Politique de confidentialité

Version 2.0 — Date d'entrée en vigueur : 23/08/2026

Wisna — outil d'audit qualité pour consultants indépendants. Éditeur : NOLANI Consulting.

1. Objet et champ d’application

La présente politique décrit la manière dont les données à caractère personnel sont collectées, utilisées, conservées, partagées et protégées dans le cadre du service Wisna.

Elle s’applique :

au site internet wisna.fr et à l’application accessible depuis ce site ;
à toute communication adressée à l’éditeur (formulaire de contact, courriel, support). Elle concerne trois catégories de personnes :
les utilisateurs, c’est-à-dire les consultants titulaires d’un compte Wisna ;
les visiteurs du site et les prospects ;
les personnes physiques dont les données sont saisies par un utilisateur dans le cadre de ses audits (dirigeants, salariés ou contacts des établissements audités). Elle est complétée par les Conditions générales d’utilisation et de vente ainsi que par l’Accord de sous-traitance (DPA) annexé à celles-ci.

Wisna étant exploité depuis la Martinique, région ultrapériphérique de l’Union européenne, le RGPD et la loi Informatique et Libertés s’appliquent pleinement et la CNIL est l’autorité de contrôle compétente.

2. Définitions

« Données personnelles » : toute information se rapportant à une personne physique identifiée ou identifiable.
« Traitement » : toute opération effectuée sur des données personnelles (collecte, enregistrement, conservation, consultation, transmission, suppression, etc.).
« Personne concernée » : la personne physique à laquelle se rapportent les données.
« Responsable de traitement » : la personne qui détermine les finalités et les moyens du traitement.
« Sous-traitant » : la personne qui traite des données pour le compte du responsable de traitement et sur ses instructions.
« Sous-traitant ultérieur » : le prestataire auquel le sous-traitant fait lui-même appel pour tout ou partie du traitement.
« Utilisateur » : le consultant titulaire d’un compte Wisna.
« Violation de données » : toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des données personnelles.

3. Identité du responsable du traitement

Le responsable de traitement est Madame Noémie LALUNG NICAR, entrepreneur individuel relevant du régime de la micro-entreprise, exerçant sous le nom commercial NOLANI Consulting.

Élément	Information
Responsable de traitement	Madame Noémie LALUNG NICAR
Nom commercial	NOLANI Consulting
Forme juridique	Entrepreneur individuel — régime de la micro-entreprise
Numéro d’identification	SIRET 832 771 471 00022 — SIREN 832 771 471
Immatriculation	Registre national des entreprises (RNE)
Adresse du siège	Les Arcades A2 n° 12, Basse-Gondeau, 97232 Le Lamentin, Martinique, France
Contact protection des données	contact@wisna.fr
TVA	Non applicable — franchise en base de TVA (art. 293 B du code général des impôts)

Désignation d’un délégué à la protection des données (DPO)

La désignation d’un DPO n’est pas obligatoire au regard de l’article 37 du RGPD dès lors que NOLANI Consulting n’est pas un organisme public, que ses activités de base ne consistent pas en un suivi régulier et systématique à grande échelle de personnes concernées, et qu’elle ne traite pas à grande échelle de données relevant des articles 9 et 10 du RGPD. Un point de contact unique est néanmoins désigné pour toute question relative aux données : contact@wisna.fr.

4. Répartition des rôles : responsable de traitement et sous-traitant

Deux situations doivent être distinguées :

Traitement concerné	Rôle de NOLANI Consulting	Rôle de l’utilisateur
Compte, abonnement, facturation, support, sécurité du service	Responsable de traitement	Personne concernée
Contenu des audits saisi par l’utilisateur (établissements audités, contacts, photos, rapports)	Sous-traitant au sens de l’article 28 du RGPD	Responsable de traitement
Prospection et communication marketing de Wisna	Responsable de traitement	Personne concernée
Compte d'accès au portail ouvert à une personne travaillant chez un client audité (identifiants, connexion, sécurité)	Responsable de traitement	Responsable de traitement pour la décision d'inviter cette personne
Contenu déposé par cette personne sur son plan d'actions (déclarations d'avancement, photographies, messages)	Sous-traitant au sens de l'article 28 du RGPD	Responsable de traitement

