Le Pays De France - POLITIQUE DE CONFIDENTIALITÉ / PRIVACY POLICY

POLITIQUE DE CONFIDENTIALITÉ DE « LE PAYS DE FRANCE »

Responsable du traitement
La présente politique explique le traitement des données personnelles dans le cadre des services de « LE PAYS DE FRANCE », également désigné par « LPdF ». Le responsable du traitement pour les opérations dont il détermine les finalités et les moyens est :

 

SCANDIC TRUST GROUP LLC
IQ Business Centre
Bolsunovska Street 13–15
01014 Kyiv / Ukraine
Courrier électronique : [email protected]
Forme juridique : société à responsabilité limitée de droit ukrainien, LLC
Numéro d’enregistrement : 1010351020000018952
Cette adresse constitue l’adresse opérationnelle et de correspondance de la société. Les questions relatives aux données personnelles et les demandes d’exercice des droits peuvent être adressées aux coordonnées ci-dessus. Le numéro indiqué correspond à un enregistrement étranger ; il n’est pas présenté comme un numéro d’immatriculation français.

 

Siège social et adresse d’enregistrement
SCANDIC TRUST GROUP LLC
Oksamytova Street 1-b, Office 30
Sofiivska Borshchahivka
Kyiv Region - 08147 / Ukraine

 

Assistance technique et exploitation
SCANDIC ASSETS FZCO
Dubai Silicon Oasis DDP
Building A1/A2
Dubai — 342001
Émirats arabes unis
Téléphone : +971 54 221 5217
SCANDIC ASSETS FZCO fournit des prestations techniques et administratives dans les limites de son mandat. Lorsqu’elle traite des données personnelles pour le compte de SCANDIC TRUST GROUP LLC et sur ses instructions, les exigences de l’article 28 du règlement général sur la protection des données s’appliquent dans les conditions prévues par ce règlement. La qualification de responsable, de responsable conjoint ou de sous-traitant dépend du rôle effectivement exercé ; elle ne résulte pas de la seule appartenance à un groupe ou de la dénomination donnée au prestataire.

 

Coopération commerciale
LEGIER Beteiligungs mbH
Kurfürstendamm 14
10719 Berlin
République fédérale d’Allemagne
Registre du commerce : HRB 57837
Tribunal d’enregistrement : Amtsgericht Charlottenburg, Berlin
Numéro d’identification à la TVA : DE 413445833
Téléphone : +49 30 99211 3469
Télécopie : +49 30 99211 3225
Courrier électronique : [email protected]
Une coopération commerciale ne confère pas automatiquement à LEGIER Beteiligungs mbH la qualité de responsable de l’ensemble des traitements de LPdF, de sous-traitant ou de représentant dans l’Union européenne. Une communication de données à cette société doit correspondre à une finalité déterminée, reposer sur une base légale et être accompagnée des informations appropriées.

 

Contact pour la protection des données et représentation
Les demandes relatives à la protection des données sont reçues à [email protected]. Cette adresse est un point de contact du responsable du traitement ; elle n’atteste pas, à elle seule, la désignation d’un délégué à la protection des données. Lorsque les conditions de l’article 27 du règlement général sur la protection des données imposent un représentant dans l’Union européenne, celui-ci doit être désigné par écrit et ses coordonnées rendues accessibles. De même, lorsqu’un délégué est désigné conformément aux articles 37 à 39, ses coordonnées doivent être publiées. Ces fonctions ne sont pas attribuées automatiquement à une société partenaire.

 

Introduction et champ d’application
Cette politique concerne les données traitées lors de la consultation des sites de LPdF et de l’utilisation de ses applications et services effectivement proposés. Les dispositions relatives aux comptes, abonnements, commandes, newsletters, commentaires ou événements s’appliquent lorsque ces fonctionnalités sont disponibles. La mention d’une technologie externe décrit les conditions applicables à son utilisation éventuelle et ne signifie pas que tous les outils cités sont activés. Les informations propres à une fonctionnalité doivent identifier les traitements réellement effectués. Le règlement (UE) 2016/679, ci-après le « RGPD », s’applique selon son article 3, y compris, dans les conditions de son paragraphe 2, aux organismes établis hors de l’Union proposant des services à des personnes dans l’Union ou suivant leur comportement dans l’Union. La loi française n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés complète ce cadre dans son champ d’application. La consultation de cette politique ne vaut pas consentement au traitement.

 

A) Informations générales sur les traitements
Une donnée personnelle est une information concernant une personne physique identifiée ou identifiable. Il peut notamment s’agir d’un nom, d’une adresse, de coordonnées de contact, d’une adresse IP, d’un identifiant de compte, d’une contribution ou de données de navigation pouvant être rattachées à une personne. La pseudonymisation ne constitue pas, à elle seule, une anonymisation. Nous limitons les données aux besoins de finalités déterminées, veillons à leur exactitude et appliquons les principes de protection dès la conception et par défaut. Une nouvelle utilisation doit être compatible avec la finalité initiale ou disposer d’un fondement distinct valable et des informations requises.

 

Finalités et bases légales
Le fondement applicable est déterminé pour chaque traitement en fonction de son objectif et de ses circonstances :

- Exécution d’un contrat ou mesures précontractuelles demandées par la personne : article 6, paragraphe 1, point b), du RGPD, uniquement pour les opérations objectivement nécessaires à la prestation concernée.
- Respect d’une obligation légale : article 6, paragraphe 1, point c), combiné à l’article 6, paragraphe 3, lorsque l’obligation repose sur une disposition applicable du droit de l’Union ou d’un État membre.
- Intérêts légitimes : article 6, paragraphe 1, point f), notamment pour la sécurité, la prévention des abus, le traitement de certaines correspondances et la défense de droits, après examen de la nécessité et mise en balance avec les droits des personnes.
- Consentement : article 6, paragraphe 1, point a), pour les traitements facultatifs qui le requièrent, notamment certaines opérations de personnalisation, de mesure d’audience ou de prospection. Il doit être libre, spécifique, éclairé et univoque, et peut être retiré à tout moment.
- Intérêts vitaux : article 6, paragraphe 1, point d), uniquement dans les situations exceptionnelles où la protection de la vie ou de l’intégrité d’une personne le justifie. L’activité d’un éditeur privé ne constitue pas, à elle seule, une mission légale de service public permettant d’invoquer l’article 6, paragraphe 1, point e).

 

Dispositions françaises complémentaires
Les opérations sur les équipements des utilisateurs relèvent notamment de l’article 82 de la loi du 6 janvier 1978. La prospection électronique est également encadrée par l’article L. 34-5 du Code des postes et des communications électroniques. Les traitements journalistiques relèvent des règles particulières exposées ci-dessous. Les obligations du droit français concernant la vie privée, les sources journalistiques, la presse et les documents comptables s’appliquent selon la nature du traitement et la situation de la société concernée.

 

Traitements journalistiques et rédactionnels
La préparation, la vérification, la publication et la conservation d’informations journalistiques peuvent nécessiter des données provenant de documents publics, de sources, d’entretiens, de photographies, de témoignages ou de correspondances adressées à la rédaction. Ces opérations poursuivent une finalité d’information et doivent concilier les droits des personnes avec la liberté d’expression et d’information. L’article 85 du RGPD et l’article 80 de la loi du 6 janvier 1978 prévoient des dérogations déterminées, notamment pour l’exercice professionnel du journalisme dans le respect de sa déontologie, lorsque ces dérogations sont nécessaires à cette conciliation. Elles ne constituent pas une exemption générale pour toutes les activités du journal. Elles ne couvrent pas automatiquement les abonnements, la publicité, les comptes ou le suivi des lecteurs. Une information publique ou relative à une personnalité connue n’est pas librement réutilisable à toute fin et sans limite.

 

Origine des données et collecte indirecte
Les données peuvent être fournies directement par vous, produites lors de l’utilisation d’un service ou reçues de sources identifiées, notamment un prestataire de paiement, un contributeur, une agence de presse ou une source publique. En dehors des dérogations légalement applicables, une collecte indirecte donne lieu aux informations prévues à l’article 14 du RGPD, notamment sur les catégories de données et leur origine. Elles sont fournies dans un délai raisonnable ne dépassant pas un mois, ou plus tôt lorsque la première communication ou transmission l’exige. Les exceptions relatives à la protection des sources ou à l’information des personnes doivent être appréciées concrètement.

