Politique de confidentialité

Cette politique s'applique chaque fois que des données personnelles sont collectées ou utilisées via Atflow, dans l'une de ces situations :

• visite de notre site web et lecture de nos articles ;
• création d'un compte, connexion, et création d'équipes, de flux, de pages de statut et d'intégrations ;
• invitation de membres d'équipe et configuration des alertes par e-mail et SMS ;
• souscription à un forfait et facturation ;
• envoi de rapports à Atflow depuis vos systèmes, via notre point de terminaison de rapports, notre SDK ou notre API (partie B) ;
• utilisation de l'application de bureau ou mobile, contact avec l'assistance, ou réception d'e-mails et de SMS de notre part.

Elle concerne les personnes suivantes :

• les visiteurs qui consultent notre site web ;
• les clients : les personnes qui créent un compte Atflow, et les organisations pour lesquelles elles agissent ;
• les membres d'équipe : les personnes qu'un client invite dans une équipe, y compris celles qui ont été invitées sans avoir encore rejoint l'équipe ;
• les personnes dont les données figurent dans les rapports : par exemple, les utilisateurs des applications de nos clients, si un client inclut leurs données dans un rapport. Pour elles, nous agissons en tant que sous-traitant pour le compte du client (partie B), et l'information de confidentialité propre au client s'applique également ;
• notre propre personnel et nos prestataires, qui ne peuvent accéder aux données personnelles que pour fournir, sécuriser et assister le service, et qui sont tenus à la confidentialité.

Elle ne couvre pas la manière dont nos clients utilisent les données dans leurs propres systèmes, les services que vous connectez à Atflow, tels que Jira, monday.com, GitHub, un fournisseur d'IA ou vos propres points de terminaison de webhook (leurs conditions et politiques s'appliquent), ni les informations rendues anonymes de façon à ne plus identifier personne.

• Données de compte : votre adresse e-mail et les informations de profil que vous partagez lors de la connexion. La connexion est assurée par Alternative Auth, un service d'authentification que nous exploitons également ; sa propre politique de confidentialité couvre la connexion elle-même. Atflow ne stocke pas votre mot de passe.
• Données d'équipe : noms et logos des équipes, adresses e-mail et rôles des membres, et invitations (qui a invité qui, et quand).
• Paramètres de notification : si vous souhaitez recevoir des alertes par e-mail ou SMS et pour quels événements, ainsi que votre numéro de téléphone mobile si vous activez les SMS.
• Contenu de l'espace de travail : flux, nœuds, noms et descriptions, paramètres des pages de statut et paramètres des intégrations que vous connectez : par exemple un site Jira, l'e-mail du compte et le projet, un tableau monday.com, des adresses de webhook, un dépôt GitHub et ses branches, ainsi que les jetons d'accès et clés que vous saisissez pour ces services.
• Données de facturation : votre forfait, le statut de votre abonnement et les identifiants client et abonnement que nous recevons de Stripe. Les coordonnées bancaires sont saisies sur les pages de Stripe et traitées par Stripe ; nous ne recevons jamais de numéros de carte complets.
• Données d'usage et de sécurité : adresse IP, informations sur le navigateur et l'appareil, heure et adresse des requêtes adressées à nos serveurs, et actions effectuées dans le tableau de bord.
• Communications : les messages que vous envoyez via le chat d'assistance, avec votre nom et votre e-mail, et les e-mails que vous nous adressez. Lorsque la fonction est activée, les questions que vous posez à l'assistant IA et ses réponses.
• Application de bureau : l'application de bureau ouvre le même tableau de bord dans une fenêtre. Elle vous maintient connecté sur votre appareil et vérifie régulièrement le nombre de notifications non lues. Elle ne collecte rien de plus que ce que collecte le tableau de bord.
• Visites du site web : notre site web n'utilise ni cookies analytiques ni cookies publicitaires. Notre hébergeur traite votre adresse IP et les données de requête pour diffuser les pages et protéger le site, et nos pages chargent des polices depuis Google Fonts, ce qui signifie que votre navigateur transmet votre adresse IP à Google.

