Politique de confidentialité

Traduction. Ce texte est une traduction fournie pour votre commodité. La version espagnole fait foi et prévaut en cas de divergence (https://atrazos.app/privacidad?lang=es)

Cette politique explique quelles données personnelles sont traitées dans A Trazos — l’application pour les ateliers et le site https://atrazos.app —, qui décide à leur sujet, à quelles fins elles sont utilisées et comment vous pouvez exercer vos droits, conformément au règlement (UE) 2016/679 (règlement général sur la protection des données, RGPD) et à la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD, loi organique espagnole relative à la protection des données personnelles et à la garantie des droits numériques).

1. Qui est le responsable du traitement

Nous n’avons pas désigné de délégué à la protection des données, car notre activité ne l’exige pas (article 37 du RGPD et article 34 de la LOPDGDD). Pour toute question relative à la protection des données, écrivez à privacidad@atrazos.app.

2. Deux rôles distincts : responsable du traitement et sous-traitant

Il existe dans A Trazos deux catégories de données, et la loi répartit les responsabilités différemment dans chaque cas :

• Données des ateliers et de leur équipe (les personnes qui s’inscrivent dans l’app), des personnes qui visitent le site et des personnes qui nous envoient un signalement : dans ce cas, nous sommes responsables du traitement. Les sections 3 et 4 expliquent ces traitements.
• Données des clients d’un atelier (ce que l’atelier enregistre dans l’app au sujet de ses clients et ce qu’un client envoie depuis une vitrine ou depuis sa page de commande) : dans ce cas, le responsable du traitement est l’atelier, qui décide à quelles fins et de quelle manière elles sont utilisées, et nous sommes son sous-traitant (article 28 du RGPD). Nous les traitons uniquement pour fournir le service à l’atelier et conformément à ses instructions, selon le contrat de sous-traitance qui fait partie des Conditions générales (https://atrazos.app/terminos). La section 5 l’explique.

Si vous êtes client d’un atelier, adressez vos questions sur votre commande et vos demandes d’exercice de vos droits à l’atelier : ses coordonnées figurent dans sa vitrine ou dans ses conditions. Si vous nous écrivez, nous transmettrons votre demande à l’atelier et l’aiderons à vous répondre.

3. Données des ateliers et de leur équipe

Si votre atelier est une entreprise individuelle (travailleur indépendant), certaines données de l’atelier sont aussi des données personnelles vous concernant ; nous les traitons de la même manière.

4. Données des visiteurs du site et des auteurs de signalements

Visiter le site. Le site n’utilise ni cookies propres, ni publicité, ni traceurs, ni mesure d’audience de tiers. Pour vous servir les pages et les protéger contre les attaques, notre prestataire de réseau de diffusion et de sécurité web traite votre adresse IP et des données techniques de votre navigateur. Les photos des vitrines et des commandes sont servies par le site lui-même (atrazos.app), qui les récupère dans le stockage de notre hébergeur : votre navigateur ne se connecte pas à cet hébergeur. Base juridique : intérêt légitime à fournir et protéger le site (art. 6.1.f). La Politique relative aux cookies (https://atrazos.app/cookies) explique ce qui est enregistré dans votre navigateur.

Comptages des vitrines. Sur les vitrines, nous comptons, sans cookies et sans conserver l’adresse IP ni aucune donnée sur les personnes qui les visitent, combien de fois chaque page est ouverte (et si l’on y arrive depuis un moteur de recherche, un réseau social, WhatsApp ou un autre site), une pièce est ajoutée à la commande ou retirée, les photos d’un produit sont parcourues, un lien est partagé et par quel moyen (WhatsApp, copie du lien ou menu de partage du téléphone), quelqu’un arrive par un lien partagé, on appuie sur « Écrire sur WhatsApp » ou sur Instagram, le profil de l’atelier sur Instagram, TikTok ou Facebook est ouvert, on demande « Ça arrivera à temps ? », y compris pour les pièces de la commande (seulement la réponse et le mois demandé, jamais la date), et le formulaire de demande est ouvert. Ce sont des comptages quotidiens qui n’identifient personne : c’est pourquoi ils ne nécessitent pas de consentement et sont conservés sans limite de durée, pour pouvoir comparer une année à l’autre, jusqu’à la fermeture de l’atelier, avec lequel ils sont supprimés.