 

Plateformes externes et services de diffusion
Lorsqu’un contenu est consulté sur une plateforme externe, son exploitant peut traiter des données pour ses propres finalités. Un lien ordinaire, un contenu intégré et une application installée ne produisent pas les mêmes transmissions. Un élément intégré peut contacter un serveur tiers dès le chargement de la page, tandis qu’un simple lien n’établit normalement cette connexion qu’après activation. L’existence d’un compte sur une plateforme ne vaut pas consentement général aux communications de données provenant de LPdF. Selon les fonctionnalités effectivement utilisées, les services concernés peuvent notamment appartenir aux catégories suivantes :

- Réseaux sociaux et messageries : X, Facebook, Instagram, Telegram et TikTok.
- Vidéos, contenus audio et podcasts : YouTube, Spotify et autres plateformes de diffusion effectivement proposées.
- Applications, appareils connectés et services de distribution : Google Play, Android TV, services Apple, Amazon Alexa, Fire TV, Fire Tablet, Roku, Telekom Magenta et Huawei.
- Prestataires techniques : hébergement, diffusion de fichiers, sécurité et mesure d’audience, notamment les services précisés dans les sections E), F) et G).

 

Données techniques et assistants vocaux
Les requêtes adressées aux serveurs peuvent produire des informations sur la page ou le fichier demandé, la date et l’heure, le résultat de la requête, le volume transmis, l’adresse IP, le navigateur, le système d’exploitation et, lorsque ces données sont effectivement communiquées, la page d’origine. Ces données ne doivent pas être réutilisées pour établir des profils publicitaires sans fondement distinct approprié. Un assistant vocal peut traiter des commandes, des transcriptions ou des enregistrements selon son fonctionnement et ses paramètres. Son utilisation n’implique pas que LPdF reçoive l’intégralité des enregistrements sonores. Les données effectivement transmises doivent être précisées pour l’intégration concernée.

 

Données sensibles et informations particulières
Les données de santé, les opinions politiques, les convictions religieuses, les données biométriques destinées à identifier une personne et les autres catégories visées à l’article 9 du RGPD nécessitent, en plus d’une base légale générale, une condition spécifique autorisant leur traitement, sauf dérogation légalement applicable. Les données relatives aux condamnations et infractions sont soumises à l’article 10 et aux dispositions nationales pertinentes. Une pièce d’identité complète, une date de naissance ou un numéro d’identification ne sont pas demandés systématiquement. Pour les événements, concours ou dispositifs de contrôle d’accès éventuellement proposés, une information adaptée doit précéder la collecte, notamment lorsqu’il existe une prise de vues ou une vidéosurveillance.

 

B) Prise de contact
Lorsque vous nous contactez par courrier électronique, téléphone ou formulaire, nous traitons les coordonnées et informations nécessaires pour comprendre votre demande et y répondre. Le fondement est l’article 6, paragraphe 1, point b), pour les démarches contractuelles demandées par vous, le point f) pour la gestion des autres correspondances sur la base de notre intérêt légitime à y répondre, ou le point c) lorsqu’une obligation légale précise s’applique. Fournissez uniquement les éléments utiles. Sans les informations indispensables, la demande peut ne pas pouvoir être traitée. Contacter la rédaction ne vaut pas inscription à des communications commerciales. Après clôture, seules les données nécessaires à une obligation ou à la preuve d’un droit peuvent être conservées selon la section H).

 

C) Réservations, commandes, abonnements et comptes
Lorsque ces services sont proposés, les traitements peuvent porter sur l’identité, les coordonnées, les choix de commande, les références de paiement, les accès au compte et les échanges liés au service. Les données nécessaires au contrat relèvent de l’article 6, paragraphe 1, point b), et les opérations de sécurité nécessaires peuvent relever du point f). Les champs obligatoires sont distingués des informations facultatives ; leur absence peut empêcher la prestation concernée. Les prestataires de paiement ou de réservation doivent être identifiés dans le parcours correspondant, avec leur rôle et leurs informations de protection des données. Le recours à un prestataire de paiement ne signifie pas que LPdF reçoit ou conserve toutes les données de carte bancaire. La gestion d’un compte ne justifie pas, à elle seule, la publicité personnalisée ou la transmission à des partenaires commerciaux.

 

D) Comptabilité et conservation légale
Les documents comptables, fiscaux et contractuels sont conservés selon les obligations effectivement applicables à la société et à la transaction. Lorsque l’article L. 123-22 du Code de commerce s’applique, les documents comptables et pièces justificatives sont conservés pendant dix ans. Lorsque l’article L. 102 B du Livre des procédures fiscales s’applique, les documents concernés sont, en principe, conservés six ans à compter de la dernière opération mentionnée ou de leur établissement, sous réserve des règles particulières. Ces délais ne s’appliquent pas indistinctement à tous les fichiers utilisateurs. Une obligation issue uniquement du droit d’un État tiers ne constitue pas, à elle seule, le fondement prévu à l’article 6, paragraphe 1, point c), du RGPD. Les données conservées pour une obligation légale sont séparées des usages courants qui ne sont plus nécessaires.

 

E) Fourniture technique du site et sécurité
Les données techniques nécessaires servent à transmettre les contenus demandés, maintenir le fonctionnement, détecter les erreurs et prévenir les attaques. Le traitement repose généralement sur l’intérêt légitime à assurer un service sûr et fiable, ou sur la nécessité contractuelle pour les opérations indispensables à une prestation convenue. Ces fondements ne remplacent pas le consentement exigé pour certaines lectures ou écritures sur le terminal. L’accès des intervenants techniques est limité à leurs missions. Les informations de sécurité ne doivent pas contenir inutilement le contenu de messages, des mots de passe ou des données sensibles. Les critères de conservation sont précisés en section H).

 

Hébergement, diffusion de fichiers et Cloudflare
Les prestataires d’hébergement, de diffusion de contenus et de protection réseau peuvent recevoir des adresses IP, des requêtes et des informations nécessaires à l’exécution de leurs fonctions. Lorsque des bibliothèques sont chargées par cdnjs ou qu’un autre service Cloudflare est utilisé, une communication avec l’infrastructure du prestataire peut intervenir. Le rôle du prestataire, la finalité, les données, les lieux de traitement et les garanties de transfert doivent correspondre au service réellement déployé. Une durée de conservation dans le cache d’un navigateur ne constitue pas la durée de conservation des données personnelles dans les journaux du prestataire.

 

Polices de caractères et Google Fonts
Le chargement de polices depuis un serveur externe peut transmettre l’adresse IP et les informations techniques nécessaires à la requête. L’absence de cookies ne suffit pas à exclure tout traitement de données personnelles. Le fondement juridique doit tenir compte de la nécessité de cette communication et des solutions disponibles. Lorsque les fichiers de polices sont servis localement, leur affichage ne nécessite pas, pour cette seule raison, une requête du navigateur vers Google. Une préférence graphique ne justifie pas automatiquement toutes les transmissions à un fournisseur externe.

 

F) Cookies, accès au terminal et technologies de suivi
Les cookies et technologies comparables peuvent inscrire des informations dans votre appareil ou accéder à celles déjà enregistrées. Les règles peuvent également concerner le stockage local, les pixels de suivi et certaines techniques d’identification d’un appareil. L’article 82 de la loi du 6 janvier 1978 exige un consentement préalable, sauf notamment lorsque l’opération a pour finalité exclusive de permettre ou faciliter une communication électronique, ou est strictement nécessaire au service expressément demandé. Cette règle s’applique indépendamment du caractère personnel ou non des informations stockées.

 

Consentement et liberté de choix
Les fonctionnalités soumises au consentement ne doivent pas être activées avant un choix valable. Les cases précochées, le silence, la poursuite de la navigation ou l’acceptation globale des conditions d’utilisation ne constituent pas un consentement. Le refus doit être aussi simple que l’acceptation et les finalités distinctes doivent pouvoir faire l’objet de choix adaptés. Les interfaces ne doivent ni tromper ni rendre artificiellement difficile le refus. Un consentement aux opérations sur le terminal ne remplace pas l’identification de la base légale des traitements ultérieurs. La mention d’un intérêt légitime ne permet pas de contourner une obligation de consentement préalable.