Cas particulier des personnes invitées au portail client

Une personne invitée par un utilisateur n'a aucune relation contractuelle avec l'éditeur : c'est l'utilisateur qui décide de l'inviter et qui répond de cette décision. L'éditeur est néanmoins responsable de traitement pour le compte qu'elle crée — son adresse électronique, son mot de passe haché et ses journaux de connexion —, ces données étant nécessaires à la sécurité du service et non au travail d'audit.

Cette personne est informée, au moment où elle ouvre son accès, de l'identité de l'éditeur, de la finalité du traitement et des moyens d'exercer ses droits. Elle peut s'adresser indifféremment à l'utilisateur qui l'a invitée ou à contact@wisna.fr. La suppression de son accès par l'utilisateur entraîne celle de son compte lorsqu'il ne lui sert plus ailleurs ; les éléments qu'elle a déposés restent attachés au dossier d'audit, sous la responsabilité de l'utilisateur.

Encadrement contractuel de la sous-traitance

Conformément à l’article 28.3 du RGPD, la sous-traitance fait obligatoirement l’objet d’un contrat écrit. L’accord de sous-traitance (DPA) est annexé aux Conditions générales et accepté par l’utilisateur lors de la souscription ; une copie signée séparément peut être obtenue sur demande à contact@wisna.fr.

À ce titre, NOLANI Consulting s’engage à :

ne traiter les données que sur instruction documentée de l’utilisateur ;
garantir la confidentialité des personnes autorisées à traiter les données ;
mettre en œuvre les mesures de sécurité prévues à l’article 32 du RGPD ;
n’engager de sous-traitant ultérieur qu’au titre de l’autorisation générale figurant à l’article 9 de la présente politique, en informant l’utilisateur préalablement à tout changement et en lui ouvrant un droit d’opposition ;
assister l’utilisateur dans la réponse aux demandes d’exercice des droits et dans le respect de ses obligations (articles 32 à 36 du RGPD) ;
supprimer ou restituer les données au terme du contrat, au choix de l’utilisateur, et détruire les copies existantes sauf obligation légale de conservation ;
mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre la réalisation d’audits. Obligations de l’utilisateur

En sa qualité de responsable de traitement pour les données qu’il saisit, l’utilisateur s’engage à :

disposer d’une base légale valable pour chaque traitement réalisé au moyen de Wisna ;
informer les personnes concernées (article 13 ou 14 du RGPD) et traiter leurs demandes d’exercice des droits ;
ne saisir que des données adéquates, pertinentes et limitées à ce qui est nécessaire ;
s’abstenir de saisir des données sensibles au sens de l’article 9 du RGPD (santé, opinions, convictions, appartenance syndicale, données biométriques…) ou relatives à des infractions (article 10), le service n’étant ni conçu ni configuré pour en héberger ;
veiller à ce que les photographies versées dans un audit ne permettent pas d’identifier des personnes sans nécessité ;
préserver la confidentialité de ses identifiants et signaler sans délai tout accès non autorisé.

5. Données traitées

Catégorie	Exemples	Base légale et finalité
Identification	Prénom, nom, adresse électronique, téléphone, mot de passe (stocké sous forme hachée)	Exécution du contrat (art. 6.1.b) — création et gestion du compte
Données professionnelles	Cabinet ou raison sociale, SIRET, logo, signature, qualifications	Exécution du contrat (art. 6.1.b) — personnalisation des rapports
Facturation	Adresse de facturation, historique des abonnements et des factures	Exécution du contrat (art. 6.1.b) et obligation légale comptable (art. 6.1.c)
Paiement	Données de carte bancaire saisies directement sur l’interface sécurisée de Stripe	Exécution du contrat — aucune donnée bancaire n’est collectée ni stockée par Wisna
Contenu des audits	Réponses aux grilles, photographies, rapports générés, coordonnées des établissements audités et de leurs interlocuteurs	Traitées pour le compte de l’utilisateur, en qualité de sous-traitant (art. 28) — la base légale est déterminée par l’utilisateur
Données techniques	Adresse IP, type de navigateur, journaux de connexion et d’erreur, horodatages	Intérêt légitime (art. 6.1.f) — sécurité du service, prévention des abus et de la fraude, diagnostic des incidents
Prospects et contacts	Adresse électronique et message transmis via le formulaire de contact	Mesures précontractuelles (art. 6.1.b) ou intérêt légitime (art. 6.1.f) — réponse aux demandes
Communications marketing	Adresse électronique, préférences, statut d’abonnement	Consentement (art. 6.1.a) pour les prospects ; intérêt légitime pour les clients sur des produits analogues

