Politique de Confidentialité

5.1 Données de compte et de profil

Collectées lors de la création de votre compte ou de la mise à jour de vos paramètres de profil.

5.2 Données de boutique (marchands)

Collectées lorsque les marchands créent et configurent leurs boutiques en ligne.

5.3 Données de commande et d'acheteur

Collectées lorsque les acheteurs passent des commandes via les boutiques des marchands hébergées sur la Plateforme.

5.4 Données techniques collectées automatiquement

Collectées automatiquement lors de votre accès ou de votre utilisation de la Plateforme, au moyen de technologies web standard.

5.5 Données d'analyse statistique

Collectées au moyen de notre système d'analyse intégré pour les boutiques des marchands, à l'aide d'identifiants pseudonymisés stockés dans le localStorage du navigateur.

5.6 Données de sécurité et de détection de fraude

Collectées afin de protéger la Plateforme, les marchands et les acheteurs contre les activités frauduleuses et les menaces de sécurité.

5.7 Données d'interaction avec l'IA (Genisys / SkyBuilder)

Collectées lorsque vous utilisez les fonctionnalités d'intelligence artificielle de la Plateforme, notamment Genisys (assistant conversationnel IA) et SkyBuilder (éditeur visuel assisté par IA).

5.8 Données de communication

Collectées lorsque vous interagissez avec nos canaux d'assistance ou transmettez des retours d'expérience.

5.9 Données d'authentification tierce

Reçues de fournisseurs OAuth tiers lorsque vous choisissez de vous authentifier via une connexion sociale.

5.10 Données financières et transactionnelles

Générées dans le cadre du traitement des paiements, du calcul des commissions et des versements.

7.1 Sécurité de la plateforme et des comptes

Intérêt légitime : Protection de la Plateforme, de ses utilisateurs et des marchands contre les accès non autorisés, les cyberattaques et la compromission des comptes.

Mise en balance : Les mesures de sécurité (journalisation des adresses IP, suivi des tentatives de connexion échouées, limitation du débit) sont proportionnées et limitées à ce qui est strictement nécessaire à la protection. Les données ne sont pas utilisées à des fins de profilage ou de prospection commerciale. Les utilisateurs peuvent raisonnablement s'attendre à des mesures de sécurité lorsqu'ils utilisent une plateforme en ligne. Les données sont conservées pour des durées limitées et l'accès est restreint au personnel en charge de la sécurité.

7.2 Prévention de la fraude

Intérêt légitime : Détection et prévention des transactions frauduleuses afin de protéger les marchands, les acheteurs et l'intégrité de l'écosystème de paiement.

Mise en balance : La notation du risque de fraude est utilisée exclusivement comme outil d'aide à la décision ; aucun blocage automatisé n'intervient sans examen humain préalable (voir article 19). Les données collectées (adresse IP, empreinte numérique de l'appareil, comportements) sont proportionnées au risque de fraude financière. Le modèle de notation n'utilise pas de catégories particulières de données. Les utilisateurs peuvent contester toute décision et contacter le DPD.

7.3 Analyse statistique et amélioration des services

Intérêt légitime : Compréhension de l'utilisation de la Plateforme aux fins d'amélioration des performances, de l'expérience utilisateur et du développement de fonctionnalités.

Mise en balance : L'analyse statistique utilise des identifiants pseudonymisés (non directement liés aux comptes utilisateurs). Aucun suivi intersites n'est effectué. Aucune donnée n'est partagée avec des réseaux publicitaires tiers. Les données d'analyse sont conservées pour une durée maximale de 13 mois conformément aux recommandations de la CNIL. Les utilisateurs peuvent effacer leurs identifiants localStorage à tout moment.

7.4 Débogage et amélioration de la plateforme

Intérêt légitime : Surveillance et résolution des erreurs techniques, garantie de la stabilité et de la fiabilité de la plateforme.

Mise en balance : Les journaux d'erreurs ne contiennent que les métadonnées techniques nécessaires au débogage (traces de pile, paramètres de requête). Les données personnelles dans les journaux sont réduites au minimum et l'accès est restreint à l'équipe d'ingénierie. Les journaux sont soumis à des limites de conservation et à une purge automatique.