 

Cookies fonctionnels et mémorisation des choix
Les cookies destinés à conserver un choix de confidentialité, assurer une session ou mémoriser une langue demandée peuvent bénéficier d’une exemption lorsqu’ils restent limités à leur fonction nécessaire. Ils ne doivent pas devenir des identifiants publicitaires sous couvert de cette fonction. Les noms, finalités, fournisseurs et durées des traceurs effectivement utilisés doivent être présentés dans les informations associées au dispositif concerné. La CNIL considère généralement la conservation du choix, consentement comme refus, pendant six mois comme une bonne pratique ; il ne s’agit pas d’une durée légale uniforme applicable à tous les cookies.

 

Mesure d’audience
Une mesure d’audience n’est exemptée de consentement que si ses caractéristiques satisfont effectivement aux conditions applicables, notamment quant aux finalités, au périmètre de mesure, aux destinataires et à l’absence de réutilisation incompatible. Le simple nom d’un outil ou son caractère « sans cookies » ne démontre pas cette exemption. Pour les dispositifs de mesure d’audience exemptés, les recommandations de la CNIL retiennent notamment une durée de vie des traceurs permettant une comparaison pertinente, par exemple treize mois sans prolongation automatique à chaque visite, et une conservation maximale des informations collectées de vingt-cinq mois, avec réexamen de leur nécessité. Ces repères ne sont pas une autorisation générale de conserver toutes les données de navigation pendant ces durées.

 

Cloudflare Web Analytics
Lorsque Cloudflare Web Analytics est utilisé, le service peut recevoir des informations sur les pages consultées, les performances, les sources de visite et les caractéristiques techniques du navigateur. Cloudflare indique que ce produit n’utilise pas de cookies ou de stockage local pour ses mesures et ne produit pas d’empreinte individuelle des visiteurs. Cela n’exclut pas les communications techniques avec ses serveurs. Son utilisation doit être évaluée au regard de sa configuration réelle et des règles françaises ; lorsqu’un consentement est nécessaire, il doit précéder l’activation. Les durées décrites par Cloudflare pour ce produit — sept jours pour les données de mesure non échantillonnées et six mois d’historique accessible — ne constituent pas une règle de suppression applicable à l’ensemble de ses services ou journaux.

 

Publicité, personnalisation et cadres de consentement
Lorsque de telles fonctionnalités sont proposées, les opérations réellement réalisées doivent être expliquées avant leur activation. Elles peuvent notamment concerner :

- La sélection d’une publicité à partir d’informations limitées.
- La création et l’utilisation de profils pour la publicité personnalisée.
- La création et l’utilisation de profils pour personnaliser les contenus.
- La mesure de la diffusion et de l’efficacité publicitaires.
- La mesure de l’utilisation et des performances des contenus.
- L’analyse d’audiences ou le rapprochement d’informations provenant de sources différentes.
- Le développement et l’amélioration des services.
- La sélection de contenus à partir d’informations limitées.

L’utilisation du Transparency and Consent Framework d’IAB Europe ou d’un dispositif comparable ne constitue ni une certification générale de conformité ni une base légale autonome. Les fournisseurs, finalités et choix doivent rester compréhensibles. Une chaîne enregistrant les préférences de consentement peut être une donnée personnelle lorsqu’elle permet d’identifier une personne par des moyens raisonnables. L’appartenance ou non d’un partenaire à un cadre sectoriel ne modifie pas les obligations de protection des données.

 

Modification des choix et retrait du consentement
Vous pouvez retirer votre consentement à tout moment, sans effet rétroactif sur la licéité des opérations antérieures. Le retrait doit être aussi simple que l’octroi et un accès facilement identifiable aux préférences doit être maintenu lorsque des traitements facultatifs sont proposés. Les réglages du navigateur peuvent compléter ce mécanisme mais ne remplacent pas les obligations du responsable du traitement. Une demande peut également être adressée à [email protected]. Un refus ou un retrait ne doit pas être contourné par un changement artificiel de base légale.

 

G) Destinataires et transferts internationaux
L’accès aux données est limité aux personnes et organismes qui en ont besoin pour une finalité licite : personnel habilité, prestataires techniques, fournisseurs nécessaires à une commande, conseils soumis à la confidentialité et autorités compétentes dans le cadre de leurs pouvoirs. Les sous-traitants sont encadrés par les exigences de l’article 28 du RGPD. Lorsque plusieurs organismes déterminent conjointement les finalités et les moyens, l’article 26 s’applique et l’essentiel de leur répartition des obligations doit être accessible. Vous pouvez exercer vos droits à l’égard de chacun des responsables conjoints dans les conditions légales. La seule appartenance à un même groupe ne justifie pas une circulation générale des données.

 

Intervenants concernés selon le service
Les destinataires doivent être identifiés en fonction de leur intervention effective :

- SCANDIC ASSETS FZCO, aux Émirats arabes unis, pour les opérations techniques autorisées dans le cadre de ses missions.
- Les prestataires d’hébergement et de sauvegarde, notamment CONVOTIS Schweiz AG en Suisse lorsque les prestations décrites dans les mentions légales sont utilisées pour les données concernées.
- Cloudflare et les entités Google concernées, uniquement lorsque leurs services effectivement intégrés reçoivent des données. Leur rôle peut différer selon le produit et la finalité.
- Les prestataires de paiement, d’envoi de messages, de réservation ou de gestion d’événements identifiés pour la fonctionnalité utilisée.
- Les partenaires commerciaux, dont LEGIER Beteiligungs mbH le cas échéant, uniquement pour des opérations précisément définies et légalement fondées, sans transmission automatique de l’ensemble du fichier des lecteurs.

 

Ukraine, Émirats arabes unis et autres pays tiers
L’établissement du responsable du traitement en Ukraine et l’intervention d’un prestataire aux Émirats arabes unis doivent être pris en compte dans l’organisation des traitements. Ces pays ne bénéficient pas d’une décision générale d’adéquation de la Commission européenne au titre de l’article 45 du RGPD. La Suisse bénéficie d’une reconnaissance d’adéquation dans le champ de la décision applicable. La communication de données à un organisme distinct situé dans un pays tiers peut constituer un transfert, y compris par accès à distance. L’hébergement dans l’Espace économique européen ne suffit donc pas à exclure tout transfert international.

 

Garanties applicables aux transferts
Lorsqu’un transfert relève du chapitre V du RGPD, il doit être couvert par une décision d’adéquation applicable ou par des garanties appropriées, notamment les clauses contractuelles types utilisables pour les parties et le traitement concernés, complétées lorsque nécessaire par des mesures supplémentaires. L’efficacité des garanties doit être appréciée au regard du droit et des pratiques du pays destinataire. Les dérogations de l’article 49 ne constituent pas un mécanisme général pour des transferts réguliers. Le cadre UE–États-Unis de protection des données, fondé sur la décision d’exécution (UE) 2023/1795, concerne uniquement les organismes américains effectivement couverts par une certification valable et les traitements entrant dans son champ ; il ne couvre pas indistinctement tous les prestataires ni les autres pays tiers. Les informations sur le mécanisme utilisé et les moyens d’obtenir une copie des garanties doivent être fournies pour le transfert concerné et peuvent être demandées à notre adresse de contact. Les dérogations journalistiques ne s’appliquent que dans leurs conditions légales propres.

 

H) Durées de conservation et suppression
Il n’existe pas de durée unique applicable à toutes les données. La conservation dépend de l’objectif réel, de la relation concernée, des obligations légales et, lorsqu’il existe un besoin probatoire justifié, des délais de prescription pertinents. Les critères suivants déterminent les périodes applicables :

- Correspondances courantes : pendant le traitement de la demande ; après sa clôture, suppression des éléments devenus inutiles et conservation séparée des seules pièces nécessaires à une obligation ou à un droit identifiable.
- Comptes et abonnements : pendant l’utilisation du compte ou l’exécution du contrat, puis uniquement pour clôturer la relation, traiter les obligations subsistantes et conserver les justificatifs nécessaires. L’inactivité ne justifie pas une conservation illimitée.
- Commandes, réservations et événements : pendant leur préparation, leur exécution et le règlement des suites nécessaires ; les justificatifs soumis à une obligation distincte suivent cette obligation.
- Journaux techniques : pendant une période proportionnée à la détection et à l’analyse des incidents. Les recommandations de la CNIL relatives à la traçabilité des accès et opérations retiennent généralement six mois à un an ; elles ne justifient pas la conservation systématique de toutes les données de navigation pendant un an. Un incident identifié peut justifier une conservation séparée des éléments nécessaires.
- Prospection : pendant la période où la finalité et sa base légale demeurent valables. Les références de la CNIL prévoient généralement trois ans après la fin de la relation commerciale pour les clients, ou après la collecte ou le dernier contact actif du prospect. Un envoi unilatéral ou une simple ouverture de message ne renouvelle pas automatiquement cette période.
- Opposition et preuve des choix : les informations minimales nécessaires sont conservées pour respecter durablement le refus et démontrer le traitement de la demande. Elles ne servent plus à prospecter ; la CNIL recommande de conserver les informations d’opposition au moins trois ans.
- Documents comptables et fiscaux : selon les délais légalement applicables exposés en section D), sans maintenir pour cette seule raison un compte actif ou un profil publicitaire.
- Contenus journalistiques et archives : pendant la période justifiée par l’intérêt d’information, la valeur documentaire et les droits en présence, avec examen des demandes pertinentes. Ce régime ne s’étend pas automatiquement aux fichiers commerciaux.