Envoyer une demande depuis une vitrine. Les données que vous saisissez sont transmises à l’atelier, qui en est le responsable du traitement (section 5). Pour éviter les envois automatisés et les abus, en outre : le formulaire effectue une vérification de sécurité fournie par notre prestataire de sécurité web, qui vérifie à l’aide de données techniques de votre navigateur et de votre adresse IP que vous n’êtes pas un robot ; et nous conservons votre adresse IP uniquement sous la forme d’un code irréversible, grâce auquel nous limitons le nombre d’envois. Base juridique : intérêt légitime à protéger le service et les ateliers contre les abus (art. 6.1.f).

Ouvrir une commande avec son code (https://atrazos.app/c). Le formulaire effectue la même vérification de sécurité et, pour limiter les tentatives, nous conservons votre adresse IP transformée en un code irréversible ; ces enregistrements sont supprimés lorsqu’ils ont plus d’un jour. Base juridique : intérêt légitime à protéger les commandes contre quiconque tenterait de deviner des codes (art. 6.1.f).

Envoyer un signalement de contenu illicite (https://atrazos.app/denunciar). Nous traitons ce que vous nous envoyez — l’adresse du contenu, votre explication, votre nom et votre adresse électronique (que vous pouvez omettre si le signalement concerne des abus sexuels sur enfants) et votre déclaration de bonne foi — ainsi que votre adresse IP transformée en un code irréversible, afin de traiter le signalement, de prendre une décision et de vous la communiquer. Le formulaire utilise la même vérification de sécurité que le formulaire de demande. Base juridique : obligation légale (art. 16 du règlement (UE) 2022/2065, en liaison avec l’art. 6.1.c RGPD) et intérêt légitime à maintenir le service exempt de contenus illicites (art. 6.1.f). Nous ne communiquons pas votre identité à l’atelier concerné, sauf si c’est strictement nécessaire — par exemple, dans le cas d’une réclamation en matière de propriété intellectuelle qui exige de savoir qui est le titulaire du droit — et, dans ce cas, nous vous en informerons au préalable.

Nous écrire par courriel. Nous utilisons vos données pour vous répondre. Base juridique : intérêt légitime (art. 6.1.f) ou, si vous exercez un droit, obligation légale (art. 6.1.c).

5. Données des clients des ateliers (nous sommes sous-traitants)

Les clients d’un atelier ne s’inscrivent pas et n’installent rien : ils utilisent le site. Lorsqu’un client envoie une demande depuis une vitrine, confirme une commande, valide un design ou indique son adresse de livraison sur sa page de commande, et lorsque l’atelier enregistre une commande dans l’app, les données suivantes peuvent être traitées : nom, numéro de téléphone, nom d’utilisateur Instagram ou sur un autre réseau, adresse électronique, province ou région, adresse de livraison, date à laquelle la commande est souhaitée, commentaires, détails de la commande, designs et photos des pièces, paiements notés par l’atelier et acceptation de ses conditions.

Sur sa page de commande, le client peut indiquer, en plus de l’adresse de livraison, un numéro de téléphone, une adresse électronique et les réponses aux questions que l’atelier a ajoutées. Ces données sont enregistrées avec la commande (et le téléphone et l’adresse électronique également dans sa fiche client, si celle-ci était vide) et seul l’atelier les voit, pour préparer et expédier la commande.

Une fois sa commande livrée, le client peut laisser un avis depuis cette même page. Nous enregistrons le texte, le nom sous lequel il souhaite apparaître (nous lui proposons son prénom et l’initiale de son nom, qu’il peut modifier), les pièces de la commande avec leur quantité, l’occasion s’il l’indique, une note d’une à cinq étoiles s’il souhaite en donner une, une photo s’il en ajoute une, la date, la commande à laquelle l’avis se rapporte et le moment où il a donné son consentement. Le client peut envoyer la photo (avant de l’enregistrer, nous en retirons la localisation et les données de l’appareil photo) ou choisir l’une des photos de sa commande ; dans les deux cas, elle est publiée avec l’avis.

