Politique de confidentialité

1. Préambule

La présente politique a pour objet de vous informer, de manière transparente, concise et accessible, sur la manière dont eyeot collecte, traite et protège vos données à caractère personnel lorsque vous utilisez la plateforme eyeot ERP (le « Service »), accessible sur https://erp.eyeot.fr.

Elle s'adresse aux utilisateurs du Service (administrateurs, collaborateurs des organisations clientes), aux visiteurs du site public, ainsi qu'aux personnes dont les données sont saisies dans le Service par nos clients (employés, contacts CRM, fournisseurs).

2. Responsable du traitement et DPO

Responsable du traitement : eyeot — coordonnées juridiques complètes accessibles sur la page Mentions légales.

Délégué à la protection des données (DPO) : M. Amine KHEDIMALLAH
Contact DPO : dpo@eyeot.fr

Note : pour les données saisies par un client professionnel (organisation utilisatrice du Service), le client agit en qualité de responsable du traitement et eyeot intervient comme sous-traitant au sens de l'article 28 RGPD. Les conditions de cette sous-traitance sont précisées dans notre Accord de traitement des données (DPA).

3. Catégories de données collectées

Nous collectons strictement les catégories de données nécessaires aux finalités décrites en section 5 :

• Données d'identification et d'authentification : nom, prénom, adresse email, mot de passe (haché avec Argon2id — jamais stocké en clair), photo de profil, fonction, téléphone (si renseigné).
• Données de connexion et de session : adresse IP, user-agent, horodatages de connexion et de déconnexion, identifiant de session, jetons JWT (rotation automatique), données de double authentification (TOTP).
• Données d'utilisation et d'audit : actions effectuées dans l'application (création, modification, suppression d'enregistrements), identifiants d'objets manipulés, préférences d'interface (thème, langue), logs de sécurité.
• Données métier saisies par le client : informations sur les clients, prospects, fournisseurs, contrats, devis, factures, commandes, stocks, équipements, interventions de maintenance, projets, employés, fiches de paie (si activé), tickets IT, documents (GED). Le client professionnel reste responsable du traitement de ces données vis-à-vis des personnes concernées.
• Données de facturation : raison sociale, adresse de facturation, identifiant Stripe Customer, historique de paiement. Les numéros de carte bancaire sont collectés et stockés exclusivement par Stripe (cf. section 6) ; eyeot ne stocke ni ne traite jamais de numéro de carte.
• Données de communication : emails de publipostage, historique des notifications, contenu des tickets de support et signalements de bug.

eyeot ne collecte pas de catégories particulières de données personnelles (article 9 RGPD : santé, biométrie, opinions politiques, religion, orientation sexuelle, etc.) ni de données relatives aux condamnations pénales (article 10). Si un client choisissait d'en saisir dans les modules RH ou GED, il en assume seul la responsabilité et la base légale.

4. Sources des données

La très grande majorité des données proviennent directement de vous ou des organisations utilisatrices du Service. Les seules données collectées indirectement sont :

• Les données techniques (IP, user-agent) collectées automatiquement par votre navigateur lors de la connexion.
• Les données saisies par votre employeur (si vous êtes collaborateur d'une organisation cliente) — votre employeur est alors responsable de cette collecte et tenu de vous en informer (cf. notre DPA).
• Les données fournies par les services tiers que vous activez explicitement (SSO via Google ou Microsoft, importeur CSV, intégrations comptables ou bancaires).

5. Finalités et bases légales du traitement

Chaque traitement repose sur l'une des bases légales prévues à l'article 6 du RGPD :

• Exécution du contrat (Art. 6.1.b) : création et gestion de votre compte, fourniture du Service ERP, gestion des abonnements et de la facturation, support client, sécurité de la plateforme.
• Intérêt légitime (Art. 6.1.f) : prévention de la fraude et des abus, sécurité informatique (détection d'intrusion, audit log), amélioration du Service, défense en justice. eyeot a procédé à la mise en balance des intérêts requise par le RGPD ; vous pouvez exercer votre droit d'opposition (cf. section 9).
• Consentement (Art. 6.1.a) : cookies non essentiels (mesure d'audience PostHog, replays de session), inscription à des newsletters ou communications marketing, participation à des programmes pilotes ou enquêtes.
• Obligation légale (Art. 6.1.c) : conservation des factures et pièces comptables (article L.123-22 du Code de commerce, 10 ans), traçabilité des accès (LCEN, durée de 12 mois), réponse aux réquisitions judiciaires.

