Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement au sens du RGPD est :

Univents GmbH

Schillerstraße 10, 74395 Mundelsheim, Allemagne. Représentée par les gérants Andreas Köckeis et Markus Link. Registre du commerce : Amtsgericht Stuttgart, HRB 782148. N° d'identification TVA : DE 348 933 744.

Pour toute question relative à la protection des données et pour exercer vos droits, vous pouvez nous joindre à l'adresse indiquée ci-dessus ou par e-mail à hello@univents.app.

La présente politique de confidentialité s'applique aux traitements dont nous sommes nous-mêmes responsables. Lorsque nous traitons des données à caractère personnel pour le compte de nos clients (pages de réservation publiques et portails clients), la section 12 s'applique en outre.

2. Aperçu des traitements

Nous traitons des données à caractère personnel notamment aux fins suivantes :

• Mise à disposition de notre site web et de l'application (hébergement, diffusion, sécurité)
• Analyse et mesure d'audience en vue d'améliorer le site web et le produit
• Publicité et mesure de l'efficacité publicitaire sur nos pages marketing
• Inscription, gestion et exploitation des comptes utilisateurs et des espaces de travail (workspaces)
• Traitement des paiements et facturation des prestations payantes
• Communication avec les prospects et les clients (chat d'assistance, e-mail, prise de rendez-vous)
• Fonctionnalités reposant sur l'IA au sein de l'application
• Exploitation de pages de réservation publiques et de portails clients pour le compte de nos clients

Les catégories de personnes concernées sont les visiteurs du site web, les prospects, les utilisateurs inscrits et les membres de leurs équipes, les interlocuteurs de nos clients et fournisseurs ainsi que – dans le cadre du traitement pour compte de tiers – les clients finaux et les invités de nos clients.

3. Bases juridiques

Nous traitons des données à caractère personnel sur les bases juridiques suivantes du RGPD :

• Consentement (art. 6, paragraphe 1, point a), du RGPD) – notamment pour les cookies non essentiels, l'analyse avec reconnaissance des visiteurs ainsi que les services marketing. Vous pouvez retirer à tout moment, avec effet pour l'avenir, un consentement que vous avez donné.
• Exécution d'un contrat (art. 6, paragraphe 1, point b), du RGPD) – pour la mise à disposition du compte utilisateur et des prestations convenues contractuellement.
• Obligation légale (art. 6, paragraphe 1, point c), du RGPD) – notamment les obligations de conservation prévues par le droit commercial et le droit fiscal.
• Intérêt légitime (art. 6, paragraphe 1, point f), du RGPD) – notamment pour la sécurité, la mesure d'audience sans cookies respectueuse de la minimisation des données et l'amélioration de notre produit.

Nous enregistrons côté serveur le choix que vous effectuez dans le bandeau de cookies, à titre de preuve du consentement (art. 7, paragraphe 1, du RGPD). Vous pouvez à tout moment adapter ou retirer votre consentement via le lien « Paramètres des cookies » en pied de page.

4. Hébergement et infrastructure

Notre application et notre site web sont exploités sur une infrastructure cloud située au sein de l'UE. La base de données, l'authentification et le stockage de fichiers sont fournis par Supabase (région UE Francfort) ; l'hébergement et la diffusion de l'application sont assurés par Vercel (région UE). La diffusion, la protection contre les attaques DDoS et le pare-feu sont assurés par Vercel. Cloudflare fournit la zone DNS, la protection contre les robots lors de la connexion et de l'inscription (Turnstile), ainsi que la redirection des e-mails entrants et des demandes de rendu de documents.

La base juridique est notre intérêt légitime à un fonctionnement sûr et efficace (art. 6, paragraphe 1, point f), du RGPD) ainsi que l'exécution du contrat (art. 6, paragraphe 1, point b), du RGPD). Des contrats de sous-traitance existent avec tous les fournisseurs d'infrastructure.

5. Visite du site web : journaux de serveur et cookies

Fichiers journaux du serveur

Lors de l'accès à notre site web, des informations sont automatiquement transmises à nos serveurs et stockées temporairement dans des fichiers journaux : adresse IP, date et heure de l'accès, page ou fichier consulté, volume de données transféré, URL de provenance (référent) ainsi que informations relatives au navigateur et au système d'exploitation. Cela est techniquement nécessaire pour diffuser le site web et garantir sa stabilité et sa sécurité. La base juridique est notre intérêt légitime (art. 6, paragraphe 1, point f), du RGPD).