9.1 Sous-traitants (art. 28 du RGPD)

Les prestataires de services tiers ci-après traitent des données à caractère personnel pour notre compte, sur nos instructions, et en vertu d'accords de traitement des données (ATD) conformes à l'article 28 du RGPD :

9.2 Responsables de traitement indépendants

Les tiers ci-après agissent en qualité de responsables de traitement indépendants pour les données que vous leur fournissez directement. Leurs propres politiques de confidentialité régissent le traitement de vos données :

9.3 Marchands

Lorsque vous effectuez un achat via une boutique hébergée sur la Plateforme, le marchand reçoit les données d'acheteur suivantes, nécessaires à l'exécution de la commande :

• Nom et adresse électronique de l'acheteur ;
• Adresses de livraison et de facturation ;
• Détails de la commande (produits, quantités, montants) ;
• Notes du client (le cas échéant).

Les marchands agissent en qualité de responsables de traitement indépendants pour les données de leurs acheteurs. Veuillez consulter l'article 17 pour une explication détaillée des rôles et responsabilités respectifs.

9.4 Autorités compétentes

Nous sommes susceptibles de communiquer des données à caractère personnel aux autorités judiciaires, réglementaires ou répressives compétentes lorsque la loi l'exige, notamment :

• En réponse à une décision de justice ou une réquisition judiciaire ;
• Pour satisfaire une obligation légale au titre du droit français ou européen ;
• Pour protéger nos droits, nos biens ou notre sécurité, ou ceux de nos utilisateurs, en cas de danger imminent ;
• Conformément aux exigences des autorités fiscales aux fins de vérification de conformité.

Nous informerons les personnes concernées de telles communications, sauf interdiction légale de le faire.

10.1 Évaluation et sélection

Préalablement à l'engagement de tout sous-traitant, nous procédons à une évaluation approfondie de ses pratiques en matière de protection des données, incluant :

• L'examen de sa politique de confidentialité, de ses certifications de sécurité (SOC 2, ISO 27001) et de son historique de conformité ;
• L'évaluation de ses mesures de sécurité techniques et organisationnelles (art. 32 du RGPD) ;
• L'analyse des garanties en matière de transferts internationaux lorsque le sous-traitant est établi en dehors de l'EEE ;
• La vérification de la compatibilité de ses finalités de traitement avec les nôtres.

10.2 Garanties contractuelles

Chaque sous-traitant est lié par un Accord de Traitement des Données (ATD) comprenant :

• L'objet, la durée, la nature et la finalité du traitement ;
• Le type de données à caractère personnel traitées et les catégories de personnes concernées ;
• L'obligation de traiter les données uniquement sur nos instructions documentées ;
• Les obligations de confidentialité pour l'ensemble du personnel ayant accès aux données à caractère personnel ;
• La mise en œuvre de mesures de sécurité techniques et organisationnelles appropriées ;
• Les conditions de recours à d'autres sous-traitants (autorisation écrite préalable ou autorisation générale avec notification) ;
• L'obligation de nous assister pour répondre aux demandes d'exercice des droits des personnes concernées ;
• L'obligation de nous notifier toute violation de données dans les meilleurs délais ;
• La suppression ou la restitution de l'ensemble des données à caractère personnel à l'issue du contrat de traitement ;
• Les droits d'audit et d'inspection.

10.3 Notification des modifications

Nous tenons à jour une liste de nos sous-traitants. En cas d'engagement d'un nouveau sous-traitant ou de remplacement d'un sous-traitant existant, nous mettrons à jour la présente Politique en conséquence. Pour les modifications substantielles affectant significativement le traitement de vos données à caractère personnel, nous vous adresserons une notification préalable par courriel ou par notification intégrée à la plateforme.

11.1 Considérations relatives à l'arrêt Schrems II

À la suite de l'arrêt de la Cour de justice de l'Union européenne dans l'affaire C-311/18 ("Schrems II"), ayant invalidé le Privacy Shield UE-États-Unis, nous nous fondons sur les Clauses Contractuelles Types (CCT) adoptées par la Décision d'exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021 pour les transferts vers les États-Unis et les autres pays ne bénéficiant pas d'une décision d'adéquation.

