Politique de confidentialité

1. Qui est le responsable du traitement

Le responsable du traitement des données décrites dans cette politique est CIRCULARWARE S.R.L., dont le siège est à Via dell'Ospedale 16, 12062 Cherasco (CN), Italia, N° de TVA 04067220048.

Pour toute demande concernant vos données personnelles, écrivez à info@circularware.it ou à l'adresse PEC (courrier électronique recommandé) circularwaresrl@pro-pec.it.

Nous n'avons pas désigné de délégué à la protection des données (DPO). [[À VÉRIFIER : art. 37 RGPD, point 16]]

2. À qui elle s'adresse

Cette politique concerne :

• les personnes qui visitent le site public et celles qui font le test gratuit ;
• les personnes qui s'inscrivent, acceptent une invitation ou travaillent sur SCDD pour une entreprise ou pour un cabinet de conseil ;
• les personnes qui reçoivent une invitation par e-mail ;
• les personnes qui saisissent leurs données de facturation et paient un plan.

Elle ne concerne pas les données personnelles que les entreprises déposent sur SCDD pour leur activité, comme les documents contenant les données de leurs salariés : pour celles-ci, le responsable du traitement est l'entreprise, qui doit informer les personnes, et nous les traitons pour son compte (section 4).

3. Quelles données nous traitons

Nous traitons ces données :

• données du compte : prénom, nom, adresse e-mail, langue choisie, date et version des conditions acceptées, date de l'approbation spécifique des clauses, date de la première connexion, encadrés d'aide que vous avez fermés, entreprises dont vous faites partie avec votre rôle et, pour la sécurité, tentatives de connexion échouées. Du mot de passe, nous ne conservons qu'une empreinte qui ne permet pas de retrouver le mot de passe ;
• données de l'entreprise : raison sociale, pays, numéro de TVA ou identifiant fiscal, nombre de salariés, sites de production avec leur adresse et réponses aux questions sur l'entreprise. Si l'entreprise est une entreprise individuelle, ce sont aussi vos données ;
• la campagne d'où vous vous êtes inscrit : si le lien utilisé contenait les paramètres d'une campagne (utm_source, utm_medium, utm_campaign), nous les enregistrons avec les données de l'entreprise au moment de l'inscription. Nous n'enregistrons rien d'autre sur le parcours effectué sur le site ;
• ce que vous faites dans l'espace de l'entreprise : qui a déposé un document, envoyé une auto-évaluation, répondu à une question, créé une question ou une checklist, archivé une checklist ou l'a demandée à un fournisseur, accordé un partage ou une délégation, rédigé une justification ou clôturé une action, et quand ; les actions du plan d'amélioration dont vous êtes responsable ;
• le contenu du dossier et de la capacité de production, lorsqu'il contient des données vous concernant ;
• invitations, délégations et partages : l'adresse e-mail de la personne invitée et de celle qui l'a invitée, les entreprises liées comme clients, fournisseurs ou cabinets de conseil, et le journal des accès aux dossiers partagés, qui indique quelle personne d'un client, avec prénom et nom, a ouvert un dossier ou le résultat d'une checklist, ou téléchargé un fichier ou un rapport, et quand ;
• données de facturation et de paiement : raison sociale, numéro de TVA, code fiscal, code destinataire ou adresse PEC, adresse du siège, e-mail de la personne qui paie, plan choisi, état de l'abonnement et, pour chaque paiement, montant HT, TVA, total et une copie des données de facturation à ce moment-là. Les données de la carte ne passent pas par nous : elles sont gérées par Stripe ;
• les visites du site public, uniquement sous forme de comptages agrégés par jour : la page vue, la langue, le domaine du site d'où vous arrivez (pas l'adresse complète) et, si le lien les contient, les paramètres de campagne (utm_source, utm_medium, utm_campaign). Nous n'enregistrons ni adresse IP ni autre identifiant et nous n'utilisons pas de cookies : nous ne pouvons pas vous reconnaître d'une visite à l'autre. Du test gratuit, nous comptons seulement qu'il a été terminé ;
• l'adresse IP, pour limiter les tentatives répétées sur les formulaires de connexion, d'inscription et du test gratuit : nous l'utilisons en mémoire pendant une minute, sans l'enregistrer. Elle peut apparaître dans les journaux techniques du serveur [[À COMPLÉTER avec la configuration du serveur Aruba : quels journaux et pendant combien de temps]] ;
• les e-mails que vous nous écrivez, par exemple pour demander une assistance.