Cookies et technologies similaires

Nous utilisons des cookies et des technologies comparables (par ex. localStorage). Les cookies essentiels sont nécessaires au fonctionnement du site web et de l'application et sont déposés sans consentement (§ 25, paragraphe 2, du TTDSG, art. 6, paragraphe 1, point f), du RGPD). Nous ne déposons tous les cookies non essentiels qu'avec votre consentement, recueilli via notre bandeau de cookies (§ 25, paragraphe 1, du TTDSG, art. 6, paragraphe 1, point a), du RGPD). Notre bandeau distingue trois catégories : Essentiels, Statistiques et Marketing.

Vous trouverez le détail des cookies concrètement utilisés, de leur durée de conservation et de leurs fournisseurs dans notre Politique relative aux cookies. Vous pouvez y, ainsi que via le lien « Paramètres des cookies » en pied de page, adapter ou retirer votre consentement à tout moment.

6. Analyse et mesure d'audience

Mesure d'audience et d'utilisation (PostHog)

Nous utilisons PostHog (hébergement dans l’UE) pour l’analyse statistique de l’utilisation de notre site web. Avant tout consentement, aucun cookie n’est déposé et aucune donnée n’est enregistrée dans votre navigateur (localStorage). Dans la mesure où une mesure d’audience est déjà effectuée avant tout consentement, celle-ci a lieu exclusivement dans une variante sans cookies, sans identifiant de reconnaissance permanent et exclusivement au niveau de la session, dans la mémoire vive (notamment pages consultées, origine approximative, navigateur/appareil, adresse IP). La base juridique est notre intérêt légitime à une mesure d’audience respectueuse de la minimisation des données (art. 6, paragraphe 1, point f), du RGPD).

Si vous donnez votre consentement à l’analyse via notre bandeau de cookies, nous enregistrons en outre, aux fins d’une analyse permettant la reconnaissance des visiteurs, des cookies ou des entrées localStorage (durée de conservation pouvant aller jusqu’à 12 mois). La base juridique est alors votre consentement (art. 6, paragraphe 1, point a), du RGPD), que vous pouvez retirer à tout moment avec effet pour l’avenir.

Vous pouvez vous opposer à tout moment à la mesure d’audience sans cookies (art. 21 du RGPD) en sélectionnant « Refuser » dans le bandeau de cookies. Nous mettons alors immédiatement fin à la collecte. Les données sont traitées au sein de l’UE.

Enregistrements de sessions dans l’espace connecté (PostHog Session Replay)

Dans l’espace connecté de l’application, nous utilisons PostHog Session Replay (hébergement dans l’UE) afin de retracer visuellement certaines sessions d’utilisation. Seules sont enregistrées les sessions pendant l’onboarding de configuration ainsi que les sessions de comptes n’ayant pas encore envoyé de premier devis ni de première facture – et non l’utilisation courante par les clients existants actifs. Sont alors collectées des interactions telles que les mouvements de la souris, les clics, le comportement de défilement et les contenus de pages affichés ; les saisies dans les champs de formulaire sont masquées par défaut et ne sont pas lisibles dans l’enregistrement. Sur les pages de réservation publiques, un enregistrement n’a lieu qu’avec consentement.

La finalité de l’enregistrement est l’amélioration de la prise en main du produit : nous analysons à quels endroits les nouvelles utilisatrices et les nouveaux utilisateurs rencontrent des difficultés lors de la configuration et lors de l’établissement de leur premier devis ou de leur première facture. La base juridique est notre intérêt légitime à l’analyse et à l’amélioration de notre produit (art. 6, paragraphe 1, point f), du RGPD). Les enregistrements sont traités au sein de l’UE et automatiquement supprimés au bout de 30 jours.

Vous pouvez vous opposer à tout moment à l’enregistrement, avec effet pour l’avenir (art. 21 du RGPD), en nous en informant à l’adresse de contact indiquée dans les mentions légales. Sur demande, nous supprimons de manière anticipée les enregistrements déjà réalisés.

