1. Qui est responsable de vos données ?
Le service Gestiway est édité par Gestiway SAS (à compléter), Adresse du siège à compléter. Selon les données concernées, nous intervenons en deux qualités distinctes :
- Responsable de traitement pour les données des comptes utilisateurs de nos clients (nom, e-mail, journaux de connexion), la gestion des abonnements et le support.
- Sous-traitant (article 28 du RGPD) pour les données que nos clients professionnels saisissent dans leur espace : leurs prospects et clients, leurs événements, devis, contrats, factures, e-mails et avis. Chaque prestataire est alors responsable de traitement ; nous agissons uniquement sur ses instructions, dans le cadre de l'accord de sous-traitance.
Vous êtes client d'un photographe, d'un DJ ou d'un autre prestataire qui utilise Gestiway ? Adressez vos demandes d'accès ou d'effacement directement à ce prestataire : il est responsable du traitement de vos données. Nous l'assistons pour y répondre.
Contact pour toute question relative à vos données : dpo@gestiway.example.
2. Données que nous traitons en tant que responsable
- Compte : nom, adresse e-mail, mot de passe (stocké uniquement sous forme d'empreinte bcrypt), secret de double authentification (chiffré), rôle et espaces de rattachement.
- Entreprise cliente : raison sociale, SIREN, adresse, numéro de TVA, offre souscrite et historique d'abonnement.
- Paiement de l'abonnement : traité par Stripe ; nous ne recevons ni ne conservons aucun numéro de carte bancaire.
- Sécurité : journaux de connexion et d'actions sensibles (date, adresse IP, navigateur), tentatives de connexion échouées.
- Échanges : messages envoyés au support.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Créer et gérer votre compte, fournir le service | Exécution du contrat (art. 6.1.b RGPD) |
| Facturer l'abonnement, tenir la comptabilité | Obligation légale (art. 6.1.c) et exécution du contrat |
| Sécuriser le service, prévenir la fraude et les abus (journaux, limitation des tentatives) | Intérêt légitime (art. 6.1.f) à protéger le service et vos données |
| Répondre à vos demandes de support | Exécution du contrat |
| Mesurer les visites et clics sur la vitrine avec Google Analytics 4 | Consentement (art. 6.1.a), retirable à tout moment |
| Vous informer des évolutions importantes du service et des conditions | Exécution du contrat et intérêt légitime |
Nous n'utilisons vos données ni pour de la publicité ciblée, ni pour du profilage, et nous ne les vendons jamais.
4. Durées de conservation
| Données | Durée |
|---|---|
| Compte utilisateur | Pendant la relation contractuelle, puis suppression ou anonymisation au plus tard 3 ans après la fin de la relation |
| Factures d'abonnement et pièces comptables | 10 ans (article L123-22 du Code de commerce) |
| Journaux de connexion et d'audit | 12 mois glissants |
| Session de connexion | 30 jours maximum |
| Liens de réinitialisation et de vérification | 1 heure (mot de passe), 7 jours (vérification de l'e-mail) |
| Données des espaces supprimés | Suppression 30 jours après la demande ; effacement des sauvegardes selon leur cycle de rotation |
Pour les données de leurs propres clients, nos utilisateurs fixent leurs durées de conservation. Le service propose par défaut l'anonymisation automatique des prospects inactifs depuis 36 mois, conformément à la recommandation de la CNIL (3 ans après le dernier contact émanant du prospect).
5. Destinataires et sous-traitants
Vos données sont accessibles aux seules personnes habilitées de l'éditeur, dans la limite de leurs attributions, et à nos sous-traitants techniques (hébergement, e-mails, paiement), listés sur la page Sous-traitants.
Chaque espace entreprise est isolé au niveau de la base de données : un utilisateur ne peut jamais accéder aux données d'une autre entreprise.
6. Localisation et transferts
Les données sont hébergées dans l'Union européenne. Lorsque Google Analytics est accepté, Google peut traiter des données de navigation hors UE, selon les garanties applicables décrites dans notre politique cookies. Lorsqu'un prestataire de paiement (Stripe) est susceptible d'accéder à certaines données depuis un pays tiers, ce transfert est encadré par les clauses contractuelles types de la Commission européenne ou le cadre de protection des données UE–États-Unis.
7. Sécurité
- Chiffrement des échanges (HTTPS) et en-têtes de sécurité stricts.
- Mots de passe hachés (bcrypt), double authentification facultative, verrouillage temporaire après plusieurs échecs.
- Isolation de chaque entreprise par politiques de sécurité au niveau des lignes (PostgreSQL RLS).
- Chiffrement AES-256-GCM des secrets et des liens réaffichables, jetons publics stockés uniquement sous forme d'empreinte.
- Journal d'audit des actions sensibles, sauvegardes régulières.
8. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.
Pour les exercer, écrivez à dpo@gestiway.example. Nous répondons dans un délai d'un mois. Une pièce justificative peut vous être demandée en cas de doute raisonnable sur votre identité.
Vous pouvez également exporter vos données depuis vos paramètres, et introduire une réclamation auprès de la CNIL : cnil.fr/fr/plaintes.
10. Évolution de cette politique
Cette politique peut évoluer. En cas de modification importante, les utilisateurs sont informés par e-mail ou dans l'application.