Déclaration de confidentialité et de cookies

1. Qui nous sommes

SubstrX est un service de ProjectNet (entreprise individuelle), Meidoornlaan 3, 4286 CV Almkerk, Pays-Bas, KvK 98078062. Pour toute question relative à la confidentialité : privacy@substrx.com. Pour toute autre question : support@substrx.com.

Dans la présente déclaration, nous expliquons quelles données à caractère personnel nous traitons, pourquoi, pendant combien de temps et quels sont vos droits.

2. Deux rôles

Responsable du traitement : pour les données de compte des utilisateurs, les données de sécurité et de prévention des abus, et les échanges avec nous.

Sous-traitant : pour les données que les bureaux saisissent eux-mêmes dans le service, telles que projets, contacts des donneurs d'ordre, photos et rapports. Le bureau en est responsable ; nous traitons ces données uniquement pour son compte, conformément au contrat de sous-traitance figurant dans nos conditions générales. Si vous êtes le contact d'un bureau ou d'un donneur d'ordre, adressez d'abord vos questions à ce bureau.

3. Quelles données, à quelles fins et sur quelle base juridique

Compte : nom, adresse e-mail, mot de passe (stocké uniquement sous forme chiffrée), langue, rôle au sein du bureau, date d'acceptation des conditions et, si vous utilisez l'authentification à deux facteurs, la clé secrète des codes (conservée par Supabase). Finalité : créer et gérer votre compte et vous donner accès. Base juridique : exécution du contrat.

Données du bureau et du profil : raison sociale, adresse, pays, numéro d'immatriculation (tel que le numéro KvK néerlandais ou le SIREN) et numéro de TVA, téléphone, site web, logo, charte graphique, qualifications et certificats des inspecteurs ainsi que, si un inspecteur ou une inspectrice la dessine, sa signature (qui figure sur les rapports que cette personne rend définitifs). Finalité : afficher ces informations dans vos rapports. Base juridique : exécution du contrat.

E-mail : e-mails de confirmation, réinitialisation du mot de passe, invitations de collègues, e-mails de rapport, rappels lorsqu'un étalonnage ou un certificat expire dans les 30 jours ou a expiré, et, pour le titulaire d'un nouveau bureau, un e-mail de bienvenue et un e-mail à mi-parcours de la période d'essai expliquant l'utilisation du service. Finalité : faire fonctionner le service. Base juridique : exécution du contrat. Nous n'envoyons pas de newsletters ni de publicité sans votre consentement.

Journal des modifications : pour les inspections, essais, photos et annexes, nous enregistrons qui a modifié quoi et quand. Finalité : traçabilité des rapports et preuve en cas de litige. Base juridique : intérêt légitime du bureau et exécution du contrat. Pour les notes et les mesures, nous enregistrons uniquement le fait qu'elles ont été modifiées, et non leur contenu. Durée de conservation : tant que le bureau dispose d'un compte ; pour une inspection supprimée, 90 jours supplémentaires.

Invitations : l'adresse e-mail d'un collègue invité. Finalité : envoyer l'invitation. Base juridique : intérêt légitime du bureau qui invite et le nôtre. Une invitation expire au bout de 14 jours.

Sécurité et prévention des abus : adresse IP, données du navigateur et de l'appareil, heures de connexion et d'actions, et compteurs de limites. Finalité : sécuriser le service et prévenir les intrusions, le spam et la surcharge. Base juridique : intérêt légitime.

Lors de l'inscription, de la connexion, de l'acceptation d'une invitation et de la réinitialisation du mot de passe, nous utilisons Cloudflare Turnstile. Il évalue, à partir de données techniques de votre navigateur et de votre adresse IP, si la demande provient d'une personne réelle. Base juridique : intérêt légitime (protection contre les abus automatisés).

Contact et assistance : ce que vous nous envoyez, y compris via le bouton de signalement dans l'application (votre message, votre nom et votre bureau, ainsi que la page sur laquelle vous vous trouviez). Finalité : répondre à votre question et améliorer le service. Base juridique : intérêt légitime ou exécution du contrat. Nous conservons les messages envoyés via le bouton de signalement pendant un an au maximum.

Facturation : données de l'entreprise (nom, adresse, pays, numéro d'immatriculation et numéro de TVA) et données de paiement. Les données de carte et de compte sont transmises directement à Stripe ; nous ne voyons que le type de moyen de paiement et les derniers chiffres. Lorsque le titulaire invite ou retire un membre de l'équipe, nous enregistrons son accord pour l'ajustement de l'abonnement (qui, quand et pour quelle adresse e-mail), aussi longtemps que le bureau dispose d'un compte. Nous vérifions les numéros de TVA des clients établis dans l'UE dans VIES, le système d'échange d'informations sur la TVA de la Commission européenne ; nous ne transmettons que le numéro de TVA. Finalité : facturer, appliquer la TVA correcte et tenir la comptabilité. Base juridique : exécution du contrat et obligation légale.

Nous ne vendons pas de données à caractère personnel, ne les utilisons pas à des fins publicitaires et ne créons pas de profils. Aucune décision automatisée n'est prise.

4. Liens de partage et e-mails de rapport

Un bureau peut partager un rapport, la liste des non-conformités ou le dossier de réception d'un projet via un lien ou les faire envoyer par e-mail à des contacts. Toute personne qui ouvre un lien de partage n'a pas besoin de compte ; nous ne déposons alors aucun cookie. Pour des raisons de sécurité, notre hébergeur traite l'adresse IP et les données techniques de la requête.

Les adresses auxquelles un rapport a été envoyé ne sont visibles que par le bureau lui-même, pas via le lien de partage.