7. Publicité et mesure des conversions

Sur nos pages marketing publiques, nous utilisons Google Consent Mode v2. Avant même tout consentement, la bibliothèque de balises Google est chargée avec le paramètre par défaut « consentement refusé » (denied). Dans cet état, aucun cookie n’est déposé et aucun identifiant directement personnel n’est transmis à Google ; seuls des signaux agrégés et sans cookies (dits « consent pings » sans reconnaissance permanente) sont transmis, afin que Google puisse modéliser statistiquement l’efficacité de notre publicité. La base juridique est notre intérêt légitime à une mesure du succès publicitaire respectueuse de la minimisation des données (art. 6, paragraphe 1, point f), du RGPD).

Si vous donnez votre consentement au marketing via notre bandeau de cookies, nous activons en outre le suivi des conversions de Google Ads basé sur les cookies ainsi que le pixel Meta, la balise LinkedIn Insight et le pixel ChatGPT Ads d’OpenAI ; ceux-ci ne sont chargés qu’après votre consentement. Nous mesurons en outre les conversions côté serveur (Meta Conversions API, Google Ads, OpenAI Conversions API) – également exclusivement après votre consentement au marketing. Sont alors transmis l’événement concerné (p. ex. inscription, réservation d’une démonstration, souscription d’un abonnement), l’identifiant de clic ou de navigateur de l’annonce ainsi qu’une version de votre adresse e-mail hachée par un procédé cryptographique (SHA-256), jamais le texte en clair. La base juridique est alors votre consentement (art. 6, paragraphe 1, point a), du RGPD), que vous pouvez retirer à tout moment avec effet pour l’avenir ; après un retrait, nous ne transmettons plus aucun événement.

Pour l’attribution des campagnes marketing, nous déposons en outre, après votre consentement au marketing, deux cookies first party (d’une durée de 12 mois chacun) : « attribution_id » en tant qu’identifiant pseudonyme et « campaign_attribution » contenant les identifiants de campagne de l’adresse par laquelle vous êtes arrivé sur notre site (p. ex. utm_source, utm_campaign, identifiant de clic de l’annonce). Ni l’un ni l’autre ne sont jamais déposés sur les pages de réservation publiques de nos clients, et tous deux sont supprimés en cas de refus ou de retrait.

Vous pouvez vous opposer à tout moment à la mesure du succès publicitaire sans cookies (art. 21 du RGPD) en sélectionnant « Refuser » dans le bandeau de cookies ; nous mettons alors immédiatement fin à la transmission à Google. Meta, LinkedIn et OpenAI ne sont pas du tout chargés sans votre consentement. Nous utilisons ces services marketing exclusivement sur nos pages marketing publiques – jamais dans l’application connectée, sur les pages de réservation publiques ou dans les portails clients.

Les destinataires sont Google Ireland Ltd. ou Google LLC, Meta Platforms Ireland Ltd., LinkedIn Ireland U.C. et OpenAI Ireland Ltd. ou OpenAI, L.L.C. Un transfert vers les États-Unis peut alors avoir lieu ; celui-ci est encadré par des garanties appropriées (clauses contractuelles types de l’UE ou décision d’adéquation relative au EU-US Data Privacy Framework).

Rapprochement d'audiences (Custom Audiences / Customer Match) : dans la mesure où il existe une base juridique, nous transmettons à Meta Platforms Ireland Ltd. et à Google Ireland Ltd. une version cryptographiquement hachée (SHA-256) de l'adresse e-mail que vous avez indiquée lors de votre inscription, afin de vous classer, auprès d'elles, dans des audiences publicitaires délimitées, de vous exclure de certaines publicités ou de constituer des audiences statistiquement similaires. Le texte en clair de votre adresse e-mail n'est pas transmis ; le rapprochement s'effectue exclusivement au moyen de la valeur de hachage, qui, en l'absence de correspondance, est supprimée après le rapprochement. Nous n'utilisons jamais à cette fin les adresses e-mail que nous obtenons par l'intermédiaire d'une connexion à un compte Google associé (Gmail). La base juridique est notre intérêt légitime à une prospection directe efficace auprès de nos clients existants (art. 6, paragraphe 1, point f), du RGPD).