Les réponses au test gratuit du site ne sont pas enregistrées.

4. Les données que les entreprises déposent pour leur activité

Les entreprises déposent sur SCDD des données d'autres personnes : surtout les documents demandés par le référentiel contenant les données de leurs salariés (fiches de paie, pièces d'identité et permis de travail, visites médicales, contrats, relevés de présence, sanctions disciplinaires, registres des réclamations), mais aussi des noms de personnes dans d'autres documents, dans les notes, dans les commandes et dans les réponses aux checklists.

Pour ces données, le responsable du traitement est l'entreprise qui les dépose. Nous sommes sous-traitant : nous ne les traitons que pour son compte et selon ses instructions, pour les conserver et les montrer à qui l'entreprise autorise, comme le prévoit l'Accord de traitement des données. Pour exercer vos droits sur ces données, adressez-vous à l'entreprise ; si vous nous écrivez, nous lui transmettons la demande.

Les fichiers des types de documents contenant des données personnelles de salariés ne sont jamais montrés aux clients de l'entreprise, qui n'en voient que l'existence, l'état et les dates. Ils sont vus par les personnes de l'entreprise et par celles des cabinets de conseil auxquels l'entreprise a donné une délégation.

Les déposer n'est pas obligatoire : pour ces documents, l'entreprise peut déclarer les avoir et ne les montrer que lors de l'audit, et c'est le choix que SCDD propose.

5. Pourquoi nous les traitons et sur quelle base

Nous traitons les données pour ces finalités :

• créer et gérer le compte et fournir le service, y compris les e-mails de service comme la confirmation de l'adresse et le nouveau mot de passe : pour exécuter le contrat avec vous, si le client c'est vous (par exemple une entreprise individuelle), ou pour l'intérêt légitime, le nôtre et celui de l'entreprise pour laquelle vous travaillez, à exécuter le contrat avec elle ;
• envoyer une invitation qu'une entreprise vous a adressée et vous reconnaître si vous l'acceptez : intérêt légitime de l'entreprise qui invite et le nôtre à faire fonctionner les invitations. Votre adresse ne sert qu'à cela ;
• montrer à une entreprise lesquels de ses clients ont ouvert son dossier partagé ou le résultat d'une checklist : intérêt légitime de l'entreprise à savoir qui voit ses données et le nôtre à sécuriser les partages ;
• gérer les paiements et les factures et respecter les obligations fiscales et comptables : exécution du contrat et obligation légale ;
• protéger le service contre les abus et les accès non autorisés et résoudre les problèmes techniques : intérêt légitime ;
• comprendre combien de personnes visitent le site public et d'où elles viennent, avec des comptages agrégés qui n'identifient personne, et quelles campagnes apportent de nouvelles inscriptions, en enregistrant la campagne du lien depuis lequel vous vous êtes inscrit : intérêt légitime ;
• défendre un droit en justice, si nécessaire : intérêt légitime.

Nous ne vendons pas les données, nous ne les utilisons pas pour de la publicité et nous ne vous envoyons pas d'e-mails promotionnels.

Les données signalées comme obligatoires dans les formulaires servent à s'inscrire et à payer : sans elles, nous ne pouvons pas vous fournir le service.

