Politique de confidentialité (Datenschutzerklärung)

Il s’agit d’une traduction de courtoisie. La version allemande de la présente politique de confidentialité est celle qui fait foi ; en cas de divergence entre la version allemande et la version française, la version allemande prévaut.

1 · Responsable du traitement

Oliver Wagener Ahnekamp 41, 31137 Hildesheim, Deutschland Représenté par : Oliver Wagener Courrier électronique : datenschutz@zirko.io

Aucun délégué à la protection des données n’a été désigné ; les conditions de l’art. 37 du RGPD (DSGVO) et du § 38 BDSG (loi fédérale allemande sur la protection des données) ne sont pas réunies actuellement.

2 · Deux rôles : responsable du traitement et sous-traitant

Zirko est un logiciel destiné aux entreprises artisanales (Handwerksbetriebe). Nous traitons donc des données à caractère personnel dans deux rôles distincts ; selon qui vous êtes, c’est l’un ou l’autre qui s’applique à vous :

Vous visitez notre site ou vous êtes notre cocontractant. Nous sommes alors responsable du traitement — pour la diffusion des pages, pour votre compte d’accès, pour le contrat et pour la facturation. Ce que nous faisons dans ce rôle figure au § 4.

Vous êtes client, fournisseur ou salarié (Beschäftigter) d’une entreprise (Betrieb) qui utilise Zirko. Vos données se trouvent alors dans Zirko parce que cette entreprise les y a saisies. C’est elle qui est responsable du traitement, et non nous ; nous sommes son sous-traitant et n’agissons que sur son instruction (art. 28 du RGPD). C’est donc auprès de cette entreprise que vous demandez l’accès, la rectification et l’effacement. Si une telle demande nous parvient directement, nous la transmettons dans les meilleurs délais et nous assistons l’entreprise dans sa réponse — nous ne sommes pas autorisés à y répondre nous-mêmes. Ce qui est traité dans ce rôle figure au § 5.

3 · Bases juridiques en bref

• Art. 6, par. 1, point b) — contrat et mesures précontractuelles (compte d’accès, exécution de la prestation, facturation).
• Art. 6, par. 1, point c) — obligation légale (conservation de notre propre comptabilité, § 147 AO — code fiscal allemand).
• Art. 6, par. 1, point f) — intérêt légitime (exploitation sûre et stable, prévention des abus).
• Art. 6, par. 1, point a) — consentement ; il ne fonde que l’inscription sur la liste des personnes intéressées (§ 4.7).
• Art. 28 — sous-traitance pour le compte de nos clients.

Au-delà de cela, nous ne recueillons aucun consentement : l’exploitation du site et de l’application ne comporte aucun traitement qui en exigerait un (§ 7).

4 · Ce que nous traitons en qualité de responsable du traitement

4.1 Accès au site et à l’application

Lors de l’accès, l’hébergeur traite des journaux de serveur et d’accès : adresse IP, horodatage, adresse demandée, adresse de provenance et identification du navigateur. Ils sont techniquement nécessaires à la diffusion et servent à repousser les attaques.

• Base juridique : art. 6, par. 1, point f) ; pour les utilisateurs connectés, en outre le point b).
• Destinataire : Vercel (§ 6).
• Durée de conservation : selon la durée de rétention de l’hébergeur. Nous ne conservons pas de copie durable qui nous soit propre et nous n’exploitons pas ces journaux de manière nominative.

4.2 Compte d’accès, connexion, invitations

Pour un compte, nous traitons : adresse électronique, empreinte du mot de passe, prénom et nom, facultativement un numéro de téléphone, une photo de profil, votre réglage de langue ainsi que les horodatages de connexion et les caractéristiques de session.

• Base juridique : art. 6, par. 1, points b) et f).
• Destinataires : Supabase (comptes et connexion), Resend (envoi des courriers de confirmation et de mot de passe) — § 6.
• Durée de conservation : jusqu’à la suppression du compte. Vous pouvez supprimer votre compte vous-même dans l’application. L’identité et le rattachement sont alors supprimés : compte, profil, photo de profil, appartenances et invitations. Les enregistrements ayant une fonction probatoire légale — en particulier les heures de travail, les absences et les pièces justificatives de l’entreprise — subsistent ; après la suppression, l’identifiant qui y demeure ne peut plus être rattaché à un nom. Détails aux § 5 et § 9.

4.3 Contrat et facturation

Pour le contrat, nous traitons le nom de l’entreprise, son adresse, le contact de facturation, le numéro de TVA intracommunautaire (USt-IdNr.) ou le numéro fiscal, le type et le nombre de licences souscrites ainsi que l’état de l’abonnement.

La facturation est assurée par Paddle en qualité de Merchant of Record — juridiquement, Paddle est le vendeur, encaisse en son nom propre et vous établit lui-même la facture. Les données de paiement (carte, SEPA) ne nous parviennent pas ; elles sont détenues exclusivement par Paddle. Nous nous bornons à refléter l’état.