Vous pouvez vous opposer à tout moment, avec effet pour l'avenir, à ce rapprochement d'audiences (art. 21 du RGPD) via l'adresse de contact indiquée dans les mentions légales ; nous retirons alors votre adresse des audiences concernées.

8. Inscription & compte client

Un compte utilisateur est nécessaire pour utiliser l'application. Lors de l'inscription, nous traitons les données que vous indiquez, notamment le nom, l'adresse e-mail, le mot de passe (stocké uniquement sous forme chiffrée) ainsi que des informations relatives à votre entreprise ou à votre espace de travail (par ex. raison sociale, adresse, numéro d'identification TVA). L'authentification s'effectue via Supabase (UE).

Vous pouvez également vous connecter par authentification unique (Single Sign-on) avec un compte Google ou Microsoft. Dans ce cas, nous recevons du prestataire choisi les données de profil nécessaires à la création du compte (notamment le nom et l'adresse e-mail).

Au sein d'un espace de travail d'équipe, nous traitons en outre les contenus que vous et les membres de votre équipe saisissez (par ex. contacts, événements, devis, factures). La base juridique est l'exécution du contrat (art. 6, paragraphe 1, point b), du RGPD) ainsi que notre intérêt légitime à un fonctionnement sécurisé (art. 6, paragraphe 1, point f), du RGPD).

9. Traitement des paiements

Pour les abonnements payants, nous recourons au prestataire de services de paiement Stripe (Stripe Payments Europe, Ltd., Irlande). Lors d'un paiement, Stripe traite vos données de paiement et de facturation ; les données complètes du moyen de paiement (par ex. numéro de carte) sont traitées exclusivement par Stripe et ne nous sont pas transmises en clair. La base juridique est l'exécution du contrat (art. 6, paragraphe 1, point b), du RGPD) ainsi que le respect des obligations fiscales et commerciales (art. 6, paragraphe 1, point c), du RGPD). En cas de transfert à Stripe, Inc. (États-Unis), les clauses contractuelles types de l'UE s'appliquent.

10. Communication

Chat d'assistance (PostHog)

Nous proposons un chat d'assistance via PostHog ; les données sont traitées sur des serveurs situés dans l'UE (Allemagne). Sur notre site web, le bouton du chat n'apparaît qu'après que vous avez consenti aux cookies statistiques, et le chat lui-même n'est chargé que lorsque vous cliquez dessus. Dans l'application à laquelle vous êtes connecté, il n'y a pas de bandeau de cookies ; là aussi, le chat n'est lancé que lorsque vous l'ouvrez activement. Si vous nous écrivez à la place à support@univents.app, votre e-mail est repris dans la même boîte de réception du support. La base juridique est, à cet égard, l'exécution du contrat ou notre intérêt légitime à fournir une assistance (art. 6, paragraphe 1, points b) et f), du RGPD). Sont traités vos messages ainsi que vos données de contact et d'utilisation, afin de répondre à vos demandes.

Communication par e-mail et e-mails transactionnels (Resend)

Nous envoyons les e-mails système transactionnels (par ex. notifications, invitations, réinitialisation du mot de passe) via Resend. Si vous nous contactez par e-mail, nous traitons les données que vous nous communiquez afin de traiter votre demande. La base juridique est l'exécution du contrat ou notre intérêt légitime à la communication (art. 6, paragraphe 1, points b) et f), du RGPD).

Newsletter et mises à jour produit

Vous pouvez vous abonner à notre newsletter sur notre site web. Nous utilisons à cet effet la procédure de double opt-in : après votre inscription, nous vous envoyons un e-mail de confirmation à l'adresse indiquée ; ce n'est que lorsque vous confirmez le lien qu'il contient que nous vous ajoutons à la liste de diffusion. Pour prouver votre consentement conformément à l'art. 7, paragraphe 1, du RGPD, nous enregistrons, lors de l'inscription via le formulaire du site web, la date et l'heure, votre adresse IP, votre identifiant de navigateur (User-Agent) ainsi que la version du texte de consentement que vous avez accepté. Si vous vous abonnez plutôt, lors de l'inscription pour un compte Univents, au moyen de la case à cocher prévue à cet effet, la confirmation de votre adresse e-mail, de toute façon requise, sert de preuve ; dans ce cas, nous ne stockons ni adresse IP ni User-Agent. La base juridique est votre consentement (art. 6, paragraphe 1, point a), du RGPD).