• Pour fournir le service auquel vous avez souscrit : gérer vos équipes et vos flux, afficher vos rapports, envoyer les alertes par e-mail et SMS que vous avez choisies et connecter les intégrations que vous activez — exécution de notre contrat (art. 6.1.b RGPD).
• Pour vous facturer et gérer votre abonnement — exécution de notre contrat.
• Pour assurer la sécurité du service : authentifier les requêtes, détecter la fraude et les abus, appliquer les limites de forfait et de débit, et enquêter sur les incidents — notre intérêt légitime à disposer d'un service sécurisé (art. 6.1.f).
• Pour envoyer des e-mails de service, de facturation et de sécurité, par exemple les invitations et les modifications de votre équipe — contrat et intérêt légitime. Nous n'envoyons des e-mails commerciaux qu'avec votre consentement, et chacun permet de se désabonner.
• Pour répondre aux demandes d'assistance et, lorsque la fonction est activée, aux questions posées à l'assistant IA — contrat et intérêt légitime.
• Pour améliorer le service : nous examinons la façon dont les fonctionnalités sont utilisées, ainsi que les erreurs et les performances, à partir de données d'usage agrégées au niveau du compte — notre intérêt légitime à améliorer notre produit. Nous n'utilisons pas le contenu de vos rapports à cette fin, et vous pouvez vous y opposer à tout moment.
• Pour tenir les registres comptables et respecter nos obligations fiscales et légales — obligation légale (art. 6.1.c).

Nous ne vendons pas de données personnelles, et nous n'utilisons ni vos données, ni les données de vos rapports, pour entraîner des modèles d'IA.

Nous faisons appel aux prestataires suivants. Ils ne traitent les données que sur nos instructions et dans le cadre de contrats de traitement. La même liste s'applique aux données des rapports de la partie B.

• Amazon Web Services (AWS) — envoi d'e-mails (SES) et de SMS (SNS), stockage des logos d'équipe (S3), ainsi que les files d'attente et fonctions qui reçoivent les rapports et exécutent les tâches de fond. Nos ressources d'ingestion des rapports et de files de tâches fonctionnent dans l'UE (Francfort, Allemagne).
• Notre hébergeur de base de données — la base Atflow, qui contient les données de votre compte, de votre équipe, de votre espace de travail et de vos rapports : a PostgreSQL server we operate on Amazon Web Services in Frankfurt, Germany (EU).
• Vercel — hébergement du site web, du tableau de bord et de l'API. Les requêtes vers le tableau de bord et l'API sont traitées sur des serveurs Vercel situés aux États-Unis ; vos données sont stockées dans l'UE comme décrit ci-dessus.
• Stripe — paiements, facturation et taxes.
• Google — polices web (Google Fonts) utilisées par nos pages.
• Groq — génère les réponses de l'assistant IA et, si vous les activez, les synthèses des e-mails d'analyse IA. Nous n'envoyons que votre question et les messages précédents de cette conversation, ou une synthèse des rapports de votre propre équipe (titres, types, statuts, comptages et messages raccourcis, sans secrets) — jamais les données de votre compte, les métadonnées ni les états des composants.

La connexion (Alternative Auth) et le chat d'assistance, qui reçoit ses réponses depuis notre système interne d'assistance (WNC Base), sont exploités par nous, et non par un tiers.

Les intégrations que vous activez sont différentes : Jira (Atlassian), monday.com, GitHub, le fournisseur d'IA que vous choisissez pour AI hotfix (Anthropic ou OpenAI, avec votre propre clé API) et vos propres points de terminaison de webhook reçoivent les données des rapports parce que vous nous avez demandé de les y envoyer. Ils agissent selon leurs propres conditions avec vous, et non en tant que nos sous-traitants ultérieurs.

Nous pouvons aussi divulguer des données lorsque la loi ou une autorité compétente l'exige, pour protéger nos droits ou la sécurité d'autrui, ou à un successeur en cas de fusion ou d'acquisition, qui sera tenu par la présente politique.

Certains des prestataires ci-dessus sont établis aux États-Unis ou traitent des données limitées sur place (par exemple pour les paiements, l'hébergement du tableau de bord, les polices ou les requêtes IA). Lorsque cela se produit, nous nous appuyons sur le Cadre de protection des données UE-États-Unis lorsque le prestataire est certifié, ou sur les clauses contractuelles types de la Commission européenne.

• Données de compte, d'équipe et d'espace de travail : tant que votre compte existe. Après sa suppression, dans un délai de 30 jours, sauf exceptions ci-dessous.
• Votre numéro de téléphone : jusqu'à ce que vous le supprimiez ou que vous supprimiez votre compte.
• Factures et registres comptables : 7 ans, comme l'exige le droit comptable estonien.
• Journaux de sécurité et journaux serveur : jusqu'à 90 jours.
• Conversations d'assistance : tant qu'elles sont nécessaires pour vous aider, et jusqu'à 2 ans après.
• Sauvegardes : écrasées selon leur cycle habituel, 35 jours au plus.