Lors de la souscription, la fenêtre de paiement de Paddle s’ouvre dans votre navigateur. Votre navigateur se connecte alors directement à Paddle. Paddle est responsable du traitement de son propre chef pour l’ensemble de la facturation et n’est pas notre sous-traitant — pour votre adresse IP et vos données de paiement tout autant que pour les données de facturation que nous lui transmettons. Ce qui figure dans cette fenêtre — produit, quantité, rattachement à votre entreprise — est composé au préalable sur notre serveur et non dans votre navigateur ; sans cela, ces valeurs pourraient être modifiées avant l’envoi.

• Base juridique : art. 6, par. 1, point b) ; pour la conservation de notre propre comptabilité, le point c) combiné au § 147 AO.
• Durée de conservation : fin du contrat, majorée des durées légales de conservation applicables à notre propre comptabilité.

4.4 Messages qui vous sont adressés

Nous envoyons des messages système : confirmation de l’inscription, réinitialisation du mot de passe, invitations, communications contractuelles et d’état. Le destinataire est Resend ; sont enregistrés l’adresse, le contenu et l’état de remise.

Les modifications des conditions générales (AGB) sont communiquées par courrier électronique à tous les accès disposant de droits d’administration de l’entreprise et sont en outre affichées dans l’application (AGB § 15 al. 3). À titre de preuve, nous enregistrons la date d’envoi de la communication et le nombre d’adresses destinataires, les identifiants du prestataire d’envoi, la date jusqu’à laquelle une opposition est possible ainsi que le fait de savoir si, quand et depuis quel accès l’accord a été donné ou une opposition formée. La preuve est conservée aussi longtemps que l’entreprise existe (art. 6, par. 1, point b), du RGPD).

Nous n’envoyons de messages promotionnels qu’à la liste des personnes intéressées — avec votre consentement exprès et dans le cadre étroit décrit au § 4.7. Il n’existe pas de lettre d’information régulière.

4.5 Vos demandes

Si vous vous adressez à nous par courrier électronique ou via le formulaire de contact de notre site, nous traitons vos indications pour y répondre (art. 6, par. 1, point b) ou point f)). Les demandes ayant le caractère d’une lettre commerciale sont soumises aux durées de conservation du droit commercial et fiscal.

Le formulaire de contact collecte le nom, l’adresse électronique et le message — rien de plus. Vos indications ne sont pas enregistrées, mais transmises sous forme de courrier électronique à notre boîte de messagerie ; l’envoi est assuré par Resend (§ 6). Lors de l’envoi, nous traitons en outre votre adresse IP afin de limiter le nombre de messages par accès (art. 6, par. 1, point f) — protection contre l’usage abusif massif du formulaire). Elle n’est conservée à cette fin que sous la forme d’une empreinte raccourcie liée au jour, en mémoire vive, pendant une heure au maximum, et n’est ni enregistrée ni transmise.

Il n’existe pas de fenêtre de discussion sur nos pages, et nous n’utilisons aucun captcha d’un fournisseur tiers pour le formulaire de contact.

4.6 Rapports d’erreur

Lorsqu’une erreur survient dans l’application, nous produisons un rapport d’erreur afin de trouver et de corriger le dysfonctionnement. Le destinataire est Sentry (résidence des données dans l’UE, § 6).

Seule cette liste exhaustive est transmise : identifiant de l’erreur, type d’erreur, domaine concerné, adresse de la page sous forme de gabarit (sans identifiants), identifiant de votre entreprise, votre rôle, les lignes techniques d’appel — ainsi que des indications techniques de contexte concernant l’erreur elle-même : environnement d’exécution (navigateur ou serveur), nom de l’environnement, version de l’application et un numéro d’erreur interne sans lien avec une personne. Ces indications de contexte non plus ne contiennent aucun contenu ni aucun lien avec une personne au-delà de l’identifiant d’entreprise mentionné.

Ne sont pas transmis : le libellé du message d’erreur, les noms, les adresses, les montants, les textes des pièces ou tout autre contenu. L’enregistrement détaillé comportant le libellé reste dans notre propre journal de serveur. Aucun contenu issu des données d’une entreprise ne parvient à des tiers par cette voie.

La qualité en laquelle nous agissons dépend de l’origine du rapport. Ce que signale notre serveur ne comporte aucun lien avec une entreprise : le signalement naît en dehors de la session, et l’identifiant d’entreprise comme le rôle n’y figurent pas. Il en va de même de tout ce qui est appelé sans connexion. Ces rapports concernent uniquement notre propre application — nous en sommes le responsable du traitement. En revanche, lorsque c’est le navigateur d’un utilisateur connecté qui signale une erreur, l’identifiant de son entreprise et son rôle y sont attachés ; ils proviennent de la session vérifiée et non du rapport. Dans cette mesure, nous traitons des indications issues du fonds de données de l’entreprise et agissons en qualité de son sous-traitant (§ 2) ; Sentry est alors notre sous-traitant ultérieur, que le contrat de sous-traitance désigne.

