Politique de confidentialité

La présente Politique de confidentialité décrit comment GASPARD STUDIO, éditeur du service Suiva (ci-après « nous »), collecte, utilise et protège les données personnelles des utilisateurs du Service, conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés.

1. Responsable de traitement

Le responsable de traitement est :

GASPARD STUDIO (EURL)
30 rue Maurice Ravel, 37270 Azay-sur-Cher, France
RCS Tours : 992 756 528
Voir les mentions légales pour les coordonnées complètes.

2. Délégué à la protection des données (DPO)

Pour toute question relative au traitement de vos données personnelles ou à l'exercice de vos droits, vous pouvez contacter notre Délégué à la protection des données à l'adresse suivante :

dpo@suiva.fr

3. Données collectées

Nous collectons les catégories de données suivantes :

• Données d'identification : prénom, nom, adresse e-mail, numéro de téléphone
• Données de connexion : identifiant de session, adresse IP au moment de l'acceptation des CGU, identifiant du navigateur (user-agent)
• Données de consentement : date et version des CGU acceptées
• Données métier : informations saisies dans le Service (commandes, fournisseurs, clients, livraisons)
• Données de support : contenu des demandes adressées au support et historique des échanges

4. Finalités et bases légales

5. Destinataires des données

Vos données sont accessibles aux personnes habilitées de GASPARD STUDIO dans le cadre strict de leurs missions.

Nous faisons également appel aux sous-traitants techniques suivants, tous liés par un accord de traitement de données (DPA) conforme au RGPD :

• Hébergement : CLEVER CLOUD SAS - 4 rue Voltaire, 44000 Nantes, France. Hébergement des données dans des datacenters situés en Union européenne.
• Envoi d'e-mails transactionnels : [À COMPLÉTER : nom et localisation du prestataire d'envoi (SMTP) retenu en production - Brevo, Mailgun, Scaleway, etc.]
• Monitoring technique : [À COMPLÉTER si applicable : Sentry, Datadog, etc.]
• Traitements par intelligence artificielle : Anthropic PBC (États-Unis), pour l'assistant du centre d'aide, la reconnaissance des colonnes d'un fichier importé (en-têtes et quelques valeurs d'exemple), la lecture des e-mails reçus des fournisseurs et des documents de commande transmis au Service (accusés de réception, confirmations de commande, avis d'expédition, avec leurs pièces jointes PDF). Seul le contenu nécessaire est transmis, le temps du traitement. Ces données ne sont pas utilisées pour entraîner des modèles.
• Suivi des colis chez les transporteurs : Ship24 (Hong Kong), lorsque le suivi transporteur est activé. Seuls le numéro de suivi, le transporteur, le code postal et le pays de livraison et la date d'expédition sont transmis, jamais de nom ni d'adresse.

6. Transferts hors Union européenne

L'hébergement des données est assuré dans l'Union européenne. Un transfert hors de l'Espace économique européen (EEE) intervient lors de l'utilisation des fonctions d'intelligence artificielle décrites ci-dessus : le contenu concerné est transmis à Anthropic PBC, aux États-Unis, le temps du traitement. Ce transfert est encadré par les clauses contractuelles types (CCT) de la Commission européenne, dans le cadre de l'accord de traitement des données conclu avec ce sous-traitant. Lorsque le suivi transporteur est activé, le numéro de suivi d'un colis, son transporteur et son code postal de livraison sont transmis à Ship24, établi à Hong Kong, dans le cadre de clauses contractuelles types. Aucun autre transfert hors EEE n'est effectué sans garanties appropriées : décision d'adéquation de la Commission européenne, clauses contractuelles types (CCT) ou règles d'entreprise contraignantes (BCR).

7. Sécurité des données

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées pour garantir la confidentialité, l'intégrité et la disponibilité de vos données :

• Chiffrement des communications (HTTPS/TLS sur l'ensemble du Service)
• Hachage des mots de passe avec un algorithme réputé (bcrypt)
• Protection contre les attaques par force brute (rate limiting)
• Protection CSRF, isolation des sessions, invalidation automatique sur changement de mot de passe
• Contrôle d'accès strict selon le principe du moindre privilège
• Journalisation des événements de sécurité
• Sauvegardes régulières (complète hebdomadaire, incrémentielle quotidienne) conservées au minimum 30 jours

Le détail des mesures techniques et organisationnelles figure dans l'Annexe 1 - Charte de sécurité de nos Conditions Générales d'Utilisation.

8. Notification de violation de données

Conformément à l'article 33 du RGPD, en cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, nous nous engageons à :

• notifier la violation à la CNIL dans un délai de 72 heures après en avoir pris connaissance ;
• documenter la violation, ses effets et les mesures prises ;
• informer les personnes concernées dans les meilleurs délais lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, conformément à l'article 34 du RGPD.

9. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (art. 15) : obtenir une copie des données que nous détenons sur vous
• Droit de rectification (art. 16) : corriger des données inexactes ou incomplètes
• Droit à l'effacement (art. 17, « droit à l'oubli ») : demander la suppression de vos données
• Droit à la limitation du traitement (art. 18) : suspendre temporairement le traitement
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré et couramment utilisé
• Droit d'opposition (art. 21) : vous opposer au traitement pour motif légitime
• Droit de retirer votre consentement à tout moment pour les traitements qui en dépendent

Pour exercer ces droits, vous pouvez :

• utiliser les fonctionnalités dédiées dans votre espace personnel (export et suppression de compte) ;
• contacter notre DPO par e-mail à dpo@suiva.fr.

Nous nous engageons à répondre à votre demande dans un délai maximum d'un (1) mois à compter de sa réception, conformément à l'article 12.3 du RGPD.

10. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous disposez du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

Commission Nationale de l'Informatique et des Libertés (CNIL)
3 Place de Fontenoy
TSA 80715
75334 Paris Cedex 07
Téléphone : 01 53 73 22 22
Site web : www.cnil.fr

11. Politique cookies

Le Service utilise uniquement des cookies strictement nécessaires à son fonctionnement, dispensés de consentement en application de l'article 82 de la loi Informatique et Libertés et des lignes directrices de la CNIL.

Aucun cookie de mesure d'audience, de publicité ou de traçage tiers n'est utilisé à ce jour. Si nous venions à en ajouter (par exemple Google Analytics, Matomo, Hotjar, etc.), votre consentement préalable serait recueilli via une bannière dédiée conformément aux recommandations de la CNIL, et la présente Politique serait mise à jour pour en détailler les finalités et les durées.

12. Modifications

Nous nous réservons le droit de modifier la présente Politique de confidentialité à tout moment pour tenir compte des évolutions légales, réglementaires ou fonctionnelles. Toute modification substantielle vous sera notifiée par e-mail ou via un avertissement dans le Service, et le cas échéant, votre consentement sera de nouveau sollicité.