Afin d'améliorer la newsletter, nous mesurons quels liens d'un numéro sont cliqués. Nous n'utilisons pas de pixel de suivi pour mesurer les ouvertures. Vous pouvez retirer votre consentement à tout moment avec effet pour l'avenir — via le lien de désinscription figurant à la fin de chaque e-mail de newsletter ou sans formalité à hello@univents.app. Après un retrait, nous conservons votre adresse e-mail dans une liste d'exclusion afin que vous ne receviez plus de newsletters ; les preuves du consentement et du retrait sont conservées pendant la durée du délai de prescription, puis supprimées.

Si vous êtes Client de Univents, nous vous informons en outre par e-mail des nouveautés concernant les fonctionnalités que vous utilisez. La base juridique est le § 7, paragraphe 3, de la loi allemande contre la concurrence déloyale (UWG), en liaison avec notre intérêt légitime à informer sur nos propres prestations similaires (art. 6, paragraphe 1, point f), du RGPD). Vous pouvez vous opposer à cette utilisation à tout moment, sans autres frais que les frais de transmission selon les tarifs de base ; chacun de ces e-mails contient une mention à cet effet ainsi qu'un lien de désinscription.

L'envoi et la gestion de la liste de diffusion sont assurés par Resend (voir section 13). Votre adresse e-mail et votre statut d'abonnement y sont traités pour notre compte.

Prise de rendez-vous pour une démonstration (Calendly)

Sur notre page de démonstration (/demo), nous intégrons un calendrier de prise de rendez-vous de Calendly (Calendly LLC, États-Unis), qui est chargé lors de l'accès à cette page. Calendly n'est chargé sur aucune autre page. Si vous réservez un rendez-vous, nous traitons les données que vous indiquez à cette occasion (nom, adresse e-mail, le cas échéant entreprise, ainsi que vos réponses aux questions de réservation) afin de préparer et de tenir le rendez-vous ; dans son outil de planification, Calendly dépose ses propres cookies, nécessaires à la réalisation de la réservation. Nous masquons l'avis distinct relatif aux cookies de Calendly au sein de l'outil de planification, car nous exposons l'utilisation de ce service ici ainsi que dans notre politique en matière de cookies. Après une réservation, nous récupérons l'adresse e-mail que vous avez indiquée via l'interface de Calendly afin d'associer le rendez-vous à notre système commercial. Calendly peut transférer des données vers les États-Unis ; le fondement en est un contrat de sous-traitance et les clauses contractuelles types de la Commission européenne. La base juridique est la conclusion ou l'exécution d'un contrat ainsi que notre intérêt légitime à une organisation efficace des rendez-vous (art. 6, paragraphe 1, points b) et f), du RGPD).

CRM (Close)

Nous utilisons Close (Elastic Inc., États-Unis) comme CRM pour la gestion des contacts de prospects et de Clients. Aucun contenu de Close n'est intégré sur notre site web. Close peut transférer des données vers les États-Unis ; le fondement en est un contrat de sous-traitance et les clauses contractuelles types de la Commission européenne. La base juridique est notre intérêt légitime à une communication efficace ou la conclusion et l'exécution d'un contrat (art. 6, paragraphe 1, points f) et b), du RGPD).

Les liens figurant dans nos e-mails professionnels adressés à des entreprises contiennent un court identifiant que nous déduisons de votre adresse e-mail. Si vous accédez à une page de univents.app via un tel lien, nous enregistrons l'identifiant, la page consultée, l'heure et le fait que l'accès provient d'un navigateur ou d'un vérificateur automatique de liens. Nous n'utilisons pour cela aucun cookie et n'enregistrons ni votre adresse IP ni l'identifiant complet de votre navigateur. Si vous consultez nos pages à plusieurs reprises à des moments différents, nous le consignons comme marque d'intérêt dans notre CRM (Close) afin de pouvoir vous contacter de manière ciblée. La base juridique est notre intérêt légitime à la nouaison de relations d'affaires (art. 6, paragraphe 1, point f), du RGPD). Nous supprimons ces consultations après 90 jours. Vous pouvez vous opposer à tout moment à cette analyse (art. 21 du RGPD), sans formalité, par e-mail à hello@univents.app.