• Base juridique, dans la mesure où nous sommes le responsable du traitement (rapports sans lien avec une entreprise) : art. 6, par. 1, point f). Pour les rapports comportant l’identifiant d’entreprise et le rôle, nous agissons sur instruction (art. 28 du RGPD) ; la base juridique qui s’y applique est déterminée par l’entreprise.
• Durée de conservation : durée de rétention du service.

4.7 Liste des personnes intéressées (Interessentenliste)

Jusqu’à ce que Zirko soit disponible pour tous, vous pouvez vous inscrire sur notre site sur une liste des personnes intéressées. Sa finalité est strictement limitée : une notification dès que Zirko est disponible — pas de lettre d’information, pas de publicité continue.

Sont enregistrés : votre adresse électronique, le marché sur la page duquel vous vous êtes inscrit (il détermine la langue de vos courriers), les horodatages de l’inscription, du dernier courrier de confirmation, de la confirmation et de la notification ainsi que des empreintes techniques des liens de confirmation et de désinscription. L’horodatage du courrier limite la fréquence à laquelle notre formulaire peut écrire à la même adresse et protège ainsi votre boîte de messagerie contre des envois répétés. Votre adresse IP n’est pas enregistrée — lors de l’envoi s’applique la même protection quantitative que pour le formulaire de contact (§ 4.5) : une empreinte raccourcie liée au jour, en mémoire vive uniquement, pendant une heure au maximum.

La base juridique est votre consentement (art. 6, par. 1, point a), du RGPD ; pour la sollicitation promotionnelle, § 7 al. 2 n° 2 UWG — loi allemande contre la concurrence déloyale). Il est recueilli selon la procédure de double opt-in : après votre inscription, vous recevez un courrier électronique comportant un lien de confirmation, et seul votre clic sur la page de confirmation vous place sur la liste. Ce clic constitue en même temps notre preuve du consentement (art. 7, par. 1). Une inscription qui n’est pas confirmée est supprimée au bout de 30 jours.

Retrait : chaque courrier électronique adressé à la liste comporte un lien de désinscription. La désinscription supprime intégralement votre inscription — il ne subsiste même pas de « liste de blocage ». Par ailleurs, un simple courrier électronique à datenschutz@zirko.io suffit à tout moment (art. 7, par. 3 ; la licéité du traitement effectué jusqu’au retrait n’en est pas affectée).

Suppression même sans intervention de votre part, par une purge automatique quotidienne — chaque fois lors de la purge suivant l’expiration du délai : les inscriptions non confirmées 30 jours après l’inscription ; toutes les inscriptions 30 jours après la notification ; et un an après votre confirmation, s’il n’y a eu d’ici là rien à notifier.

Prestataires intervenant (tous deux au § 6) : la liste est hébergée chez Supabase à Francfort ; les courriers électroniques sont envoyés par Resend.

5 · Ce que nous traitons en qualité de sous-traitant pour les entreprises

Le responsable du traitement est dans chaque cas l’entreprise. Sont traités — selon ce qu’elle utilise :

Sur le type d’absence « maladie » : même sans diagnostic, il peut constituer une donnée concernant la santé au sens de l’art. 9 du RGPD. Nous la traitons comme telle ; il appartient à l’entreprise, en sa qualité de responsable du traitement, d’en créer la base juridique (art. 9, par. 2, point b), combiné au § 26 al. 3 BDSG). Le contrat de sous-traitance désigne expressément cette catégorie.

Sur la saisie des heures — pas de géolocalisation, pas de contrôle du comportement ni des performances. L’application mobile ne collecte aucune donnée de localisation ; elle n’interroge pas la position de l’appareil, et les en-têtes de sécurité de chaque réponse bloquent la fonction de géolocalisation du navigateur (§ 10). Le « lieu d’intervention » figurant sur une saisie d’heures est l’adresse du chantier issue de la planification, et non la position mesurée d’une personne. Il n’existe en outre aucune évaluation du comportement ou des performances de salariés pris individuellement de notre part : pas de note de ponctualité, pas de classement, pas de signalement du comportement d’un individu à sa hiérarchie (voir aussi § 5.1). Ce que l’entreprise fait elle-même des heures saisies relève du droit du travail qui lui est applicable et de la participation des représentants du personnel — c’est elle qui en est responsable.

Trois traitements qui n’ont expressément pas lieu :

1. Aucune intelligence artificielle n’est utilisée. Zirko ne transmet rien au modèle de langage, de texte ou de reconnaissance vocale d’un tiers — ni pour les pièces, ni pour les rapports, ni pour les devis, ni pour les messages.
2. La reconnaissance de caractères des factures entrantes s’exécute intégralement sur votre appareil. L’image de la facture ne quitte pas le navigateur et ne parvient à aucun tiers. Les composants logiciels nécessaires à cette fin sont eux aussi chargés depuis notre propre serveur et non depuis un réseau tiers ; aucun tiers n’apprend ainsi ni l’horodatage ni l’adresse IP du dépôt d’une facture.

