Politique de confidentialité

Mickaël Cavelier, entrepreneur individuel, 1 rue du Manège, 17540 Saint-Sauveur-d’Aunis, éditeur de Luweo. Pour toute question sur tes données : contact@luwen.fr.

Pour ton compte (ton email, tes réglages, tes informations d’émetteur), je suis responsable du traitement. Cette page s’applique.

Pour les données de tes clients que tu saisis dans Luweo, c’est toi le responsable du traitement, et je suis ton sous-traitant. Les règles sont dans l’accord de sous-traitance des conditions générales d’utilisation et de vente. Cette page te dit quand même où elles sont stockées et combien de temps elles sont gardées.

Tes données (ton nom, ton adresse, ton contact) ont été saisies par le professionnel qui t’a envoyé ce devis. C’est lui qui en est responsable : pour exercer tes droits, adresse-toi à lui en premier, en répondant à son email. Si tu m’écris à contact@luwen.fr, je lui transmets ta demande.

Quand tu acceptes un devis, Luweo enregistre le nom que tu as saisi, la date, et une copie PDF figée du devis avec son empreinte. Ton adresse IP n’est pas conservée.

Le professionnel peut aussi indiquer que tu as donné ton accord en dehors de Luweo. Luweo enregistre alors la date de cet accord et une note que lui seul voit, et le PDF du devis porte la mention « Accord du client validé manuellement » suivie de cette date.

Pour ton compte :

• ton adresse email et ton mot de passe, stocké sous forme hachée (je ne peux pas le lire) ;
• la date de création de ton compte ;
• tes réglages de devis : TJM, heures par jour, régime et taux de TVA ;
• tes informations d’émetteur, qui figurent sur tes devis : nom, SIRET, numéro de TVA, adresse, email, téléphone, site web, signature d’email.

Pour la sécurité :

• le nombre d’échecs de connexion consécutifs sur ton compte ;
• en cas de mot de passe oublié, une empreinte du lien de réinitialisation et l’heure de la demande ;
• les journaux techniques du serveur, qui contiennent notamment l’adresse IP et les pages appelées.

Pour la relation avec toi : les emails que nous échangeons, et, quand tu t’abonnes, tes informations de facturation (nom ou raison sociale, adresse, numéro de TVA s’il y en a un, email), l’historique de tes paiements et tes factures. Ta carte est conservée par Stripe : je n’en vois que la marque, les 4 derniers chiffres et la date d’expiration.

Ton email et ton mot de passe sont indispensables pour créer ton compte. Ton nom, ton SIRET, ton adresse et ta signature d’email sont nécessaires pour envoyer un devis : sans eux, l’envoi est refusé. Le reste est facultatif.

Aucune mesure d’audience, aucun outil publicitaire, aucun cookie tiers.

• Faire fonctionner ton compte et Luweo : exécution du contrat qui nous lie (article 6, paragraphe 1, point b du RGPD).
• T’envoyer les emails liés au service (mot de passe oublié, fin d’essai, lien de paiement, changement de conditions) : exécution du contrat.
• Protéger les comptes et le service (blocage, limitation des essais, journaux) : mon intérêt légitime à assurer la sécurité de Luweo (article 6, paragraphe 1, point f du RGPD).
• Tenir ma comptabilité quand tu es abonné : obligation légale (article 6, paragraphe 1, point c du RGPD).

Je ne t’envoie pas de newsletter ni de publicité. Tes données ne sont ni vendues, ni cédées, ni utilisées pour entraîner un modèle d’intelligence artificielle.

• Ton compte et tout ce qu’il contient (y compris les données de tes clients) : tant que ton compte existe. Si tu demandes sa suppression, tout est effacé le jour même, puis disparaît des sauvegardes au bout de 14 jours au plus.
• Compte sans abonnement, après l’essai ou après la fin de ton abonnement : 6 mois, puis suppression. Je te préviens par email un mois avant.
• Compteur d’échecs de connexion : remis à zéro à ta prochaine connexion réussie, ou quand ton compte est débloqué.
• Lien de mot de passe oublié : valable 1 heure, utilisable une seule fois. Son empreinte est effacée dès que tu t’en sers.
• Limitation du nombre d’essais : ton adresse IP est gardée en mémoire vive, jamais en base, moins d’une heure.
• Journaux techniques du serveur : 14 jours pour le serveur web. Les journaux des applications sont limités en taille et effacés à chaque mise en ligne.
• Emails échangés avec moi : 3 ans après notre dernier échange.
• Factures : 10 ans, durée de conservation des pièces comptables.
• Sauvegardes : une par nuit, chacune gardée 2 semaines.