Les données devenues inutiles sont supprimées ou anonymisées de manière effective. Les archives intermédiaires sont soumises à des accès limités. Les sauvegardes suivent un cycle de remplacement compatible avec les obligations de suppression ; une restauration ne doit pas réactiver sans contrôle des données effacées ou des consentements retirés. Les durées propres aux prestataires ne peuvent être déduites de la seule durée d’un cookie ou d’un fichier en cache.

 

I) Droits des personnes concernées
Dans le champ du RGPD et sous réserve des conditions et exceptions applicables, vous disposez des droits suivants :

- Accès, article 15 : obtenir confirmation du traitement, une copie des données et les informations requises, notamment sur les finalités, les destinataires et la conservation.
- Rectification, article 16 : faire corriger les informations inexactes et compléter les données incomplètes.
- Effacement, article 17 : demander la suppression lorsque les conditions sont réunies, sous réserve notamment des obligations légales, de la défense de droits et de la liberté d’expression et d’information.
- Limitation, article 18 : obtenir la suspension de certaines utilisations dans les situations prévues par le règlement.
- Portabilité, article 20 : recevoir les données fournies dans un format structuré, couramment utilisé et lisible par machine, et demander leur transmission lorsque les conditions du traitement automatisé fondé sur le consentement ou le contrat sont réunies.
- Opposition, article 21 : contester les traitements concernés selon les règles exposées ci-dessous.
- Retrait du consentement, article 7, paragraphe 3 : retirer à tout moment un consentement sans remettre en cause la licéité du traitement antérieur.
- Décisions automatisées, article 22 : bénéficier des protections contre certaines décisions exclusivement automatisées produisant des effets juridiques ou des effets similaires significatifs.
- Directives après le décès, article 85 de la loi du 6 janvier 1978 : définir, dans les conditions de la loi, des instructions relatives à la conservation, à l’effacement et à la communication des données après votre décès.

 

Droit d’opposition
Vous pouvez vous opposer, pour des raisons tenant à votre situation particulière, aux traitements fondés sur l’article 6, paragraphe 1, point e) ou f), y compris au profilage associé. Le traitement cesse sauf démonstration de motifs légitimes impérieux prévalant sur vos droits ou nécessité pour la constatation, l’exercice ou la défense de droits en justice. Pour la prospection directe, vous pouvez vous opposer à tout moment, sans justification, y compris au profilage qui lui est lié. Les données ne sont alors plus utilisées pour ces finalités.

 

Droits concernant les contenus journalistiques
Les demandes relatives à des articles, photographies, témoignages ou archives font l’objet d’une appréciation tenant compte de la nécessité du traitement, de l’exactitude, du contexte, du temps écoulé, de l’intérêt public et des conséquences pour la personne. Les dérogations de l’article 80 de la loi du 6 janvier 1978 ne sont utilisées que lorsqu’elles sont nécessaires à la conciliation des droits. Le droit à l’effacement n’est pas absolu, notamment au regard de l’article 17, paragraphe 3, point a), du RGPD. Une demande de déréférencement adressée à un moteur de recherche est distincte d’une demande de modification ou de suppression adressée à l’éditeur. La protection des sources journalistiques et les voies de recours du droit de la presse demeurent préservées.

 

Exercice des droits et délais de réponse
Adressez votre demande à [email protected] ou à l’adresse de correspondance du responsable. Elle est en principe gratuite. Une participation financière ou un refus ne sont possibles que dans les conditions légales, notamment en présence d’une demande manifestement infondée ou excessive. En cas de doute raisonnable sur l’identité, seules les informations supplémentaires nécessaires à sa vérification sont demandées ; une copie intégrale d’une pièce d’identité n’est pas exigée automatiquement. La réponse intervient sans retard injustifié et, en principe, dans le mois suivant la réception. Une prolongation de deux mois est possible lorsque la complexité ou le nombre de demandes le justifie ; elle est expliquée pendant le premier mois. Un refus doit être motivé et accompagné des informations relatives aux recours. Les dispositions particulières légalement applicables au journalisme restent réservées.

 

Destinataires des rectifications et informations complémentaires
Lorsque l’article 19 du RGPD l’exige, les destinataires sont informés d’une rectification, d’un effacement ou d’une limitation, sauf impossibilité ou effort disproportionné. Vous pouvez demander leur identité. Le droit d’accès permet également, en principe, de connaître les destinataires effectivement concernés, et pas uniquement leurs catégories, sous réserve des limites admises par la loi et la jurisprudence. Les droits d’autrui peuvent justifier des occultations proportionnées, mais pas un refus général de toute communication.

 

Réclamations auprès de l’autorité de contrôle
Vous pouvez introduire une réclamation auprès d’une autorité de contrôle compétente, notamment dans l’État membre de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation alléguée, conformément à l’article 77 du RGPD. En France, vous pouvez vous adresser à la Commission nationale de l’informatique et des libertés. La prise de contact avec LPdF ne remplace pas ce droit.

 

Commission nationale de l’informatique et des libertés
3 Place de Fontenoy
75007 Paris / France
Téléphone : +33 1 53 73 22 22
Site internet et démarches : www.cnil.fr

 

J) Sécurité des données personnelles
Les données doivent être protégées par des mesures techniques et organisationnelles adaptées aux risques, conformément à l’article 32 du RGPD. Selon le traitement, elles comprennent la gestion des habilitations, la confidentialité, la sécurisation des communications, la journalisation appropriée, les sauvegardes et les moyens de restauration. Une désignation commerciale, une certification ou un outil de cybersécurité ne garantit pas une sécurité absolue. Lorsqu’une violation est susceptible d’engendrer un risque pour les personnes, la notification requise à l’autorité intervient sans retard injustifié et, si possible, dans les soixante-douze heures après en avoir pris connaissance. En cas de risque élevé, les personnes concernées sont informées sans retard injustifié, sauf exception légale. Les incidents doivent être documentés conformément aux obligations applicables.

 

K) Litiges et recours relatifs aux données personnelles
Cette politique ne limite ni le droit de réclamation auprès d’une autorité de contrôle, ni les recours juridictionnels prévus aux articles 78 et 79 du RGPD, ni le droit à réparation d’un dommage matériel ou moral dans les conditions de l’article 82. Ces droits ne sont pas subordonnés à une médiation de la consommation ou à l’acceptation d’une procédure interne exclusive. Les litiges contractuels et les demandes de protection des données constituent des démarches distinctes, même lorsqu’ils concernent le même service.