En vertu du RGPD, vous pouvez demander l'accès, la rectification, l'effacement ou l'export de vos données, la limitation ou l'opposition à un traitement fondé sur l'intérêt légitime, et retirer votre consentement à tout moment. Vous pouvez modifier vos paramètres de notification et supprimer votre numéro de téléphone vous-même dans le tableau de bord. Pour tout le reste, écrivez à legal@we-nocode.com ; nous répondons dans un délai d'un mois. Vous pouvez également introduire une réclamation auprès de the Estonian Data Protection Inspectorate (Andmekaitse Inspektsioon, www.aki.ee) ou de l'autorité de votre pays.

Nous utilisons uniquement ce dont le service a besoin pour fonctionner : des cookies et un stockage du navigateur qui vous maintiennent connecté au tableau de bord et mémorisent vos paramètres, comme le thème. Notre site web ne dépose aucun cookie propre. Nous n'utilisons pas de cookies publicitaires ni de cookies de suivi inter-sites.

Lorsque vos systèmes envoient des rapports à Atflow, vous décidez de ce que chaque rapport contient et pourquoi, et vous êtes le responsable de traitement. Nous traitons ces données pour votre compte, conformément aux Conditions de traitement des données de la section 9 de nos Conditions d'utilisation.

Un rapport est constitué des champs que votre code renseigne : son type et son statut, un identifiant, un message, les métadonnées que vous joignez et l'état des composants dans un flux. Nous ajoutons l'heure de réception et comptons le nombre d'occurrences. Nous n'ajoutons rien sur vos utilisateurs que vous n'ayez pas envoyé.

Les données des rapports ne servent qu'à vous fournir le service :

• elles sont stockées et affichées aux membres de votre équipe ;
• un bref extrait du message d'erreur est inclus dans les e-mails et SMS d'alerte que vos membres d'équipe ont choisi de recevoir ;
• elles sont envoyées aux intégrations que vous activez — par exemple pour créer un ticket Jira ou un élément monday.com, pour appeler vos webhooks ou, avec AI hotfix, vers le fournisseur d'IA et le dépôt GitHub que vous avez configurés.

Envoyez uniquement ce dont vous avez besoin pour résoudre le problème. Les rapports ne doivent pas contenir de catégories particulières de données personnelles (par exemple de santé, biométriques ou religieuses), de données relatives à des condamnations pénales, de mots de passe, de jetons d'accès, de clés API, de numéros de carte bancaire ou de numéros de pièces d'identité. Si vous devez identifier un utilisateur, utilisez un identifiant interne plutôt qu'un nom ou une adresse e-mail.

Nous conservons les rapports pendant la fenêtre d'historique de votre forfait — 30 jours sur Hobby, 90 sur Starter, 180 sur Pro, ou selon accord sur Enterprise — ou jusqu'à ce que vous les supprimiez, supprimiez leur flux ou votre compte, selon l'événement qui survient en premier. Les rapports au-delà de cette fenêtre et les rapports supprimés sont retirés de nos systèmes dans un délai de 30 jours, et des sauvegardes selon leur cycle habituel.

Si vous êtes utilisateur de l'une des applications de nos clients et avez une question sur vos données, veuillez d'abord contacter ce client ; si vous nous contactez, nous transmettrons votre demande au client concerné.

Nous protégeons les données par le chiffrement en transit (TLS), un accès limité aux membres de chaque équipe, une clé secrète distincte pour le point de terminaison de rapports de chaque flux, le chiffrement (AES-256) du jeton GitHub et de la clé du fournisseur d'IA que vous stockez pour AI hotfix, ainsi que par la journalisation. Notre personnel d'assistance peut accéder à votre espace de travail, y compris en le consultant comme le ferait un membre de l'équipe, uniquement pour fournir l'assistance que vous avez demandée ou pour enquêter sur un abus ou un problème de sécurité. Aucun système n'est parfaitement sûr ; si une violation affecte vos données, nous vous en informerons et, lorsque la loi l'exige, l'autorité de contrôle compétente.

Atflow s'adresse à des adultes agissant pour une entreprise. Il ne cible pas les enfants, et les clients ne doivent pas nous transmettre délibérément des données concernant des enfants dans leurs rapports.

Nous publierons les modifications ici et mettrons à jour la date ci-dessus. Pour les modifications substantielles, nous informerons également les clients par e-mail ou dans le tableau de bord avant leur entrée en vigueur.

WeNoCode OÜ — legal@we-nocode.com