Politique de confidentialité

1. Responsable

VYVA GbR Sedat Yasar, Felix-Nekir Frank Sternengasse 15 68307 Mannheim, Allemagne E-mail : vyva@outlook.de Téléphone : +49 151 21995819

2. Champ d’application de la présente déclaration

La présente politique de confidentialité s’applique à notre site web public (vyva.world) ainsi qu’à toute prise de contact avec nous, par exemple via notre formulaire de contact ou de demande de démonstration, ou lors de l’inscription d’un compte utilisateur. À cet égard, nous sommes responsables du traitement au sens de l’art. 4, § 7 du RGPD. Si vous utilisez la plateforme VYVA en tant que personne invitée par une entreprise (par ex. en tant que collaborateur d’un client ou en tant qu’utilisateur invité du portail), nous traitons les données saisies ou téléversées à cet endroit (par ex. données de formulation, de matières premières ou de lots, ainsi que noms et coordonnées des personnes de contact) exclusivement pour le compte et sur instruction de cette entreprise. Dans ce cas, le responsable du traitement est l’entreprise cliente concernée, et non VYVA ; les modalités sont régies par le contrat de sous-traitance (art. 28 du RGPD) conclu entre VYVA et l’entreprise cliente. Le point 7 précise cette configuration.

3. Principes du traitement des données

Nous ne collectons et n’utilisons vos données personnelles que dans la mesure nécessaire à la fourniture d’un site web fonctionnel ainsi que de nos contenus et services, lorsqu’une base juridique le permet, ou lorsque vous y avez consenti. La collecte et l’utilisation de toute donnée supplémentaire (par ex. pour des outils d’analyse) n’interviennent qu’après votre consentement préalable et explicite via notre bandeau de cookies.

4. Traitement des données lors de l’utilisation de notre site web

4.1 Fichiers journaux du serveur

À chaque consultation de notre site web, des informations sont automatiquement collectées et enregistrées dans des fichiers journaux dits « fichiers de log serveur » : • Type et version du navigateur • Système d’exploitation utilisé • URL de provenance (referrer) • Adresse IP de l’ordinateur consultant • Heure de la requête serveur Ces données ne sont pas croisées avec d’autres sources de données et servent à garantir le bon fonctionnement et la sécurité du site web ainsi qu’à des analyses statistiques visant à améliorer notre offre (art. 6, § 1, let. f du RGPD). Pour ces statistiques, lors de la consultation d’une page de notre site public, nous analysons côté serveur : la page consultée, le domaine du site de provenance (sans chemin ni termes de recherche), les paramètres de campagne dans l’adresse (utm_*), la version linguistique et le pays d’origine déduit de l’adresse IP. Afin de ne pas compter plusieurs fois un même visiteur au cours d’une journée, nous calculons un identifiant anonyme à partir de l’adresse IP, de l’identifiant du navigateur et d’une valeur aléatoire générée chaque jour. Cette valeur aléatoire est supprimée à la fin de la journée, de sorte que l’identifiant ne peut ni être reconstitué ni être rattaché à un autre jour. L’adresse IP elle-même n’est pas enregistrée à cette fin. Aucune analyse à caractère personnel ni aucune reconnaissance durable (pas de fingerprinting) n’a lieu ; nous n’utilisons à cet effet ni cookies ni scripts dans votre navigateur. La détermination du pays s’effectue localement sur notre serveur à l’aide d’une base de données de DB-IP (db-ip.com), sans transmission de données à des tiers. De l’identifiant du navigateur, nous ne conservons que la famille du navigateur et du système d’exploitation (p. ex. « Chrome », « Windows ») ainsi que le type d’appareil (ordinateur, mobile, tablette), sans numéro de version. Les accès des moteurs de recherche et d’autres programmes automatisés (robots d’indexation) ainsi que les accès à des pages inexistantes (erreur 404) sont enregistrés séparément avec le chemin demandé (sans paramètres), l’heure, le pays d’origine et le nom du robot ou la famille de navigateur détectés, afin de repérer les liens erronés et les tentatives d’attaque (art. 6, par. 1, point f) du RGPD). Là non plus, l’adresse IP n’est pas conservée. Ces entrées sont supprimées après 100 jours. Pour certaines fonctionnalités, nous utilisons également des cookies ou des technologies de stockage comparables. Nous utilisons des cookies techniquement nécessaires sans consentement ; tous les autres cookies et techniques (par ex. outils d’analyse, session replay, formulaire de retour) ne sont activés qu’après votre consentement explicite via notre bandeau de cookies. Vous pouvez retirer votre consentement à tout moment, avec effet pour l’avenir, via le lien « Paramètres des cookies » situé dans le pied de page. Vous trouverez le détail des cookies utilisés dans notre politique en matière de cookies. Pour les utilisateurs connectés de notre plateforme, la journalisation des erreurs, Session Replay (uniquement en cas d’erreur ; l’enregistrement montre la page avec les contenus, saisies et images affichés, à l’exception des champs de mot de passe) et le formulaire de feedback font partie de l’exploitation de la plateforme et sont actifs sans consentement distinct via la bannière de cookies. En outre, nous enregistrons pour chaque compte utilisateur, par jour, le nombre de connexions ainsi que l’heure de la première et de la dernière utilisation ; ces données sont supprimées après 13 mois.