6. D'où viennent les données

La plupart des données sont saisies par vous. Certaines viennent d'autres sources :

• votre adresse e-mail, si vous êtes invité, est saisie par la personne qui vous invite, avec le nom de son entreprise ;
• les données d'une entreprise créée par un cabinet de conseil sont saisies par le cabinet ;
• le journal des accès est écrit par SCDD lorsqu'une personne d'un client ouvre un dossier ou le résultat d'une checklist, ou télécharge un fichier ou un rapport ;
• Stripe nous communique l'état des paiements, des abonnements et des factures.

7. Avec qui nous les partageons

Nous ne partageons les données que dans ces cas :

• avec les personnes de votre entreprise : vos collègues voient votre nom, votre rôle et ce que vous avez fait dans l'espace de l'entreprise ;
• avec d'autres entreprises, si l'entreprise pour laquelle vous travaillez le décide : un client avec lequel le dossier est partagé voit les données auxquelles il a droit ; un cabinet de conseil disposant d'une délégation voit ce que voit un collègue ayant le rôle choisi ; la charge des lignes de production n'est vue que par les clients à qui l'entreprise choisit de la montrer, en pourcentage par semaine et avec le motif des surcharges justifiées, sans commandes, noms de clients ni notes. L'entreprise qui partage le dossier voit le prénom et le nom des personnes du client qui l'ouvrent ;
• avec les prestataires qui nous aident à faire fonctionner le service, en tant que sous-traitants : Aruba S.p.A. pour les serveurs sur lesquels fonctionne SCDD, Microsoft (Azure) pour l'archive des fichiers téléversés, Twilio SendGrid pour l'envoi des e-mails et Stripe pour les paiements. Stripe reçoit la raison sociale, l'adresse du siège, le numéro de TVA et l'e-mail de la personne qui paie, en plus des données que vous saisissez sur ses pages. Pour certains traitements, comme la prévention de la fraude et les obligations de lutte contre le blanchiment, Stripe est responsable du traitement autonome : les règles figurent dans sa politique de confidentialité ;
• avec l'expert-comptable qui émet les factures électroniques, et qui reçoit chaque mois la liste des paiements avec les données de facturation [[À DÉCIDER : comme sous-traitant ou comme responsable du traitement autonome, point 14]] ;
• avec les personnes de CircularWare qui gèrent le service, autorisées et tenues à la confidentialité : les personnes qui administrent la plateforme voient les paiements, les données de facturation et les statistiques agrégées, pas les dossiers des entreprises ;
• avec les autorités, lorsque la loi l'exige.

8. Transferts hors de l'Espace économique européen

Twilio SendGrid fait partie de Twilio Inc., aux États-Unis : les e-mails de service (adresse, objet et texte) transitent par ses serveurs aux États-Unis. Le transfert repose sur la décision d'adéquation de la Commission européenne relative au Data Privacy Framework UE-États-Unis et sur les clauses contractuelles types de l'accord avec Twilio. [[À VÉRIFIER : adhésion de Twilio au Data Privacy Framework et clauses de son DPA]]

Stripe nous fournit le service par l'intermédiaire de Stripe Payments Europe, Limited, en Irlande ; certaines données peuvent être traitées par Stripe, Inc. aux États-Unis, avec les mêmes garanties. [[À VÉRIFIER dans le DPA de Stripe]]

Les données de SCDD sont conservées sur des serveurs d'Aruba S.p.A., dans un centre de données situé à [[À CONFIRMER : lieu du centre de données ; s'il se trouvait hors de l'EEE, les garanties du chapitre V seraient nécessaires]] ; les fichiers téléversés dans le dossier sur Microsoft Azure, dans un centre de données de la région [[À CONFIRMER : région Azure, dans l'EEE ; vérifier dans le DPA de Microsoft les garanties pour d'éventuels accès depuis les États-Unis]].

SCDD est également ouvert à des entreprises d'Albanie, de Tunisie et de Turquie : si votre entreprise travaille avec elles, ce qu'elle décide de montrer, y compris les noms figurant dans le journal des accès, parvient dans ces pays.