Un avis n’est publié dans la vitrine de l’atelier que si le client y consent, en cochant une case obligatoire, et si l’atelier l’approuve. L’atelier peut masquer les avis publiés ou en changer l’ordre, mais jamais les modifier. Une fois publié, un avis peut être indexé et partagé comme le reste de la vitrine. La base juridique de la publication est le consentement du client (art. 6.1.a).

Les avis sont conservés sans limite de durée, publiés ou non, afin que l’atelier puisse les publier plus tard, tant que le client ne retire pas son consentement. Un avis est supprimé lorsque le client le retire : depuis la page de sa commande tant que son lien fonctionne (jusqu’à 30 jours après la livraison) puis, au-delà, en le demandant à l’atelier ou à nous. Il est également supprimé à la fermeture du compte de l’atelier et lorsque l’atelier anonymise ce client.

L’atelier décide à quelles fins elles sont utilisées (en général, pour répondre à la demande, préparer et livrer la commande et respecter ses obligations légales) et doit en informer ses clients. Nous, nous les conservons, les affichons sur les pages de l’atelier et de la commande, informons l’atelier de ce que fait son client et, lorsque l’atelier utilise les fonctions d’intelligence artificielle, les traitons à cette fin. Nous ne les utilisons pas à nos propres fins : nous ne les vendons pas, nous ne les utilisons pas à des fins publicitaires et nous ne créons pas de profils. Nous ne traitons pour notre propre compte que ce qui est indispensable pour protéger le service contre les abus (section 4) et pour respecter la loi, par exemple si un contenu fait l’objet d’un signalement.

Le lien de chaque page de commande est personnel : il donne accès à la commande à quiconque le possède. Ne le partagez pas.

6. Avec qui nous partageons des données

Nous ne vendons de données à personne. Nous faisons appel à des prestataires des catégories suivantes, qui traitent des données pour notre compte (et, s’agissant des données des clients, en tant que sous-traitants ultérieurs de l’atelier) dans le cadre d’un contrat de sous-traitance. Si vous souhaitez savoir de quelles sociétés il s’agit, demandez-le-nous à privacidad@atrazos.app.

Nous n’envoyons à OpenAI que ce qui vous appartient, et seulement si vous y avez consenti : le titre et le texte de votre suggestion ou de votre rapport, la conversation à son sujet et ses photos (au moyen de liens qui expirent au bout de dix minutes). Pour vérifier si une autre personne nous a déjà signalé la même chose, OpenAI convertit votre texte en une représentation numérique, que nous comparons à celles d’autres suggestions dans notre propre base de données : nous n’envoyons jamais à personne le texte, le titre ou le statut de la suggestion d’une autre personne. Nous ne lui envoyons ni votre nom ni votre adresse électronique. Si vous retirez votre consentement, nous cessons de lui transmettre ce que vous nous envoyez. Selon ses conditions contractuelles pour les entreprises, OpenAI n’utilise pas les données que nous lui envoyons pour entraîner ses modèles.

Nous communiquerons également des données aux juges, aux procureurs, aux forces de l’ordre et aux autorités lorsqu’une loi ou une décision nous y oblige.

WhatsApp ne reçoit rien de notre part : lorsque vous appuyez sur un bouton WhatsApp, c’est vous qui ouvrez la conversation, et Meta traite ces données selon ses propres conditions.

Les statistiques qu’un atelier exporte depuis l’app (Plus › Statistiques) sont des chiffres globaux, sans noms ni coordonnées de ses clients ni de son équipe. Si l’atelier les colle dans un assistant d’intelligence artificielle, c’est l’atelier qui les lui envoie, et ce service les traite selon ses propres conditions.

