Politique de confidentialité

EMVB SARL (ci-après « Vygie », « nous ») accorde une importance particulière à la protection des données personnelles de ses utilisateurs. La présente politique explique quelles données sont collectées, à quelles fins, sur quelle base légale, avec qui elles sont partagées et quels sont vos droits, conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés.

1. Responsable du traitement

EMVB SARL — 33 rue de la République, 69002 Lyon — SIREN 829 338 342 — représentée par son gérant Maxence Beno. Contact : support@influcom.fr.

Vygie n'a pas désigné de Délégué à la Protection des Données (DPO), cette désignation n'étant pas obligatoire au regard de la nature de nos traitements et de notre taille (article 37 du RGPD). Toute demande relative à vos données peut être adressée directement à l'adresse ci-dessus.

2. Données collectées et finalités

2.1 Données de compte

Lors de la création de votre compte et tout au long de l'utilisation du service :

• Nom, prénom, adresse email, mot de passe (haché avec bcrypt, jamais stocké en clair).
• Nom de l'organisation (raison sociale, identifiant interne).
• Date de création et de dernière connexion.

Finalité : exécution du contrat (création et gestion du compte, authentification, communication relative au service). Base légale : article 6.1.b du RGPD (exécution d'un contrat). Durée de conservation : pendant toute la durée d'activité du compte. Voir aussi la section 6.

2.2 Données métier importées (CSV)

Vygie permet d'importer des fichiers CSV contenant des données métier (références produits, ventes, tickets SAV, niveaux de stock). Ces fichiers peuvent contenir, selon leur contenu :

• Des références internes (SKU, codes produits) — généralement non personnelles.
• Des identifiants de commande, dates d'événement, montants, motifs de SAV. Selon leur contenu, ces données peuvent comporter des informations relatives à des personnes physiques (nom client, email client, adresse de livraison) si elles figurent dans les exports fournis par l'utilisateur.

Finalité : traitement, normalisation, calcul de métriques et génération d'alertes pour le compte du client. Base légale : article 6.1.b du RGPD (exécution d'un contrat). Vygie agit alors comme sous-traitant au sens de l'article 28 du RGPD pour le compte de son client (responsable de traitement). Le client demeure responsable de la licéité des données qu'il importe. Durée de conservation : tant que le compte est actif. Suppression immédiate en cas de résiliation (cf. section 6).

2.3 Données de facturation

Lors de la souscription à un abonnement payant : email de facturation, identifiant Stripe, statut d'abonnement, dates de période. Le traitement des paiements est intégralement délégué à Stripe (cf. section 4) ; Vygie ne stocke aucune donnée de carte bancaire.

Finalité : facturation, conformité comptable. Base légale : article 6.1.b et 6.1.c (obligation légale comptable). Durée de conservation : 10 ans après la fin du contrat (obligations comptables et fiscales — article L.123-22 du Code de commerce).

2.4 Données techniques et de connexion

Logs serveur (adresses IP, user-agent, dates de requêtes, identifiants de session). En cas d'erreur applicative, ces logs sont transmis à Sentry à des fins de diagnostic technique.

Finalité : sécurité du service, diagnostic, prévention de la fraude. Base légale : article 6.1.f (intérêt légitime). Durée de conservation : 90 jours.

2.5 Cookies et mesure d'audience

Voir la Politique cookies pour le détail.

3. Destinataires de vos données

Vos données ne sont jamais vendues. Elles peuvent être consultées par les collaborateurs habilités d'EMVB SARL dans le cadre strict de leurs missions, et sont transmises aux sous-traitants techniques listés ci-après uniquement pour les besoins du service.

4. Sous-traitants et hébergeurs

Vygie a recours aux sous-traitants suivants, tous engagés contractuellement à respecter le RGPD (Data Processing Agreement). Pour les sous-traitants situés hors Union européenne, les transferts sont encadrés par les Clauses Contractuelles Types (SCC) de la Commission européenne, complétées par les mesures techniques appropriées (chiffrement en transit et au repos).

• Vercel Inc. (États-Unis) — Hébergement de l'interface web. Centres de données utilisés en région européenne (Frankfurt). Transfert encadré par les SCC.
• Railway Corp. (États-Unis) — Hébergement de l'API et des workers de traitement. Transfert encadré par les SCC.
• Neon Inc. (États-Unis) — Base de données PostgreSQL. Données stockées en Union européenne (Frankfurt, eu-central-1). Transfert encadré par les SCC pour les opérations de support.
• Scaleway SAS (France) — Stockage des fichiers CSV importés (région Paris, fr-par). Sous-traitant français, aucun transfert hors UE.
• Stripe Payments Europe Ltd. (Irlande) avec Stripe Inc. (États-Unis) — Traitement des paiements. Vygie ne stocke aucune donnée de carte. Transfert vers les États-Unis encadré par les SCC.
• Sendinblue / Brevo SAS (France) — Envoi des emails transactionnels (bienvenue, réinitialisation de mot de passe, notifications d'import). Sous-traitant français.
• Sentry (Functional Software, Inc.) (États-Unis) — Diagnostic des erreurs techniques applicatives. Transfert encadré par les SCC.
• Google LLC (États-Unis), via Google Tag Manager et Google Analytics 4 — Mesure d'audience anonymisée, uniquement avec consentement. Transfert encadré par les SCC.

5. Sécurité

Mesures techniques et organisationnelles mises en œuvre :

• Chiffrement en transit (HTTPS / TLS 1.3) sur l'ensemble des échanges.
• Chiffrement au repos sur la base de données et le stockage S3.
• Hachage des mots de passe avec bcrypt (cost factor 12).
• Cloisonnement strict par locataire (multi-tenant) au niveau de la base de données.
• Authentification par jeton JWT signé, expiration sous 12 heures.
• Sauvegardes quotidiennes de la base de données + point-in-time recovery.
• Accès des collaborateurs limité au strict nécessaire (principe du moindre privilège).

6. Durées de conservation

• Compte actif : données conservées tant que le compte est actif.
• Données métier importées (CSV, normalisées) : suppression immédiate en cas de résiliation du compte. Aucune rétention au-delà de la fin du contrat.
• Compte résilié : suppression immédiate des données utilisateur et des fichiers importés. Conservation des seules données comptables (factures) pour la durée légale (10 ans).
• Compte inactif (sans connexion depuis 24 mois) : notification par email puis suppression du compte si absence de réponse.
• Logs techniques : 90 jours.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (article 15) — Obtenir une copie des données vous concernant.
• Droit de rectification (article 16) — Corriger des données inexactes (modifiables également depuis votre espace, page Paramètres).
• Droit à l'effacement (article 17) — Demander la suppression de vos données. La résiliation de votre compte entraîne automatiquement cette suppression.
• Droit à la limitation du traitement (article 18).
• Droit à la portabilité (article 20) — Récupérer vos données dans un format structuré (CSV, JSON).
• Droit d'opposition (article 21) — Pour les traitements fondés sur l'intérêt légitime.
• Droit de retirer votre consentement à tout moment, sans que cela n'affecte la licéité du traitement antérieur.
• Droit de définir des directives sur le sort de vos données après votre décès.

Pour exercer ces droits, écrivez-nous à support@influcom.fr. Nous vous répondrons dans un délai maximum d'un mois (prolongeable de deux mois en cas de demande complexe).

8. Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France.
• www.cnil.fr

9. Modifications de la politique

La présente politique est susceptible d'évoluer. La date de dernière mise à jour est indiquée en haut de la page. En cas de modification substantielle, les utilisateurs sont informés par email ou via une notification dans l'application.