Caractère obligatoire ou facultatif des données

Les champs obligatoires sont signalés comme tels dans les formulaires. Leur absence empêche la création du compte ou la fourniture du service concerné. Les autres champs sont facultatifs et leur non-renseignement est sans conséquence.

Absence de données sensibles

Wisna ne collecte pas de données sensibles au sens de l’article 9 du RGPD et n’est pas destiné à en héberger. La mise en œuvre de cette interdiction dans le contenu des audits relève de l’utilisateur, conformément à l’article 4 de la présente politique.

Réalisation d’une analyse d’impact (AIPD)

Au regard des critères fixés par la CNIL, les traitements mis en œuvre ne relèvent pas de l’obligation d’analyse d’impact relative à la protection des données prévue à l’article 35 du RGPD : ils ne portent pas sur des données sensibles à grande échelle, n’impliquent ni surveillance systématique, ni évaluation ou notation, ni décision automatisée, et ne concernent pas de personnes vulnérables. Cette conclusion est documentée par écrit et réexaminée à chaque évolution significative du service.

6. Finalités des traitements

Finalité	Base légale	Intérêt légitime poursuivi
Créer et gérer le compte utilisateur, permettre la saisie d’audits et la génération de rapports	Exécution du contrat	—
Gérer les abonnements, la facturation et le recouvrement	Contrat et obligation légale	—
Assurer le support et répondre aux demandes	Exécution du contrat	—
Garantir la sécurité du service, prévenir et détecter les abus	Intérêt légitime	Protection du service et des utilisateurs
Améliorer le service au moyen de statistiques d’usage agrégées	Intérêt légitime	Amélioration continue du produit
Adresser des messages transactionnels (facture, incident, évolution du service)	Exécution du contrat	—
Adresser des communications commerciales	Consentement (prospects) ou intérêt légitime (clients)	Promotion de produits analogues auprès de clients existants
Répondre aux demandes d’exercice des droits et aux réquisitions	Obligation légale	—
Gérer les litiges et faire valoir ses droits en justice	Intérêt légitime	Défense des intérêts de l’entreprise

Lorsqu’un traitement repose sur l’intérêt légitime, une mise en balance entre cet intérêt et les droits et libertés des personnes concernées a été réalisée et est tenue à disposition sur demande.

7. Consentement et retrait

Lorsque le traitement repose sur le consentement (communications commerciales adressées à des prospects, cookies non strictement nécessaires), celui-ci est recueilli de façon libre, spécifique, éclairée et univoque, par un acte positif clair.

L’utilisateur peut retirer son consentement à tout moment et aussi facilement qu’il l’a donné :

pour les communications commerciales : lien de désinscription présent dans chaque message ou demande adressée à contact@wisna.fr. Le retrait du consentement ne remet pas en cause la licéité des traitements effectués avant celui-ci. La preuve du consentement est conservée pendant toute la durée du traitement et trois ans après son retrait.

