Quelques jours, selon la politique de l'hébergeur

Aucune donnée dite sensible au sens de l'article 9 du RGPD n'est demandée. N'en saisissez pas dans les champs libres de votre dossier, et n'en déposez pas parmi vos documents.

4. Où sont vos données

Le dossier et le compte sont conservés dans une base de données PostgreSQL fournie par Neon, hébergée en Europe.
Le serveur de l'outil s'exécute chez Vercel, dans la région de Paris.
Les fichiers déposés dans la rubrique Documents sont conservés dans le stockage de fichiers de Vercel, dans une région de l'Union européenne. Ce stockage est privé : aucun fichier n'a d'adresse publique, et chacun n'est rendu qu'à un compte connecté qui a le droit de le lire.
Les e-mails de service (validation de l'adresse, mot de passe, invitation, réponse au formulaire) partent par Resend. Ce prestataire conserve une trace de chaque envoi (adresse du destinataire, objet et contenu du message) aux États-Unis. Aucun contenu de dossier ne figure dans ces e-mails.
L'aide par l'IA, si vous l'activez, est fournie par Mistral AI, société française, qui traite les données dans l'Union européenne. Ce que vous lui confiez passe par le serveur de l'outil, qui n'en garde rien pour cette lecture. La facture que vous faites lire n'est conservée sur le site que si vous la rangez parmi vos documents avec l'opération, ce que l'outil vous propose et que vous pouvez refuser. Mistral AI le conserve trente jours au plus, pour prévenir les abus, puis l'efface ; il ne sert pas à entraîner ses modèles. Une note dictée est transcrite puis mise au propre par le même prestataire : l'enregistrement vocal n'est pas conservé par le site, qui le jette dès la transcription reçue ; seule la note que vous validez est enregistrée dans votre dossier. Le registre des parts et le nom des associés ne lui sont jamais transmis par l'outil ; une facture ou une note que vous lui confiez peut en revanche contenir des noms.

Vercel et Resend sont des sociétés américaines. Les transferts éventuels de données vers les États-Unis sont encadrés par les clauses contractuelles types adoptées par la Commission européenne, intégrées à leurs accords de traitement des données, et par leur adhésion au cadre de protection des données UE–États-Unis (Data Privacy Framework), reconnu adéquat par la Commission européenne le 10 juillet 2023.

5. Qui y a accès

Vous décidez de qui lit votre dossier. Par défaut, vous seul. Chaque lecture et chaque écriture part de l'identifiant du compte, lu dans la session, et le serveur vérifie à chaque fois que ce compte a le droit d'ouvrir le dossier demandé. Si vous partagez votre dossier, chaque personne invitée ne reçoit que les rubriques que vous lui ouvrez, et ne voit que les documents rangés dans les blocs correspondants ; votre volet « Mon investissement » ne lui est jamais envoyé. Vous retirez un accès quand vous voulez. Si vous invitez quelqu'un, vous nous communiquez son adresse e-mail : il vous revient de l'en avoir informé.

L'administrateur du site voit la liste des comptes (adresse, dates, jours de visite des trente derniers jours, volume des données, nombre de personnes invitées, acceptation des conditions). Du contenu de votre dossier, il ne voit que trois nombres : la surface déclarée, le nombre de parcelles et le nombre de sous-parcelles. Jamais le reste du dossier, ni les adresses des personnes que vous invitez. Il ne peut ouvrir le vôtre que si vous lui accordez vous-même un accès d'assistance : en lecture seule, pour sept jours, retirable à tout moment, et la date de sa dernière ouverture vous est affichée.

Les seuls autres destinataires sont les sous-traitants techniques de l'Éditeur, chacun limité à sa mission :

Sous-traitant	Mission	Lieu
Vercel Inc. (États-Unis)	Hébergement du site, exécution du serveur, stockage des fichiers déposés dans Documents	Région de Paris pour le serveur, Union européenne pour les fichiers ; accès possible depuis les États-Unis, encadré (section 4)
Neon (base de données PostgreSQL)	Stockage des comptes et des dossiers	Europe
Resend (États-Unis)	Envoi des e-mails de service	États-Unis, encadré (section 4)
Mistral AI (France)	Lecture de factures, propositions de texte, transcription de notes dictées et assistant d'aide à l'utilisation, seulement pour les comptes qui ont activé l'aide par l'IA	Union européenne

Aucune donnée n'est vendue, louée, cédée ou utilisée à des fins publicitaires, ni pour entraîner un modèle d'intelligence artificielle. L'Éditeur ne communique de données aux autorités que sur réquisition légale.

6. Cookies et traceurs

Le site dépose un seul cookie, gf_session, au moment où vous vous connectez. Il est strictement nécessaire au service que vous demandez : il est donc dispensé de consentement (article 82 de la loi Informatique et Libertés). Il est protégé (HttpOnly, Secure, SameSite=Lax) et ne sert qu'à vous reconnaître d'une page à l'autre.

Copie sur votre appareil, si vous la demandez. L'option « Utiliser sans réseau sur cet appareil » enregistre une copie de votre dossier dans le stockage local de votre navigateur (IndexedDB), ainsi que les notes saisies hors ligne en attente d'envoi. Elle n'est créée qu'à votre demande, reste sur l'appareil, n'est lue par aucun tiers, et s'efface quand vous la désactivez ou vous déconnectez. Le site met aussi en cache la page de l'outil et ses icônes, sans aucune donnée personnelle, pour qu'elle s'ouvre sans réseau.