 

L) Textes applicables et jurisprudence
Les traitements sont appréciés au regard des textes et décisions pertinents, dans leurs champs d’application respectifs :

- Le règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des données personnelles, notamment ses articles 3, 5 à 10, 12 à 22, 25 à 39, 44 à 49 et 77 à 85.
- La directive 2002/58/CE du 12 juillet 2002 concernant la vie privée et les communications électroniques, notamment pour les opérations sur les terminaux et les communications non sollicitées.
- La loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 sur les mineurs, 80 sur les traitements d’expression et journalistiques, 82 sur les traceurs et 85 sur les directives après le décès.
- L’article L. 34-5 du Code des postes et des communications électroniques pour la prospection électronique ; l’article 9 du Code civil et la loi du 29 juillet 1881 sur la liberté de la presse pour la conciliation entre information, vie privée et protection des sources.
- L’article L. 123-22 du Code de commerce et l’article L. 102 B du Livre des procédures fiscales pour la conservation des documents entrant dans leur champ d’application.
- L’arrêt de la Cour de justice de l’Union européenne du 1er octobre 2019, Planet49, C‑673/17 : le consentement requis pour les cookies nécessite un acte positif ; une case précochée est insuffisante et les informations doivent préciser leur durée de fonctionnement et l’accès éventuel de tiers.
- L’arrêt de la Cour de justice de l’Union européenne du 16 juillet 2020, Data Protection Commissioner contre Facebook Ireland et Schrems, C‑311/18, dit Schrems II : les garanties des transferts doivent assurer une protection effective. L’invalidation de l’ancien Privacy Shield ne doit pas être confondue avec le régime distinct établi ultérieurement par la décision d’exécution (UE) 2023/1795.
- L’arrêt de la Cour de justice de l’Union européenne du 12 janvier 2023, Österreichische Post, C‑154/21 : le droit d’accès porte en principe sur l’identité des destinataires effectifs des données, sous réserve des exceptions reconnues par l’arrêt.
- L’arrêt de la Cour de justice de l’Union européenne du 7 mars 2024, IAB Europe, C‑604/22 : une chaîne de préférences de consentement peut constituer une donnée personnelle ; la responsabilité conjointe dépend de l’influence réelle sur les finalités et les moyens et ne s’étend pas automatiquement à tous les traitements ultérieurs.
- L’arrêt de la Cour de justice de l’Union européenne du 4 octobre 2024, Schrems contre Meta Platforms Ireland, C‑446/21 : la minimisation des données s’oppose à une utilisation indifférenciée et sans limitation temporelle de toutes les données disponibles pour la publicité ciblée.
- L’arrêt de la Cour de justice de l’Union européenne du 27 février 2025, Dun & Bradstreet Austria, C‑203/22 : l’information sur une décision automatisée doit permettre de comprendre et de contester le processus appliqué ; le secret des affaires ne justifie pas un refus automatique de toute explication.
- La décision du Conseil d’État du 19 juin 2020, n° 434684 : elle précise notamment les exigences d’information et de choix concernant les traceurs. L’annulation de l’interdiction générale des « cookie walls » dans un instrument de droit souple ne constitue pas une validation générale de tout dispositif conditionnant l’accès au consentement.

 

M) Informations complémentaires sur certains services
Newsletters et communications commerciales
Lorsque l’inscription à une newsletter est proposée, sa nature, l’utilisation de l’adresse et le prestataire d’envoi concerné doivent être expliqués avant l’inscription. La prospection auprès de particuliers nécessite un consentement préalable, sauf exception applicable, notamment pour certains produits ou services analogues proposés par le même organisme à ses clients avec une possibilité d’opposition lors de la collecte et dans chaque message. Une commande ou une adresse fournie pour une autre raison ne vaut pas accord général à la publicité. La désinscription doit être simple et gratuite. Le suivi individualisé des ouvertures ou des clics nécessite une information distincte et le fondement approprié, y compris le consentement préalable lorsqu’il est requis.

 

Contenus intégrés, réseaux sociaux et affiliation
Un lecteur audio ou vidéo, une fonction sociale ou un autre élément externe peut transmettre l’adresse IP, des informations d’appareil et des interactions à son fournisseur, même en l’absence de compte chez celui-ci. Une connexion à un compte peut permettre un rapprochement supplémentaire selon le fonctionnement de la plateforme. Les éléments soumis au consentement doivent rester désactivés avant son obtention. Un lien vers la politique d’un tiers ne remplace pas les obligations de LPdF pour les traitements qu’il déclenche ou détermine. La perception d’une commission d’affiliation ne constitue pas, à elle seule, un fondement pour suivre l’utilisateur.

 

YouTube et prévisualisations externes
Une intégration YouTube peut comprendre le lecteur et une image de prévisualisation chargée depuis des serveurs externes. Cette image peut déjà transmettre des données techniques avant le lancement de la vidéo. L’activation du lecteur peut entraîner des traitements supplémentaires et l’utilisation de traceurs selon la région, les choix et la connexion à un compte. Les obligations de fondement juridique, d’information et de consentement éventuel concernent l’ensemble de l’intégration, pas uniquement la lecture. Le mode de confidentialité renforcée ne constitue pas, à lui seul, la preuve de l’absence de transmission de données. Les informations sur les traceurs doivent refléter ceux réellement déclenchés.

 

Profilage et décisions automatisées
La personnalisation peut impliquer l’analyse automatisée de consultations ou d’interactions afin d’en déduire des intérêts et constitue alors éventuellement un profilage. Celui-ci exige une finalité définie, une base légale et une collecte proportionnée. Un intérêt supposé pour une information politique, religieuse ou médicale ne peut être exploité sans tenir compte des protections particulières applicables. Tout profilage ne constitue pas une décision relevant de l’article 22 du RGPD. Si une décision exclusivement automatisée produit des effets juridiques ou similaires significatifs, son recours doit être légalement autorisé et accompagné d’informations utiles sur sa logique, son importance et ses conséquences. Les garanties applicables comprennent, selon le cas, une intervention humaine, la possibilité d’exprimer un point de vue et de contester la décision.

 

Enfants et adolescents
Les données des mineurs nécessitent une protection particulière et des informations compréhensibles pour leur âge. Lorsque l’article 8 du RGPD et l’article 45 de la loi du 6 janvier 1978 s’appliquent à un service directement proposé à un enfant et à un traitement fondé sur son consentement, le mineur peut consentir seul à partir de quinze ans. En dessous de cet âge, le consentement est donné conjointement par le mineur et le ou les titulaires de l’autorité parentale. Des efforts raisonnables de vérification doivent respecter la minimisation des données. Ces règles ne fixent pas un âge général d’accès aux articles publics et ne remplacent pas celles relatives à la capacité de conclure un contrat.

 

Modification de la politique
Cette politique peut évoluer pour refléter des changements réels des services, des traitements ou du droit applicable. Une nouvelle finalité donne lieu aux informations préalables requises et, lorsqu’il est nécessaire, à un nouveau consentement. La publication d’une nouvelle version, le silence ou la poursuite de la navigation ne valent pas accord à de nouveaux traitements. Le retrait d’un consentement n’est pas limité à un délai de deux semaines. Les droits des personnes s’appliquent indépendamment de la version de la politique et ne peuvent être réduits par sa modification.

 

Contact:
« LE PAYS DE FRANCE »
[email protected]

 

© 2026 « LE PAYS DE FRANCE » — Tous droits réservés, sous réserve des utilisations autorisées par la loi.

Dernière mise à jour : 31 octobre 2026.

 

---

 

PRIVACY POLICY OF "LE PAYS DE FRANCE"

Data controller
This policy explains personal-data processing in connection with the services of "LE PAYS DE FRANCE", also referred to as "LPdF". The controller for operations whose purposes and means it determines is:

 

SCANDIC TRUST GROUP LLC
IQ Business Centre
Bolsunovska Street 13–15
01014 Kyiv / Ukraine
Email: [email protected]
Legal form: limited liability company incorporated under Ukrainian law, LLC
Registration number: 1010351020000018952
This is the company’s operational and correspondence address. Personal-data questions and requests to exercise rights may be sent to the details above. The number identifies a foreign registration; it is not presented as a French company registration number.

 

Registered office and registration address
SCANDIC TRUST GROUP LLC
Oksamytova Street 1-b, Office 30
Sofiivska Borshchahivka
Kyiv Region - 08147 / Ukraine

 

Technical support and operation
SCANDIC ASSETS FZCO
Dubai Silicon Oasis DDP
Building A1/A2
Dubai — 342001
United Arab Emirates
Telephone: +971 54 221 5217
SCANDIC ASSETS FZCO provides technical and administrative services within its mandate. Where it processes personal data on behalf of SCANDIC TRUST GROUP LLC and under its instructions, Article 28 of the General Data Protection Regulation applies within the Regulation’s scope. Classification as a controller, joint controller or processor depends on the actual role performed, not merely group membership or the designation given to a supplier.

 

Commercial cooperation
LEGIER Beteiligungs mbH
Kurfürstendamm 14
10719 Berlin
Federal Republic of Germany
Commercial register: HRB 57837
Registration court: Amtsgericht Charlottenburg, Berlin
VAT identification number: DE 413445833
Telephone: +49 30 99211 3469
Fax: +49 30 99211 3225
Email: [email protected]
Commercial cooperation does not automatically make LEGIER Beteiligungs mbH the controller for all LPdF processing, a processor or an EU representative. Disclosure of data to that company must serve a defined purpose, have a lawful basis and be accompanied by appropriate information.