Nous avons réalisé des analyses d'impact du transfert (Transfer Impact Assessments — TIA) pour chaque transfert afin d'évaluer si le cadre juridique du pays destinataire assure un niveau de protection essentiellement équivalent à celui garanti au sein de l'EEE, en tenant compte :

• De la nature des données transférées (nous minimisons les données personnelles transmises aux fournisseurs d'IA établis aux États-Unis) ;
• Du cadre juridique du pays destinataire, y compris les lois relatives à l'accès gouvernemental aux données ;
• Des mesures supplémentaires contractuelles, techniques et organisationnelles mises en place ;
• De l'expérience pratique de l'importateur de données en matière de demandes d'accès gouvernementales.

11.2 Mesures supplémentaires

En complément des CCT, nous mettons en œuvre les mesures supplémentaires suivantes, conformément aux recommandations du CEPD (Recommandations 01/2020) :

• Mesures techniques : Chiffrement TLS 1.2+ de bout en bout pour l'ensemble des données en transit, chiffrement AES-256 au repos le cas échéant, pseudonymisation des données d'analyse ;
• Mesures organisationnelles : Contrôles d'accès stricts, politiques de minimisation des données, révision régulière des pratiques de sécurité des sous-traitants, formation du personnel ;
• Mesures contractuelles : Obligations de transparence dans les ATD concernant les demandes d'accès gouvernementales, obligations de notification, engagement à contester les demandes d'accès disproportionnées.

11.3 Localisation des données

Nous privilégions la localisation des données au sein de l'UE/EEE dans toute la mesure du possible :

• Hébergement principal : Contabo GmbH, serveurs dédiés à Strasbourg, France (UE) ;
• Base de données et stockage de fichiers : Supabase auto-hébergé sur le même serveur Contabo à Strasbourg, France (UE) ;
• Traitement des paiements : Stripe Payments Europe, Ltd. (Irlande) ;
• IA (traitement local) : Mistral AI SAS (France), Google Ireland Limited (Irlande).

13.1 Chiffrement et protection des données

13.2 Authentification et contrôle d'accès

13.3 Sécurité de l'infrastructure et du réseau

13.4 Mesures organisationnelles

• Principe du moindre privilège : L'accès aux données à caractère personnel est restreint au personnel autorisé qui en a besoin dans le cadre de ses fonctions spécifiques ;
• Obligations de confidentialité : L'ensemble des membres de l'équipe ayant accès aux données à caractère personnel est lié par des obligations contractuelles de confidentialité ;
• Sensibilisation à la sécurité : Formation régulière sur la protection des données, les pratiques de développement sécurisé et la réponse aux incidents ;
• Plan de réponse aux incidents : Procédures documentées pour la détection, le signalement et la gestion des incidents de sécurité (voir article 14) ;
• Revues de sécurité régulières : Révision périodique des configurations de sécurité, des journaux d'accès et des évaluations de vulnérabilités ;
• Sécurité physique : L'ensemble de l'infrastructure est hébergé par des fournisseurs certifiés SOC 2 Type II, conformes ISO 27001, disposant de contrôles de sécurité physique en centre de données.

14.1 Détection interne et évaluation de la violation

• Des systèmes de surveillance automatisés détectent les schémas d'accès anormaux et les violations de données potentielles ;
• Dès la détection, l'équipe de sécurité procède à une évaluation immédiate de la nature, de la portée et de la gravité de la violation ;
• Le DPD est immédiatement notifié et supervise le processus de réponse ;
• L'ensemble des activités liées à la violation est documenté dans le registre interne des violations (art. 33, paragraphe 5, du RGPD).

14.2 Notification à l'autorité de contrôle (art. 33 du RGPD)

Lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque pour les droits et libertés des personnes physiques, nous notifions la CNIL dans un délai de 72 heures après en avoir eu connaissance. La notification comporte :

• La nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements affectés ;
• Le nom et les coordonnées du DPD ;
• Une description des conséquences probables de la violation ;
• Une description des mesures prises ou proposées pour remédier à la violation et en atténuer les effets.

14.3 Notification aux personnes concernées (art. 34 du RGPD)

Lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, nous communiquons la violation aux personnes concernées dans les meilleurs délais, dans un langage clair et simple. Cette communication décrit :

• La nature de la violation ;
• Les coordonnées du DPD ;
• Les conséquences probables de la violation ;
• Les mesures prises ou proposées pour remédier à la violation ;
• Les recommandations à l'attention des personnes pour se protéger (par exemple, modification des mots de passe, surveillance des comptes).