Moi seul, Mickaël Cavelier, et seulement quand c’est nécessaire (support demandé, incident, obligation légale).

Mes prestataires, qui traitent les données pour moi et selon mes instructions :

• IONOS SARL (Sarreguemines, France), hébergement du serveur et des sauvegardes, situés en Allemagne ;
• Plus Five Five, Inc. (Resend), à San Francisco, États-Unis : envoi des emails de Luweo (mot de passe oublié, et devis envoyés à tes clients, qui portent ton nom et ton adresse de réponse) ;
• IONOS SARL (Sarreguemines, France), messagerie hébergée dans l’Union européenne, pour nos échanges par email ;
• Stripe Payments Europe, Limited, à Dublin, Irlande : paiement de l’abonnement, le jour où tu t’abonnes. Je ne vois jamais ton numéro de carte.

Le rendu des PDF est fait sur mon propre serveur, sans service extérieur.

Tes données et celles de tes clients sont stockées en Allemagne, dans l’Union européenne.

Deux exceptions. D’abord, les emails envoyés par Luweo passent par Resend, aux États-Unis. Resend reçoit donc l’adresse du destinataire, le contenu de l’email et, pour un devis, ton nom et ton adresse de réponse. Ce transfert est encadré par la décision d’adéquation de la Commission européenne du 10 juillet 2023 (cadre de protection des données UE-États-Unis, ou Data Privacy Framework), auquel Resend déclare adhérer, et par les clauses contractuelles types de la Commission européenne (décision 2021/914) intégrées à son accord de traitement.

Ensuite, quand tu t’abonnes, Stripe peut transférer les données de paiement à sa maison mère, Stripe, Inc., aux États-Unis. Ce transfert repose sur les mêmes garanties : Stripe, Inc. adhère au Data Privacy Framework et utilise en plus les clauses contractuelles types de la Commission européenne.

Ce que ça change pour toi : ces données sont aussi soumises au droit américain, et les autorités américaines peuvent, dans les limites prévues par ce cadre, y accéder. Le cadre te donne des voies de recours, notamment via la CNIL. Tu peux me demander une copie des garanties mises en place.

Luweo n’utilise que deux cookies, tous deux nécessaires au fonctionnement du site. C’est pour ça qu’aucun bandeau ne te demande ton accord (article 82 de la loi n° 78-17 du 6 janvier 1978 dite Informatique et Libertés) :

• session : te garde connecté, pendant 7 jours au plus. Il n’est pas lisible par les scripts de la page ;
• NEXT_LOCALE : retient la langue que tu as choisie, pendant 1 an.

Aucun cookie de mesure d’audience, de publicité ou de réseau social. Si ça change, cette page sera mise à jour avant, et je te demanderai ton accord si la loi l’exige.

• Connexion chiffrée (HTTPS) sur tout le site.
• Mots de passe stockés sous forme hachée.
• Cookie de session inaccessible aux scripts de la page.
• Compte bloqué après 3 échecs de connexion, 5 essais par minute au plus.
• Lien de mot de passe oublié valable 1 heure, utilisable une seule fois, stocké sous forme d’empreinte.
• Données de chaque compte strictement cloisonnées.
• Liens de devis tirés au hasard (128 bits), impossibles à deviner.
• Devis accepté figé en PDF avec son empreinte.
• Base et PDF sauvegardés chaque nuit.

En cas de violation de données présentant un risque, je préviens la CNIL dans les 72 heures, et toi directement si le risque pour toi est élevé (articles 33 et 34 du RGPD).

Tu peux à tout moment demander à accéder à tes données, les corriger, les effacer, en recevoir une copie dans un format lisible (JSON ou CSV) pour les emporter ailleurs, limiter leur usage, ou t’opposer à un traitement fondé sur mon intérêt légitime (articles 15 à 21 du RGPD). Tu peux aussi me dire ce que tu veux qu’il advienne de tes données après ton décès (article 85 de la loi Informatique et Libertés).

Beaucoup de choses se font directement dans Luweo : tes réglages et tes informations d’émetteur se modifient dans la page Paramètres. Pour le reste, et notamment la suppression de ton compte tant qu’elle n’existe pas dans l’application, écris à contact@luwen.fr depuis l’adresse de ton compte. Je réponds dans un délai d’un mois au plus, et en pratique sous un jour ouvré.

Si tu estimes que je ne respecte pas tes droits, tu peux adresser une réclamation à la CNIL. Écris-moi d’abord si tu le souhaites : je préfère régler le problème avec toi.

Cette politique évolue avec Luweo, par exemple quand un nouveau prestataire arrive. La date en haut de page indique la dernière mise à jour. Pour un changement important, je te préviens par email avant qu’il s’applique.