 

Data-protection contact and representation
Data-protection requests are received at [email protected]. This is a controller contact address; it does not, by itself, establish the appointment of a data protection officer. Where Article 27 of the General Data Protection Regulation requires an EU representative, that representative must be appointed in writing and their contact details made accessible. Similarly, where a data protection officer is appointed under Articles 37 to 39, their contact details must be published. These functions are not automatically assigned to a partner company.

 

Introduction and scope
This policy concerns data processed when visiting LPdF websites and using applications and services actually offered. Provisions on accounts, subscriptions, orders, newsletters, comments and events apply where those functions are available. References to external technologies explain the conditions governing their possible use and do not mean that every listed tool is active. Information accompanying individual features must identify the processing actually performed. Regulation (EU) 2016/679, the General Data Protection Regulation or “GDPR”, applies according to Article 3, including, under paragraph 2, to organisations outside the Union offering services to people in the Union or monitoring their behaviour there. French Act No 78-17 of 6 January 1978 on information technology, data files and civil liberties supplements that framework within its scope. Reading this policy does not constitute consent to processing.

 

A) General information about processing
Personal data means information relating to an identified or identifiable natural person. This may include names, addresses, contact details, IP addresses, account identifiers, contributions and browsing information that can be linked to someone. Pseudonymisation alone is not anonymisation. We limit data to defined purposes, seek to maintain accuracy and apply data protection by design and by default. Further use must be compatible with the original purpose or have a separate valid basis and the required information.

 

Purposes and lawful bases
The applicable basis is determined for each processing operation according to its objective and circumstances:

- Contract performance or pre-contractual steps requested by the individual: Article 6(1)(b) GDPR, limited to processing objectively necessary for the relevant service.
- Legal obligations: Article 6(1)(c), read with Article 6(3), where the obligation arises from applicable Union or Member State law.
- Legitimate interests: Article 6(1)(f), including security, preventing abuse, handling certain correspondence and defending rights, following assessment of necessity and balancing against individual rights.
- Consent: Article 6(1)(a), for optional processing requiring it, including certain personalisation, audience-measurement and marketing operations. Consent must be freely given, specific, informed and unambiguous and may be withdrawn at any time.
- Vital interests: Article 6(1)(d), only in exceptional circumstances where protecting someone’s life or physical integrity justifies it. A private publisher’s activity does not, by itself, establish a statutory public-service task allowing reliance on Article 6(1)(e).

 

Additional French provisions
Operations involving users’ devices are governed, in particular, by Article 82 of the Act of 6 January 1978. Electronic marketing is also regulated by Article L. 34-5 of the French Postal and Electronic Communications Code. Journalistic processing is subject to the particular rules explained below. French requirements concerning privacy, journalistic sources, the press and accounting records apply according to the nature of processing and the position of the relevant company.

 

Journalistic and editorial processing
Preparing, verifying, publishing and retaining journalistic information may require data from public documents, sources, interviews, photographs, testimony and correspondence sent to the newsroom. These activities serve an information purpose and must reconcile individual rights with freedom of expression and information. Article 85 GDPR and Article 80 of the Act of 6 January 1978 provide specific derogations, including for professional journalism conducted in accordance with professional ethics, where necessary to achieve that reconciliation. They are not a general exemption for every activity of the newspaper. They do not automatically cover subscriptions, advertising, accounts or reader tracking. Public information or information about a public figure is not freely reusable for every purpose without limits.

 

Data sources and indirect collection
Data may be supplied directly by you, generated when using a service or received from identified sources, including a payment provider, contributor, news agency or public source. Unless a lawful derogation applies, indirect collection requires the information specified in Article 14 GDPR, including data categories and their origin. Information must be provided within a reasonable period not exceeding one month, or sooner where the first communication or disclosure requires it. Exceptions concerning source protection or individual notification must be assessed in the actual circumstances.

 

External platforms and distribution services
When content is accessed on an external platform, its operator may process data for its own purposes. Ordinary links, embedded content and installed applications do not produce identical disclosures. An embedded element may contact a third-party server as the page loads, while an ordinary link normally establishes that connection only after activation. Holding an account with a platform is not blanket consent to data disclosures originating from LPdF. Depending on the features actually used, relevant services may fall into these categories:

- Social networks and messaging: X, Facebook, Instagram, Telegram and TikTok.
- Video, audio and podcasts: YouTube, Spotify and other distribution platforms actually offered.
- Applications, connected devices and distribution services: Google Play, Android TV, Apple services, Amazon Alexa, Fire TV, Fire Tablet, Roku, Telekom Magenta and Huawei.
- Technical suppliers: hosting, file delivery, security and audience measurement, including the services discussed in sections E), F) and G).

 

Technical data and voice assistants
Requests sent to servers may generate information about the requested page or file, date and time, request outcome, transferred volume, IP address, browser, operating system and, where actually supplied, the referring page. This information must not be repurposed for advertising profiles without an appropriate separate basis. A voice assistant may process commands, transcripts or recordings according to its functionality and settings. Using one does not imply that LPdF receives complete audio recordings. The data actually disclosed must be explained for the relevant integration.

 

Sensitive data and particular information
Health information, political opinions, religious beliefs, biometric data used for identification and other categories under Article 9 GDPR require a specific condition permitting processing in addition to a general lawful basis, unless a lawful derogation applies. Criminal-conviction and offence data are subject to Article 10 and relevant national rules. Complete identity documents, dates of birth and identification numbers are not requested routinely. Where events, competitions or access-control arrangements are offered, appropriate information must precede collection, particularly where photography or video surveillance is involved.

 

B) Contacting us
When you contact us by email, telephone or a form, we process the contact details and information needed to understand and answer your request. The basis is Article 6(1)(b) for contractual steps requested by you, Article 6(1)(f) for other correspondence based on our legitimate interest in responding, or Article 6(1)(c) where a specific legal duty applies. Provide only relevant information. Without essential details, a request may be impossible to handle. Contacting the newsroom does not subscribe you to commercial communications. Once the matter is closed, only information needed for an obligation or evidence of a right may be retained under section H).

 

C) Reservations, orders, subscriptions and accounts
Where offered, these services may require identity and contact information, order choices, payment references, account-access information and related communications. Data necessary for the contract is processed under Article 6(1)(b), while necessary security operations may rely on Article 6(1)(f). Mandatory fields must be distinguished from optional information; missing essential details may prevent the relevant service. Payment and booking suppliers must be identified in the corresponding process, together with their role and privacy information. Using a payment supplier does not mean that LPdF receives or retains complete card details. Account administration alone does not justify personalised advertising or disclosure to commercial partners.

 

D) Accounting and statutory retention
Accounting, tax and contractual records are retained according to obligations actually applicable to the company and transaction. Where Article L. 123-22 of the French Commercial Code applies, accounting records and supporting documents must be retained for ten years. Where Article L. 102 B of the French Tax Procedure Code applies, relevant records are generally retained for six years from the last recorded transaction or their creation, subject to particular rules. These periods do not apply indiscriminately to all user files. An obligation arising solely under a third country’s law does not, by itself, provide the basis in Article 6(1)(c) GDPR. Records retained for legal obligations are separated from ordinary uses that are no longer necessary.

 

E) Technical delivery and security
Necessary technical data is used to deliver requested content, maintain functionality, detect errors and prevent attacks. Processing generally relies on the legitimate interest in providing a secure, reliable service, or contractual necessity for operations indispensable to an agreed service. These bases do not replace consent required for particular device operations. Technical personnel’s access is limited to their duties. Security records must not unnecessarily contain message content, passwords or sensitive information. Retention criteria appear in section H).

 

Hosting, file delivery and Cloudflare
Hosting, content-delivery and network-security suppliers may receive IP addresses, requests and information needed to perform their functions. Where libraries are loaded through cdnjs or another Cloudflare service is used, communication with the supplier’s infrastructure may occur. Its role, purposes, data, processing locations and transfer safeguards must correspond to the service actually deployed. The lifetime of a file in a browser cache is not the retention period for personal data in the supplier’s logs.

 

Fonts and Google Fonts
Loading fonts from an external server may disclose an IP address and technical request information. The absence of cookies does not establish the absence of personal-data processing. The lawful basis must account for the necessity of that disclosure and available alternatives. Where font files are served locally, displaying them does not, for that reason alone, require a browser request to Google. A design preference does not automatically justify every disclosure to an external supplier.