5. Formulaire de contact et demande de démonstration

Si vous nous contactez via le formulaire de contact, le formulaire de demande de démonstration ou par e-mail, nous traitons les données que vous saisissez (notamment nom, adresse e-mail, entreprise le cas échéant, numéro de téléphone, fonction et votre message) afin de traiter et de répondre à votre demande. La base juridique est l’art. 6, § 1, let. b du RGPD (mesure précontractuelle) ou l’art. 6, § 1, let. f du RGPD (intérêt légitime au traitement des demandes qui nous sont adressées). Nous enregistrons en outre automatiquement, pour ces formulaires, la page consultée, une catégorisation générale de l’origine de la visite (par ex. moteur de recherche, réseau social, assistant IA) ainsi que les éventuels paramètres de campagne UTM contenus dans l’URL, afin de comprendre par quels canaux les demandes nous parviennent. La base juridique est notre intérêt légitime (art. 6, § 1, let. f du RGPD) à mesurer l’efficacité de nos propres actions marketing ; cela ne conduit pas à la constitution de profils multi-appareils ni à la transmission de données à des tiers à des fins publicitaires. Afin de prévenir les abus (envois automatisés en masse), nous analysons l’adresse IP de la personne à l’origine de la demande sur une fenêtre d’une heure, afin de limiter le nombre de demandes par adresse IP. La base juridique est notre intérêt légitime (art. 6, § 1, let. f du RGPD) à protéger nos formulaires et la réputation de notre envoi d’e-mails contre les abus. Les données sont supprimées dès qu’elles ne sont plus nécessaires à la réalisation de la finalité de leur collecte, au plus tard à l’issue de la communication correspondante, sauf obligation légale de conservation.

6. Inscription, connexion et invitations

L’utilisation de la plateforme VYVA nécessite un compte utilisateur. L’accès est généralement accordé par l’invitation d’une entreprise cliente ; dans ce cadre, nous traitons l’adresse e-mail indiquée par l’organisation invitante ainsi que les données que vous fournissez lors de l’inscription (notamment nom, mot de passe choisi sous forme hachée et non réversible). Lors de la connexion, nous déposons un cookie de session techniquement nécessaire qui vous maintient connecté pendant une durée maximale de 7 jours. La base juridique est l’art. 6, § 1, let. b du RGPD (exécution du contrat d’utilisation) ou, lorsque l’invitation émane d’une entreprise cliente, l’art. 6, § 1, let. f du RGPD (intérêt légitime à une gestion des accès fonctionnelle) en lien avec notre contrat de sous-traitance avec l’entreprise cliente concernée. Les e-mails d’invitation et de réinitialisation de mot de passe sont envoyés via notre prestataire de messagerie, Resend (voir point 13). Les données de compte sont supprimées ou désactivées lorsque le compte utilisateur correspondant est retiré par l’entreprise cliente ou lorsque la relation commerciale prend fin.

