Politique de protection des données personnelles
La présente politique explique comment SynQflows, s.r.o., n° d’identification 23685450, dont le siège social est situé Příčná 1892/4, Nové Město, 110 00 Praha 1 (« nous » ou l’« Exploitant »), traite les données à caractère personnel en lien avec la plateforme Negotiq (la « Plateforme »), conformément au règlement (UE) 2016/679 (le « RGPD ») et à la loi tchèque n° 110/2019 Rec., sur le traitement des données à caractère personnel. Les termes commençant par une majuscule ont le sens qui leur est donné dans les Conditions générales d’utilisation.
1. Responsable du traitement et contact
Le responsable du traitement est l’Exploitant. Pour toute question relative à la protection des données, contactez-nous à l’adresse inquiry@negotiq.synqflows.com ou écrivez-nous à l’adresse de notre siège social. Nous n’avons pas désigné de délégué à la protection des données, car nous n’y sommes pas tenus.
La Plateforme s’adresse aux entreprises. La plupart des données concernent des sociétés (dénomination, numéro d’identification, prix, offres) et ne sont pas des données à caractère personnel. Les données à caractère personnel sont principalement celles des personnes qui agissent pour le compte des entreprises sur la Plateforme, celles des entrepreneurs individuels (par exemple leurs coordonnées bancaires) et les coordonnées des personnes travaillant dans les entreprises que nous sollicitons.
2. Quand nous sommes responsable du traitement et quand sous-traitant
- En qualité de responsable du traitement, nous traitons les données relatives aux personnes qui utilisent la Plateforme pour le compte des Organisations, les données nécessaires à la fourniture de la Plateforme, au Dénouement et à la preuve des Accords, à la facturation et à la sécurité, ainsi que les données relatives aux fournisseurs potentiels (section 3).
- En qualité de sous-traitant pour le compte de l’Organisation, qui est le responsable du traitement, nous traitons les données à caractère personnel contenues dans le Contenu de l’Utilisateur (par exemple une personne de contact mentionnée dans une spécification ou une pièce jointe), dans les messages envoyés à l’Adresse de réception, dans les identifiants d’accès aux systèmes connectés (ERP) et dans les données récupérées depuis ceux-ci, ainsi que dans les données que nous envoyons, sur instruction de l’Organisation, à ses Webhooks. Ce traitement est régi par la Convention de traitement des données ; veuillez adresser vos demandes concernant ces données à l’Organisation concernée.
3. Quelles données, pourquoi, sur quelle base et pour combien de temps
| Finalité | Données | Base juridique | Durée de conservation |
|---|---|---|---|
| Inscription et gestion du compte, connexion, rôles et autorisations | nom, adresse e-mail professionnelle, Organisation et rôle, empreintes (hash) du mot de passe et du code de récupération, sessions de connexion (uniquement l’empreinte du jeton et sa date d’expiration), nombre de tentatives de connexion infructueuses | contrat (art. 6, paragraphe 1, point b), du RGPD), voir la remarque sous le tableau | pendant toute la durée du compte ; sessions 30 jours ; après la suppression du compte, les données sont effacées ou anonymisées |
| Enregistrement de l’acceptation des Conditions et des autres documents | document, version, heure d’acceptation, empreinte (hash) de l’adresse IP, identification du navigateur | intérêt légitime à prouver la conclusion et le contenu du Contrat (art. 6, paragraphe 1, point f)) | pendant toute la durée du Contrat et 4 ans après son expiration |
| Fourniture de la Plateforme : Demandes, négociations des Agents, Accords, Confirmations, notifications, Intégrations | identité de la personne qui a créé une Demande, approuvé une Offre ou configuré une Intégration ; coordonnées communiquées à la contrepartie après la conclusion d’un Accord | contrat ; intérêt légitime à la traçabilité probante des transactions (art. 6, paragraphe 1, point f)) | pendant toute la durée du compte ; après sa suppression, les données sont effacées ou anonymisées, à l’exception des enregistrements mentionnés à la ligne « Chaîne d’audit » |