Boîtes e-mail et calendriers connectés (Nylas)

Si vous connectez dans l'application votre propre boîte e-mail ou un calendrier, nous synchronisons via Nylas (centre de données dans l'UE) des e-mails, des données de calendrier et des données de contact afin de fournir les fonctionnalités que vous avez activées (boîte de réception, synchronisation du calendrier). Vous pouvez à tout moment déconnecter cette connexion.

Google API Services – Utilisation limitée (Limited Use)

Lorsque vous connectez un compte Google (Gmail, Google Agenda ou Google Contacts) à Univents, nous accédons à vos données exclusivement pour fournir les fonctionnalités que vous avez activées : afficher et envoyer des e-mails, synchroniser le calendrier et synchroniser les contacts. Nous ne vendons jamais ces données, ne les utilisons jamais à des fins publicitaires et ne les utilisons jamais pour entraîner des modèles d'IA/ML généralistes. L'accès s'effectue par compte connecté et peut être déconnecté à tout moment ; cela révoque notre accès et entraîne la suppression des données répliquées.

Univents’ use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

11. Fonctionnalités d'IA

Pour les fonctionnalités d'IA (assistant de chat, assistant d'onboarding, base de connaissances ainsi qu'assistant d'IA dans le portail des collaborateurs et dans le portail client), les contenus que vous saisissez ainsi que les données d'espace de travail correspondantes sont transmis à nos fournisseurs d'IA. La génération des réponses est assurée par Anthropic (Claude) ; nous ne recourons à OpenAI qu'exclusivement pour la création de vecteurs de texte (embeddings) destinés à la recherche sémantique, et non pour la génération des réponses. À des fins d'assurance qualité et d'analyse des sentiments (sentiment), des contenus des conversations de chat et d'onboarding sont en outre transmis à PostHog. Ces contenus peuvent contenir des données à caractère personnel.

L'assistant d'IA dans le portail des collaborateurs et dans le portail client est utilisé non seulement par les Utilisateurs du backoffice, mais aussi par les collaborateurs ainsi que par les clients de nos Clients. Y sont traités la question posée et exclusivement les documents que le Client concerné a préalablement mis à la disposition de ce groupe. Ce traitement est effectué pour le compte et selon les instructions de notre Client (voir section 12, art. 28 du RGPD) ; le responsable du traitement au sens de la législation sur la protection des données est le Client qui met les documents à disposition. Nous ne conservons pas durablement les questions et réponses issues de ces deux portails, et leur contenu n'est pas transmis à PostHog à des fins d'analyse des sentiments.

Nous utilisons ces contenus exclusivement pour fournir et améliorer les fonctionnalités. Toute utilisation à des fins d'entraînement de modèles d'IA généralistes par nos fournisseurs est contractuellement exclue en vertu des contrats de sous-traitance conclus avec eux. La base juridique est l'exécution du contrat ou notre intérêt légitime à fournir des fonctionnalités intelligentes (art. 6, paragraphe 1, points b) et f), du RGPD).

12. Pages de réservation publiques & portails clients (sous-traitance)

Par le biais d'Univents, nos clients (organisateurs, traiteurs, lieux événementiels) exploitent des pages de réservation publiques (notamment sous /book ainsi qu'en intégration par iframe via /embed) et des portails clients (EventHub). Les données de réservation, de contact et d'invités qui y sont saisies sont traitées par nous exclusivement pour le compte et selon les instructions du client concerné. Pour ces données, le client est le responsable du traitement au sens du droit de la protection des données ; Univents est le sous-traitant (art. 28 du RGPD).

Notre contrat de sous-traitance (AVV) s'applique.

Sur ces pages, nous n'utilisons aucun service de marketing ou de publicité. Notre propre traitement se limite à une mesure d'audience anonyme et sans cookie ; des statistiques permettant la reconnaissance des visiteurs (PostHog) ainsi qu'une analyse de sentiment n'ont lieu qu'avec votre consentement. Le cookie d'attribution (section 7) n'est jamais déposé sur ces pages.

