Politique de confidentialité

01 Responsable du traitement

Luis Coronado (Ads&Nexus), NIF 79273745-J, domicilié à Castellar del Vallès (Barcelona), España.

Contact en matière de protection des données : info@adsandnexus.com.

Délégué à la protection des données (Delegado de Protección de Datos) : aucun n’a été désigné, aucune des hypothèses de l’article 37, paragraphe 1, du RGPD n’étant réunie : nous ne sommes pas une autorité publique, notre activité principale ne consiste pas en l’observation habituelle et systématique de personnes à grande échelle, ni en un traitement à grande échelle de catégories particulières de données. Pour toute question relative à la protection des données, vous pouvez écrire à info@adsandnexus.com, adresse qui fait l’objet d’un suivi.

Si le volume ou la nature des traitements venait à changer et qu’une de ces hypothèses se présentait, un délégué serait désigné et son nom et ses coordonnées seraient publiés ici.

02 Deux traitements distincts, à ne pas confondre

Kommyt est RESPONSABLE DU TRAITEMENT des données de ses propres clients : la personne ou l’établissement qui demande l’ouverture d’un compte, qui est facturé et qui utilise le panneau en tant que client de Kommyt.

Kommyt est SOUS-TRAITANT (ENCARGADO DEL TRATAMIENTO) des données que chaque établissement saisit dans le CRM au sujet des personnes qu’il gère (ses clients, membres, patients, élèves… selon son activité). Dans ce cas, le responsable est l’établissement : c’est lui qui décide quelles données il recueille et à quelle fin, et c’est lui qui doit répondre aux droits de ces personnes.

Cette relation est formalisée par un contrat de sous-traitance conforme à l’article 28 du RGPD, qui est signé lors de l’ouverture du compte de l’établissement.

03 Données que nous traitons et finalité

Coordonnées et données de facturation de l’établissement et de la personne responsable, pour ouvrir le compte, fournir le service et émettre les factures.

Données techniques d’utilisation (journaux d’accès, adresse IP, activité dans l’application), pour garantir la sécurité, corriger les incidents et maintenir la traçabilité exigible.

Données que vous nous communiquez lorsque vous nous écrivez, afin de répondre à votre demande.

Comment vous êtes arrivé jusqu’ici : lorsque vous envoyez le formulaire de contact ou d’ouverture de compte, le canal par lequel vous êtes entré (par exemple « google », « adsandnexus » ou « direct »), le domaine ou l’étiquette du lien sur lequel vous avez cliqué, et la page de secteur par laquelle vous êtes entré, le cas échéant. Cela permet de savoir quels canaux nous amènent des clients. Pour l’obtenir, rien n’est enregistré dans votre navigateur : cela se déduit à l’arrivée, reste uniquement dans la mémoire de la page pendant la durée de la visite, et n’est envoyé que si vous envoyez le formulaire.

04 Base juridique

Exécution du contrat, pour fournir le service et le facturer.

Respect d’obligations légales, en matière fiscale et comptable.

Intérêt légitime, pour la sécurité du service et la prévention de la fraude.

Consentement, lorsqu’il est demandé de manière expresse et séparée.

05 Conservation

Les données clients sont conservées pendant toute la durée de la relation puis, ensuite, bloquées pendant les délais de prescription légaux.

Les données hébergées pour le compte d’un établissement sont restituées ou supprimées à la fin, au choix de celui-ci, dans un délai maximum de 30 jours naturels ; s’il ne se prononce pas, elles sont RESTITUÉES et non détruites. Cela est régi par la clause 17 du contrat de sous-traitance.

Délais précis, par catégorie :

· Demandes de renseignements et demandes de devis qui n’aboutissent pas à un contrat : un an au maximum à compter du dernier contact.

· Données de la relation contractuelle et documents commerciaux : pendant toute la relation puis six ans, conformément à l’article 30 du Code de commerce espagnol (Código de Comercio).

· Factures et justificatifs ayant des effets fiscaux : quatre ans à compter de la fin du délai de déclaration, conformément à la loi générale fiscale espagnole (Ley General Tributaria).

· Journal d’audit et traces d’accès AU SYSTÈME (qui entre dans le programme, depuis où et ce qu’il fait) : douze mois, sauf si elles doivent être conservées plus longtemps pour établir un incident de sécurité.

· Contrôle des entrées et sorties des personnes gérées par un établissement (qui accède au local et quand, que la personne soit identifiée à la main ou avec sa carte) : ce ne sont PAS des traces du système, mais des données de l’établissement. Elles sont conservées par l’établissement, qui décide de leur durée conformément au point suivant. Kommyt ne les supprime pas de sa propre initiative.

· Données hébergées pour le compte d’un établissement : celles que cet établissement décide, selon le point précédent ; Kommyt ne les conserve pas de sa propre initiative au-delà de ces 30 jours.

Une fois les délais écoulés, les données sont supprimées ou anonymisées de telle manière que personne ne puisse plus être identifié.

06 Destinataires et sous-traitants

Les données ne sont ni vendues ni cédées à des tiers à des fins commerciales.

Les prestataires intervenants sont répertoriés un par un, avec leur finalité et leur localisation, dans l’Annexe II du contrat de sous-traitance, que vous pouvez consulter dans le présent espace juridique.

En résumé : l’hébergement de la base de données, toujours actif ; le dépôt de fichiers, le courrier électronique et les fournisseurs d’intelligence artificielle, DÉSACTIVÉS par défaut et en service seulement si l’établissement les configure.

