1. Qui nous sommes
priceq est un service d'Outflanq B.V., Boekweitstraat 62, 2153 GL Nieuw-Vennep, Pays-Bas, RCS (KvK) 42160759, n° de TVA NL869980646B01. Questions sur la présente déclaration : [email protected].
Deux rôles, à ne pas confondre :
- Notre site web, le formulaire d'inscription, la facturation et les paiements, l'assistance et les retours : nous sommes responsable du traitement.
- L'application : votre organisation est responsable du traitement pour les données de ses collaborateurs ; nous sommes sous-traitant. Les engagements figurent dans le contrat de sous-traitance.
2. Quelles données à caractère personnel nous traitons
Visiteurs du site et inscriptions : ce que vous saisissez dans un formulaire de contact, de démonstration ou d'inscription (nom, adresse e-mail professionnelle, raison sociale, votre message) ainsi que l'adresse IP et le navigateur depuis lesquels vous avez envoyé le formulaire. Une inscription est enregistrée dans notre base de données, et pas seulement transmise à une boîte aux lettres.
Acceptation des conditions : pour chaque document que vous acceptez, la version dont il s'agissait, une empreinte (SHA-256) du texte affiché, l'horodatage, l'adresse IP et le navigateur. Nous le consignons lors de votre inscription, puis à nouveau si vous acceptez plus tard une nouvelle version.
Utilisateurs de l'application : nom, adresse e-mail professionnelle, rôle, une empreinte du mot de passe hachée avec Argon2id, les préférences personnelles (langue, affichage, notifications), l'horodatage et l'adresse IP de la dernière connexion et, si un e-mail adressé à vous est revenu comme non distribuable, la date de cet événement et le motif indiqué par le serveur de messagerie destinataire.
Sessions de connexion : pour chaque appareil avec lequel vous êtes connecté, nous conservons un identifiant de session, l'adresse IP et le navigateur, afin qu'une session puisse être révoquée.
Journal d'audit : les actions relatives aux comptes et aux accès (inviter quelqu'un, modifier un rôle, désactiver ou réactiver un compte, un collaborateur de notre part qui observe, une demande de suppression du compte), avec qui l'a faite, quand, depuis quelle adresse IP et avec quel navigateur, et sur quoi portait l'action, par exemple l'adresse e-mail de la personne invitée. Ce journal existe pour pouvoir établir après coup ce qui est advenu des comptes. L'application ne peut ni le modifier ni le supprimer ; une tâche de maintenance distincte efface chaque ligne douze mois après son écriture.
Notifications envoyées : l'adresse e-mail à laquelle une notification a été adressée et le fait qu'elle soit arrivée ou non.
Données d'entreprise et de facturation : la dénomination sociale et l'adresse de votre organisation, telles que vous les saisissez dans l'application. Si vous souscrivez un abonnement, vous indiquez au paiement un nom, une adresse e-mail, une adresse de facturation et, le cas échéant, un numéro de TVA. Ces données vont chez Stripe, qui traite le paiement, et chez Moneybird, où nous établissons la facture ; voir §5. Vos données de paiement (compte ou carte) sont saisies chez Stripe ; nous ne les voyons ni ne les conservons. Nous conservons nous-mêmes, par paiement, le montant, la date, le traitement de la TVA et les références vers Stripe et Moneybird.
Clics publicitaires : si vous arrivez sur notre page d'inscription depuis une annonce de Google ou de Microsoft, un identifiant de clic figure dans la barre d'adresse (par exemple gclid ou msclkid), accompagné du nom de la campagne. Nous ne conservons cet identifiant que si vous cochez la case distincte prévue à cet effet dans le formulaire d'inscription ; cette case n'est pas cochée d'avance. Si vous ne la cochez pas, nous ne conservons rien. Nous ne déposons aucun cookie à cette fin et n'enregistrons rien à cette fin dans votre navigateur.