La reconnaissance de caractères est un outil de reconnaissance de motifs fonctionnant sur votre appareil, qui reconnaît des lettres dans une image. Ce n’est pas un modèle de langage au sens du point 1, et elle ne transmet rien à des tiers.

1. Les suggestions d’adresses passent par notre serveur, et non depuis votre navigateur. Le fournisseur n’apprend ni votre adresse IP ni qui effectue la recherche. Seule l’adresse finale est enregistrée chez nous, sans identifiant de fournisseur et sans réponse brute.

5.1 Messages automatisés

Une entreprise peut autoriser Zirko à envoyer un message de lui-même dans certaines situations : un rappel lorsqu’un devis reste sans réponse, une note avant un rendez-vous, une demande de mise à disposition de documents. Nous appelons cela des automatisations. La présente section s’adresse aux destinataires d’un tel message.

Aucune automatisation n’est activée d’origine. L’entreprise active chacune d’elles elle-même, fixe ses délais et rédige le texte qui vous parvient. Elle peut désactiver chacune d’elles à tout moment avec effet immédiat.

Qui décide de ce que vous recevez. C’est l’entreprise qui décide : si une automatisation fonctionne, au bout de combien de jours, avec quel texte et à destination de qui. Nous exécutons ce qu’elle a réglé. Elle est le responsable du traitement (§ 2), nous sommes son sous-traitant.

Aucune évaluation de votre personne. Une automatisation vérifie une question simple — « le devis est-il resté sans réponse depuis sept jours ? » — et envoie ensuite le texte que l’entreprise a enregistré. Elle n’évalue rien chez vous, ne constitue aucun profil, ne vérifie aucune solvabilité et ne prend aucune décision : elle n’émet aucune facture, n’en modifie aucune, ne valide rien et ne déclenche aucun paiement. Aucun modèle de langage n’y participe — ni pour la question, ni pour le texte.

Trois cercles de destinataires :

• L’entreprise elle-même — des rappels à sa propre adresse. Aucun tiers n’en a connaissance.
• Un salarié de l’entreprise, pour l’affaire qui le concerne lui-même (par exemple : une saisie d’heures manque). Ce message lui est adressé à lui, et non à sa hiérarchie. Zirko n’envoie aucun signalement à la hiérarchie sur le comportement ou les performances de salariés pris individuellement.
• Les clients de l’entreprise — messages de relance, rappels de rendez-vous, avis concernant un lien arrivant à expiration, demandes de documents. Ce n’est que dans ce cas qu’un message quitte l’entreprise.

Le lien de dépôt. Si une entreprise vous demande par un tel message de mettre des documents à disposition, celui-ci contient un lien à durée limitée qui ne se rapporte qu’à cette seule affaire. Ce que vous déposez par ce biais se trouve ensuite chez l’entreprise comme tout autre fichier qu’elle détient au sujet de votre affaire — c’est elle qui en est responsable. Nous ne l’examinons pas et ne l’exploitons pas.

Ce qu’il advient de ces données. Pour l’envoi, votre adresse électronique et le texte du message sont transmis à notre prestataire d’envoi (§ 6, ligne Resend) — ou, si l’entreprise a connecté sa propre boîte de messagerie et que le message n’est pas destiné à un salarié, au fournisseur de cette boîte de messagerie (§ 5.2) — et à personne d’autre ; l’automatisation ne fait naître aucun prestataire supplémentaire. Il subsiste chez nous une entrée de journal : quel message est parti, quand et à qui. L’entreprise peut la consulter pendant 30 jours ; elle lui sert de preuve de ce qui a été envoyé en son nom.

Nous n’exploitons rien de tout cela — aucune analyse transversale entre entreprises, aucune statistique sur les contenus, aucune amélioration du produit tirée de vos messages.

Si vous ne le souhaitez pas : adressez-vous à l’entreprise dont émane le message. Elle est le responsable du traitement et peut désactiver l’automatisation ou vous en exclure. Si votre opposition nous parvient, nous la lui transmettons dans les meilleurs délais (§ 9).

5.2 Envoi par la boîte de messagerie propre de l’entreprise

Une entreprise peut connecter sa propre boîte de messagerie électronique à Zirko. Les messages que Zirko envoie pour elle — pièces, rappels de paiement et les messages automatisés adressés à ses clients et à elle-même (§ 5.1) — partent alors de son adresse, et une copie se trouve en règle générale dans son dossier « Envoyés » (voir ci-dessous). Les messages adressés aux salariés de l’entreprise passent en revanche toujours par notre prestataire d’envoi (§ 6, ligne Resend) — ils n’ont pas leur place dans une boîte de messagerie que lit la direction de l’entreprise. D’origine, aucune boîte de messagerie n’est connectée ; seul un administrateur de l’entreprise peut en connecter ou en déconnecter une. Ici aussi, c’est l’entreprise qui est responsable du traitement (§ 2) ; nous sommes son sous-traitant et envoyons ce qu’elle a déclenché.

