Politique de confidentialité

Informations au titre des art. 13 et 14 du RGPD · Mise à jour : septembre 2026

Ceci est une traduction de courtoisie. Seule la version allemande fait foi juridiquement.

Responsable du traitement

Missus GmbH
Ulrichsweg 53/2
8045 Graz, Autriche
E-mail : privacy (at) difora (point) eu

Contact confidentialité et sécurité : direction de Missus GmbH (Security & Privacy Lead). Cette fonction de contact ne constitue pas une désignation comme délégué légal à la protection des données.

(I) Ce site web

Ce site n'utilise aucun cookie, aucun service tiers d'analyse ou de traçage, ni aucun module de réseau social. Nous hébergeons nos propres polices, scripts et images. Notre mesure interne limitée est décrite ci-dessous.

Fichiers journaux du serveur

Lors de la consultation de ce site, le serveur web traite automatiquement des données techniques d'accès (notamment adresse IP, date et heure de l'accès, page consultée, type de navigateur), dans la mesure où cela est techniquement nécessaire pour fournir le site et en garantir la stabilité et la sécurité. La base légale est notre intérêt légitime à l'exploitation sécurisée du site (art. 6, § 1, point f du RGPD). Ces données ne sont pas recoupées avec d'autres sources et sont vérifiées régulièrement quant à leur nécessité puis supprimées en conséquence.

Demande de partenariat pilote

Si vous envoyez le formulaire présent sur ce site, nous traitons les informations que vous fournissez (adresse e-mail et, facultativement, nom, entreprise et message) ainsi que la langue sélectionnée, afin de répondre à votre demande. La base légale est l'art. 6, § 1, point b du RGPD (mesures précontractuelles) ou notre intérêt légitime à répondre à votre demande (art. 6, § 1, point f). Nous n'utilisons pas ces données pour des newsletters ou toute autre publicité. Elles sont supprimées dès qu'elles ne sont plus nécessaires et qu'aucune obligation légale de conservation ne s'y oppose.

(II) Compte, contrat et service

Nous traitons noms, e-mails professionnels, organisation/appartenance, empreintes des mots de passe/jetons et compteurs de quota. Les coordonnées de l’entreprise, le nom et l’e-mail vérifié du représentant, l’heure, la déclaration et les textes exacts sont conservés comme preuve du contrat de l’organisation. L’art. 6(1)(b) RGPD s’applique aux personnes directement contractantes ; pour leurs salariés/contacts, nous invoquons l’intérêt légitime de gestion et de protection des accès (art. 6(1)(f)). Facturation et conservation légale reposent sur l’art. 6(1)(c). Les contenus de projets, captures et revues sont traités pour le client, selon III.

Un jeton de session nécessaire est conservé dans le localStorage, sans publicité. Les données proviennent de vous, de l’organisation qui vous invite et de Mollie/VIES pour les vérifications de paiement/TVA. Les données obligatoires sont nécessaires au service concerné. Aucune décision exclusivement automatisée produisant des effets juridiques ou similaires significatifs au sens de l’art. 22 RGPD n’est prise.

Mesure interne limitée de l'utilisation

Nous comptons séparément et de manière agrégée les visites des pages d'accueil et de comparaison et le début d'une inscription. Aucun cookie, identifiant de navigateur ou élément de stockage du navigateur n'est créé. Un reçu aléatoire par événement évite les transmissions en double ; il n'est ni réutilisé ni relié à un compte ultérieur. Do Not Track et Global Privacy Control désactivent cette mesure dans le navigateur.

Pour les nouvelles organisations, nous enregistrons la première vérification du compte, la création du projet et du jeton CI, le premier envoi, l'approbation délibérée d'une référence, un autre build terminé, le choix d'une offre et le premier paiement confirmé. Les données comprennent l'événement, l'heure, l'identifiant de l'organisation et, éventuellement, du projet, une référence de build hachée et l'offre choisie. La référence au compte créateur est supprimée après vérification. Ces mesures ne contiennent ni captures d'écran, ni valeurs de jetons, mots de passe, adresses e-mail, adresses IP ou identifiants de navigateur.

Missus GmbH utilise ces données opérationnelles limitées en qualité de responsable du traitement pour améliorer l'inscription et la prise en main du produit. La base légale est notre intérêt légitime à cette amélioration (art. 6, § 1, point f du RGPD). Aucun profil individuel n'est utilisé pour la publicité et les données ne sont pas transmises à des prestataires d'analyse. Seuls les administrateurs autorisés y accèdent ; les organisations internes et de test sont exclues. Vous pouvez vous opposer au traitement pour des raisons tenant à votre situation particulière en nous contactant à l'adresse ci-dessus. Le traitement technique des données d'accès à des fins de sécurité reste distinct.

Les mesures liées à une organisation expirent 90 jours après sa création ; la suppression de l'organisation les efface plus tôt, celle d'un projet efface ses événements. Les totaux quotidiens sont conservés 90 jours et les reçus individuels 24 heures. Le nettoyage est quotidien ; son échec peut retarder l'effacement physique. Les copies dans les sauvegardes existantes suivent le cycle de conservation de ces sauvegardes.

(III) Sous-traitance et restitution

Nous traitons captures, références, différences, métadonnées de projet/build, discussions et revues comme sous-traitant de votre organisation. Elle décide des contenus, finalités, utilisateurs et destinataires. Privilégiez des données synthétiques. Un contrat principal et un accord de sous-traitance valides sont nécessaires avant tout nouveau traitement. Le représentant vérifié et habilité peut lire/enregistrer tous les textes avant acceptation puis télécharger la preuve exacte.