Demande de suppression : si un administrateur demande dans l'application la suppression du compte, nous consignons l'horodatage ; l'auteur de la demande figure dans le journal d'audit.
Messages d'assistance : si vous envoyez un e-mail à notre adresse d'assistance, nous conservons votre nom, votre adresse e-mail, l'objet, le texte du message, le nom et la taille des pièces jointes, ainsi que nos réponses.
Retours dans l'application : si vous êtes connecté, l'application transmet votre nom, votre adresse e-mail et le nom de votre organisation au bouton de retour. Si vous envoyez un retour via ce bouton, ces données accompagnent votre message vers notre propre service de retours, afin que nous sachions de qui il provient et puissions vous répondre.
Nous ne traitons pas de catégories particulières de données à caractère personnel et ne pratiquons pas de prise de décision automatisée à l'égard des personnes.
3. Ce que nous relevons sur les sites marchands
Le cœur de priceq est le suivi des prix sur les boutiques en ligne. D'une page produit, nous conservons le prix, la disponibilité, la désignation du produit et l'horodatage de la mesure. Rien de plus. Nous ne conservons ni noms, ni avis, ni données de vendeurs. Nous ne visitons que des pages visibles pour tout visiteur sans connexion.
Il s'agit de données de marché, et non de données à caractère personnel ; le RGPD ne s'y applique pas. Si vous rencontrez malgré tout dans vos données un élément permettant d'identifier une personne, signalez-le à l'adresse ci-dessus : nous le supprimons.
4. Pourquoi nous traitons ces données
| À quelle fin | Base légale |
|---|---|
| Répondre à votre question, votre demande de démonstration ou votre inscription | Exécution d'un contrat ou mesures précontractuelles (art. 6.1.b RGPD) |
| Donner accès à l'application, envoyer les notifications que vous avez configurées | Exécution du contrat |
| Encaisser un abonnement et recouvrer les paiements | Exécution du contrat |
| Répondre aux questions d'assistance et aux retours | Exécution du contrat ; pour une personne qui n'est pas cliente : intérêt légitime (art. 6.1.f RGPD) |
| Consigner ce que vous avez accepté | Intérêt légitime : pouvoir démontrer ce qui a été convenu |
| Prévenir les abus, tenir le journal d'audit, détecter les erreurs | Intérêt légitime : un service fonctionnel et sûr (art. 6.1.f RGPD) |
| Facturation et comptabilité | Obligation légale (art. 6.1.c RGPD) |
Nous n'envoyons pas d'e-mails commerciaux sans votre consentement ou sans relation client existante.
5. Avec qui nous partageons, et où cela se trouve
Nous ne vendons pas de données et ne les partageons pas avec des tiers pour leurs propres finalités. Nous faisons en revanche appel à des prestataires qui travaillent pour nous : hébergement, e-mail, surveillance des erreurs, stockage des sauvegardes, paiements, comptabilité et boîte aux lettres d'assistance. La liste complète, avec pour chaque partie la finalité, la catégorie de données, le pays et le mécanisme de transfert, figure dans la liste des sous-traitants ultérieurs. Nous annonçons toute modification trente jours à l'avance.
Paiement, comptabilité et assistance. Pour ces finalités, nous sommes nous-mêmes responsable du traitement, et ces parties travaillent pour nous, et non pour le compte de votre organisation :
- Stripe traite le paiement et reçoit à cette fin le nom, l'adresse e-mail, l'adresse de facturation, le numéro de TVA si vous le communiquez, et vos données de paiement. Stripe est un groupe américain ; le transfert vers les États-Unis repose sur des clauses contractuelles types et le cadre de protection des données UE-États-Unis.
- Moneybird (Pays-Bas) établit et envoie la facture et reçoit à cette fin la raison sociale, l'adresse e-mail, l'adresse et le numéro de TVA.