8. Durées de conservation

Donnée	Durée de conservation	Fondement
Compte utilisateur actif	Durée de l’abonnement	Exécution du contrat
Compte résilié : accès à l’export des données	30 jours à compter de la résiliation	Réversibilité
Compte résilié : suppression définitive	À l’issue du délai de 30 jours	Minimisation
Contenu des audits (données des clients de l’utilisateur)	Durée définie par l’utilisateur ; suppression ou restitution au terme du contrat	Art. 28.3.g du RGPD
Données de compte et de contrat en archivage intermédiaire	5 ans après la fin de la relation contractuelle	Prescription (art. 2224 du code civil)
Factures et pièces comptables	10 ans	Art. L. 123-22 du code de commerce
Journaux techniques et de sécurité	6 mois	Intérêt légitime — durée recommandée par la CNIL
Prospects n’ayant pas contracté	3 ans à compter du dernier contact	Recommandation CNIL
Données marketing (opt-in)	Jusqu’au retrait du consentement, puis 3 ans après le dernier contact	Consentement
Justificatif d’identité fourni à l’appui d’une demande de droits	Suppression immédiate après vérification (1 an maximum en cas de contentieux)	Recommandation CNIL
Cookies : consentement / traceurs / données collectées	6 mois / 13 mois / 25 mois	Recommandation CNIL

À l’issue de ces durées, les données sont définitivement supprimées ou anonymisées de manière irréversible. Les données placées en archivage intermédiaire font l’objet d’un accès restreint aux seules personnes ayant besoin d’en connaître.

9. Destinataires et sous-traitants ultérieurs

Les données ne sont accessibles qu’aux personnes habilitées au sein de NOLANI Consulting, dans la limite de leurs attributions, et aux sous-traitants techniques nécessaires au fonctionnement du service :

Prestataire	Rôle	Localisation des données	Garanties applicables
Supabase	Base de données, authentification et courriels de service (création de compte, réinitialisation de mot de passe)	Union européenne	DPA et clauses contractuelles types (société éditrice de droit américain)
Cloudflare R2	Stockage des fichiers et photographies	Union européenne	DPA, certification Data Privacy Framework et clauses contractuelles types
Vercel	Hébergement de l’application	Union européenne — Irlande (région d’exécution dub1) Vercel Inc. est établie aux États-Unis	Certification Data Privacy Framework et clauses contractuelles types
Stripe	Paiements et facturation	Irlande (Stripe Payments Europe Ltd), avec transferts vers Stripe Inc. (États-Unis)	DPA, Data Privacy Framework et clauses contractuelles types
Infomaniak	Messagerie contact@wisna.fr	Suisse	Décision d’adéquation de la Commission européenne

Cette liste vaut autorisation générale au sens de l’article 28.2 du RGPD. Tout ajout ou remplacement de sous-traitant ultérieur est notifié aux utilisateurs par courriel au moins 30 jours avant sa mise en œuvre ; l’utilisateur peut s’y opposer et, à défaut de solution, résilier son abonnement sans frais.

Les données peuvent en outre être communiquées aux autorités administratives ou judiciaires sur réquisition légale, ainsi qu’aux conseils de l’entreprise (expert-comptable, avocat) tenus au secret professionnel.

Aucune donnée n’est vendue, louée ou transmise à des tiers à des fins commerciales.

10. Transferts hors de l’Union européenne

Certains prestataires sont des sociétés de droit américain ou disposent d’entités hors de l’Union européenne. Ces transferts sont encadrés par :

la décision d’adéquation relative au cadre de protection des données UE–États-Unis (Data Privacy Framework), pour les sociétés américaines certifiées, dont le statut « actif » est vérifié sur dataprivacyframework.gov ;
les clauses contractuelles types adoptées par la Commission européenne, systématiquement incluses dans les accords de sous-traitance à titre de mécanisme complémentaire ou de repli ;
la décision d’adéquation applicable à la Suisse ;
des mesures techniques complémentaires : chiffrement des flux, hébergement des données en Union européenne et restriction des accès. Une analyse d’impact des transferts (TIA) est tenue à jour. La validité du Data Privacy Framework, confirmée par le Tribunal de l’Union européenne le 3 septembre 2025, fait l’objet d’un pourvoi pendant devant la Cour de justice (affaire C-703/25 P) ; les clauses contractuelles types demeurent applicables en cas d’invalidation.

Une copie des garanties mises en place peut être obtenue sur demande à contact@wisna.fr.

11. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

droit d’accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie ;
droit de rectification : faire corriger des données inexactes ou incomplètes ;
droit à l’effacement (« droit à l’oubli »), dans les limites des obligations légales de conservation ;
droit à la limitation du traitement ;
droit à la portabilité : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine ;
droit d’opposition, notamment à la prospection commerciale, à laquelle vous pouvez vous opposer à tout moment et sans motif ;
droit de retirer votre consentement lorsqu’il constitue la base légale du traitement ;
droit de définir des directives relatives au sort de vos données après votre décès, conformément à l’article 85 de la loi Informatique et Libertés ;
droit d’introduire une réclamation auprès de la CNIL. Modalités d’exercice

Les demandes sont adressées à contact@wisna.fr. Une réponse est apportée dans un délai d’un mois à compter de la réception, prorogeable de deux mois en raison de la complexité ou du nombre de demandes, l’intéressé étant alors informé du report et de ses motifs. L’exercice des droits est gratuit, sauf demandes manifestement infondées ou excessives. Une preuve d’identité peut être demandée en cas de doute raisonnable sur l’identité du demandeur.

Demandes portant sur les données saisies dans un audit

Pour ces données, le responsable de traitement est le consultant utilisateur de Wisna. Les demandes doivent lui être adressées directement. Si une demande parvient à NOLANI Consulting, elle est transmise à l’utilisateur concerné dans les meilleurs délais et au plus tard sous cinq jours ouvrés, sans y répondre au fond.

12. Sécurité des données

Des mesures techniques et organisationnelles appropriées sont mises en œuvre, conformément à l’article 32 du RGPD :

Mesures techniques

chiffrement des communications (HTTPS/TLS) ;
chiffrement des données au repos au niveau de la base de données et du stockage de fichiers ;
mots de passe stockés sous forme hachée et salée, jetons de session signés et à durée limitée ;
cloisonnement strict des données par utilisateur, chaque utilisateur n’accédant qu’à ses propres données ;
sauvegardes régulières, chiffrées, dont la restauration est testée périodiquement ;
journalisation des accès et supervision des événements de sécurité ;
application régulière des correctifs de sécurité et suivi des dépendances ;
aucune donnée bancaire n’est stockée par Wisna : les paiements sont délégués à Stripe, certifié PCI-DSS. Mesures organisationnelles
gestion et revue périodique des habilitations, selon le principe du moindre privilège ;
engagement de confidentialité de toute personne intervenant sur le service ;
procédure documentée de gestion des violations de données ;
tenue d’un registre des activités de traitement.

13. Violation de données

Une procédure interne de détection, de qualification et de gestion des violations de données est en place. Toute violation est consignée dans un registre dédié, qu’elle soit ou non notifiée.

Lorsque NOLANI Consulting agit en qualité de responsable de traitement

En cas de violation susceptible d’engendrer un risque pour les droits et libertés des personnes, la CNIL est notifiée dans un délai de 72 heures après en avoir pris connaissance. Lorsque le risque est élevé, les personnes concernées en sont informées dans les meilleurs délais, conformément aux articles 33 et 34 du RGPD.

Lorsque NOLANI Consulting agit en qualité de sous-traitant

Toute violation affectant les données saisies par un utilisateur lui est notifiée dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les éléments permettant à l’utilisateur, seul responsable de traitement, de procéder le cas échéant à la notification à la CNIL et à l’information des personnes concernées. NOLANI Consulting lui apporte son assistance à cette fin.

14. Cookies et traceurs

Le site et l’application n’utilisent que des cookies strictement nécessaires à la fourniture du service expressément demandé par l’utilisateur : maintien de la session, authentification et sécurité.

Ces cookies sont exemptés du recueil du consentement au titre de l’article 82 de la loi Informatique et Libertés et des lignes directrices de la CNIL. Aucun bandeau de consentement n’est par conséquent affiché.

Aucun cookie de mesure d’audience, de publicité, de personnalisation ou de réseau social n’est déposé, et aucune donnée de navigation n’est transmise à des tiers à ces fins.

