Politique de Confidentialité

1. Responsable du traitement

Le responsable des données décrites dans cette Politique est Rafael Henrique Barros. Pour toute question relative à la vie privée, utilisez l’adresse e-mail ci-dessous.

• Éditeur : Rafael Henrique Barros, personne physique résidant en Espagne, exploitant le service sous le nom commercial Noctelo.
• NIF/NIE (Espagne) : Z2504792M
• E-mail : contato@noctelo.site

2. Deux rôles : responsable et sous-traitant

Nous sommes responsables des données des comptes qui utilisent Noctelo (titulaires, gestionnaires et équipe), de la facturation, du support et des visiteurs du site.

Les données que chaque entreprise saisit sur ses clients et ses professionnelles — coordonnées, rendez-vous, messages, notes, photos, montants — appartiennent à cette entreprise, qui en est le responsable. Pour ces données, nous agissons uniquement en tant que sous-traitant, pour son compte et selon ses instructions, comme convenu dans les Conditions. Si vous êtes client ou professionnelle d’une entreprise qui utilise Noctelo, adressez vos demandes à cette entreprise ; si vous nous écrivez, nous lui transmettons la demande et l’aidons à y répondre.

3. Données traitées

• Compte : nom, e-mail, téléphone, mot de passe (conservé uniquement sous forme de hachage irréversible), langue, fonction et autorisations, ainsi que l’enregistrement de votre acceptation de ces documents (version, date et adresse IP).
• Entreprise : nom, adresse, pays, paramètres, formule et historique d’abonnement.
• Facturation : identifiants client et d’abonnement chez Paddle, montant, statut et dates des paiements. Les données de carte sont saisies dans le formulaire de Paddle et ne nous parviennent jamais.
• Utilisation et sécurité : adresse IP, type d’appareil et de navigateur, journaux d’accès et d’erreurs.
• Support : le contenu des messages que vous nous envoyez.
• Visiteurs de la vitrine : statistiques de visites pseudonymisées. L’adresse IP est transformée en un code qui change chaque jour et ne peut pas être inversé ; l’adresse IP elle-même n’est pas conservée.
• Pour le compte des entreprises (en tant que sous-traitant) : données des clients (nom, téléphone, historique des rendez-vous, messages WhatsApp et Telegram, notes, note de confiance), des professionnelles (nom, coordonnées, horaires, montants et commissions, photos et profil de la vitrine, code PIN) et, lorsque l’entreprise utilise la vérification d’arrivée pour les services externes, l’adresse du rendez-vous et la position de l’appareil au moment de l’arrivée.

4. Finalités et bases légales

• Créer et gérer le compte et fournir le service souscrit — exécution du contrat (art. 6, paragraphe 1, point b) du RGPD).
• Facturation et obligations fiscales et comptables — exécution du contrat et respect d’une obligation légale (points b et c).
• Sécurité, prévention de la fraude et des abus, protection contre les robots à l’inscription et diagnostic des erreurs — intérêt légitime à maintenir le service sûr et opérationnel (point f).
• E-mails de service (confirmation de compte, récupération du mot de passe, avis sur l’abonnement et modifications de ces documents) — exécution du contrat.
• Statistiques pseudonymisées de la vitrine, pour montrer à l’entreprise combien de visites elle a reçues — intérêt légitime, avec le minimum de données possible.
• Répondre aux demandes de support — exécution du contrat ou intérêt légitime à répondre aux personnes qui nous contactent.

Nous ne vendons pas de données personnelles, ne les utilisons pas à des fins publicitaires et ne prenons pas de décisions automatisées produisant des effets juridiques à votre égard. Nous n’envoyons pas de communications marketing sans votre consentement.

5. Destinataires

Nous faisons appel aux prestataires suivants, qui traitent les données uniquement pour nous fournir leur service et sous des obligations contractuelles de protection :