Si un client intègre ses propres outils sur sa page de réservation (p. ex. son propre Google Tag Manager), il est lui-même responsable de ce traitement. Pour exercer vos droits de personne concernée à l'égard de ces données, veuillez vous adresser au client concerné en sa qualité de responsable du traitement.

13. Destinataires & sous-traitants

Pour fournir nos services, nous transmettons des données à caractère personnel à des prestataires soigneusement sélectionnés, qui agissent en qualité de sous-traitants (art. 28 du RGPD) exclusivement selon nos instructions. Des contrats de sous-traitance existent avec chacun d'eux. Le tableau récapitulatif ci-dessous indique les fournisseurs utilisés, la finalité, le lieu de traitement et – en cas de transferts vers des pays tiers – la base de transfert correspondante.

14. Transferts vers des pays tiers

Certains des fournisseurs mentionnés traitent des données en dehors de l'UE ou de l'EEE, notamment aux États-Unis. Un tel transfert vers un pays tiers n'a lieu que sur la base de garanties appropriées au sens des art. 44 et suivants du RGPD : clauses contractuelles types de l'UE (SCC) et – lorsque le fournisseur concerné est certifié (p. ex. Google, Meta, LinkedIn) – sur la base de la décision d'adéquation relative au Cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework). Le cas échéant, nous prenons des mesures de protection supplémentaires telles que le chiffrement. Vous trouverez les lieux de traitement concrets dans le tableau de la section 13.

15. Durée de conservation

Nous ne conservons les données à caractère personnel que pendant la durée nécessaire aux finalités concernées ou prescrite par des obligations légales de conservation :

• Données de compte : pendant la durée de la relation contractuelle ; suppression après résiliation, sauf si des obligations de conservation s'y opposent.
• Factures et pièces comptables : 10 ans (§ 147 AO, § 257 HGB).
• Fichiers journaux du serveur : conservés uniquement à court terme, puis suppression ou anonymisation automatique.
• Enregistrements de sessions (PostHog Session Replay) : suppression automatique après 30 jours.
• Données d'événements d'analyse pseudonymisées (PostHog) : jusqu'à 84 mois.
• Preuves de consentement : pendant la durée de l'intérêt à disposer de la preuve.
• Contenus d'IA chez nos fournisseurs d'IA : conformément à leurs contrats de sous-traitance, uniquement à court terme (en règle générale 30 jours maximum) à des fins de détection des abus, sans entraînement.

16. Vos droits

En vertu du RGPD, vous disposez des droits suivants :

• Accès aux données conservées vous concernant (art. 15 du RGPD)
• Rectification des données inexactes (art. 16 du RGPD)
• Effacement (art. 17 du RGPD)
• Limitation du traitement (art. 18 du RGPD)
• Portabilité des données (art. 20 du RGPD)
• Opposition aux traitements fondés sur l'intérêt légitime (art. 21 du RGPD)

Vous pouvez retirer à tout moment, avec effet pour l'avenir, un consentement donné, sans que la licéité du traitement effectué jusqu'alors n'en soit affectée – pour les cookies et le suivi, via le lien « Paramètres des cookies » dans le pied de page, pour le reste par message adressé à nos soins.

Pour exercer vos droits, un message sans formalité adressé à hello@univents.app suffit. Si les données concernent une page de réservation ou un portail client exploité via Univents, veuillez vous adresser au client concerné en sa qualité de responsable du traitement (voir section 12).

Droit d'introduire une réclamation : vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données, notamment auprès de l'autorité compétente pour nous : le Commissaire du Land chargé de la protection des données et de la liberté d'information du Bade-Wurtemberg (Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg).

17. Obligation de fournir des données

Lorsque cela est nécessaire à la conclusion du contrat ou à la création du compte, la fourniture de certaines données (p. ex. nom, adresse e-mail, données de facturation) est obligatoire. Sans ces données, nous ne pouvons pas mettre l'application à disposition. Toute indication allant au-delà est facultative.

18. Modifications de la présente politique de confidentialité

Nous adaptons la présente politique de confidentialité lorsque la situation juridique ou nos traitements évoluent. La version publiée en dernier lieu sur cette page est celle qui s'applique.