7. Utilisation de la plateforme en tant que personne invitée (sous-traitance)

Dès que vous vous connectez avec votre compte utilisateur et utilisez la plateforme au sein d’une organisation, nous traitons l’ensemble des contenus saisis ou téléversés à cet endroit (par ex. formulations, données de matières premières, documentation de lots, protocoles d’essai, fichiers et pièces jointes, ainsi que les données personnelles qu’ils contiennent) exclusivement en tant que sous-traitant au sens de l’art. 28 du RGPD, pour le compte et sur instruction de l’entreprise cliente concernée. Nous appliquons à cet effet les mesures techniques et organisationnelles convenues dans le contrat de sous-traitance avec l’entreprise cliente. Pour toute demande d’accès, de rectification ou de suppression concernant des données traitées dans le cadre d’une telle organisation, veuillez d’abord vous adresser à l’entreprise cliente concernée ; en tant que responsable du traitement, elle est tenue de répondre à votre demande et peut nous donner les instructions correspondantes.

8. Traitement automatisé et intelligence artificielle

Certaines fonctionnalités de la plateforme VYVA (par ex. suggestions de matières premières alternatives ou avis de conformité automatisés) reposent sur des algorithmes fondés sur des règles et sur la comparaison avec des bases de données stockées, et non sur une intelligence artificielle générative traitant des données personnelles ou générant de manière autonome du contenu concernant des personnes. Nous ne procédons actuellement à aucune décision automatisée, y compris le profilage, au sens de l’art. 22 du RGPD, produisant des effets juridiques à votre égard ou vous affectant de manière significative de façon similaire. Si nous devions à l’avenir introduire des fonctionnalités reposant sur l’IA générative ou transmettant des données personnelles à un fournisseur d’IA à des fins de traitement, nous mettrons à jour la présente déclaration avant leur mise en service et vous en informerons séparément si nécessaire.

9. Vos droits

Vous disposez des droits suivants concernant vos données personnelles : • Droit d’accès • Droit de rectification ou de suppression • Droit à la limitation du traitement • Droit d’opposition au traitement • Droit à la portabilité des données • Droit de recours auprès d’une autorité de contrôle Lorsque vos données sont traitées dans le cadre d’une organisation conformément au point 7, veuillez adresser votre demande d’abord à l’entreprise cliente concernée en tant que responsable du traitement.

10. Sécurité des données

Nous utilisons, lors de votre visite du site web, le protocole TLS (Transport Layer Security) courant, combiné au niveau de chiffrement le plus élevé pris en charge par votre navigateur. Nos serveurs se trouvent dans un centre de données certifié ISO/IEC 27001 en Allemagne ; les données qui y sont stockées sont chiffrées.

11. Outils d’analyse et de suivi

Si vous avez donné votre consentement via notre bandeau de cookies, nous utilisons Google Analytics et/ou Google Tag Manager, des services fournis par Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande (« Google »). Ces services nous permettent d’analyser l’utilisation de notre site web (par ex. pages consultées, durée de visite, origine du trafic). La base juridique est votre consentement (art. 6, § 1, let. a du RGPD). Sans votre consentement, ces services ne sont pas chargés. Cela peut impliquer un transfert de données personnelles vers des serveurs Google situés en dehors de l’UE/EEE, notamment aux États-Unis. Pour plus d’informations, consultez la politique de confidentialité de Google : https://policies.google.com/privacy. Vous pouvez retirer votre consentement à tout moment via le bandeau de cookies ou le lien « Paramètres des cookies » dans le pied de page, avec effet pour l’avenir.