Uniquement envoyer, pas lire. Zirko ne lit aucun message de la boîte de messagerie — ni la boîte de réception, ni les brouillons, ni les contacts, ni les agendas. La forme de l’accès dépend du fournisseur :

• Google (Gmail, Google Workspace) : l’entreprise se connecte chez Google et y accorde une autorisation qui permet uniquement l’envoi ; nous apprenons en outre l’adresse du compte. Google classe lui-même le message envoyé sous « Messages envoyés ».
• Microsoft (Outlook.com, Microsoft 365) : de même une autorisation uniquement pour l’envoi, accompagnée de l’adresse du compte. Microsoft classe lui-même le message envoyé sous « Éléments envoyés ».
• Tous les autres fournisseurs : l’entreprise indique le serveur, le nom d’utilisateur et le mot de passe — ou un mot de passe d’application qu’elle a créé à cette fin chez le fournisseur. Zirko envoie ainsi par le serveur de courrier sortant du fournisseur. Si l’entreprise a également indiqué le serveur IMAP de son fournisseur, Zirko classe ensuite le message envoyé dans le dossier « Envoyés » ; pour trouver ce dossier, Zirko lit la liste des noms de dossiers — aucun message qui s’y trouve. Si le classement échoue, le message est tout de même envoyé, simplement sans copie dans « Envoyés ».

Les autorisations accordées à Google et à Microsoft valent jusqu’à ce que l’entreprise déconnecte la boîte de messagerie ; les messages programmés partent ainsi eux aussi sans que quiconque ait à se reconnecter.

Ce que nous enregistrons. L’adresse et le fournisseur de la boîte de messagerie ; pour les autres fournisseurs, le serveur, les ports, le nom d’utilisateur et le nom du dossier « Envoyés » ; les horodatages de la connexion et du dernier envoi ; après un échec, un code d’erreur sans contenu. Les données d’accès elles-mêmes — chez Google et Microsoft un jeton d’accès délivré par le fournisseur, sinon le mot de passe — sont enregistrées de manière chiffrée. La clé ne se trouve pas dans la base de données, mais uniquement dans l’environnement de notre serveur, et les données d’accès ne parviennent jamais à un navigateur, pas même à celui de l’entreprise (§ 10). Nous les utilisons exclusivement pour envoyer et classer les messages de l’entreprise.

Qui reçoit le message. Lorsqu’une boîte de messagerie est connectée, notre serveur remet le message — adresse du destinataire, texte et pièces jointes — directement au fournisseur de cette boîte de messagerie et non à notre prestataire d’envoi du § 6. Le fournisseur de la boîte de messagerie n’est pas notre sous-traitant ultérieur et ne figure donc pas sur la liste du § 6 : c’est l’entreprise qui l’a choisi, elle a conclu avec lui son propre contrat, et le fournisseur traite le message comme tout autre message expédié depuis cette boîte. Le lieu et la base sur lesquels il traite les données — y compris dans des pays tiers — résultent de ce contrat conclu par l’entreprise.

La copie dans « Envoyés » est visible par quiconque lit la boîte de messagerie. C’est l’entreprise qui détermine qui y a accès. Les messages adressés à ses salariés ne s’y trouvent pas (voir ci-dessus).

Quand le message passe malgré tout par notre prestataire d’envoi. Outre les messages adressés aux salariés, dans deux cas (§ 6, ligne Resend) : lorsque, avec ses pièces jointes, il est plus volumineux que ce que Zirko admet pour la boîte de messagerie de ce fournisseur — lors de l’envoi d’une pièce, Zirko l’indique avant l’envoi — et lorsqu’il est établi que rien n’est parvenu au fournisseur, par exemple parce que la connexion y échoue. S’il n’est pas certain que le message soit déjà parti, nous ne l’envoyons pas une seconde fois.

Aucun accusé de remise. Par la boîte de messagerie propre, nous ne recevons aucun retour sur la remise ; il est seulement noté que l’envoi a eu lieu et quand.

Déconnexion. Si l’entreprise déconnecte la boîte de messagerie, nous supprimons immédiatement les données d’accès. Chez Google, nous révoquons en outre l’autorisation auprès du fournisseur. Chez Microsoft, une révocation depuis l’extérieur ne serait possible qu’en mettant fin à toutes les connexions de la personne — nous ne le faisons pas. Sans les données d’accès supprimées, Zirko ne peut plus rien envoyer par cette voie ; le titulaire du compte peut en outre retirer lui-même Zirko de la liste des applications connectées dans son compte Microsoft. Chez les autres fournisseurs, il n’y a rien à révoquer ; qui veut en avoir le cœur net y change le mot de passe ou supprime le mot de passe d’application. La suppression de l’entreprise entraîne également la suppression des données d’accès ; pour les copies de sauvegarde, le § 8 s’applique.

