Vos données personnelles

Nous n'aimons pas plus que vous les pages de confidentialité écrites pour n'être pas lues. Celle-ci dit, en clair : ce que nous savons de vous, pourquoi, combien de temps nous le gardons, et comment vous nous demandez de l'effacer. Rien n'est vendu, rien ne part à l'étranger, il n'y a pas de publicité.

1. Qui est responsable de quoi — et pourquoi ça compte

Il faut distinguer deux situations, parce qu'elles n'obéissent pas aux mêmes règles.

Vos données à vous, l'artisan

Quand vous demandez un essai, ouvrez un compte, écrivez au support ou visitez ce site, nous sommes responsables de traitement. C'est nous qui décidons pourquoi et comment ces données sont traitées. Cette page décrit ces traitements.

Les données de vos clients à vous

Quand vous saisissez dans DrawMeUp le nom, l'adresse et le téléphone d'un client à qui vous faites un devis, c'est vous le responsable de traitement, et nous sommes votre sous-traitant. Nous hébergeons ces données pour votre compte et sur vos instructions ; nous ne les utilisons pour rien d'autre.

Les engagements que nous prenons en tant que sous-traitant — sécurité, confidentialité, notification en cas d'incident, restitution et effacement — sont détaillés dans l'annexe « Traitement des données personnelles » de nos conditions générales. Elle a valeur de contrat entre vous et nous.

2. Qui nous sommes

3. Ce que nous collectons, et pourquoi

Ce qui est obligatoire, ce qui ne l'est pas

Sur le formulaire de demande d'essai, seuls sont nécessaires : vos nom et prénom, votre société, votre SIRET et votre adresse électronique. Sans eux, nous ne pouvons pas ouvrir votre compte. Le téléphone est facultatif — il ne sert qu'à vous rappeler si votre adresse électronique ne répond pas. Vous pouvez le laisser vide sans conséquence.

Ce que nous ne collectons jamais

Aucune donnée sensible au sens de l'article 9 du RGPD : ni origine, ni opinion, ni conviction, ni santé, ni orientation. Aucune donnée bancaire n'est stockée sur nos serveurs : le mandat de prélèvement est traité par notre prestataire de paiement.

4. Qui voit vos données

À l'intérieur de l'entreprise : les seules personnes qui en ont besoin pour vous répondre ou pour faire fonctionner le service, tenues à la confidentialité.

À l'extérieur, uniquement des prestataires techniques agissant sur nos instructions, sous contrat, sans droit d'usage propre :

Cette liste est tenue à jour. Toute addition ou remplacement vous est notifié au moins 30 jours à l'avance, et vous pouvez vous y opposer dans les conditions prévues à l'annexe des conditions générales.

Aucun transfert hors de l'Union européenne. Le service est hébergé sur notre propre matériel, en France. Si cela devait changer un jour, cette page serait modifiée et vous en seriez informé au préalable.

Vos données peuvent enfin être communiquées à une autorité administrative ou judiciaire lorsque la loi nous y oblige.

5. Vos droits, et comment les exercer

Vous disposez, sur les données qui vous concernent, des droits suivants :

• Accès — savoir quelles données nous détenons et en obtenir une copie.
• Rectification — faire corriger ce qui est faux ou incomplet.
• Effacement — faire supprimer vos données, sauf ce que la loi nous oblige à conserver (les factures, notamment).
• Limitation — demander le gel d'un traitement le temps d'une vérification.
• Opposition — refuser un traitement fondé sur notre intérêt légitime, en particulier l'information commerciale.
• Portabilité — récupérer vos données dans un format lisible par machine. Dans DrawMeUp, l'export est en libre-service : vous n'avez pas à nous le demander.
• Directives post mortem — définir le sort de vos données après votre décès.

Pour exercer un droit : écrivez à devis@drawmeup.fr, ou par courrier à l'adresse indiquée à l'article 2. Nous répondons dans un délai d'un mois. Si votre demande est complexe, nous vous prévenons et ce délai peut être prolongé de deux mois. Nous pouvons vous demander un justificatif d'identité s'il existe un doute raisonnable sur qui nous écrit — jamais autrement.

Si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission Nationale de l'Informatique et des Libertés : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

6. La mesure d'audience — et pourquoi il n'y a pas de bandeau cookies

Nous voulons savoir quelles pages sont lues et à quel endroit le site n'est pas clair. Rien de plus. Pour cela nous utilisons Matomo, installé sur notre propre serveur : les statistiques ne partent chez personne, pas même chez l'éditeur du logiciel.

Cette mesure est configurée pour entrer dans le cadre d'exemption de consentement défini par la CNIL. C'est pourquoi ce site ne vous impose aucun bandeau à cliquer :

• votre adresse IP est tronquée avant tout enregistrement (les deux derniers octets sont effacés) — nous ne savons pas qui vous êtes ;
• la mesure sert uniquement à produire des statistiques anonymes, pour notre seul compte ;
• aucun recoupement avec votre compte client, votre fiche prospect ou un autre fichier ;
• aucun suivi d'un site à l'autre, aucun identifiant partagé, aucune publicité, aucun reciblage ;
• le journal des visites et les profils de visiteurs sont désactivés ;
• aucun cookie de mesure n'est déposé sur votre appareil : le suivi sans cookie est imposé côté serveur, il ne peut pas être réactivé par inadvertance ;
• les données sont supprimées au bout de 25 mois.

Vous voulez ne pas être compté ? C'est votre droit, et il s'exerce en une case à cocher :

Ce site ne dépose aucun cookie de mesure. Le seul cookie qu'il utilise est celui, strictement nécessaire, de votre connexion lorsque vous êtes abonné — sans lui, vous ne pourriez pas rester connecté.

7. Comment nous protégeons tout ça

• Chiffrement des échanges entre votre navigateur et nos serveurs (HTTPS).
• Mots de passe jamais stockés en clair : seule une empreinte irréversible est conservée.
• Aucun mot de passe envoyé par courriel : l'ouverture d'un compte passe par un lien à usage unique, valable sept jours, consommé une seule fois.
• Blocage des tentatives répétées de connexion.
• Accès cloisonné : chaque entreprise ne voit que ses propres données.
• Sauvegardes régulières et journalisation des accès.
• Serveurs en France, sous notre contrôle physique direct.

Aucun système n'est invulnérable. En cas de violation de données susceptible d'engendrer un risque pour vous, nous informons la CNIL dans les 72 heures et nous vous prévenons dans les meilleurs délais, en vous disant ce qui s'est passé, ce que nous faisons et ce que vous devez faire.

8. Un mot sur les données de vos propres clients

Quand vous éditez un devis pour un particulier, c'est vous qui devez l'informer de ce que vous faites de ses données — pas nous. C'est une obligation qui pèse sur toute entreprise, y compris avant DrawMeUp, et elle tient en trois lignes au bas d'un devis.

9. Modification de cette page

Cette page peut évoluer avec le service ou avec la réglementation. Toute modification substantielle vous est annoncée par courriel avant son entrée en vigueur. La date de version figure en haut de page.