5. Avec qui nous partageons des données

Nous faisons appel aux sous-traitants suivants. Un contrat de sous-traitance a été conclu avec chacun d'eux.

Supabase Inc. (États-Unis) : base de données, stockage de fichiers et connexion. Les données sont stockées dans un centre de données de l'UE (Francfort, Allemagne).

Vercel Inc. (États-Unis) : hébergement du site et de l'application. Le traitement a lieu dans l'UE (Francfort) dans la mesure du possible ; le réseau mondial de Vercel peut traiter des requêtes via d'autres sites.

Resend Inc. (États-Unis) : envoi d'e-mails, tels que confirmations, invitations et e-mails de rapport.

Cloudflare Inc. (États-Unis) : contrôle de sécurité (Turnstile) contre les abus automatisés lors de l'inscription et de la connexion, et stockage d'une sauvegarde quotidienne des fichiers (photos, documents, logos) dans un centre de données de l'UE.

GitHub Inc. (États-Unis, filiale de Microsoft) : gestion du code source et exécution de la tâche de sauvegarde quotidienne. Les fichiers sont uniquement transférés vers la sauvegarde et ne sont pas conservés chez GitHub.

Stripe Payments Europe, Ltd. (Irlande) : paiements, abonnements et factures. Les données de paiement sont transmises directement à Stripe ; Stripe agit également en tant que responsable du traitement indépendant pour les données de paiement et la prévention de la fraude.

ImprovMX Inc. (États-Unis) : redirection des e-mails envoyés à support@substrx.com et privacy@substrx.com vers notre boîte de réception. Cela ne concerne que les messages que vous nous envoyez vous-même.

Certains de ces prestataires sont établis aux États-Unis. Les transferts reposent sur le cadre de protection des données UE-États-Unis (Data Privacy Framework) ou sur les clauses contractuelles types de la Commission européenne, assortis de mesures supplémentaires si nécessaire.

Nous ne transmettons des données à des tiers que si la loi nous y oblige.

6. Durée de conservation

Données de compte, du bureau et d'inspection : pendant toute la durée du contrat. Après la fin du contrat, vous avez encore accès à vos données pendant 30 jours ; nous les supprimons ensuite dans un délai de 60 jours, y compris des sauvegardes.

Sauvegarde des fichiers : un fichier que vous supprimez reste encore 30 jours dans la sauvegarde, puis il en est également supprimé.

Journaux de sécurité : 90 jours au maximum. Compteurs de limites : 2 jours au maximum. Invitations non utilisées : 30 jours après leur expiration.

Inscriptions non confirmées : nous supprimons les comptes dont l'adresse e-mail n'a pas été confirmée après 30 jours.

Factures et données nécessaires à celles-ci : 7 ans, en raison de l'obligation légale de conservation.

7. Sécurité

Nous protégeons les données notamment par des connexions chiffrées (HTTPS), des mots de passe stockés sous forme chiffrée, une séparation stricte des données par bureau dans la base de données, un CAPTCHA contre les abus automatisés, des limites sur le nombre d'actions et un stockage dans des centres de données de l'UE. L'accès aux fonctions d'administration est limité aux personnes qui en ont besoin.

8. Cookies et stockage dans votre navigateur

Nous utilisons uniquement des cookies fonctionnels et un stockage du navigateur nécessaires au fonctionnement du service. Ils ne nécessitent pas de consentement. Nous n'utilisons aucun cookie d'analyse, de suivi ou publicitaire et ne chargeons pas de polices ou de scripts provenant de services publicitaires ou d'analyse.

Session de connexion (cookies sb-…-auth-token, de Supabase) : maintient votre session ouverte. Conservés jusqu'à votre déconnexion ou l'expiration de la session.

Choix de langue (cookie locale) : mémorise la langue choisie. Durée de conservation : 1 an.

Après l'inscription (cookie substrx_sent_to) : mémorise pendant 10 minutes l'adresse à laquelle l'e-mail de confirmation a été envoyé, pour l'afficher sur la page de remerciement.

Contrôle de sécurité (Cloudflare Turnstile) : traite des données techniques de votre navigateur pour détecter les abus, uniquement sur les pages d'inscription, de connexion, d'invitation et de réinitialisation du mot de passe. Turnstile n'utilise pas de cookies de suivi ou publicitaires.

Liste des tâches (stockage local substrx-setup-collapsed) : mémorise si vous avez réduit la liste des tâches.

Message sur la langue du rapport (stockage de session) : mémorise si vous avez fermé un message sur la langue du rapport ; effacé à la fermeture du navigateur.

Vous pouvez supprimer les cookies et le stockage du navigateur dans les paramètres de votre navigateur. Sans le cookie de connexion, votre session ne peut pas rester ouverte.

9. Vos droits

Vous avez le droit d'accéder à vos données à caractère personnel, de les faire rectifier ou effacer, d'en faire limiter le traitement, de vous opposer à un traitement fondé sur l'intérêt légitime et de recevoir vos données dans un format courant (portabilité). Vous pouvez vous-même modifier ou supprimer une grande partie de vos données dans l'application.

Vous pouvez envoyer une demande à privacy@substrx.com. Nous répondons dans un délai d'un mois. Nous pouvons vous demander de justifier de votre identité.

Si la demande concerne des données saisies par un bureau dans le service, nous la transmettons à ce bureau.

Si vous avez une réclamation concernant le traitement de vos données, faites-le-nous savoir. Vous pouvez également introduire une réclamation auprès de l'autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens) ou de l'autorité de contrôle de votre pays.

10. Modifications

Nous pouvons modifier la présente déclaration, par exemple lorsque nous faisons appel à un nouveau sous-traitant. La version en vigueur figure toujours sur cette page. Nous informons les utilisateurs des modifications importantes par e-mail ou dans l'application.