Informations provenant de Google. L’utilisation et la transmission par Zirko des informations reçues par les interfaces de Google respectent la Google API Services User Data Policy, y compris ses exigences d’utilisation restreinte (Limited Use requirements). Nous utilisons ces informations exclusivement pour l’envoi depuis Zirko, ni à des fins publicitaires ni pour entraîner des modèles, et nous ne les transmettons pas à des tiers.

5.3 Retours envoyés depuis l’application

Toute personne connectée à Zirko peut nous envoyer un retour depuis l’application — « ça coince ici », « le calcul est faux », « le bouton ne fait rien ». La présente section s’adresse aux salariés d’une entreprise qui le font, ainsi qu’aux clients de celle-ci, dont les données peuvent à cette occasion se retrouver sur une image.

Ce qui part dans tous les cas. Le texte libre que vous rédigez, et avec lui cinq indications sans lesquelles un signalement « ça ne marche pas » serait sans valeur : l’entreprise, votre rôle, la page consultée sous forme de gabarit (/kunden/:id au lieu de l’adresse d’un client déterminé), la version de l’application et l’horodatage. Le contenu de la page ne part pas de lui-même.

La capture et l’enregistrement d’écran sont facultatifs et désactivés d’origine. Vous décidez si vous joignez un enregistrement. L’onglet courant est présélectionné, et non l’écran entier ; vous voyez l’enregistrement avant l’envoi et pouvez l’écarter.

Ce qui figure sur un tel enregistrement. Une capture d’écran de cette application montre des données des clients de votre entreprise : noms, adresses, montants, le cas échéant des coordonnées bancaires. Un enregistrement d’écran les montre en mouvement. Quiconque envoie un enregistrement transmet des données à caractère personnel de tiers — d’où le regard porté sur lui avant qu’il ne parte.

Qui est responsable du traitement. L’entreprise (§ 2). C’est vous qui déclenchez vous-même la transmission au cas par cas, et cela constitue une instruction qui nous est adressée au sens du contrat de sous-traitance (son § 8) ; ici aussi, nous agissons en qualité de son sous-traitant. Une entreprise peut faire désactiver pour elle la fonction de retour.

Qui peut les lire. Le service d’assistance de Zirko — et vous-même : votre propre retour et notre réponse à celui-ci vous sont visibles dans l’application. Les autres entreprises n’en voient rien, et dans votre propre entreprise non plus personne d’autre ne les lit. La conservation a lieu chez Supabase à Francfort (§ 6). L’arrivée d’un retour nous est signalée par un courrier électronique envoyé via Resend (§ 6) à une boîte de messagerie sous notre propre domaine ; il comporte le texte libre ainsi que l’entreprise et le rôle, ni votre nom, ni votre adresse, ni aucune pièce jointe. Les enregistrements sont consultés exclusivement dans l’application. Aucune communication à des tiers n’a lieu, aucune utilisation à des fins publicitaires non plus, et aucun modèle de langage n’y participe (§ 6).

À quoi nous les utilisons — et à quoi non. Exclusivement à examiner et corriger l’erreur signalée. Ni à l’amélioration générale du logiciel, ni comme connaissance produit, ni à des fins publicitaires, ni à une analyse transversale entre entreprises.

Ce qu’il en advient ensuite. Lorsque l’examen est achevé, nous supprimons l’enregistrement. Indépendamment de cela, une limite extérieure s’applique : les pièces jointes et le retour sont supprimés au plus tard 90 jours après leur réception. Si vous supprimez votre compte, le retour est dissocié de votre personne.

6 · Destinataires, prestataires et pays tiers

Services utilisés

Prévus, actuellement non utilisés

Aucune donnée n’est transmise à ces services. Avant toute mise en service, un contrat de sous-traitance sera d’abord conclu dans chaque cas et la présente liste complétée.

Expressément non

Sur la sous-traitance. Les prestataires mentionnés ci-dessus traitent des données à caractère personnel exclusivement sur notre instruction et uniquement aux fins indiquées. Font exception les organismes qui sont expressément mentionnés ci-dessus comme n’étant pas des sous-traitants.

Ne figure pas sur cette liste le fournisseur d’une boîte de messagerie électronique qu’une entreprise a elle-même connectée à Zirko (§ 5.2). Il n’est pas notre prestataire, mais celui de l’entreprise.

Sur les pays tiers. Là où des clauses contractuelles types ou l’EU-U.S. Data Privacy Framework sont mentionnés ci-dessus, le transfert est fondé sur l’art. 46, par. 2, point c), ou sur l’art. 45 du RGPD respectivement. Nous fournissons sur demande une copie de la base concernée (datenschutz@zirko.io).

La base de données et le stockage de fichiers se trouvent à Francfort, et les fonctions serveur qui les interrogent s’y exécutent également.