Cookie	Finalité	Durée de vie	Émetteur
Jeton de session / authentification	Maintenir l’utilisateur connecté et sécuriser sa session	Durée de la session et jusqu’à 30 jours d'inactivité pour le jeton de rafraîchissement	Wisna / Supabase
Cookie de sécurité	Prévenir les tentatives d’accès frauduleux	Session	Wisna

Si un outil de mesure d’audience ou tout autre traceur venait à être déployé, la présente politique serait mise à jour et, le cas échéant, un mécanisme de recueil du consentement serait mis en place préalablement à tout dépôt.

15. Mineurs

Wisna est un outil professionnel destiné à des consultants exerçant une activité économique. Le service n’est pas destiné aux mineurs et ne collecte pas sciemment de données relatives à des personnes de moins de 15 ans. S’il apparaissait qu’un compte a été créé par un mineur sans l’autorisation du titulaire de l’autorité parentale, les données correspondantes seraient supprimées dans les meilleurs délais après signalement à contact@wisna.fr.

16. Décision automatisée, profilage et intelligence artificielle

Wisna ne met en œuvre aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à l’égard des personnes ou les affectant de manière significative, au sens de l’article 22 du RGPD, ni aucun profilage à des fins publicitaires.

À la date d’entrée en vigueur de la présente politique, Wisna n’intègre aucune fonctionnalité d’intelligence artificielle : aucune donnée saisie dans l’outil n’est transmise à un fournisseur de modèle, ni utilisée pour l’entraînement d’un système d’intelligence artificielle.

L’ajout ultérieur d’une telle fonctionnalité constituerait le recours à un nouveau sous-traitant ultérieur et donnerait lieu, préalablement à sa mise en service, à la mise à jour de la présente politique et à l’information des utilisateurs dans les conditions prévues aux articles 9 et 17.

17. Droit applicable et modification de la politique

La présente politique est régie par le droit français et par le RGPD.

Elle peut évoluer pour s’adapter à la réglementation, aux recommandations de la CNIL ou à l’évolution du service. Toute modification substantielle est notifiée aux utilisateurs par courriel au moins 30 jours avant son entrée en vigueur. La date de dernière mise à jour et le numéro de version figurent en tête du document ; l’historique des versions est conservé et communicable sur demande.

18. Contact et réclamation

Pour toute question relative à la présente politique ou à vos données : contact@wisna.fr.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés :

en ligne : www.cnil.fr/fr/plaintes ;
par courrier : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Annexe 1 — Points à valider avant publication

Liste destinée à préparer la relecture juridique. Chaque point correspond à une information que seul l’éditeur peut fournir ou confirmer.

N°	Point à traiter	Section concernée
1	Durée de vie du jeton de rafraîchissement d’authentification	Art. 14
2	Vérification ligne à ligne des mesures de sécurité effectivement implémentées, et suppression de celles qui ne le sont pas	Art. 12
3	Rédaction et annexion effective de l’accord de sous-traitance (DPA) aux conditions générales	Art. 4
4	Établissement du registre des activités de traitement, à double entrée responsable de traitement et sous-traitant	Document distinct
5	Rédaction des mentions légales du site (éditeur, hébergeur, directeur de la publication)	Document distinct
6	Formalisation de la procédure interne de gestion des violations et du registre associé	Art. 13
7	Conservation d’une trace écrite de l’analyse ayant conclu à l’absence de nécessité d’une AIPD	Art. 5
8	Signature des accords de sous-traitance auprès de Supabase, Cloudflare, Vercel et Stripe, vérification du statut actif de leur certification Data Privacy Framework et conservation des copies	Art. 9 et 10

Annexe 2 — Historique des versions

Version	Date	Objet
1.0	19/08/2026	Version de travail initiale
2.0	23/08/2026	Correction de la qualification du sous-traitant en cas de violation, encadrement contractuel de la sous-traitance, identification complète du responsable de traitement, bases légales détaillées, durées de conservation complétées, garanties de transfert par prestataire, modalités d’exercice des droits, obligations de l’utilisateur, régime des cookies