Politique de confidentialité

Olusio permet à une agence, un artisan ou un indépendant de donner à chacun de ses clients un lien unique pour suivre l'avancement de son projet. Cette page explique quelles données personnelles sont traitées, pourquoi, pendant combien de temps, et comment exercer vos droits.

1. Deux rôles distincts

Olusio n'a pas le même rôle selon les données concernées, et c'est la clé de lecture de tout ce document.

• Responsable de traitement pour les données de ses propres clients professionnels : les comptes utilisateurs, les organisations, la facturation, et la mesure d'audience du site public. Olusio décide seul de ces traitements.
• Sous-traitant, au sens de l'article 28 du RGPD, pour tout ce qu'un client professionnel dépose dans le service : contenu des projets, documents, et identité des destinataires à qui il donne accès. C'est lui qui décide de ces traitements ; Olusio ne fait que les exécuter sur ses instructions. Les engagements correspondants figurent dans l'accord de sous-traitance.

Conséquence pratique pour les clients finaux : si vous avez reçu un lien Olusio d'une entreprise avec laquelle vous travaillez, c'est cette entreprise qui est responsable de vos données. Voir la section 7.

2. Ce qui est collecté, et pourquoi

2.1 Comptes des clients professionnels

Les mots de passe ne sont jamais stockés en clair. Aucune donnée sensible au sens de l'article 9 du RGPD n'est demandée, et le service n'est pas conçu pour en recevoir.

2.2 Contenu des projets

Les projets, étapes, publications et fichiers déposés par un client professionnel peuvent contenir des données personnelles: le nom d'un artisan, l'adresse d'un projet, une photo. Olusio les héberge et les affiche, sans les exploiter à d'autres fins, sans les analyser et sans les utiliser pour entraîner quelque modèle que ce soit.

2.3 Destinataires des accès clients

Lorsqu'un client professionnel donne accès à un projet, il renseigne le nom et l'adresse électronique du destinataire. Le service enregistre ensuite, pour l'espace de suivi et pour chaque projet consulté, la date de première ouverture et la date de dernière consultation, afin que l'entreprise sache que son client a bien reçu et consulté les informations. Aucune autre donnée de navigation n'est associée à un destinataire.

2.4 Statistiques d'usage du service

Pour savoir quelles fonctionnalités servent réellement et où les utilisateurs se heurtent à une difficulté, Olusio enregistre des statistiques d'usage agrégées : le type d'action effectuée et la date, rattachés à l'identifiant technique de l'organisation. Aucun identifiant de personne n'y figure — ni nom, ni adresse électronique, ni adresse IP, ni le contenu de ce qui a été saisi. Ces statistiques ne servent qu'à l'amélioration du service, ne sont jamais transmises à un tiers, et reposent sur l'intérêt légitime d'Olusio à comprendre l'usage de son produit. Elles sont conservées 25 mois, puis effacées ; l'identifiant de l'organisation est retiré dès sa suppression, ce qui rend les lignes restantes anonymes.

Les pages de suivi de projet en sont exclues : rien de ce qu'un destinataire y fait n'alimente ces statistiques, conformément au 2.3.

2.5 Visiteurs du site public

Le site public est mesuré avec Plausible Analytics : pas de cookie, pas d'identifiant persistant, pas de profil individuel, pas de recoupement avec d'autres services, et des données agrégées hébergées dans l'Union européenne. Cette mesure repose sur l'intérêt légitime d'Olusio à connaître la fréquentation de son site. Aucune mesure d'audience n'est chargée sur les pages de suivi de projet.

3. Cookies et traceurs

Olusio ne dépose que des cookies strictement nécessaires au fonctionnement du service, exemptés de consentement au sens de l'article 82 de la loi Informatique et Libertés. Aucun cookie publicitaire, aucun traceur tiers à des fins de mesure d'audience ou de marketing.

Le formulaire d'inscription est protégé contre les inscriptions automatisées par Cloudflare Turnstile, qui peut déposer un jeton technique le temps de la vérification. Cette protection est nécessaire à la sécurité du service.

4. Sous-traitants et transferts hors de l'Union européenne

Olusio fait appel aux prestataires suivants. L'hébergement de l'application, des fichiers et des courriels est intégralement situé en France.

