Informations légales
Politique de confidentialité
Les données que nous traitons, pourquoi, pour combien de temps, et ce que vous pouvez exiger à tout moment.
Ce que couvre ce document
Comiror est une plateforme professionnelle de gestion, de partage et de validation de fichiers techniques, destinée aux bureaux d'études, aux dessinateurs et à leurs clients. Ce document décrit comment nous traitons les données personnelles, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés modifiée.
Deux situations doivent être distinguées, parce qu'elles n'engagent pas les mêmes responsabilités :
- Les données de votre compte et de votre organisation : identité, connexion, facturation, journaux techniques. Nous en décidons les finalités et les moyens : nous en sommes responsable du traitement. C'est l'objet de la présente politique.
- Les données contenues dans les fichiers et les fiches que vous déposez : les coordonnées de vos propres clients, par exemple. Nous les hébergeons et les traitons pour votre compte, sur vos instructions : nous en sommes sous-traitant au sens de l'article 28 du RGPD, et vous en restez responsable. Nos engagements à ce titre figurent sous Protection des données personnelles, dans les conditions d'utilisation.
Responsable du traitement
Julien RIAND, entrepreneur individuel, exerçant sous le nom commercial Comiror
Cognac, France
SIREN : 884 705 542
Contact : rgpd@comiror.com
Compte tenu de la nature et du volume des traitements, la désignation d'un délégué à la protection des données n'est pas requise (article 37 du RGPD). Les demandes relatives à vos données sont traitées à l'adresse ci-dessus.
Données traitées
Compte et organisation
- Adresse électronique, qui sert d'identifiant de connexion
- Nom et prénom, utilisés pour l'affichage et la signature
- Mot de passe, conservé sous forme de condensat et jamais en clair
- Date d'inscription et date de dernière connexion
- Organisations auxquelles vous appartenez, et votre rôle dans chacune
- Préférences d'affichage et de notification
Contenus et usage
- Les contenus que vous créez : fichiers déposés, clients, affaires, dossiers, annotations, notes, tâches, commentaires et mises en plan
- Les données techniques nécessaires au fonctionnement : adresse IP, identifiant de session, navigateur, horodatage des actions
- Les erreurs applicatives, transmises à notre outil de supervision, configuré pour ne joindre aucune donnée personnelle aux rapports
Signature électronique
Lorsqu'une signature est apposée, nous conservons le faisceau de preuves qui lui donne sa valeur : nom, prénom, adresse électronique, adresse IP au moment de la signature, navigateur, mention manuscrite, empreinte du document signé et horodatage serveur. Ces éléments ne servent qu'à établir qui a signé quoi, et quand.
Finalités, bases légales et durées
| Finalité | Base légale | Durée de conservation |
|---|---|---|
| Fourniture du service : compte, organisations, collaboration | Exécution du contrat (art. 6.1.b) | Durée de l'abonnement, puis 30 jours |
| Hébergement des fichiers et des fiches que vous déposez | Exécution du contrat (art. 6.1.b) | Jusqu'à leur suppression par vous, puis 30 jours en corbeille avant purge |
| Sécurité du service et prévention des abus | Intérêt légitime (art. 6.1.f) | 12 mois |
| Conservation des preuves de signature électronique | Intérêt légitime (art. 6.1.f) : constituer et défendre une preuve, pour vous comme pour nous | 10 ans à compter de la signature |
| Facturation et obligations comptables | Obligation légale (art. L123-22 du Code de commerce) | 10 ans |
| Messages de service liés à votre compte | Exécution du contrat (art. 6.1.b) | Durée de l'abonnement |
| Mesure d'audience et d'usage | Intérêt légitime (art. 6.1.f) : maintenir et améliorer le service | 13 mois au plus |
Sous-traitants
Nous faisons appel à des prestataires techniques pour héberger et opérer le service. Chacun est lié par un accord de traitement conforme à l'article 28 du RGPD et n'intervient que dans le périmètre décrit ci-dessous.
| Sous-traitant | Rôle | Localisation des données |
|---|---|---|
| Supabase | Base de données et authentification | Allemagne (Francfort) |
| Cloudflare R2 | Stockage des fichiers que vous déposez | Union européenne (juridiction de stockage restreinte à l'UE) |
| Vercel | Hébergement de l'application web et des fonctions serveur | Allemagne (Francfort) |
| Hetzner | Conversion des fichiers de conception assistée par ordinateur | Finlande (Helsinki) |
| Sentry | Supervision des erreurs applicatives | Union européenne (Francfort) |
| PostHog | Mesure d'audience et d'usage | Union européenne |
| Cloudflare | Nom de domaine, résolution DNS et protection réseau | Réseau mondial |
| Resend | Envoi des messages électroniques de service | États-Unis |
Les fichiers que vous déposez et la base de données qui les décrit sont hébergés dans l'Union européenne. Nous vous informons de tout changement de sous-traitant affectant l'hébergement de vos données, dans les conditions prévues sous Modifications.