| Dénouement des Accords | Données de paiement du Fournisseur (qui constituent des données à caractère personnel dans le cas des entrepreneurs individuels), données de facture (numéro, montant, échéance, symbole variable), identité de la personne ayant signalé la facturation, le paiement, la réception du paiement ou un litige et date de ce signalement, notes relatives aux litiges, Enregistrements AP2 | contrat ; intérêt légitime à la traçabilité probante des transactions et à la prévention de la fraude (art. 6, paragraphe 1, point f)) | 10 ans à compter de la conclusion de l’Accord ; après la suppression d’un compte, les noms et coordonnées des personnes sont remplacés par un identifiant interne |
| Chaîne d’audit et sécurité (prévention des abus, enquête sur les incidents, preuve des Accords) | qui a fait quoi et quand, contenu de l’opération, enregistrements techniques, adresse IP dans les journaux d’exploitation | intérêt légitime à la sécurité, à l’intégrité et à la traçabilité probante des opérations (art. 6, paragraphe 1, point f)) | entrées de la Chaîne d’audit, Confirmations et Enregistrements AP2 : 10 ans à compter de leur création ; après la suppression d’un compte, sous forme pseudonymisée (un identifiant interne au lieu du nom et de l’adresse e-mail), la Chaîne d’audit ne pouvant être modifiée ; journaux d’exploitation : 90 jours au maximum |
| Facturation et comptabilité (fonctionnalités payantes) | données d’identification et de facturation, personne de contact | obligation légale (art. 6, paragraphe 1, point c)) | 10 ans (loi n° 235/2004 Rec., relative à la taxe sur la valeur ajoutée, et loi n° 563/1991 Rec., relative à la comptabilité) |
| Paiements et relances (rapprochement des paiements, paiement par carte, paiement automatique) | données relatives au paiement et au compte du payeur, marque et 4 derniers chiffres de la carte, e-mails envoyés | exécution du contrat (art. 6, paragraphe 1, point b)) et obligation légale (art. 6, paragraphe 1, point c)) | 10 ans pour les pièces comptables ; carte enregistrée jusqu’à sa suppression |
| Notifications de contenus illicites et réclamations au titre du règlement sur les services numériques | nom et adresse e-mail de l’auteur de la notification ou de la réclamation, contenu de la notification, décision et exposé de ses motifs | obligation légale découlant des articles 16 et 17 du règlement (UE) 2022/2065 (art. 6, paragraphe 1, point c)) ; pour les réclamations, intérêt légitime à leur traitement (art. 6, paragraphe 1, point f)) | 3 ans après leur traitement |
| Base de données des fournisseurs potentiels et prospection de ceux-ci (B2B) | données relatives aux entreprises issues des registres publics ; coordonnées génériques des entreprises tirées de leurs sites web (par exemple info@, téléphone de l’accueil) ; nom et coordonnées professionnelles d’une personne que l’entreprise nous communique elle-même ; compte rendu de l’appel et résultat de la prise de contact | intérêt légitime à proposer une coopération aux entreprises (art. 6, paragraphe 1, point f)) ; nous contactons les entreprises par téléphone et ne leur envoyons une invitation par e-mail qu’avec leur consentement (article 7 de la loi n° 480/2004 Rec.) | jusqu’à l’opposition ou 3 ans à compter du dernier contact ; en cas d’opposition, nous conservons uniquement l’information selon laquelle l’entreprise ne souhaite pas être contactée |
| Communication avec vous (assistance, questions) | nom, adresse e-mail, contenu de la communication | contrat ou intérêt légitime | 3 ans après le traitement de la demande |
| Communications commerciales adressées aux clients existants au sujet de services similaires | adresse e-mail professionnelle | article 7, paragraphe 3, de la loi n° 480/2004 Rec. ; intérêt légitime ; chaque message comporte une possibilité de désinscription | jusqu’à la désinscription |
Remarque sur la base juridique : lorsque nous indiquons « contrat », il s’agit de l’article 6, paragraphe 1, point b), du RGPD si vous êtes vous-même partie au contrat (entrepreneur individuel). Si vous agissez pour le compte d’une Organisation en qualité de salarié ou d’une autre personne, la base juridique est notre intérêt légitime à l’exécution du contrat conclu avec l’Organisation (art. 6, paragraphe 1, point f)).