7 · Cookies, traçage et mesure d’audience

Nous mesurons l’audience sans cookies — avec Umami (§ 6). Sont comptés : quelles pages sont consultées, de quelle page viennent les visiteurs, le type de navigateur et d’appareil et le pays. Ce faisant, rien n’est enregistré sur votre appareil et rien n’y est lu — pas de cookie, pas d’identifiant en mémoire. C’est pourquoi il n’y a pas non plus de bandeau de consentement : l’obligation de consentement du § 25 al. 1 TDDDG (loi allemande sur la protection des données dans les télécommunications et les télémédias) se rattache à l’enregistrement sur l’équipement terminal ou à la lecture depuis celui-ci, et c’est précisément ce qui n’a pas lieu.

La mesure est néanmoins nominative l’espace d’un instant : pour des raisons techniques, votre navigateur transmet son adresse IP. Elle n’est pas enregistrée, mais seulement calculée de manière fugace pour distinguer les visites ; les analyses ne comportent que des compteurs anonymes sans lien avec votre personne. Aucun profil n’est constitué d’un site à l’autre, et rien n’est transmis à des régies publicitaires. La base juridique est l’art. 6, par. 1, point f), du RGPD — notre intérêt à savoir quels contenus sont lus et lesquels ne le sont pas ; vous pouvez vous opposer à tout moment à cette mesure (art. 21, § 9).

Au-delà de cela : pas de Google Analytics, pas de pixel, pas de régie publicitaire.

Cela vaut également pour les rapports d’erreur du § 4.6 : ils ne contiennent aucun identifiant permettant de suivre votre comportement d’utilisation d’une page à l’autre.

Ne sont déposés que les cookies strictement nécessaires à l’exploitation (§ 25 al. 2 n° 2 TDDDG) : le cookie de session de votre connexion, le cookie d’une protection d’accès pour les zones non publiques lorsqu’elle est active, et, pendant qu’un administrateur connecte une boîte de messagerie chez Google ou Microsoft (§ 5.2), un cookie chiffré qui rattache cette procédure de connexion à son entreprise ; il est supprimé à l’achèvement de la connexion et vaut dix minutes au maximum. L’application enregistre en outre des données localement dans votre navigateur afin de pouvoir continuer à fonctionner sans réseau ; elles sont supprimées lors de la déconnexion ou de l’effacement des données du navigateur. De là, seul est transmis à notre serveur ce que vous avez vous-même envoyé et ce qui, dans une zone blanche, attend le réseau — par exemple une saisie d’heures ou un message de projet. Cette mémoire tampon n’est pas exploitée.

8 · Durées de conservation

Le § 5 du registre des activités de traitement fait foi ; les points les plus importants pour vous :

Copies de sauvegarde. Des copies de sauvegarde de la base de données et des fichiers sont réalisées afin qu’une panne technique ne coûte aucune donnée. Il n’est pas possible d’extraire des éléments isolés d’une telle copie. Lorsqu’une suppression n’y serait possible qu’au prix d’efforts disproportionnés, nous verrouillons les données contre tout traitement ultérieur ; elles sont définitivement supprimées à l’expiration de la durée de conservation de la copie de sauvegarde concernée, au plus tard au bout de 30 jours. Le contrat dit la même chose (AGB § 12 al. 4 c, contrat de sous-traitance § 13 al. 3).

Factures émises. Le droit fiscal et les GoBD (principes allemands relatifs à la tenue et à la conservation régulières des livres, enregistrements et documents sous forme électronique et à l’accès aux données — une instruction administrative du ministère fédéral des Finances) exigent qu’une facture émise demeure non modifiable. Une demande d’effacement au titre de l’art. 17 du RGPD n’aboutit donc pas ici à une suppression (art. 17, par. 3, point b)), mais à la limitation du traitement (art. 18, par. 1, point b)) : la pièce est conservée pour la finalité légale et n’est plus utilisée à aucune autre fin. Une facture erronée est corrigée par un Storno — une pièce d’annulation placée à côté de la première, en comptabilité une écriture d’extourne émise sous forme d’avoir — jamais en modifiant la première.

9 · Vos droits

Vous disposez du droit d’accès (art. 15), de rectification (art. 16), d’effacement (art. 17), de limitation du traitement (art. 18), de portabilité des données (art. 20) et d’opposition aux traitements fondés sur des intérêts légitimes (art. 21). Vous pouvez retirer à tout moment, avec effet pour l’avenir, un consentement que vous avez donné (art. 7, par. 3).

À qui vous adresser :

• Si votre demande concerne notre site, votre compte d’accès, le contrat ou la facturation : à nous, à datenschutz@zirko.io.
• Si vos données se trouvent dans Zirko parce qu’une entreprise artisanale les y a saisies : à cette entreprise. Elle est le responsable du traitement et seule habilitée à renseigner. Nous transmettons les demandes dans les meilleurs délais et nous l’assistons.

Indépendamment de cela, vous disposez d’un droit d’introduire une réclamation auprès d’une autorité de contrôle de la protection des données (art. 77 du RGPD), en particulier dans l’État membre de votre résidence, de votre lieu de travail ou du lieu de la violation présumée. L’autorité compétente à notre égard est :

Der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, Telefon 0511 120-4500, poststelle@lfd.niedersachsen.de, www.lfd.niedersachsen.de

Nous ne constituons aucun profil et n’évaluons aucune caractéristique personnelle. Il n’existe dans Zirko aucune évaluation de solvabilité, de comportement ou de fiabilité, aucun score et aucune analyse transversale entre entreprises.