 

F) Cookies, device access and tracking technologies
Cookies and similar technologies may store information on your device or access information already stored there. Rules may also cover local storage, tracking pixels and certain device-identification techniques. Article 82 of the Act of 6 January 1978 requires prior consent unless, in particular, the operation solely enables or facilitates electronic communication or is strictly necessary for a service expressly requested by the user. This rule applies whether or not the stored information is personal data.

 

Consent and freedom of choice
Features requiring consent must not be activated before valid consent. Preselected boxes, silence, continued browsing and general acceptance of terms do not constitute consent. Refusing must be as easy as accepting, and distinct purposes must allow appropriate choices. Interfaces must not mislead or artificially complicate refusal. Consent to device operations does not replace the need to identify the lawful basis for subsequent processing. Invoking legitimate interests does not override a prior-consent requirement.

 

Functional cookies and remembering choices
Cookies remembering privacy choices, maintaining a session or retaining a requested language may be exempt where limited to their necessary function. They must not become advertising identifiers under that label. The names, purposes, suppliers and durations of trackers actually used must be disclosed in the associated information. The CNIL generally considers remembering both consent and refusal for six months to be good practice; this is not a uniform statutory lifetime for all cookies.

 

Audience measurement
Audience measurement is exempt from consent only where its actual characteristics satisfy applicable conditions, including its purposes, measurement scope, recipients and absence of incompatible reuse. A product name or “cookieless” label does not establish exemption. For exempt audience-measurement tools, CNIL recommendations include tracker lifetimes permitting meaningful comparison, such as thirteen months without automatic extension on each visit, and a maximum retention period of twenty-five months for collected information, with periodic review of necessity. These benchmarks do not authorise retaining all browsing information for those periods.

 

Cloudflare Web Analytics
Where Cloudflare Web Analytics is used, it may receive information about page views, performance, referral sources and browser characteristics. Cloudflare states that this product does not use cookies or local storage for measurement and does not fingerprint individual visitors. That does not exclude technical communication with its servers. Use must be assessed against the actual configuration and French requirements; where consent is necessary, it must precede activation. Cloudflare’s stated periods for this product—seven days for unsampled measurement data and six months of accessible history—are not deletion rules covering all its services or logs.

 

Advertising, personalisation and consent frameworks
Where these features are offered, the operations actually performed must be explained before activation. They may include:

- Selecting advertising using limited information.
- Creating and using profiles for personalised advertising.
- Creating and using profiles to personalise content.
- Measuring advertising delivery and effectiveness.
- Measuring content use and performance.
- Analysing audiences or combining information from different sources.
- Developing and improving services.
- Selecting content using limited information.

Using IAB Europe’s Transparency and Consent Framework or a comparable system is neither general certification of compliance nor an independent lawful basis. Suppliers, purposes and choices must remain understandable. A string recording consent preferences may be personal data where it enables identification through reasonable means. A partner’s participation or non-participation in an industry framework does not change its data-protection obligations.

 

Changing choices and withdrawing consent
You may withdraw consent at any time without affecting the lawfulness of earlier processing. Withdrawal must be as easy as giving consent, and an easily identifiable route to preferences must remain available where optional processing is offered. Browser settings can supplement this mechanism but do not replace the controller’s obligations. Requests may also be sent to [email protected]. Refusal or withdrawal must not be circumvented by artificially changing the lawful basis.

 

G) Recipients and international transfers
Access is limited to people and organisations needing data for a lawful purpose: authorised personnel, technical suppliers, providers needed for an order, advisers bound by confidentiality and competent authorities acting within their powers. Processors must satisfy Article 28 GDPR. Where organisations jointly determine purposes and means, Article 26 applies and the essence of their allocation of responsibilities must be accessible. You may exercise rights against each joint controller as provided by law. Group membership alone does not justify unrestricted internal sharing.

 

Relevant participants according to the service
Recipients must be identified according to their actual involvement:

- SCANDIC ASSETS FZCO in the United Arab Emirates, for authorised technical operations within its duties.
- Hosting and backup providers, including CONVOTIS Schweiz AG in Switzerland where the services described in the legal notice are used for the relevant data.
- Cloudflare and the relevant Google entities, only where services actually integrated receive data. Their roles may differ by product and purpose.
- Payment, messaging, booking and event-management providers identified for the feature used.
- Commercial partners, including LEGIER Beteiligungs mbH where relevant, only for precisely defined, lawfully based operations, without automatic disclosure of the entire readership database.

 

Ukraine, the United Arab Emirates and other third countries
The controller’s establishment in Ukraine and the involvement of a provider in the United Arab Emirates must be considered when organising processing. Those countries do not benefit from a general European Commission adequacy decision under Article 45 GDPR. Switzerland benefits from an adequacy recognition within the relevant decision’s scope. Disclosure to a separate organisation in a third country may constitute a transfer, including through remote access. Hosting within the European Economic Area therefore does not exclude every international transfer.

 

Transfer safeguards
Where a transfer falls within Chapter V GDPR, it must be covered by an applicable adequacy decision or appropriate safeguards, including standard contractual clauses suitable for the parties and processing concerned, supplemented where necessary by additional measures. Safeguards must be effective in light of the recipient country’s laws and practices. Article 49 derogations are not a general mechanism for regular transfers. The EU–US Data Privacy Framework, based on Commission Implementing Decision (EU) 2023/1795, covers only US organisations actually included under valid certification and processing within its scope; it does not cover every supplier or other third countries. Information about the mechanism and how to obtain copies of safeguards must be provided for the relevant transfer and may be requested through our contact address. Journalistic derogations apply only under their particular statutory conditions.

 

H) Retention periods and deletion
There is no single retention period for all data. Retention depends on the actual purpose, relationship, statutory obligations and, where justified evidential needs exist, relevant limitation periods. The following criteria determine applicable periods:

- Ordinary correspondence: while handling the request; after closure, unnecessary information is deleted and only material needed for an identifiable obligation or right is retained separately.
- Accounts and subscriptions: while the account is used or the contract performed, then only to close the relationship, handle outstanding obligations and retain necessary supporting records. Inactivity does not justify indefinite retention.
- Orders, bookings and events: during preparation, performance and necessary follow-up; records subject to separate legal requirements follow those requirements.
- Technical logs: for a period proportionate to incident detection and investigation. CNIL recommendations on tracing access and operations generally indicate six months to one year; they do not justify routinely retaining all browsing data for a year. An identified incident may justify separate retention of necessary evidence.
- Marketing: while the purpose and lawful basis remain valid. CNIL benchmarks generally provide for three years after the commercial relationship ends for customers, or after collection or the prospect’s last active contact. A unilateral message or simply opening an email does not automatically restart that period.
- Objections and evidence of choices: the minimum information needed is retained to respect refusal and demonstrate handling of the request. It is no longer used for marketing; the CNIL recommends retaining suppression information for at least three years.
- Accounting and tax records: for applicable statutory periods described in section D), without keeping an account active or an advertising profile merely for that reason.
- Journalistic content and archives: for periods justified by informational interest, documentary value and the rights involved, with assessment of relevant requests. This regime does not automatically extend to commercial databases.

Unnecessary data must be deleted or effectively anonymised. Intermediate archives have restricted access. Backups follow replacement cycles compatible with deletion obligations; restoration must not reactivate erased data or withdrawn consent without appropriate checks. Supplier retention periods cannot be inferred merely from a cookie’s lifetime or a cached file’s duration.

 

I) Individual rights
Within the GDPR’s scope and subject to applicable requirements and exceptions, you have the following rights:

- Access, Article 15: confirmation of processing, a copy of personal data and required information, including purposes, recipients and retention.
- Rectification, Article 16: correction of inaccurate information and completion of incomplete data.
- Erasure, Article 17: deletion where conditions are met, subject particularly to legal obligations, legal claims and freedom of expression and information.
- Restriction, Article 18: suspension of certain uses in the circumstances provided by the Regulation.
- Portability, Article 20: receipt of data you provided in a structured, commonly used, machine-readable format and transmission where the conditions for automated processing based on consent or contract are met.
- Objection, Article 21: challenge to relevant processing as explained below.
- Withdrawal of consent, Article 7(3): withdrawal at any time without affecting the lawfulness of previous consent-based processing.
- Automated decisions, Article 22: protection against certain solely automated decisions producing legal or similarly significant effects.
- Instructions after death, Article 85 of the Act of 6 January 1978: instructions concerning retention, erasure and disclosure of data after death, as provided by French law.