• Paddle.com Market Ltd (Royaume-Uni) — Merchant of Record : paiement, encaissements, factures, taxes et remboursements. Paddle traite aussi les données de paiement en tant que responsable, selon la politique de confidentialité de Paddle.
• Contabo GmbH (Allemagne, UE) — serveurs hébergeant le service et la base de données.
• Backblaze, Inc. (États-Unis) — sauvegarde de la base de données hors du serveur principal.
• Sendinblue SAS — Brevo (France, UE) — envoi des e-mails du service.
• OpenAI (États-Unis) — traitement des messages et des demandes par les fonctionnalités d’IA, lorsque l’entreprise les utilise.
• Functional Software, Inc. — Sentry (États-Unis) — surveillance des erreurs techniques, avec les en-têtes d’authentification et les champs sensibles supprimés.
• Cloudflare, Inc. (États-Unis) — vérification anti-robots (Turnstile) à l’inscription.
• OpenStreetMap Foundation (Royaume-Uni) — conversion de l’adresse d’un service externe en coordonnées, lorsque l’entreprise utilise la vérification d’arrivée. Seule l’adresse est envoyée, sans nom ni coordonnées.
• Services de notifications des navigateurs (Google, Apple, Mozilla) — envoi des notifications push que vous activez.

WhatsApp (Meta) et Telegram ne sont pas nos prestataires : ce sont des services que l’entreprise connecte avec ses propres comptes, et les messages qui y transitent sont soumis aux politiques de ces services.

Nous pouvons également communiquer des données à des conseillers professionnels (par exemple juridiques ou comptables), tenus au secret, et aux autorités lorsque la loi l’exige.

6. Transferts internationaux

Certains prestataires sont situés hors de l’Espace économique européen. Pour le Royaume-Uni, la décision d’adéquation de la Commission européenne s’applique. Pour les États-Unis, les transferts reposent sur le cadre de protection des données UE–États-Unis (Data Privacy Framework), lorsque le prestataire est certifié, ou sur les clauses contractuelles types approuvées par la Commission européenne. Vous pouvez nous demander une copie des garanties applicables.

7. Durées de conservation

• Données du compte et de l’entreprise : tant que le compte existe. Après une demande de fermeture, vous disposez de 30 jours pour revenir sur votre décision ; passé ce délai, les données sont supprimées et seul subsiste un enregistrement, sans données personnelles, attestant de la suppression.
• Sauvegardes : renouvelées en rotation, chaque copie étant supprimée au bout de 14 jours.
• Données de facturation : pendant la durée imposée par la législation fiscale et commerciale.
• Journaux d’erreurs : jusqu’à 90 jours.
• Statistiques pseudonymisées de la vitrine : 400 jours.
• Messages de support : le temps nécessaire au traitement de la demande et à son suivi éventuel.

8. Sécurité

Toutes les connexions sont chiffrées (HTTPS). Les mots de passe sont conservés uniquement sous forme de hachage, les sessions WhatsApp sont chiffrées dans la base de données, l’accès aux serveurs est restreint et se fait par clé, et chaque entreprise ne voit que ses propres données. Aucun système n’est infaillible ; en cas de violation touchant vos données, nous vous en informerons, ainsi que les autorités, dans les délais prévus par la loi.

9. Cookies et stockage local

Nous utilisons uniquement des cookies et un stockage local strictement nécessaires : la session et la protection contre les requêtes falsifiées (CSRF), la langue choisie, le thème et les préférences d’interface comme les notifications mises en sourdine ou l’entreprise active. Nous n’utilisons ni cookies publicitaires ni outils d’analyse tiers ; c’est pourquoi nous ne demandons pas de consentement aux cookies.

10. Vos droits

Vous pouvez demander l’accès à vos données, leur rectification, leur effacement, la limitation du traitement et la portabilité, et vous opposer aux traitements fondés sur l’intérêt légitime. Lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment. Le titulaire du compte peut exporter les données de l’entreprise et demander la fermeture directement dans les paramètres.

Pour exercer ces droits, écrivez à contato@noctelo.site. Nous répondons dans un délai d’un mois, prolongeable dans les cas prévus par la loi. Nous pouvons vous demander des informations pour confirmer votre identité.

Si vous estimez que vos droits n’ont pas été respectés, vous pouvez introduire une réclamation auprès de l’Agence espagnole de protection des données (AEPD) ou de l’autorité de protection des données du pays où vous vivez ou travaillez, par exemple la CNIL en France.

11. Mineurs

Le service est réservé aux personnes âgées de 18 ans ou plus. Nous ne collectons pas sciemment de données de mineurs ; si nous l’apprenons, nous les supprimons.

12. Modification de cette Politique

Nous pouvons mettre à jour cette Politique, par exemple lorsque nous changeons de prestataire. La date et la version en vigueur figurent en haut de la page ; les modifications importantes sont annoncées aux titulaires de compte par e-mail ou dans le tableau de bord.