Aucune décision produisant des effets juridiques significatifs n'est prise sur la seule base d'un traitement automatisé ou d'un profilage (article 22 RGPD). Les indicateurs d'intelligence métier (scoring santé client, criticité équipement, etc.) ne sont que des aides à la décision destinées aux utilisateurs humains.

6. Destinataires et sous-traitants

Vos données sont accessibles uniquement aux personnes ayant besoin d'en connaître dans le cadre de leurs missions :

• Les collaborateurs et utilisateurs autorisés de votre organisation (selon le rôle RBAC qui vous est attribué).
• Les équipes techniques et support d'eyeot, soumises à un strict engagement de confidentialité, uniquement à des fins de maintenance, support et sécurité.
• Les autorités administratives ou judiciaires sur réquisition régulière (CNIL, justice, police, fisc).

Pour fournir le Service, eyeot fait appel aux sous-traitants ultérieurs suivants, tous engagés contractuellement à respecter le RGPD (article 28) :

La liste à jour des sous-traitants ultérieurs et de leur localisation est consultable dans notre DPA. Toute modification substantielle (ajout, remplacement) est notifiée aux clients par email avec un préavis raisonnable permettant l'exercice du droit d'opposition.

7. Transferts de données hors Union européenne

Les données sont stockées et traitées par défaut en France (datacenter OVH Roubaix). Certains sous-traitants (Stripe, Backblaze B2, Google) impliquent un transfert vers les États-Unis. Ces transferts sont encadrés par :

• La certification EU-US Data Privacy Framework (décision d'adéquation de la Commission européenne du 10 juillet 2023) pour Stripe et Google.
• Les clauses contractuelles types (SCC) de la Commission européenne (décision 2021/914) pour Backblaze, ainsi qu'un chiffrement applicatif côté eyeot (Fernet AES-128 + HMAC) avant tout envoi, la clé restant en France.

Aucun transfert n'est effectué sans l'une de ces garanties. Les sous-traitants concernés ont fait l'objet d'une analyse d'impact (TIA) au sens des recommandations 01/2020 du Comité européen de la protection des données.

8. Durées de conservation

• Compte utilisateur actif : conservées toute la durée de l'abonnement.
• Compte clôturé / suppression : anonymisation sous 30 jours, sauf obligations légales contraires (cf. ci-dessous).
• Pièces comptables et factures : 10 ans à compter de la clôture de l'exercice (article L.123-22 du Code de commerce).
• Logs de connexion et de sécurité : 12 mois (article L.34-1 du Code des postes et des communications électroniques).
• Audit log applicatif (traçabilité RGPD) : 5 ans après la dernière action.
• Sauvegardes complètes : 30 jours en rotation glissante.
• Cookies non essentiels : durée maximale de 13 mois (recommandation CNIL) ; la preuve du consentement est conservée 36 mois.
• Consentements révoqués / opt-out publipostage : conservés tant que nécessaire pour assurer la suppression (typiquement durée du contrat + 3 ans).
• Tickets de support et signalements de bug : 3 ans après clôture.

9. Vos droits

En application des articles 15 à 22 du RGPD, vous disposez sur vos données personnelles des droits suivants :

• Droit d'accès (Art. 15) — obtenir confirmation que vos données sont traitées et en recevoir une copie au format structuré.
• Droit de rectification (Art. 16) — corriger des données inexactes ou incomplètes ; la plupart des champs sont modifiables directement depuis votre espace utilisateur.
• Droit à l'effacement / « droit à l'oubli » (Art. 17) — demander la suppression de vos données dans les cas prévus par le RGPD (retrait du consentement, données non nécessaires, traitement illicite).
• Droit à la limitation (Art. 18) — demander la suspension temporaire d'un traitement contesté.
• Droit à la portabilité (Art. 20) — recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON / CSV) et les transmettre à un autre responsable de traitement.
• Droit d'opposition (Art. 21) — vous opposer à un traitement reposant sur l'intérêt légitime ou sur la prospection commerciale.
• Droit de retirer votre consentement (Art. 7.3) — à tout moment, sans affecter la licéité des traitements antérieurs.
• Droit de définir des directives post-mortem sur le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