Sur les messages automatisés (§ 5.1) : ils suivent des règles que l’entreprise concernée a fixées et peut désactiver à tout moment. Ils n’envoient rien d’autre qu’un message : ils n’émettent aucune pièce, n’en modifient aucune, ne valident rien et ne déclenchent aucun paiement. Personne n’y prend à votre égard une décision qui nous serait imputable ; la décision de savoir si et comment vous êtes sollicité a été prise au préalable par l’entreprise.

Une automatisation n’envoie aucun message, mais procède à un rattachement, et elle ne concerne que les salariés de l’entreprise : pour chaque état de projet, l’entreprise peut désigner nommément ceux de ses salariés qui sont rattachés au projet dès que cet état survient. L’automatisation inscrit exactement cette liste. Elle ne sélectionne personne, n’évalue personne et n’écarte personne — et, comme toutes les autres, elle est désactivée d’origine.

10 · Sécurité

Nous prenons des mesures techniques et organisationnelles conformément à l’art. 32 du RGPD. Les principales :

• Séparation des entreprises au niveau de la base de données. Chaque table est protégée par des règles de sécurité au niveau des lignes, liées à l’entreprise concernée. Cela est vérifié automatiquement à chaque modification ; une table dépourvue d’une telle règle n’est pas mise en service.
• Les droits sont tranchés sur le serveur, et non dans l’interface.
• Transmission chiffrée (TLS) et stockage chiffré chez nos prestataires.
• Les espaces de fichiers ne sont pas publics, portent l’entreprise dans leur chemin et disposent de leurs propres règles d’accès ainsi que de limites de taille et de type. Nous n’acceptons pas les formats d’image susceptibles d’exécuter du code (SVG).
• Les pièces émises sont techniquement non modifiables et ne peuvent pas être supprimées — imposé dans la base de données, et non seulement dans l’application.
• Les données d’accès aux boîtes de messagerie (§ 5.2) sont chiffrées avec AES-256-GCM et liées à leur enregistrement ; la clé ne se trouve que dans l’environnement de notre serveur. La table n’est accessible ni depuis le navigateur ni pour les utilisateurs connectés. Nous ne nous connectons aux serveurs de courrier sortant et IMAP que de manière chiffrée (TLS 1.2 au minimum) et uniquement à des adresses accessibles publiquement.
• En-têtes de sécurité sur chaque réponse — en particulier une Content-Security-Policy qui détermine les sources depuis lesquelles le navigateur est autorisé à charger quoi que ce soit, ainsi que HSTS, Referrer-Policy et Permissions-Policy.
• Environnements séparés pour le développement et la production.

11 · Dispositions propres à certains pays

La présente politique est structurée selon le RGPD. Lorsque le droit de l’un des pays dans lesquels nous exerçons exige des indications supplémentaires, celles-ci figurent ici — et elles ne valent que pour les personnes concernées se trouvant dans le pays en question. Pour toutes les autres, la présente section ne change rien.

Japon

La loi japonaise sur la protection des données nous est applicable. Là où la présente politique évoque le droit applicable, cela inclut, pour les personnes concernées se trouvant au Japon, le 個人情報の保護に関する法律 (loi sur la protection des informations personnelles, « APPI »). Le fondement en est l’art. 171 APPI : la loi s’applique également au traitement effectué à l’étranger, dans la mesure où il se rattache à l’offre de biens ou de services à des personnes se trouvant au Japon. Le fait que notre cocontractant soit une entreprise artisanale et non un consommateur n’y change rien : ce qui est protégé, ce sont les personnes dont les données sont traitées — les salariés d’une entreprise, ses interlocuteurs et ses clients —, et non la partie au contrat.

Les indications à communiquer au titre de l’art. 32 al. 1 APPI figurent déjà dans la présente politique : le nom et l’adresse de l’organisme traitant les informations personnelles au § 1, les finalités du traitement aux § 4 et § 5, la procédure d’accès, de rectification et d’effacement au § 9 et les mesures de sécurité au § 10.

Organe de réclamation au Japon. Outre le droit de réclamation prévu à l’art. 77 du RGPD (§ 9), les personnes concernées se trouvant au Japon peuvent s’adresser à la commission japonaise de protection des données :

個人情報保護委員会 (Personal Information Protection Commission) 〒105-0001 東京都港区虎ノ門二丁目２－３　虎ノ門アルセアタワー12階代表電話 03-6457-9680 · 個人情報保護法相談ダイヤル 03-6457-9849

12 · Modifications de la présente politique

Nous adaptons la présente politique lorsque le traitement change — en particulier en cas de nouveau prestataire, de nouvelle catégorie de données ou de nouveau pays. Fait foi la version publiée ici à chaque instant, portant la date indiquée ci-dessus.