- Vimexx (zxcs) (Pays-Bas) héberge la boîte aux lettres de notre adresse d'assistance et reçoit ainsi le nom, l'adresse e-mail et le contenu des messages que vous nous envoyez.
Visite du site web. Si vous acceptez le bandeau de cookies sur le site, Google Ireland Limited traite vos données de visite pour nous au moyen de Google Analytics. Google peut également traiter ces données aux États-Unis, sur la base de clauses contractuelles types et du cadre de protection des données UE-États-Unis. Google mesure également pour nous si un clic sur l'une de nos annonces Google se termine par un clic sur le bouton d'inscription ; nous partageons ces données de mesure avec Google Ads. Nous n'utilisons ni publicité personnalisée ni remarketing. Si vous refusez, rien de tout cela n'a lieu.
Clics publicitaires. Si vous cochez lors de l'inscription la case relative aux clics publicitaires, nous transmettons l'identifiant de clic à Google Ireland Limited ou à Microsoft Ireland Operations Limited, afin qu'ils puissent nous indiquer quelle annonce a conduit à un compte d'essai ou à un abonnement. Sans cette case cochée, cela n'a pas lieu. Vous pouvez retirer votre consentement à tout moment via [email protected] ; nous effaçons alors l'identifiant immédiatement.
Où cela se trouve. L'application et la base de données fonctionnent au sein de l'UE, chez Hetzner à Nuremberg. Une copie des sauvegardes part vers des prestataires de stockage situés hors de l'UE. Ces sauvegardes sont chiffrées avant de quitter le cluster allemand ; le prestataire de stockage ne reçoit que du texte chiffré et n'a pas la clé. Les e-mails (notifications, confirmations, messages relatifs à votre abonnement et nos réponses aux questions d'assistance) transitent par une partie située aux États-Unis, sur la base de clauses contractuelles types et du cadre de protection des données UE-États-Unis.
6. Durées de conservation
| Quoi | Combien de temps |
|---|---|
| Données de compte, y compris la dernière connexion et les e-mails non distribuables | Tant que le compte existe |
| Après résiliation | Anonymisées à la clôture de votre dossier, au plus tard 30 jours après la résiliation. Si un administrateur demande lui-même la suppression dans l'application, un délai de réflexion de 30 jours commence, pendant lequel tout continue de fonctionner et la demande peut être retirée ; ensuite nous effaçons. Un effacement anticipé a lieu sur demande expresse |
| Acceptation des conditions | Pendant la durée du contrat ; ensuite effacée avec les autres données de votre organisation. La copie liée à votre inscription : 12 mois après traitement, comme les formulaires d'inscription |
| Demande de suppression | Jusqu'à ce que la suppression soit exécutée ou la demande retirée |
| Journal d'audit | 12 mois après l'action, même si le compte a pris fin plus tôt |
| Sessions de connexion | Jusqu'à révocation ou expiration, puis 12 mois |
| Notifications envoyées | 12 mois |
| Formulaires de contact et d'inscription | 12 mois après traitement |
| Messages d'assistance | Pendant la durée du contrat ; ensuite effacés avec les autres données de votre organisation. Pour une personne qui n'est pas cliente : 12 mois après le dernier message |
| Dénomination sociale et adresse de votre organisation | Pendant la durée du contrat ; sur les factures, 7 ans |
| Visite du site dans Google Analytics, après votre accord sur le bandeau de cookies | 14 mois ; le cookie dans votre navigateur, six mois |
Mesure publicitaire sur le site (_gcl_aw), après votre accord sur le bandeau de cookies | le cookie dans votre navigateur, 90 jours |
| Identifiant de clic d'une annonce | 90 jours après la confirmation de votre adresse e-mail ; le nom de la campagne subsiste, il ne dit rien de vous personnellement |
| Historique des prix (données non personnelles) | 13 mois |
| Factures et comptabilité, y compris chez Moneybird | 7 ans (obligation légale de conservation) |
7. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Si vous êtes utilisateur de l'application, adressez d'abord votre demande à l'organisation qui a créé votre compte : c'est elle qui est responsable du traitement. Nous l'assistons dans cette tâche. Un administrateur peut exporter lui-même dans l'application toutes les données de son organisation.