Les données que nous traitons en qualité de sous-traitant (section 2) sont conservées conformément aux instructions de l’Organisation et à la Convention de traitement des données ; les messages envoyés à l’Adresse de réception (expéditeur, objet, heure de réception, pièces jointes) sont supprimés au bout de 90 jours, tandis que les offres importées sont conservées.
4. Sources
- vous-même, lors de l’inscription et de l’utilisation de la Plateforme, ou l’Administrateur de votre Organisation (invitation d’un collègue) ;
- l’Organisation et ses Intégrations (messages envoyés à l’Adresse de réception, systèmes connectés) ;
- la contrepartie à un Accord (Données de paiement du Fournisseur, données de facture et statuts du Dénouement) ;
- des sources publiques : le Registre des entités économiques de l’Office tchèque de statistique, ARES, le registre du commerce et les sites web publics des entreprises — uniquement les coordonnées génériques des entreprises ;
- l’entreprise que nous sollicitons, si elle nous communique elle-même une personne de contact.
5. Destinataires
- La contrepartie à l’Accord — après la conclusion d’un Accord, l’Acheteur et le Fournisseur voient réciproquement la dénomination de l’entreprise, l’adresse e-mail de contact et le numéro de téléphone de l’autre, afin de pouvoir exécuter l’Accord ; l’Acheteur voit en outre les Données de paiement et les données de facture du Fournisseur, et les deux parties voient les statuts du Dénouement et les notes relatives aux litiges. Avant la conclusion de l’Accord, la contrepartie ne voit pas votre identité.
- L’Administrateur de votre Organisation — voit dans les enregistrements d’audit de l’Organisation qui a fait quoi et quand.
- Les sous-traitants qui assurent le fonctionnement du service pour notre compte (liés contractuellement conformément à l’article 28 du RGPD) :
La liste à jour figure dans la Convention de traitement des données.Sous-traitant Finalité Localisation / garanties Railway Corporation hébergement de l’application et de la base de données, sauvegardes États-Unis / UE ; clauses contractuelles types de l’UE, ou EU-U.S. Data Privacy Framework Anthropic, PBC conversion de listes de prix non structurées (PDF, texte) en tableaux — uniquement lorsque vous utilisez cette fonctionnalité États-Unis ; clauses contractuelles types ; données non utilisées pour l’entraînement de modèles prestataire de réception des e-mails (le prestataire concerné sera ajouté à la présente liste avant le lancement de la fonctionnalité) réception des messages envoyés aux Adresses de réception et transmission de ceux-ci à la Plateforme sera précisé en même temps que le prestataire ; transferts hors de l’EEE uniquement moyennant des garanties conformes au chapitre V du RGPD prestataire de service de messagerie électronique (SMTP) envoi des factures, des relances et des messages de service (adresse du destinataire et contenu du message) UE - Les services de paiement, en qualité de responsables du traitement distincts, lorsque vous y recourez : Stripe Payments Europe, Ltd. (Irlande) traite les paiements par carte et enregistre la carte pour le paiement automatique — vous saisissez le numéro de carte directement auprès de Stripe ; nous ne le voyons ni ne le conservons jamais (nous connaissons uniquement la marque, les 4 derniers chiffres et la date d’expiration) ; Raiffeisenbank a.s. tient notre compte et nous fournit les données relatives aux paiements entrants (montant, symbole variable, nom et numéro de compte du payeur, message), que nous rapprochons des factures.