7. Transferts hors de l’Espace économique européen

Certains prestataires sont situés aux États-Unis ou peuvent accéder aux données depuis ce pays. Dans ces cas, le transfert repose sur la décision d’adéquation de la Commission européenne relative au cadre de protection des données UE–États-Unis (décision d’exécution (UE) 2023/1795), lorsque le prestataire y a adhéré, ou sur les clauses contractuelles types approuvées par la Commission (décision d’exécution (UE) 2021/914). Vous pouvez nous demander une copie de ces garanties, ainsi que l’identité des prestataires, à privacidad@atrazos.app.

8. Durée de conservation des données

Lorsqu’une loi nous oblige à conserver une donnée plus longtemps, nous la conservons bloquée — accessible uniquement aux juges et aux autorités — jusqu’à l’expiration de ce délai (article 32 de la LOPDGDD).

9. Vos droits

Vous pouvez nous demander l’accès à vos données, leur rectification ou leur effacement, la limitation du traitement, la portabilité des données que vous nous avez fournies et vous opposer au traitement fondé sur l’intérêt légitime. Si vous avez donné votre consentement pour quelque chose, vous pouvez le retirer à tout moment, sans que cela affecte ce qui a déjà été fait.

• Depuis l’app, vous pouvez corriger vos données et supprimer votre compte.
• Pour tout le reste, écrivez à privacidad@atrazos.app en indiquant le droit que vous exercez. Si nous ne pouvons pas savoir que la demande émane de vous, nous vous demanderons de le justifier.
• Nous vous répondrons dans un délai d’un mois, qui peut être prolongé de deux mois dans les cas complexes, et nous vous préviendrons le cas échéant.

Si vous êtes client d’un atelier, exercez vos droits auprès de l’atelier ; nous l’aiderons à y répondre.

Si vous estimez que nous n’avons pas correctement traité vos données, vous pouvez introduire une réclamation auprès de l’Agencia Española de Protección de Datos, l’autorité espagnole de protection des données (https://www.aepd.es), ou auprès de l’autorité de votre pays de résidence (Agencia Española de Protección de Datos (AEPD), www.aepd.es).

Les héritiers ou les personnes liées à une personne décédée peuvent demander l’accès à ses données, leur rectification ou leur effacement dans les conditions prévues à l’article 3 de la LOPDGDD.

10. Âge minimum

A Trazos est un outil professionnel. Pour ouvrir le compte d’un atelier, il faut être majeur. Les personnes qu’un atelier invite dans son équipe doivent avoir au moins l’âge minimum exigé par leur pays pour consentir elles-mêmes au traitement de leurs données (en Espagne, 14 ans), ce que l’app vérifie lors de l’inscription. Nous ne traitons pas sciemment de données de mineurs n’ayant pas atteint cet âge ; si nous en détectons, nous les supprimons.

11. Décisions automatisées et intelligence artificielle

Nous ne prenons pas de décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant ou vous affectant de manière significative (article 22 du RGPD). Les fonctions d’intelligence artificielle se contentent de proposer des textes — un résumé, une proposition de réponse — qu’une personne de l’atelier relit avant de les utiliser, et les messages de l’assistant qui répond à vos suggestions et rapports sont signalés comme « Assistant IA ». Conformément au règlement (UE) 2024/1689 sur l’intelligence artificielle, nous vous indiquons quels contenus sont générés par l’intelligence artificielle.

Les signalements de contenus illicites sont toujours examinés par une personne ; nous n’utilisons pas de moyens automatisés pour statuer sur eux.

12. Sécurité

Toutes les communications sont chiffrées. Chaque atelier ne peut accéder qu’à ses propres données. Nous appliquons un contrôle d’accès, des sauvegardes et d’autres mesures techniques et organisationnelles adaptées au risque. Les pages de commande ne s’ouvrent qu’avec leur lien secret ou leur code. Si une violation de sécurité mettait vos données en danger, nous la notifierions à l’autorité de contrôle et, le cas échéant, aux personnes concernées, conformément aux articles 33 et 34 du RGPD.

13. Modifications de cette politique

Si nous modifions cette politique, nous publierons la nouvelle version ici et dans l’app. Si la modification est importante, nous vous en informerons dans l’app avant son entrée en application et, si nécessaire, nous vous demanderons de l’accepter à nouveau.