 

Right to object
You may object, on grounds relating to your particular situation, to processing based on Article 6(1)(e) or (f), including associated profiling. Processing must stop unless compelling legitimate grounds overriding your rights are demonstrated or processing is necessary for establishing, exercising or defending legal claims. You may object to direct marketing at any time without giving a reason, including related profiling. Data must then cease to be used for those purposes.

 

Rights concerning journalistic content
Requests concerning articles, photographs, testimony and archives are assessed considering necessity, accuracy, context, elapsed time, public interest and effects on the individual. Article 80 derogations are used only where necessary to reconcile the relevant rights. Erasure is not absolute, particularly under Article 17(3)(a) GDPR. A delisting request to a search engine is separate from a request to amend or remove material addressed to the publisher. Protection of journalistic sources and press-law remedies remain available.

 

Exercising rights and response periods
Send requests to [email protected] or the controller’s correspondence address. Requests are generally free. Fees or refusal are permitted only under statutory conditions, particularly for manifestly unfounded or excessive requests. Where reasonable doubts about identity exist, only additional information necessary for verification may be requested; a complete identity-document copy is not automatically required. Responses must be provided without undue delay and generally within one month of receipt. A two-month extension is possible where complexity or the number of requests justifies it, with reasons communicated during the first month. Refusal must be explained together with available remedies. Particular lawful rules for journalism remain applicable.

 

Recipients of corrections and further information
Where Article 19 GDPR requires it, recipients must be informed of rectification, erasure or restriction unless impossible or involving disproportionate effort. You may request their identity. Access rights also generally include the identities of actual recipients, rather than merely recipient categories, subject to recognised legal limits. Other people’s rights may justify proportionate redactions, but not blanket refusal to provide any information.

 

Complaints to a supervisory authority
You may complain to a competent supervisory authority, particularly in the Member State of your habitual residence, workplace or the alleged infringement, under Article 77 GDPR. In France, you may contact the Commission nationale de l’informatique et des libertés. Contacting LPdF does not replace that right.

 

Commission nationale de l’informatique et des libertés
3 Place de Fontenoy
75007 Paris / France
Telephone: +33 1 53 73 22 22
Website and submissions: www.cnil.fr

 

J) Personal-data security
Personal data must be protected by technical and organisational measures appropriate to the risks under Article 32 GDPR. Depending on the processing, these include access management, confidentiality, secure communications, appropriate logging, backups and restoration arrangements. A commercial designation, certification or cybersecurity product does not guarantee absolute security. Where a breach is likely to pose a risk to individuals, the required notification must reach the authority without undue delay and, where feasible, within seventy-two hours after awareness. Where a high risk is likely, affected people must be informed without undue delay unless a statutory exception applies. Incidents must be documented as required.

 

K) Data-protection disputes and remedies
This policy does not restrict complaints to supervisory authorities, judicial remedies under Articles 78 and 79 GDPR or compensation for material or non-material damage under Article 82 where its conditions are met. Those rights are not conditional on consumer mediation or acceptance of an exclusive internal process. Contractual disputes and data-protection requests are separate procedures even where they concern the same service.

 

L) Applicable legislation and case law
Processing is assessed under relevant legislation and judgments within their respective scope:

- Regulation (EU) 2016/679 of 27 April 2016 on personal-data protection, including Articles 3, 5 to 10, 12 to 22, 25 to 39, 44 to 49 and 77 to 85.
- Directive 2002/58/EC of 12 July 2002 on privacy and electronic communications, particularly concerning device operations and unsolicited communications.
- French Act No 78-17 of 6 January 1978 on information technology, data files and civil liberties, including Article 45 on children, Article 80 on expressive and journalistic processing, Article 82 on tracking technologies and Article 85 on instructions after death.
- Article L. 34-5 of the French Postal and Electronic Communications Code on electronic marketing; Article 9 of the French Civil Code and the Act of 29 July 1881 on freedom of the press concerning information, privacy and source protection.
- Article L. 123-22 of the French Commercial Code and Article L. 102 B of the French Tax Procedure Code on retention of records within their scope.
- The Court of Justice of the European Union’s judgment of 1 October 2019, Planet49, C‑673/17: required cookie consent needs a positive action; preselected boxes are insufficient, and information must cover operating duration and possible third-party access.
- The Court of Justice of the European Union’s judgment of 16 July 2020, Data Protection Commissioner v Facebook Ireland and Schrems, C‑311/18, known as Schrems II: transfer safeguards must provide effective protection. Invalidation of the former Privacy Shield must not be confused with the separate regime subsequently established by Commission Implementing Decision (EU) 2023/1795.
- The Court of Justice of the European Union’s judgment of 12 January 2023, Österreichische Post, C‑154/21: access rights generally include the identities of actual data recipients, subject to exceptions recognised in the judgment.
- The Court of Justice of the European Union’s judgment of 7 March 2024, IAB Europe, C‑604/22: a consent-preference string may be personal data; joint responsibility depends on actual influence over purposes and means and does not automatically extend to every subsequent operation.
- The Court of Justice of the European Union’s judgment of 4 October 2024, Schrems v Meta Platforms Ireland, C‑446/21: data minimisation precludes indiscriminate use of all available data for targeted advertising without temporal limits.
- The Court of Justice of the European Union’s judgment of 27 February 2025, Dun & Bradstreet Austria, C‑203/22: automated-decision information must enable individuals to understand and challenge the process applied; trade secrecy does not justify automatic refusal of every explanation.
- The French Council of State’s decision of 19 June 2020, No 434684: it addresses information and choice requirements for tracking technologies. Annulment of a general cookie-wall prohibition in a soft-law instrument does not validate every arrangement making access conditional on consent.

 

M) Additional information about particular services
Newsletters and commercial communications
Where newsletter subscription is offered, its nature, use of the email address and relevant mailing supplier must be explained before subscription. Marketing to individuals requires prior consent unless an exception applies, including certain similar products or services offered by the same organisation to customers with an opportunity to object at collection and in each message. An order or address supplied for another purpose is not general advertising consent. Unsubscribing must be simple and free. Individual tracking of opens or clicks requires separate information and an appropriate basis, including prior consent where necessary.

 

Embedded content, social networks and affiliate links
An audio or video player, social feature or other external element may disclose IP addresses, device information and interactions to its supplier even without an account. Being signed in may enable additional association according to the platform’s operation. Elements requiring consent must remain inactive until consent is obtained. Linking to a third party’s policy does not replace LPdF’s obligations for processing it initiates or determines. Receiving an affiliate commission is not, by itself, a lawful basis for tracking users.

 

YouTube and external previews
A YouTube integration may include both the player and a preview image loaded from external servers. The image may already disclose technical data before playback. Activating the player may trigger further processing and trackers depending on region, choices and account status. Lawful-basis, information and possible consent requirements apply to the entire integration, not only playback. Privacy-enhanced mode alone does not establish that no data is transmitted. Tracker information must reflect the trackers actually triggered.

 

Profiling and automated decisions
Personalisation may involve automated analysis of viewing or interaction data to infer interests and may therefore constitute profiling. It requires a defined purpose, lawful basis and proportionate collection. An inferred interest in political, religious or medical information cannot be exploited without considering special protections. Not all profiling constitutes an Article 22 decision. If a solely automated decision produces legal or similarly significant effects, its use must be lawfully authorised and accompanied by meaningful information about its logic, significance and consequences. Applicable safeguards include, where required, human intervention, an opportunity to express a view and the ability to challenge the decision.

 

Children and young people
Children’s data requires particular protection and information understandable for their age. Where Article 8 GDPR and Article 45 of the Act of 6 January 1978 apply to a service offered directly to a child and processing based on consent, the child may consent independently from fifteen. Below fifteen, consent must be given jointly by the child and the holder or holders of parental responsibility. Reasonable verification efforts must respect data minimisation. These rules do not establish a general minimum age for reading public articles or replace contractual-capacity rules.

 

Changes to this policy
This policy may change to reflect actual developments in services, processing or applicable law. A new purpose requires the relevant prior information and, where necessary, fresh consent. Publishing a new version, silence and continued browsing do not constitute agreement to new processing. Withdrawal of consent is not restricted to a two-week period. Individual rights apply independently of the policy version and cannot be reduced by its amendment.

 

Contact:

"LE PAYS DE FRANCE"
[email protected]

 

© 2026 "LE PAYS DE FRANCE" — All rights reserved, subject to uses permitted by law.

Last updated: 31 October 2026.