- Les systèmes choisis par votre Organisation — sur instruction de l’Organisation, nous envoyons des données à ses Webhooks et nous nous connectons à ses systèmes connectés (ERP, flux de produits). Ces destinataires ne sont pas nos sous-traitants ; l’Organisation est responsable du traitement qu’ils effectuent.
- Les autorités publiques, lorsque la loi l’exige.
Nous ne vendons pas de données à caractère personnel et ne les utilisons pas à des fins de publicité pour des tiers.
6. Transferts hors de l’EEE
Certains sous-traitants sont établis aux États-Unis. Les transferts reposent sur la décision d’adéquation de la Commission (EU-U.S. Data Privacy Framework) pour les destinataires certifiés et, à défaut, sur les clauses contractuelles types approuvées par la décision d’exécution (UE) 2021/914 de la Commission, assorties de mesures supplémentaires (chiffrement en transit et au repos, minimisation des données). Une copie des garanties est disponible sur demande.
7. Prise de décision automatisée
Les agents de la Plateforme négocient automatiquement les prix et les conditions entre entreprises selon des règles fixées par celles-ci. Ces décisions portent sur les conditions commerciales des entreprises, et non sur des personnes physiques, et ne produisent pas d’effets juridiques vous concernant ni ne vous affectent de manière significative de façon similaire au sens de l’article 22 du RGPD. Nous ne procédons à aucun profilage de personnes physiques. Voir la Déclaration sur la gouvernance de l’IA.
8. Sécurité
Les mots de passe ne sont conservés que sous forme d’empreintes (Argon2id), les sessions de connexion et les clés API uniquement sous forme d’empreintes, la connexion est protégée par des cookies sécurisés et par le contrôle de l’origine des requêtes, les communications sont chiffrées (HTTPS), les identifiants d’accès aux systèmes connectés sont chiffrés (AES-256-GCM), l’accès est limité en fonction des rôles et des Organisations, et les opérations importantes sont inscrites dans une Chaîne d’audit immuable. Pour plus de détails, voir le document Sécurité et confiance.
9. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation du traitement et de portabilité, ainsi que du droit de vous opposer au traitement fondé sur l’intérêt légitime — y compris de vous opposer à être sollicité en tant que fournisseur potentiel et à recevoir des communications commerciales, opposition à laquelle nous donnons toujours suite. L’Administrateur de l’Organisation peut exporter les données de l’Organisation (JSON) et supprimer un compte d’Utilisateur ou l’Organisation tout entière directement dans l’application. Adressez vos autres demandes à inquiry@negotiq.synqflows.com ; nous y répondons dans les meilleurs délais et au plus tard dans un délai d’un mois. Nous ne sommes pas tenus de procéder à l’effacement dans la mesure où les données nous sont nécessaires pour respecter une obligation légale ou pour la constatation, l’exercice ou la défense de droits en justice (article 17, paragraphe 3, du RGPD) ; c’est pourquoi les entrées de la Chaîne d’audit, les Confirmations et les Enregistrements AP2 sont uniquement pseudonymisés après la suppression d’un compte. Vous avez également le droit d’introduire une réclamation auprès de l’Office tchèque pour la protection des données à caractère personnel (Pplk. Sochora 27, 170 00 Prague 7, uoou.gov.cz) ou auprès de l’autorité de contrôle de l’État membre de l’UE dans lequel se trouve votre résidence habituelle ou votre lieu de travail.
10. La fourniture des données est-elle obligatoire ?
Les données nécessaires à la création d’un compte constituent une exigence contractuelle, et les données de facturation également une exigence légale ; sans elles, la Plateforme ne peut pas être utilisée. La fourniture de toute autre donnée est facultative.
11. Cookies
Nous utilisons uniquement des cookies strictement nécessaires et le stockage local du navigateur. Voir la Politique relative aux cookies.
12. Modifications
Nous pouvons mettre à jour la présente politique et vous informerons des modifications substantielles sur la Plateforme ou par e-mail. La version en vigueur figure toujours sur cette page.