9. Combien de temps nous les conservons

Nous conservons les données pendant ces durées [[À DÉCIDER : propositions, point 13]] :

• données du compte : tant que le compte existe ; après la clôture, nous les supprimons dans un délai de 30 jours. Nous conservons pendant 10 ans uniquement l'adresse e-mail avec la date et la version des conditions acceptées, comme preuve du contrat ;
• données de l'entreprise et contenu du dossier : pendant la durée du contrat, puis comme le prévoit la section 19 des conditions (30 jours pour en demander une copie, suppression dans les 30 jours suivants) ;
• invitations non acceptées : 90 jours à compter de l'expiration ou de la révocation ;
• journal des accès aux dossiers et aux checklists partagés : 24 mois à compter de l'accès ;
• campagne d'inscription : tant que l'entreprise existe ;
• données de facturation et de paiement : 10 ans à compter du dernier paiement, comme l'exigent les règles fiscales et civiles ;
• e-mails d'assistance : 24 mois à compter du dernier message ;
• journaux techniques du serveur : [[À COMPLÉTER avec la configuration du serveur Aruba, proposition 90 jours]] ;
• copies de sauvegarde : [[À COMPLÉTER : où elles sont réalisées (chez Aruba ou ailleurs), proposition 30 jours en rotation]].

Les comptages des visites ne sont pas des données personnelles et nous les conservons pour les statistiques.

Si vous demandez la suppression, nous supprimons les données que nous ne devons pas conserver en vertu d'une obligation légale.

10. Scores et décisions automatisées

SCDD calcule automatiquement les scores, les niveaux et la préparation à l'audit d'une entreprise à partir des réponses et des documents que l'entreprise saisit, et les montre aux clients avec lesquels elle partage le dossier ; pour la checklist d'un client, avec les règles choisies par ce client. Ils concernent l'entreprise et non les personnes. Nous ne prenons aucune décision vous concernant : les décisions sont prises par l'entreprise et ses clients, sous leur responsabilité. Le guide explique comment ils sont calculés.

11. Vos droits

Vous pouvez demander l'accès à vos données, leur rectification, leur effacement, la limitation du traitement et la portabilité, et vous pouvez vous opposer à tout moment au traitement fondé sur l'intérêt légitime. Écrivez à info@circularware.it : nous répondons dans un délai d'un mois.

Pour les données qu'une entreprise a déposées pour son activité, les droits s'exercent auprès de l'entreprise (section 4).

Si vous pensez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'autorité italienne de protection des données (Garante per la protezione dei dati personali) ou de l'autorité de contrôle du pays où vous vivez ou travaillez.

12. Comment nous protégeons les données

Le site n'utilise que des connexions chiffrées (HTTPS) et nous ne conservons des mots de passe qu'une empreinte. On ne se connecte qu'avec l'adresse e-mail confirmée et, après 5 tentatives erronées, l'accès est bloqué pendant 15 minutes.

Les données de chaque entreprise sont séparées de celles des autres, les fichiers déposés ne sont pas publics et ne peuvent être téléchargés que par des personnes autorisées, et les accès des clients aux dossiers et aux checklists partagés sont enregistrés.

Les e-mails de SCDD n'enregistrent ni si vous les ouvrez ni sur quoi vous cliquez.

13. Cookies, statistiques et modifications

SCDD n'utilise que des cookies techniques : les détails figurent sur la page Cookies. Les statistiques de visites n'en utilisent aucun et n'enregistrent rien sur votre appareil ; la campagne du lien d'où vous arrivez reste elle aussi seulement dans l'adresse des pages, jusqu'à l'inscription.

Si nous modifions cette politique de manière substantielle, nous vous le disons par e-mail avant son entrée en vigueur. La version en vigueur est indiquée en bas de page ; celle que vous acceptez en vous inscrivant est enregistrée avec votre compte.

Version 2026-10-16.