Procédure d'exercice des droits

Pour exercer ces droits, vous pouvez :

• Utiliser la section « Confidentialité » dans Paramètres > Sécurité de votre compte (export, demande d'effacement, registre des traitements article 30).
• Écrire au DPO à dpo@eyeot.fr en précisant l'objet de votre demande et un justificatif d'identité si nécessaire.

eyeot vous répondra dans un délai d'un mois à compter de la réception de la demande, prorogeable de deux mois pour les demandes complexes (article 12.3 RGPD). En l'absence de réponse satisfaisante, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

10. Sécurité des données

Conformément à l'article 32 RGPD, eyeot met en œuvre des mesures techniques et organisationnelles adaptées pour garantir un niveau de sécurité approprié au risque :

• Chiffrement en transit : TLS 1.2+ sur toutes les communications (HTTPS), HSTS activé.
• Hachage des mots de passe : Argon2id (paramètres time_cost=3, memory_cost=64 MiB, parallelism=4) — conforme aux recommandations OWASP 2024.
• Authentification renforcée : double authentification TOTP disponible et obligatoire pour les comptes administrateurs ; vérification des mots de passe contre la base HIBP (Have I Been Pwned).
• Contrôle d'accès : RBAC granulaire (permissions module:action), isolation multi-tenant stricte, sessions JWT avec rotation et révocation.
• Chiffrement au repos applicatif : les credentials des intégrations tierces et les sauvegardes externes sont chiffrés via Fernet (AES-128 CBC + HMAC SHA-256) avec clé dédiée conservée en France.
• Audit trail : toute opération sensible est journalisée (acteur, horodatage, IP, action, ressource) et consultable par l'administrateur de l'organisation.
• Sauvegardes : sauvegardes automatiques quotidiennes chiffrées, rétention 30 jours, copie offsite (Backblaze B2 — données chiffrées avant envoi).
• Suivi des vulnérabilités : revue régulière des dépendances, mise à jour de sécurité prioritaire (SLA correctif critique < 72 h).

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, eyeot vous notifiera dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance, et notifiera également la CNIL conformément à l'article 33 RGPD.

11. Cookies et traceurs

Le Service utilise deux catégories de cookies :

• Cookies fonctionnels (toujours actifs) : indispensables au fonctionnement (authentification, session, préférences linguistiques, jeton CSRF, consentement cookies). Dispensés de consentement (article 82 loi Informatique et Libertés).
• Cookies analytiques (consentement requis) : PostHog Cloud EU pour la mesure d'audience, le suivi d'erreurs et l'amélioration produit. IP partiellement anonymisée, pas de cross-domain tracking.
• Cookies marketing (consentement requis) : actuellement non utilisés ; toute activation future fera l'objet d'une mise à jour de cette politique.

Le bandeau d'information apparaît à votre première visite et permet d'accepter ou refuser chaque catégorie avec le même degré de simplicité, conformément aux recommandations CNIL de septembre 2020. Vous pouvez modifier vos choix à tout moment via le lien « Paramètres des cookies » présent en pied de page sur l'ensemble du site. La preuve du consentement est conservée 36 mois.

12. Mineurs

Le Service eyeot ERP est destiné à un usage strictement professionnel B2B et n'est pas conçu pour les personnes de moins de 16 ans. Aucun traitement n'est sciemment effectué sur des données de mineurs au sens de l'article 8 RGPD ; si un tel traitement nous était signalé, les données seraient supprimées sans délai.

13. Modifications de la présente politique

eyeot peut être amené à modifier la présente politique, notamment pour refléter une évolution réglementaire, l'ajout d'un nouveau sous-traitant ou la mise en place d'une nouvelle fonctionnalité. La date de dernière mise à jour figure en tête du document. Toute modification substantielle (nouvelle finalité, nouveau sous-traitant hors UE, etc.) sera notifiée au minimum 30 jours à l'avance par email et par bandeau dans l'application, et nécessitera, le cas échéant, le recueil d'un nouveau consentement.

14. Liens connexes

• Mentions légales
• Conditions Générales d'Utilisation
• Accord de traitement des données (DPA)