14.4 Registre des violations

Conformément à l'article 33, paragraphe 5, du RGPD, nous tenons un registre de l'ensemble des violations de données à caractère personnel, qu'elles soient ou non notifiables à la CNIL. Ce registre documente les faits relatifs à chaque violation, ses effets et les mesures correctives prises.

15.1 Modalités d'exercice de vos droits

Vous pouvez exercer l'un quelconque des droits énumérés ci-dessus en contactant notre Délégué à la Protection des Données par les canaux suivants :

Courriel : [email protected]
Courrier postal : SKYNET INITIATIVE - DPD - 4 Rue Alexis Rostand, 13010 Marseille, France

Veuillez fournir des informations suffisantes pour nous permettre de vous identifier et préciser le ou les droits que vous souhaitez exercer. Pour les demandes de portabilité, veuillez indiquer votre format préféré (JSON, CSV ou XML).

15.2 Délai de réponse

Nous accuserons réception de votre demande et y répondrons de manière substantielle dans un délai d'un (1) mois à compter de la réception, conformément à l'article 12, paragraphe 3, du RGPD. Ce délai peut être prolongé de deux (2) mois supplémentaires si nécessaire, compte tenu de la complexité et du nombre de demandes. Le cas échéant, nous vous informerons de cette prorogation dans le délai initial d'un mois, en indiquant les motifs du retard.

15.3 Vérification d'identité

Lorsque nous avons des doutes raisonnables quant à l'identité de la personne présentant la demande, nous pouvons solliciter des informations supplémentaires nécessaires à la confirmation de votre identité (art. 12, paragraphe 6, du RGPD). Il s'agit d'une mesure de sécurité visant à prévenir l'accès non autorisé aux données à caractère personnel.

15.4 Frais

L'exercice de vos droits est gratuit. Toutefois, conformément à l'article 12, paragraphe 5, du RGPD, lorsque les demandes sont manifestement infondées ou excessives (notamment en raison de leur caractère répétitif), nous pouvons soit exiger le paiement de frais raisonnables tenant compte des coûts administratifs, soit refuser de donner suite à la demande.

15.5 Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données à caractère personnel constitue une violation du RGPD ou de la législation française en matière de protection des données, vous disposez du droit d'introduire une réclamation auprès de l'autorité de contrôle compétente :

16.1 Données transmises aux fournisseurs d'IA

Lorsque vous utilisez Genisys ou les fonctionnalités assistées par IA dans SkyBuilder, les données suivantes sont susceptibles d'être transmises à nos fournisseurs d'IA via leurs API :

16.2 Garanties contractuelles des fournisseurs d'IA

• Pas d'entraînement de modèle : Conformément aux conditions d'utilisation des API d'Anthropic, OpenAI, Mistral AI et Google, les données soumises via l'API ne sont pas utilisées pour entraîner, améliorer ou affiner leurs modèles. Il s'agit d'une obligation contractuelle engageant l'ensemble des fournisseurs.
• Conservation des données par les fournisseurs : Les fournisseurs d'IA peuvent temporairement conserver les entrées et sorties de l'API à des fins de surveillance des abus et de sécurité, conformément à leurs politiques de conservation respectives (généralement 30 jours ou moins). Ils ne conservent pas les données au-delà de ce qui est nécessaire à ces fins.
• Accords de traitement des données : Nous avons conclu des ATD avec Anthropic, OpenAI, Mistral AI et Google incluant, le cas échéant, les Clauses Contractuelles Types pour les transferts internationaux de données.
• Politiques de confidentialité : Anthropic, OpenAI, Mistral AI, Google.

16.3 Minimisation des données dans le contexte de l'IA

Nous appliquons le principe de minimisation des données (art. 5, paragraphe 1, point c), du RGPD) au traitement par l'IA en :

• N'envoyant que le contexte minimal nécessaire à la génération d'une réponse utile par l'IA ;
• Excluant les données à caractère personnel des invites système et de la configuration ;
• Ne conservant pas l'historique des conversations IA au-delà de la session de navigation en cours ;
• Tronquant les sorties volumineuses (sortie du terminal, journaux de construction) avant envoi à l'IA ;
• Chiffrant les clés API de sorte qu'elles ne soient jamais incluses dans le contexte de l'IA.

