1. Qui traite vos données
CREACH AGENCY, [forme juridique, capital et adresse du siège à compléter], SIRET 979 948 551 00010, contact : support@creach.agency. Pour les comptes et la sécurité du Service, nous sommes responsable de traitement. Pour les statistiques des visiteurs d’un lien, le responsable de traitement est l’utilisateur ou l’organisation qui a créé le lien ; nous agissons comme sous-traitant selon les instructions décrites ici.
2. Données des visiteurs d’un lien
Lorsqu’un lien ou un QR code est scanné, nous enregistrons : la date et l’heure, le type d’appareil, le système d’exploitation, le navigateur, le pays, la région et la ville estimés à partir de l’adresse IP, la langue du navigateur, la page d’origine si elle est transmise, la destination servie, et une empreinte pseudonyme (hachage irréversible de l’adresse IP et du navigateur avec un secret) qui sert uniquement à compter les visiteurs uniques. L’adresse IP elle-même n’est jamais conservée. Base légale : intérêt légitime de l’éditeur du lien à mesurer l’usage de ses supports, et le nôtre à sécuriser le Service.
Conservation : le détail des scans est conservé 36 mois à compter du scan, puis supprimé automatiquement ; seuls les totaux par lien sont conservés au-delà. Les tests lancés depuis l’éditeur ne sont pas enregistrés.
3. Données des utilisateurs du Service
- Compte : adresse e-mail, nom, langue, méthode de connexion (lien magique, mot de passe haché, Google ou Microsoft), date de création. Base légale : exécution du contrat.
- Organisation : nom, membres et rôles, invitations (adresse e-mail invitée, expiration à sept jours).
- Liens : destination, design, options (mot de passe haché, page d’attente, deep links), alias, domaine personnalisé.
- Sécurité : empreinte pseudonyme du créateur d’un lien (hachage de l’adresse IP avec un secret) pour limiter les abus, conservée avec le lien ; signalements reçus.
- Journaux techniques de l’hébergeur, conservés au plus trente jours.
Les données de compte sont conservées tant que le compte existe, puis supprimées dans un délai de trente jours après sa suppression, hors obligations légales (factures : dix ans).
4. Destinataires et sous-traitants
Les données sont hébergées et traitées par : Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, États-Unis ; base de données Neon Inc. (base de données PostgreSQL hébergée à Francfort, Allemagne) ; Resend Inc. (envoi des e-mails transactionnels). Les fonctions et la base de données s’exécutent en Europe (Francfort (Allemagne), région eu-central-1 pour les fonctions et la base de données). Certains prestataires sont établis aux États-Unis ; les transferts sont encadrés par le cadre de protection des données UE-États-Unis ou par des clauses contractuelles types. Lorsque la vérification des destinations est activée, l’adresse de destination (jamais les données des visiteurs) est transmise au service Google Safe Browsing.
5. Cookies
Seuls des cookies strictement nécessaires sont utilisés : la session de connexion, la langue choisie, et le déverrouillage d’un lien protégé par mot de passe pendant douze heures. Aucun cookie publicitaire ni de mesure d’audience tierce. Ces cookies ne requièrent pas de consentement.
6. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, et du droit de définir des directives post-mortem. Écrivez à support@creach.agency ; nous répondons sous un mois. Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr). Les visiteurs d’un lien qui souhaitent exercer leurs droits sur les statistiques doivent s’adresser à l’éditeur du lien ; nous l’assistons à cette fin.
7. Sécurité
Connexions chiffrées, mots de passe et clés API hachés, liens d’édition aléatoires longs, webhooks signés, accès administrateur restreint et journalisé. En cas de violation de données susceptible d’engendrer un risque, nous notifierons la CNIL et, le cas échéant, les personnes concernées dans les délais légaux.
8. Modifications
Cette politique peut évoluer ; la date de mise à jour figure en haut de page. Les changements substantiels sont annoncés aux titulaires de compte par e-mail.