Aucun outil d’analyse, de publicité ni de télémétrie de tiers n’est utilisé.

07 Transferts internationaux

Le courrier électronique et les fournisseurs d’intelligence artificielle sont établis aux États-Unis. Ces deux services sont désactivés par défaut : tant que l’établissement ne les active pas, aucune donnée ne sort de l’Espace économique européen par cette voie.

Aucun transfert n’est effectué sans être couvert par un mécanisme valable du chapitre V du RGPD : décision d’adéquation ou clauses contractuelles types. Cette obligation nous incombe et n’est pas reportée sur l’établissement.

L’assistant d’intelligence artificielle n’a PAS accès à la base de données : il ne peut demander que quatre choses précises, et ce sont les quatre.

· D’une personne : son nom, son numéro et le solde de son porte-monnaie.

· D’un produit : son nom et son prix.

· Un tableau de chiffres de l’établissement : la consommation du mois et sa tendance, le nombre de personnes actives, le solde total des porte-monnaie, les produits les plus et les moins vendus, les prochains événements avec leurs places et leurs inscrits, et jusqu’à cinq personnes avec ce qu’elles doivent encore payer et le nombre de jours de retard.

· Et préparer un encaissement, qui n’est PAS enregistré : il reste en attente et est confirmé par une personne à l’écran.

En dehors de cela, ne sont pas accessibles le document d’identité, l’image, l’adresse, la date de naissance ni les notes. Telle est la garantie principale, et elle est intégrée à la conception.

En outre, avant d’envoyer quoi que ce soit, sont masqués du texte les numéros de documents d’identité, les IBAN et cartes, les numéros de téléphone, les courriels, les adresses postales et les dates de naissance que le personnel aurait saisis.

Avec la même franchise que dans le reste de ce document : nous NE POUVONS PAS garantir qu’une donnée de santé rédigée en texte libre par une personne sera détectée automatiquement, car il n’existe aucun moyen fiable de le faire. C’est pourquoi l’assistant avertit à l’écran qu’elle ne doit pas être saisie, et c’est pourquoi ses outils ne lisent pas les champs de notes.

Les données du service sont hébergées intégralement dans l’Espace économique européen : la base de données chez Neon, Inc. (région de Francfort, Allemagne) et les serveurs d’application chez Hetzner Online GmbH (Nuremberg, Allemagne). Pour ces deux prestataires, il n’y a aucun transfert international.

Interviennent en outre deux prestataires américains dans des fonctions accessoires : Cloudflare, Inc. (distribution et protection du trafic) et Resend (envoi de courriers transactionnels). Pour ces deux prestataires s’appliquent les clauses contractuelles types approuvées par la Commission européenne, intégrées à leurs conditions de traitement des données. Dans le cas de Resend, les données du courrier —destinataire, objet, contenu, journaux d’envoi et métadonnées— sont stockées aux États-Unis.

08 Vos droits

Vous pouvez exercer les droits d’accès, de rectification, d’effacement, d’opposition, de limitation et de portabilité, ainsi que retirer le consentement donné.

En écrivant à info@adsandnexus.com, en justifiant de votre identité.

Si vos données figurent dans le CRM d’un établissement qui utilise Kommyt (en tant que client, membre, patient… de celui-ci), adressez-vous d’abord à cet établissement : c’est lui qui décide au sujet de ces données ; Kommyt ne les traite que pour son compte.

Vous pouvez aussi introduire une réclamation auprès de l’Agence espagnole de protection des données (Agencia Española de Protección de Datos, www.aepd.es).

09 Sécurité

Des mesures techniques et organisationnelles appropriées au risque sont appliquées : chiffrement EN TRANSIT (HTTPS), contrôle d’accès par rôles et permissions, isolement des données de chaque établissement au niveau de la base de données, limitation des tentatives d’accès et journal d’audit. L’Annexe III du contrat de sous-traitance les détaille une à une.

Des sauvegardes automatiques quotidiennes sont effectuées. Elles sont chiffrées avant de quitter le serveur et conservées hors de celui-ci ; les sauvegardes des 30 derniers jours sont conservées et les plus anciennes sont effacées automatiquement. Une fois par mois, une sauvegarde réelle est restaurée sur un système isolé pour vérifier qu’une restauration est réellement possible : une sauvegarde qui n’est jamais restaurée n’est pas une sauvegarde, c’est une supposition.

En toute franchise : le chiffrement au repos n’est PAS appliqué au niveau de l’application. Cette carence est déclarée à la clause 10 de ce contrat, avec l’engagement de la corriger. Nous préférons le dire ici plutôt que de laisser quelqu’un le supposer.

Il en découle une conséquence à connaître : lorsque des données sont supprimées, elles disparaissent immédiatement du système, mais elles peuvent subsister dans une sauvegarde jusqu’à l’expiration de celle-ci, au plus tard 30 jours plus tard. Pendant ce temps, elles ne sont utilisées à aucune fin : elles n’existent que pour pouvoir rétablir le service si nécessaire.

Si une violation de la sécurité affectant les données d’un établissement se produit, celui-ci en est informé dans les 24 heures suivant sa connaissance, afin qu’il dispose de la marge nécessaire dans le délai de 72 heures que le RGPD lui accorde pour notifier l’Agence espagnole de protection des données.