16.4 Obligations de transparence au titre du Règlement IA

En conformité avec le Règlement IA (Règlement 2024/1689), nous fournissons les informations de transparence suivantes :

• Finalité du système d'IA : Génération de code, correction d'erreurs et assistance à la conception pour la création de boutiques en ligne ;
• Fournisseurs d'IA : Anthropic PBC (Claude), OpenAI LLC (GPT), Mistral AI SAS (Mistral), Google Ireland Limited (Gemini) ;
• Classification du risque : Les fonctionnalités d'IA de la Plateforme sont classées comme systèmes d'IA à risque limité au sens du Règlement IA, dans la mesure où elles fournissent une assistance à la génération de contenu et ne prennent pas de décisions autonomes affectant les droits des personnes ;
• Supervision humaine : L'ensemble du code généré par l'IA est présenté à l'utilisateur pour examen avant déploiement ; l'utilisateur conserve le plein contrôle de ce qui est publié ;
• Limitations : Le contenu généré par l'IA peut comporter des erreurs, des inexactitudes ou des vulnérabilités de sécurité. Les utilisateurs sont responsables de la vérification et des tests du contenu généré par l'IA avant toute utilisation en production.

17.1 Skynet en qualité de responsable de traitement

Skynet agit en qualité de responsable de traitement (art. 4, point 7, du RGPD) pour :

• Les données de compte du marchand (inscription, profil, authentification) ;
• Les données de configuration de la boutique (paramètres, configuration du paiement, code source) ;
• Les données d'utilisation de la plateforme (analyse statistique, journaux, données de sécurité) ;
• Les données d'interaction avec l'IA (conversations Genisys) ;
• Les données financières au niveau de la plateforme (commissions, factures de plateforme).

Pour ces activités de traitement, Skynet détermine les finalités et les moyens du traitement et est pleinement responsable de la conformité au RGPD.

17.2 Skynet en qualité de sous-traitant

Skynet agit en qualité de sous-traitant (art. 4, point 8, du RGPD) pour le compte du marchand pour :

• Les données à caractère personnel des acheteurs collectées via la boutique en ligne du marchand (noms, adresses électroniques, adresses) ;
• Les données de commande traitées pour les besoins d'exécution du marchand ;
• Les données d'analyse relatives aux acheteurs collectées sur la vitrine du marchand.

En cette qualité, Skynet traite les données des acheteurs uniquement sur les instructions documentées du marchand et pour les finalités définies par ce dernier (traitement des commandes, routage des paiements, livraison). Les conditions de cette relation de traitement sont régies par l'Accord de Traitement des Données intégré à nos Conditions Générales d'Utilisation.

17.3 Le marchand en qualité de responsable de traitement

Chaque marchand agit en qualité de responsable de traitement indépendant pour les données à caractère personnel de ses acheteurs. À ce titre, le marchand est responsable de :

• Déterminer les finalités et les moyens du traitement des données de ses acheteurs ;
• Publier sa propre politique de confidentialité informant les acheteurs du traitement des données ;
• S'assurer de disposer d'une base légale valide pour chaque activité de traitement ;
• Répondre aux demandes d'exercice des droits de ses acheteurs (ou déléguer à Skynet le cas échéant) ;
• Réaliser des Analyses d'Impact relatives à la Protection des Données lorsque cela est requis ;
• Notifier l'autorité de contrôle compétente et les personnes concernées en cas de violation de données.

17.4 Stipulations de l'Accord de Traitement des Données (ATD)

L'ATD entre Skynet et les marchands comprend les stipulations suivantes conformément à l'article 28, paragraphe 3, du RGPD :

• L'objet, la durée, la nature et la finalité du traitement ;
• Les types de données à caractère personnel traitées et les catégories de personnes concernées ;
• L'obligation de Skynet de traiter les données uniquement sur les instructions documentées du marchand ;
• Les obligations de confidentialité du personnel de Skynet ;
• Les mesures de sécurité mises en œuvre par Skynet (art. 32 du RGPD) ;
• Les conditions de recours à des sous-traitants ;
• L'obligation de Skynet d'assister les marchands dans le traitement des demandes d'exercice des droits ;
• L'obligation de Skynet d'assister en matière de sécurité, de notification des violations et d'AIPD ;
• La suppression ou la restitution des données à la fin du contrat ;
• Les droits d'audit et d'inspection du marchand.

18.1 Aucun compte requis

Les acheteurs n'ont pas besoin de créer de compte pour naviguer dans les boutiques des marchands ni pour effectuer des achats. Le processus de passage en caisse ne collecte que les données minimales nécessaires à l'exécution de la commande (adresse électronique, nom, adresse de livraison).