12. Surveillance des erreurs et des performances (Sentry)

Nous utilisons une instance du service Sentry que nous hébergeons et exploitons nous-mêmes pour la détection technique des erreurs et la surveillance des performances de notre plateforme ; la transmission des données passe par un tunnel que nous exploitons nous-mêmes, et non vers un opérateur Sentry tiers. Cela permet de collecter des informations techniques telles que les messages d’erreur, les rapports de plantage et les indicateurs de performance ; les adresses IP et autres métadonnées standard ne sont pas transmises. La base juridique de cette simple collecte d’erreurs et de performances est notre intérêt légitime (art. 6, § 1, let. f du RGPD) à disposer d’une plateforme fonctionnelle, sûre et exempte d’erreurs. Nous utilisons en outre une fonction de session replay (enregistrement d’écran en cas d’erreur technique) ainsi qu’un formulaire de retour avec fonction de capture d’écran facultative. Lorsqu’une erreur technique survient, le session replay enregistre la session peu avant et après cette erreur telle qu’elle s’affichait dans le navigateur, y compris les textes, saisies et images affichés ; les champs de mot de passe sont toujours masqués. En l’absence d’erreur, aucun enregistrement n’est transmis. Les enregistrements sont stockés exclusivement sur notre propre instance Sentry et utilisés uniquement pour analyser et corriger les erreurs. Pour les visiteurs de notre site web, ces deux fonctions ne sont activées qu’après que vous ayez donné votre consentement explicite via notre bandeau de cookies (art. 6, § 1, let. a du RGPD) ; sans votre consentement, aucun enregistrement d’écran n’est créé et le formulaire de retour n’est pas chargé. Pour les utilisateurs connectés de notre plateforme, ces deux fonctions font partie de l’exploitation de la plateforme et sont actives sans consentement distinct via le bandeau de cookies. Vous pouvez retirer votre consentement à tout moment via le bandeau de cookies ou le lien « Paramètres des cookies » dans le pied de page, avec effet pour l’avenir.

13. Destinataires et sous-traitants

Nous faisons appel à des prestataires soigneusement sélectionnés qui nous soutiennent dans l’exploitation et le développement de notre site web et de notre plateforme, et qui traitent les données personnelles exclusivement sur nos instructions (sous-traitance au sens de l’art. 28 du RGPD), notamment : • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne – hébergement et infrastructure de notre site web et de notre application dans un centre de données situé en Allemagne • Resend, Inc., États-Unis – envoi d’e-mails (par ex. réponse aux demandes de contact, invitations, réinitialisation de mot de passe) • Surveillance des erreurs et des performances : une instance Sentry auto-hébergée sur notre propre infrastructure (voir point 12), sans accès par un prestataire tiers • Google Ireland Limited – outils d’analyse, uniquement avec votre consentement (voir point 11) Dans la mesure où des données sont transférées vers des pays situés en dehors de l’UE/EEE (notamment vers Resend aux États-Unis), nous veillons à ce qu’un niveau de protection adéquat soit assuré, notamment par la conclusion de clauses contractuelles types de l’UE avec le prestataire concerné.

14. Durée de conservation

Sauf indication contraire dans la présente déclaration, nous ne conservons les données personnelles que le temps nécessaire aux finalités respectives ou conformément aux obligations légales de conservation : • Fichiers journaux du serveur : quelques jours à quelques semaines, puis suppression ou anonymisation • Données d’accès statistiques (point 4.1) : jusqu’à 25 mois ; elles ne peuvent plus être rattachées à une personne dès la fin de la journée concernée • Demandes de contact et de démonstration : jusqu’au traitement complet de votre demande, puis suppression, sauf obligation légale de conservation • Adresses IP pour la prévention des abus (limitation de débit) : analyse sur une fenêtre d’une heure • Cookie de session (connexion) : jusqu’à 7 jours ou jusqu’à la déconnexion • Comptes utilisateurs et données de plateforme traitées pour le compte d’un client : jusqu’à leur suppression par l’entreprise cliente ou jusqu’à la fin de la relation commerciale correspondante (voir point 7) • Données d’analyse (Google Analytics, uniquement avec consentement) : selon les durées de conservation configurées dans cet outil • Données de diagnostic d’erreurs (Sentry) : supprimées automatiquement de façon régulière ; les enregistrements de session replay ne sont générés qu’en cas d’erreur et, pour les visiteurs du site web, uniquement avec votre consentement

15. Délégué à la protection des données

Aucun délégué à la protection des données n’est actuellement désigné, les conditions légales prévues par le droit allemand (§ 38 BDSG) n’étant pas remplies à ce jour. Si ces conditions venaient à changer, nous désignerions sans délai un délégué à la protection des données et mettrions à jour la présente déclaration en conséquence.

16. Modifications de la politique de confidentialité

Nous nous réservons le droit d’adapter occasionnellement cette politique de confidentialité afin qu’elle réponde toujours aux exigences légales actuelles ou pour mettre en œuvre des changements dans nos services.