Politique de Confidentialité — QLYGO

1. Responsable de traitement

Pour les données de comptes utilisateurs, de facturation des abonnements et de journalisation technique, le responsable de traitement est Quentin FRANCOIS (entrepreneur individuel, éditeur de QLYGO), 276 rue de Bellerive, 62920 Gonnehem, contact : rgpd@qlygo.fr.
Pour les données des pétitionnaires saisies par une société cliente, le responsable est la société cliente (celle qui a souscrit l'abonnement et qui décide quelles données saisir) ; QLYGO agit alors comme sous-traitant (voir Contrat de sous-traitance / DPA).

2. Données collectées

Comptes utilisateurs : identifiant, nom, e-mail, téléphone, rôle, société, mot de passe (haché, jamais lisible).
Données de dossier (pour le compte des sociétés clientes) : identité du pétitionnaire (civilité, nom, prénom, date et lieu de naissance, adresse, téléphone, e-mail), parcelles cadastrales, photos de façade, et pour un client société : raison sociale, SIRET, représentant.
Facturation des abonnements : identifiants d'abonnement et de paiement gérés par Stripe (aucune donnée de carte n'est stockée par QLYGO).
Techniques : journaux de connexion et d'activité nécessaires à la sécurité et au bon fonctionnement.

3. Finalités et bases légales

Fournir le Service (exécution du contrat).
Sécurité, prévention de la fraude, journalisation (intérêt légitime).
Facturation des abonnements au Service et obligations comptables associées (obligation légale).
Notifications par e-mail liées au suivi des dossiers (dossier réalisé, accusé de réception, décision de la mairie) : ces e-mails font partie du service attendu et sont activés par défaut pour les personnes concernées par le dossier (exécution du contrat / intérêt légitime). Chaque utilisateur peut les désactiver à tout moment, indépendamment les uns des autres, depuis son profil. Il ne s'agit pas de prospection commerciale.

4. Destinataires et sous-traitants

Les données ne sont pas vendues. Elles peuvent être traitées par des sous-traitants strictement nécessaires :

OVH (hébergement du serveur et de la base, ET messagerie sortante / SMTP), en France / UE.
Stripe (paiement des abonnements).
IGN / BAN / cadastre.gouv : l'adresse du chantier est transmise pour générer les cartes et retrouver les parcelles.
Applications tierces connectées via l'API : le Client peut, à son initiative, relier QLYGO à ses propres outils (par exemple un logiciel de gestion) au moyen de l'API. Les données transmises le sont vers l'outil choisi par le Client, sous sa responsabilité.

5. Hébergement et localisation

Les données sont hébergées chez OVH, en France / Union européenne (datacenter OVH de Roubaix, RBX). La messagerie sortante passe également par OVH. Certains sous-traitants (ex. Stripe) peuvent traiter des données hors UE ; ces transferts sont encadrés par des clauses contractuelles types.

6. Accès de QLYGO aux dossiers d'une société cliente

Par principe, QLYGO n'accède pas aux dossiers de ses clients. Les données de chaque société sont cloisonnées : une société ne voit que les siennes, et l'éditeur n'y accède pas du seul fait d'héberger le Service.

L'éditeur ne peut accéder aux dossiers d'une société que dans deux cas, et uniquement à l'initiative de la société :

Prestation confiée : la société demande à QLYGO de réaliser un dossier précis. L'accès est alors limité aux dossiers concernés, pour la seule exécution de cette prestation.
Accès de support accordé : un administrateur de la société accorde explicitement un accès d'assistance. Cet accès est demandé, tracé, et révocable à tout moment par la société depuis son espace.

En l'absence de l'un de ces deux cas, les dossiers ne sont pas accessibles à l'éditeur. Les données strictement nécessaires à la facturation (nombre de comptes, nombre de dossiers concernés par une prestation) restent visibles, sans leur contenu.

7. Durée de conservation

Les données d'un dossier sont conservées pendant la durée de la relation contractuelle avec la société cliente.
À la fin du contrat, la société dispose de 30 jours pour exporter ses données (export en libre-service depuis son espace) ; passé ce délai, elles sont supprimées.
Ces durées sont appliquées par un traitement automatique quotidien (suppression des données des sociétés dont le contrat est terminé depuis plus de 30 jours, purge des journaux techniques au-delà de 12 mois, suppression des jetons expirés).
La société cliente reste responsable de ses propres durées de conservation légales (obligations comptables, garanties liées aux travaux) sur les données qu'elle a exportées.
Les journaux techniques sont conservés 12 mois, puis supprimés.

8. Sécurité

Mesures réellement en place : mots de passe hachés (bcrypt), connexions en HTTPS (HSTS), cookies sécurisés (HttpOnly/Secure), requêtes SQL paramétrées, cloisonnement des données par société, limitation des tentatives de connexion, en-têtes de sécurité, protection anti-CSRF (jeton à double soumission) et double authentification par e-mail (2FA).

9. Droits des personnes

Toute personne peut exercer ses droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Pour les données pétitionnaires, la demande est à adresser à la société cliente (responsable) ; QLYGO l'assiste. La société cliente dispose par ailleurs d'un export autonome de l'intégralité de ses données depuis son espace (droit à la portabilité). Contact QLYGO : rgpd@qlygo.fr. En cas de désaccord, réclamation possible auprès de la CNIL (autorité française de protection des données).

10. Violation de données

En cas de violation de données à caractère personnel, QLYGO informe sans délai la société cliente concernée et coopère à la notification à la CNIL dans les 72 heures lorsque requis.

11. Contact

rgpd@qlygo.fr — Quentin FRANCOIS, entrepreneur individuel, 276 rue de Bellerive, 62920 Gonnehem.