Transferts hors de l'Union européenne
La base de données, le stockage de vos fichiers, l'exécution de l'application, la conversion des fichiers de conception et la mesure d'audience sont tous localisés dans l'Union européenne.
Deux prestataires relèvent d'une organisation établie aux États-Unis : Resend, qui achemine les messages électroniques de service, et Cloudflare, pour la résolution DNS et la protection réseau. Les données concernées se limitent aux éléments d'acheminement : adresse de destination, objet et contenu du message pour l'un, métadonnées de connexion pour l'autre. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, lorsque le prestataire y est certifié, par la décision d'adéquation du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis.
Vos droits
Les articles 15 à 22 du RGPD vous ouvrent les droits suivants :
- Accès et rectification : votre profil est modifiable depuis Paramètres → Profil.
- Portabilité (art. 20) : vous exportez l'ensemble de vos données dans un format structuré et lisible par machine depuis Paramètres → Mes données.
- Effacement (art. 17) : vous demandez la suppression de votre compte depuis Paramètres → Mes données. La section Suppression de votre compte en détaille les effets.
- Opposition et limitation (art. 21 et 18) : pour les traitements fondés sur l'intérêt légitime, notamment la mesure d'usage, écrivez-nous à l'adresse indiquée sous Contact.
- Réclamation : vous pouvez saisir la CNIL à tout moment (www.cnil.fr).
Nous répondons dans un délai d'un mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois si la demande est complexe ; nous vous en informons alors dans le premier mois (article 12.3 du RGPD).
Suppression de votre compte
La suppression d'un compte ouvre un délai de grâce de 30 jours, pendant lequel la demande reste annulable. À son terme, nous appliquons trois traitements distincts.
- Vos données personnelles directes : adresse électronique, nom, mot de passe, adresse IP, dernière connexion : effacées.
- Vos contributions dans des espaces partagés : fichiers, fiches, notes et tâches créés au sein d'organisations dont vous êtes membre : votre lien d'auteur est anonymisé et les contributions restent visibles aux autres membres sous la mention « Utilisateur supprimé ». Sans cela, la suppression d'un compte ferait disparaître le travail commun d'une équipe.
- Les preuves de signature électronique : conservées 10 ans. Votre nom et votre adresse électronique y restent attachés : les détacher priverait la signature de sa valeur probante, y compris pour vous. L'article 17.3(e) du RGPD prévoit expressément cette limite au droit à l'effacement lorsque la conservation est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice. Au terme des 10 ans, ces éléments sont purgés.
Cookies et mesure d'audience
Comiror ne dépose que des cookies strictement nécessaires à son fonctionnement : maintien de votre session et préférences d'affichage. Aucun cookie publicitaire, aucun traceur tiers. À ce titre, votre consentement préalable n'est pas requis (article 82 de la loi Informatique et Libertés).
Nous mesurons la fréquentation du site public et l'usage des fonctionnalités du service pour comprendre ce qui sert et améliorer le produit. Sur le site public, cette mesure ne dépose ni cookie ni aucune autre information sur votre appareil, ne permet pas de vous suivre d'un site à l'autre et n'alimente aucune publicité. Les statistiques y sont anonymes : aucun identifiant persistant n'est associé à votre visite.
Dans votre espace connecté, la mesure d'usage est rattachée à votre identifiant de compte et repose sur l'intérêt légitime (article 6.1.f). Elle se limite à des identifiants techniques et à des catégories d'actions : aucun contenu que vous saisissez (nom de fichier, intitulé d'affaire, message) n'y figure. Ni l'enregistrement de session ni la capture automatique des interactions ne sont activés. Vous pouvez vous opposer à ce traitement en nous écrivant à l'adresse indiquée sous Contact.
Sécurité
Les données circulent chiffrées (HTTPS, TLS 1.3) et sont chiffrées au repos chez nos hébergeurs. Les mots de passe sont conservés sous forme de condensat et ne sont jamais stockés en clair. L'accès aux données est contrôlé au niveau de la base par des politiques de sécurité au niveau des lignes : une requête ne peut atteindre que les données auxquelles votre compte a droit, et les octets des fichiers ne sont servis que par des adresses signées à durée limitée, après vérification de ce droit. Les accès au stockage sont journalisés. La signature électronique repose sur un faisceau de preuves (horodatage, adresse IP, mention manuscrite et empreinte du document), recevable au titre du règlement eIDAS.
Violation de données
En cas de violation de données à caractère personnel, nous en informons la CNIL dans les 72 heures suivant sa constatation, conformément à l'article 33 du RGPD. Lorsque la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés, nous vous en informons également dans les meilleurs délais, en décrivant sa nature, ses conséquences probables et les mesures prises (article 34).
Modifications
Nous pouvons mettre à jour cette politique. Toute modification substantielle vous est notifiée par message électronique à l'adresse associée à votre compte, au moins 30 jours avant son entrée en vigueur. La date figurant en tête de page indique la version applicable.
Contact
Pour exercer vos droits ou pour toute question relative au traitement de vos données :
rgpd@comiror.com