Vous pouvez introduire une réclamation auprès de l'autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens) ou de l'autorité de contrôle de votre pays.
8. Sécurité
Nous prenons des mesures techniques et organisationnelles appropriées. En résumé : les données de différents clients sont séparées les unes des autres dans la base de données et cette séparation est imposée par la base de données elle-même, avec une exception assumée : les comptes utilisateurs et les codes à usage unique pour les invitations et la réinitialisation de mot de passe, qui sont consultés à la connexion avant que l'on sache à quel client la personne appartient ; là, l'application filtre explicitement sur le numéro de client ou le numéro d'utilisateur issus de la session connectée. Par ailleurs : les mots de passe ne sont pas lisibles pour nous ; l'ensemble du trafic est chiffré ; une sauvegarde chiffrée est réalisée quotidiennement ; l'application ne peut pas modifier le journal d'audit ; et l'accès à l'environnement de production est limité à un petit groupe d'administrateurs.
Une description détaillée des mesures est envoyée sur demande ; elle figure également à l'annexe III du contrat de sous-traitance. Aucune mesure n'offre de certitude absolue ; voir également l'article 8 des conditions générales.
9. Cookies et scripts
Dans l'application, nous ne conservons dans votre navigateur que ce qui est nécessaire au fonctionnement du service : un cookie qui vous maintient connecté, et vos préférences (votre langue, votre thème et vos paramètres d'affichage). Aucun consentement n'est requis pour cela. L'application n'utilise pas de cookies analytiques ou publicitaires.
Sur le site web, nous demandons d'abord. Lors de votre première visite, un bandeau à deux boutons apparaît. Si vous choisissez « Accepter », nous chargeons Google Analytics, qui dépose des cookies (_ga et _ga_<code>) pour voir quelles pages sont visitées et comment les visiteurs parcourent le site. Ces cookies expirent après six mois. Google mesure alors aussi si un clic sur l'une de nos annonces Google se termine par un clic sur le bouton d'inscription, et partage cette mesure avec Google Ads ; un cookie supplémentaire s'y ajoute, _gcl_aw, qui expire après 90 jours. Nous n'utilisons pas Google à cette occasion pour de la publicité personnalisée ou du remarketing. Si vous choisissez « Seulement le nécessaire », nous ne chargeons pas Analytics et effaçons de tels cookies s'il en subsistait d'un choix antérieur. Votre choix lui-même est conservé dans le stockage de votre navigateur, et non dans un cookie, et nous redemandons après six mois. Vous pouvez modifier votre choix à tout moment via le lien « Cookies » en bas de chaque page.
Nous mesurons en outre le nombre de visites avec Cloudflare Web Analytics. Cela fonctionne sans cookie et sans identifiant vous reconnaissant : nous voyons des nombres par page, par pays et par type d'appareil, et non qui vous êtes. Nous ne demandons donc pas de consentement pour cela, et ce comptage fonctionne également si vous choisissez ci-dessus « Seulement le nécessaire ».
Deux composants que nous ne livrons pas dans l'application elle-même sont néanmoins chargés, chacun pour une fonction : la protection contre les robots de Cloudflare (Turnstile) sur le formulaire d'inscription, et, dans l'application, le bouton de retour de notre propre service de retours (voir §2). En outre, l'application signale à notre surveillance des erreurs les erreurs survenant dans votre navigateur, sans données à caractère personnel.
10. Modifications
Nous adaptons la présente déclaration lorsque le service évolue. La version en vigueur figure toujours sur notre site web, avec la date en tête.
Empreinte de ce texte (SHA-256): d29f515e1bc0e974df0468bda3ce7708e2a5c3b90cc222af4ae28b146c3904e4