18.2 Panier anonyme

Le panier d'achat fonctionne via une session anonyme utilisant un cookie cart_session_id. Ce cookie contient un identifiant aléatoire qui n'est lié à aucune donnée à caractère personnel ni à aucun compte utilisateur. Il expire automatiquement après 30 jours d'inactivité.

18.3 Isolation des données de paiement

Les données de carte bancaire (numéro de carte, CVV, date d'expiration) ne transitent jamais par les serveurs de Skynet et n'y sont pas stockées. L'ensemble des données de paiement sensibles est traité directement par le prestataire de paiement (Stripe, PayPal, etc.) au moyen de son infrastructure sécurisée certifiée PCI-DSS Niveau 1. Skynet ne reçoit qu'un identifiant de référence de transaction à des fins de rapprochement.

18.4 Minimisation des données

Nous ne collectons que les données strictement nécessaires à chaque étape du parcours acheteur :

19.1 Mécanisme de notation du risque de fraude

Notre système de détection de fraude attribue un score de risque de 0 à 100 fondé sur l'analyse de signaux multiples :

19.2 Absence de décision automatisée (art. 22 du RGPD)

Le score de fraude ne constitue pas une décision automatisée au sens de l'article 22 du RGPD. En particulier :

• Aucun compte n'est bloqué, restreint ou résilié sur la seule base du score de fraude ;
• Aucune transaction n'est rejetée sur la seule base du score de fraude ;
• Aucun accès n'est refusé sur la seule base du score de fraude ;
• Le score sert exclusivement d'outil d'aide à la décision pour un examen humain ;
• Toute mesure consécutive (suspension de compte, blocage de transaction) nécessite un examen et une approbation humains préalables par un membre autorisé de l'équipe.

19.3 Vos droits en matière de détection de fraude

Vous disposez du droit de :

• Contester toute décision fondée sur le système de détection de fraude en contactant le DPD ;
• Demander un examen humain de toute mesure prise à l'encontre de votre compte ou de votre transaction ;
• Exprimer votre point de vue et fournir des informations supplémentaires susceptibles d'affecter l'évaluation ;
• Demander des informations sur la logique sous-jacente du système de notation de fraude (art. 15, paragraphe 1, point h), du RGPD).

24.1 Modifications substantielles

Pour les modifications substantielles affectant significativement vos droits ou la manière dont nous traitons vos données à caractère personnel — telles que de nouvelles catégories de données collectées, de nouvelles finalités de traitement, de nouveaux destinataires des données ou des modifications des mécanismes de transfert international — nous :

• Vous notifierons par courriel au moins 30 jours avant l'entrée en vigueur des modifications ;
• Afficherons un avis visible au sein de la plateforme vous informant de la mise à jour ;
• Le cas échéant, solliciterons votre consentement renouvelé pour les activités de traitement fondées sur le consentement.

24.2 Modifications non substantielles

Pour les modifications non substantielles (clarifications, mise en forme, corrections typographiques, mises à jour des coordonnées), nous mettrons à jour la Politique et la date de"Dernière mise à jour" sans notification individuelle. Nous vous invitons à consulter régulièrement la présente page.

24.3 Historique des versions

25.1 Délégué à la Protection des Données (DPD)

25.2 Contact général

25.3 Autorité de contrôle

Si vous estimez que le traitement de vos données à caractère personnel constitue une violation du RGPD ou de la législation française en matière de protection des données, vous disposez du droit d'introduire une réclamation auprès de l'autorité de contrôle compétente. Pour les personnes concernées en France, l'autorité compétente est :

25.4 Réclamations transfrontalières

Si vous êtes établi dans un autre État membre de l'UE/EEE, vous pouvez introduire une réclamation auprès de votre autorité de contrôle locale, laquelle coopérera avec la CNIL dans le cadre du mécanisme de cohérence du RGPD (art. 60 à 67 du RGPD). Skynet étant établie en France, la CNIL fait office d'autorité de contrôle chef de file pour les traitements transfrontaliers au titre de l'article 56 du RGPD.

Vous pouvez également exercer un recours juridictionnel devant les juridictions de l'État membre où se trouve votre résidence habituelle, votre lieu de travail ou le lieu de la violation alléguée (art. 79 du RGPD).