Les propriétaires peuvent télécharger les données disponibles de l’organisation après authentification, en lignes JSON compressées gzip avec images PNG, même si l’acceptation reste en attente. Exportez avant suppression définitive ; les contenus légalement effacés ne sont pas reconstitués. L’accord et ses annexes régissent restitution, effacement et sauvegardes.

(IV) Prestataires, lieux et accès

UpCloud Oy héberge application/base privée à Amsterdam et stockage des images, factures et sauvegardes SQL à Francfort. Sendinblue SAS (Brevo) envoie les e-mails transactionnels de compte/vérification/facturation et les notifications configurées de projet/revue avec métadonnées/liens, sans captures jointes. Brevo décrit un stockage européen, mais des accès de support/autres prestataires notamment en Inde et aux États-Unis. Un stockage européen ne garantit pas des accès exclusivement européens.

Microsoft 365 fournit les boîtes professionnelles. Son EU Data Boundary dépend du périmètre du tenant/service et comporte des exceptions documentées aux transferts. N’ajoutez pas de données traitées pour le client aux e-mails ordinaires de support sans instructions et garanties vérifiées ; utilisez l’application protégée pour les images. Scaleway fournit registre logiciel/DNS et Hetzner l’enregistrement du domaine, sans sous-traitance de captures dans ces fonctions. Les sous-traitants sont liés conformément à l’art. 28 RGPD. Les destinataires distincts hors EEE nécessitent une décision d’adéquation applicable ou des garanties appropriées, notamment des clauses types effectives et mesures supplémentaires ; détails/copies auprès du contact confidentialité.

La direction assure l’exploitation unipersonnelle. Ses accès temporaires en voyage exigent les vérifications de pays, risques et sécurité prévues au contrat. Aucune autorisation générale de transferts ni astreinte humaine 24/7 n’est promise. Les changements de prestataires suivent la procédure d’information/opposition convenue. Aucun entraînement d’IA sur les données traitées pour le client.

(V) Paiements et destinataires choisis

Mollie B.V. reçoit les données nécessaires au paiement comme responsable distinct, sans captures ; Mollie Invoice n’est pas utilisé. Les moyens de paiement sont saisis dans Mollie. VIES vérifie les numéros de TVA européens fournis. Les intégrations GitHub/GitLab/Bitbucket et webhooks facultatifs sont configurés par le client : statut, contexte projet/build, liens et, uniquement si les vignettes PR sont expressément activées, images réduites peuvent être transmis aux destinataires choisis. Les images intégrales conservent leur contrôle d’accès. Des copies de destinataires/proxys peuvent subsister après désactivation ; instructions et garanties de transfert s’appliquent. Pas de vente de données ni de newsletter issue des demandes.

(VI) Conservation

• Comptes/équipes : pendant la durée nécessaire, puis effacement ; retirer une personne ne détruit pas le contrat d’une organisation qui continue.
• Preuves contractuelles : relation plus trois ans après clôture de l’organisation, pour preuve/défense des droits selon l’art. 6(1)(f). Des obligations légales/procédures précises documentées peuvent justifier une conservation prolongée limitée. Ce n’est pas une durée légale universelle de trois ans.
• Contenus de builds : seuil normal de 90 jours pour les builds terminés n’attendant plus de revue. Traitements/revues ouverts et images encore nécessaires aux références/discussions restent protégés. Références de branches inactives selon réglage (60 jours par défaut), historique 365 jours. Résumés et paramètres jusqu’à suppression de leur périmètre.
• Jobs terminés/échoués et détails d’audit : 30 jours ; événements minimaux d’audit et historique de livraison de builds : 90 jours. Historique de livraison de revue lié au build. Les traitements quotidiens limités peuvent être retardés par attente/panne.
• Instruction d’effacement : données actives sans retard injustifié, au plus tard sous 30 jours ; sauvegardes SQL existantes propres jusqu’à 30 jours supplémentaires après effacement actif (seuil normal 28 jours). Aucune promesse globale de 30 jours pour toutes les copies de prestataires. Les autres copies suivent les réglages vérifiés/procédures limitées du contrat ; le délai Brevo après résiliation de son contrat entier n’est pas un délai individuel Difora.
• Demandes et journaux techniques : uniquement tant que nécessaires à la réponse, la sécurité ou l’analyse d’un incident, avec vérification/effacement réguliers. Les preuves commerciales/d’incident nécessaires restent limitées à leur finalité ; aucune durée automatique universelle de boîte/journal n’est affirmée.
• Factures : en principe sept ans après la fin de l’année civile concernée selon § 132 BAO, davantage si nécessaire à des procédures fiscales concernées en cours. Cela ne conserve pas les contenus de captures.

(VII) Sécurité

HTTPS et TLS SMTP obligatoire avec certificats vérifiés protègent le transport, sans chiffrer les boîtes de bout en bout. Mots de passe/jetons sont hachés, secrets d’intégration chiffrés. UpCloud décrit le chiffrement au repos. Accès administratifs limités ; procédures appareils, MFA, contrôle des accès et incidents selon les garanties convenues. Les organisations concernées sont averties des violations connues sans retard injustifié, au plus tard sous 48 heures réelles. Ce n’est pas une promesse générale de support 24/7.

(VIII) Vos droits

Vous disposez en principe d'un droit d'accès (art. 15 du RGPD), de rectification (art. 16), d'effacement (art. 17), de limitation du traitement (art. 18), à la portabilité des données (art. 20) et d'opposition (art. 21). Un simple e-mail à l'adresse indiquée ci-dessus suffit pour exercer vos droits.

Si vous estimez que le traitement de vos données enfreint le droit de la protection des données, vous pouvez introduire une réclamation auprès de l'autorité autrichienne de protection des données : www.dsb.gv.at. En tant que personne concernée résidant en France, vous pouvez également saisir la CNIL : www.cnil.fr.