Aucun outil de mesure d'audience, aucun pixel publicitaire, aucun bouton de réseau social, aucune police ni bibliothèque chargée depuis un site tiers. C'est pourquoi le site ne vous présente aucun bandeau de cookies.

7. Services publics appelés depuis l'outil

Certaines fonctions de l'outil interrogent directement, depuis votre navigateur, des services publics français. Votre adresse IP leur est alors visible, comme pour toute page web :

Géoplateforme de l'IGN : fonds de carte, cadastre, et recherche d'un lieu (le texte tapé est envoyé).
API Recherche d'entreprises de l'État : compléter l'identité d'un groupement (le nom ou le SIREN tapé est envoyé).

Ces services appliquent leurs propres politiques de confidentialité.

8. Sécurité

Connexion chiffrée de bout en bout (HTTPS, HSTS) ; données chiffrées au repos chez l'hébergeur.
Mots de passe de dix caractères au moins, conservés sous forme d'empreinte bcrypt ; liens et sessions stockés sous forme d'empreinte, jamais en clair.
Cloisonnement strict des dossiers ; protection contre les requêtes forgées depuis un autre site ; politique de sécurité du contenu qui interdit tout script tiers.
Blocage des essais répétés de connexion ; changement de mot de passe qui déconnecte les autres appareils.
Enregistrement à révision : deux saisies qui se croisent ne s'écrasent jamais en silence.
Copies quotidiennes de chaque dossier pendant trente jours, restaurables par vous.

9. Vos droits et comment les exercer

Vous disposez des droits suivants sur les données qui vous concernent :

Accès (art. 15) et portabilité (art. 20) : « Télécharger une copie datée », dans la rubrique Paramètres de l'outil (en bas de la colonne de gauche), produit à tout moment un fichier complet de vos données dans un format ouvert (JSON).
Rectification (art. 16) : directement dans l'outil ; le mot de passe se change dans la même rubrique, section « Mon compte ».
Effacement (art. 17) : « Supprimer mon compte » efface immédiatement et définitivement le compte, le dossier et toutes ses copies.
Limitation (art. 18) et opposition (art. 21) aux traitements fondés sur l'intérêt légitime.
Directives sur le sort de vos données après votre décès (art. 85 de la loi Informatique et Libertés).

Pour tout ce qui ne se fait pas en libre-service, écrivez par le formulaire ci-dessous, depuis l'adresse de votre compte. L'Éditeur répond dans un délai d'un mois, prolongeable de deux mois pour une demande complexe, auquel cas il vous en informe (art. 12). Une preuve d'identité ne peut être demandée qu'en cas de doute raisonnable.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : cnil.fr, ou 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

10. Engagements de sous-traitance (article 28 du RGPD)

Pour les données personnelles de tiers que vous saisissez dans votre dossier (section 2), les présentes stipulations, avec les conditions générales d'utilisation, forment le contrat de sous-traitance prévu à l'article 28 du RGPD. L'Éditeur s'engage à :

N'agir que sur vos instructions, qui consistent à héberger et traiter ces données pour fournir les fonctions de l'outil que vous utilisez ; à ne les utiliser à aucune autre fin.
Garantir la confidentialité : seules les personnes habilitées par l'Éditeur, tenues au secret, peuvent intervenir sur l'infrastructure, et uniquement pour sa maintenance ; elles ne consultent pas le contenu des dossiers.
Assurer la sécurité par les mesures décrites à la section 8, et les maintenir à un niveau adapté au risque (art. 32).
Recourir à des sous-traitants ultérieurs uniquement parmi ceux listés à la section 5, liés par des obligations équivalentes ; vous informer de tout ajout ou remplacement au moins trente jours à l'avance, par cette page et par e-mail, vous laissant la faculté de vous y opposer en supprimant votre compte.
Vous aider à répondre aux demandes des personnes concernées, à réaliser une analyse d'impact si vous en conduisez une, et à notifier une violation de données (art. 33 à 36).
Vous notifier toute violation de données affectant votre dossier dans les meilleurs délais après en avoir pris connaissance, avec les informations utiles à vos propres obligations.
Supprimer les données à la fin du service : la suppression du compte efface immédiatement le dossier et ses copies ; en cas d'arrêt du service, vous disposez du préavis prévu aux CGU pour récupérer vos données.
Mettre à votre disposition les informations nécessaires pour démontrer le respect de ces obligations, sur demande raisonnable.

De votre côté, en tant que responsable du traitement pour ces données, vous veillez à disposer d'une base légale pour les traiter (par exemple la tenue du registre des associés d'un groupement, obligation légale de la société) et à informer les personnes concernées.

11. En cas d'incident

En cas de violation de données présentant un risque pour les personnes, l'Éditeur la notifie à la CNIL dans les 72 heures après en avoir pris connaissance (art. 33) et, si le risque est élevé, informe directement les personnes concernées (art. 34). Chaque incident est consigné, avec ses effets et les mesures prises.

12. Mineurs, décisions automatisées, évolutions

Le service est réservé aux personnes majeures, agissant pour leur propre compte ou pour celui d'un groupement forestier. Aucune décision produisant des effets juridiques n'est prise sur le seul fondement d'un traitement automatisé, et aucun profilage n'est réalisé. L'aide par l'IA ne fait que proposer : rien n'entre dans votre dossier sans que vous l'ayez relu et validé.

Cette politique peut évoluer, notamment si un prestataire change. Toute modification substantielle vous est annoncée par e-mail ou à la connexion avant son entrée en vigueur. La date de version figure en tête de page.