Confidentialite et cookies
Derniere mise a jour :
Responsable du traitement
- Responsable
- BarroTech (SASU), SIREN 105973119
- Adresse
- 47 rue Vivienne, 75002 Paris, France
- Contact
- contact@barrotech.fr
Lorsque BarroTech heberge les donnees d une organisation cliente dans le cadre d une prestation, elle agit comme sous traitante au sens de l article 28 du RGPD, le client restant responsable de traitement pour les contenus qu il depose.
Donnees traitees
| Categorie | Donnees | Origine |
|---|---|---|
| Compte | Adresse email, nom affiche, image de profil si fournie par le fournisseur d identite, identifiant technique | Fournies par la personne ou par Google ou Microsoft lors de la connexion |
| Organisation | Rattachement a une organisation, role, invitations emises et acceptees | Creees par un administrateur |
| Contenus | Projets, taches, documents deposes, indicateurs | Deposes par les utilisateurs |
| Journal d audit | Action realisee, type et identifiant de la ressource, horodatage, identifiant de requete, condensat a cle de l adresse IP | Generes automatiquement |
| Evenements de securite | Type d evenement, gravite, description expurgee, horodatage | Generes automatiquement |
Les adresses IP ne sont jamais conservees en clair. Seul un condensat calcule avec une cle secrete est enregistre. Il permet de rapprocher plusieurs evenements entre eux, sans permettre de retrouver l adresse d origine.
Aucune donnee sensible au sens de l article 9 du RGPD n est demandee. Il appartient au client de ne pas en deposer dans les documents.
Finalites et bases legales
| Finalite | Base legale | Conservation |
|---|---|---|
| Fournir l acces au portail et aux contenus | Execution du contrat | Duree de la relation contractuelle |
| Securiser le service, tracer les actions sensibles, prevenir les abus | Interet legitime a proteger le service et ses utilisateurs | 12 mois |
| Gerer les invitations | Execution du contrat | 90 jours apres expiration ou revocation |
| Respecter les obligations comptables et legales | Obligation legale | Selon la duree legale applicable |
La suppression des journaux et des invitations echues est automatique, executee chaque nuit par une tache planifiee dans la base. Il ne s agit pas d une intention mais d un mecanisme en place.
Destinataires et sous traitants
| Prestataire | Role | Localisation |
|---|---|---|
| Supabase | Authentification, base de donnees, stockage des documents | Union europeenne, region eu-central-1 (Francfort, Allemagne) |
| Netlify, Inc. | Hebergement de l application et diffusion | Etats-Unis |
| IONOS | Nom de domaine et messagerie | France |
Les donnees applicatives, comptes et documents compris, sont stockees dans l Union europeenne. L hebergement de l application fait intervenir un prestataire etabli aux Etats-Unis, ce qui implique un transfert hors Union europeenne encadre par les garanties contractuelles de ce prestataire.
Aucune donnee n est vendue, louee ni transmise a des fins publicitaires.
Cloisonnement entre organisations
Chaque organisation cliente ne voit que ses propres donnees. Ce cloisonnement est applique par la base de donnees elle meme, et non seulement par l interface : une requete qui viserait les donnees d une autre organisation ne renvoie rien. Les documents sont stockes dans un espace prive et ne sont accessibles que par un lien signe, valable une minute, emis apres verification des droits.
Vos droits
Vous disposez des droits d acces, de rectification, d effacement, de limitation, d opposition et de portabilite sur vos donnees.
- Exercice des droits : ecrivez a contact@barrotech.fr en precisant votre demande.
- Delai de reponse : un mois, prolongeable de deux mois si la demande est complexe.
- Si vous etes utilisateur d un espace client, adressez vous d abord a l administrateur de votre organisation, qui peut retirer votre acces et supprimer vos contenus.
- Vous pouvez introduire une reclamation aupres de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur cnil.fr.
La suppression d un compte entraine celle de son profil et de ses rattachements. Les entrees du journal d audit le concernant sont conservees sans lien avec son identite, le temps de la duree annoncee, afin de preserver la valeur probante du journal.
Securite
- Communications chiffrees de bout en bout du navigateur au serveur.
- Authentification deleguee a un fournisseur specialise, sans mecanisme maison.
- Cloisonnement applique par la base de donnees, verifie par des tests automatises a chaque modification.
- Documents en stockage prive, accessibles uniquement par lien signe de courte duree.
- Journalisation des actions sensibles, non modifiable depuis un compte utilisateur.
- Secrets serveurs inaccessibles au navigateur, verifie automatiquement a chaque publication.
En cas de violation de donnees presentant un risque pour les personnes concernees, BarroTech notifie la CNIL dans les 72 heures et informe les personnes concernees lorsque le risque est eleve.
Modifications
Cette politique peut evoluer avec le service. La date de derniere mise a jour figure en haut de page. Les mentions legales completent le present document.