Les transferts vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par la certification des prestataires au Data Privacy Framework. Ces transferts sont limités aux finalités décrites ci-dessus : ni le contenu des projets, ni les fichiers déposés, ni l'identité des destinataires d'un accès client ne sortent de l'Union européenne.

Les rapports d'erreur sont configurés pour ne transmettre aucune donnée personnelle identifiante, et les jetons contenus dans les adresses des pages de suivi en sont retirés avant envoi.

Aucune donnée n'est vendue, louée ou cédée à des tiers à des fins publicitaires. Toute modification de cette liste fait l'objet d'une information préalable des clients professionnels, dans les conditions prévues par l'accord de sous-traitance.

5. Durées de conservation

Le cycle de vie qui suit la fin d'un abonnement est décrit en détail dans les conditions générales de service : c'est un engagement contractuel, pas une pratique interne révocable.

Lorsque la loi impose de conserver certaines données, pièces comptables notamment, l'exercice du droit à l'effacement conduit à une anonymisation de ce qui peut l'être plutôt qu'à une destruction de ce qui doit être gardé.

6. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation et d'opposition, ainsi que du droit à la portabilité de vos données et du droit de définir des directives relatives à leur sort après votre décès.

Ces droits s'exercent auprès de contact@olusio.com. Une réponse est apportée dans un délai d'un mois à compter de la demande, prolongeable de deux mois si la demande est complexe. Une preuve d'identité peut être demandée en cas de doute raisonnable.

Si la réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

7. Si vous avez reçu un lien de suivi

Vous n'avez pas de compte Olusio, et vous n'en aurez pas besoin. L'entreprise qui vous a envoyé ce lien nous a transmis votre nom et votre adresse électronique pour vous donner accès au suivi de votre projet.

Cette entreprise est responsable du traitement de vos données ; Olusio n'agit que sur ses instructions. Adressez-lui directement toute demande relative à vos données : accès, rectification, effacement, opposition. Olusio l'assistera pour y répondre. Si vous ne parvenez pas à l'identifier ou à la joindre, écrivez à contact@olusio.com : votre demande sera transmise.

Deux choses méritent d'être dites clairement. D'abord, le lien qui vous a été envoyé expire au bout de 90 jours. Ensuite, l'entreprise voit, pour votre page de suivi et pour chacun des projets que vous y ouvrez, quand vous l'avez ouvert pour la première fois et quand vous l'avez consulté pour la dernière fois, c'est ce qui lui évite de vous relancer inutilement. Aucune autre donnée de navigation n'est enregistrée, aucun cookie de mesure d'audience n'est déposé sur ces pages, et le contenu que vous consultez n'est jamais analysé à d'autres fins.

Si vous répondez à une publication depuis cette page, le message que vous écrivez est enregistré et associé à votre nom : il est visible par l'entreprise, exactement comme si vous le lui aviez envoyé par courrier électronique. L'envoi de ce message est protégé par le cookie csrftoken déjà cité à la section 3, qui ne sert à rien d'autre.

8. Sécurité

Les échanges sont chiffrés en transit. Les jetons qui donnent accès aux pages de suivi ne sont jamais conservés en clair : seule leur empreinte cryptographique est enregistrée, si bien qu'une compromission de la base de données ne permettrait de reconstituer aucun lien utilisable. Les données de chaque organisation sont cloisonnées, et ce cloisonnement est couvert par des tests automatisés à chaque modification du code.

L'équipe support peut, pour diagnostiquer un incident, se connecter au compte d'un utilisateur. Cet accès est restreint et encadré par l'accord de sous-traitance.

En cas de violation de données à caractère personnel, la CNIL est notifiée dans les 72 heures lorsque le règlement l'exige, les clients professionnels concernés sont alertés dans les meilleurs délais, et les personnes concernées sont informées lorsque le risque pour leurs droits et libertés est élevé.

9. Modifications

Cette politique peut évoluer avec le service. Toute modification substantielle est portée à la connaissance des clients professionnels par courrier électronique avant son entrée en vigueur. La date de dernière mise à jour figure en bas de cette page.