Politique de confidentialité

1. Responsable de traitement

Yelloow Tech est responsable de traitement pour les données qu'elle collecte directement (visiteurs, prospects, comptes utilisateurs).

Pour les données saisies par un Client dans son espace YelloowPlan (employés, clients, plannings, etc.), Yelloow Tech agit comme sous-traitant au sens de l'article 28 du RGPD. Le Client est alors le responsable de traitement de ses propres données. Les engagements de l'Éditeur sur ces données figurent dans le contrat de sous-traitance (DPA).

2. Données collectées et finalités

2.1 Création et gestion de compte

• Données : nom, prénom, email professionnel, rôle au sein du tenant.
• Finalité : identification, authentification, communications opérationnelles.
• Base légale : exécution du contrat (art. 6.1.b RGPD).
• Durée : pendant toute la durée du compte, puis 3 ans après suppression à des fins de preuve.

2.2 Facturation et paiement

• Données : raison sociale, adresse, SIREN, email facturation, historique des paiements.
• Finalité : facturation, gestion comptable, recouvrement.
• Base légale : exécution du contrat + obligation légale (art. 6.1.b et 6.1.c RGPD).
• Durée : 10 ans (art. L. 123-22 du Code de commerce) pour les pièces comptables.
• Note : les coordonnées bancaires ne sont jamais stockées sur nos serveurs. Le traitement est confié à Stripe Payments Europe Ltd (cf. liste des sous-traitants).

2.3 Données métier saisies dans l'espace Client

• Données : informations sur les employés du Client (nom, contact, contrat), sur ses clients et chantiers, plannings, pointages, géolocalisation des interventions, photos terrain.
• Finalité : permettre au Client d'exploiter le Service.
• Base légale : définie par le Client en sa qualité de responsable de traitement (intérêt légitime, contrat, consentement selon le cas).
• Durée : tant que le Client le décide, dans la limite de la durée contractuelle. À la fin du contrat, les Données sont conservées 90 jours puis supprimées (cf. CGV § 11).

2.4 Logs techniques et sécurité

• Données : adresse IP, user-agent, date et heure de connexion, actions sensibles (audit logs).
• Finalité : sécurité, détection d'intrusion, traçabilité.
• Base légale : intérêt légitime (art. 6.1.f RGPD).
• Durée : 12 mois (logs serveurs), 5 ans (audit logs métier).

2.5 Mesure d'utilisation du Service

• Données : pages ouvertes dans l'espace (sous forme de modèle, sans les identifiants qui figurent dans l'adresse), temps passé sur chaque page, boutons utilisés, formulaires commencés puis quittés sans envoi (nom du dernier champ touché, jamais son contenu), erreurs rencontrées (leur nature, jamais leur message) et vitesse d'affichage. Pour le titulaire et les administrateurs d'un espace, ces données sont rattachées à leur compte ; pour les autres utilisateurs, elles sont seulement comptées globalement, sans être rattachées à une personne. Nous n'enregistrons jamais l'adresse IP, ce que vous saisissez, ni les données de vos clients.
• Finalité : comprendre où les utilisateurs rencontrent des difficultés, accompagner les nouveaux Clients dans leur prise en main, corriger les erreurs et les lenteurs, et améliorer le Service.
• Base légale : intérêt légitime (art. 6.1.f RGPD). Aucun cookie ni stockage n'est déposé sur votre appareil à cette fin. Vous pouvez vous y opposer à tout moment, avec effet immédiat, depuis Mon profil → Mesure d'utilisation.
• Accès : l'équipe d'administration de la plateforme habilitée.
• Durée : 13 mois, puis suppression automatique.

2.6 Origine de l'inscription

• Données : paramètres de campagne présents dans le lien par lequel vous êtes arrivé (paramètres « utm_* » : réseau social, campagne, contenu), par exemple « tiktok / social / btp ». Aucune autre donnée de navigation.
• Finalité : savoir quels canaux de communication amènent les inscriptions, pour orienter nos actions marketing.
• Base légale : intérêt légitime (art. 6.1.f RGPD). Transmis par le lien lui-même : aucun cookie n'est déposé à cette fin.
• Durée : conservée avec la trace de création de l'espace, supprimée avec lui.

2.7 Diagnostic des erreurs

• Données : erreurs techniques (page, navigateur, déroulé de l'erreur) et, pour environ 10 % des sessions et pour toutes celles où une erreur survient, un enregistrement de l'écran (« session replay ») dans lequel tout le texte est masqué et les images sont bloquées. Cet enregistrement est désactivé sur le planning.
• Finalité : détecter, reproduire et corriger les erreurs du Service.
• Base légale : intérêt légitime (art. 6.1.f RGPD). Traitement confié à Sentry (cf. liste des sous-traitants).
• Durée : 90 jours au plus.

3. Destinataires et sous-traitants

Les données sont accessibles aux salariés et prestataires de Yelloow Tech habilités, dans la limite de leurs missions. Nous faisons appel à des sous-traitants techniques (article 28 RGPD) listés ci-dessous, dont la conformité est encadrée par des clauses contractuelles spécifiques :

• Supabase Inc. — Base de données PostgreSQL, authentification, stockage de fichiers. Localisation : Singapour (siège) — données hébergées en UE (Paris, France). Encadrement : Clauses contractuelles types EU (SCC) + EU-U.S. Data Privacy Framework.
• Vercel Inc. — Hébergement et exécution de l'application web. Localisation : États-Unis — edge networks mondiaux. Encadrement : EU-U.S. Data Privacy Framework + SCC.
• Stripe Payments Europe Ltd — Traitement des paiements par carte bancaire. Localisation : Irlande (UE). Encadrement : Aucun transfert hors UE pour les opérations courantes.
• Resend Inc. — Envoi des emails transactionnels (magic link, notifications). Localisation : États-Unis. Encadrement : SCC + EU-U.S. Data Privacy Framework.
• Sentry (Functional Software, Inc.) — Suivi des erreurs applicatives (logs techniques) et enregistrement masqué d'une partie des sessions pour reproduire les bugs (session replay : texte masqué, images bloquées). Localisation : États-Unis. Encadrement : SCC + EU-U.S. Data Privacy Framework.
• Inngest Inc. — Exécution de jobs asynchrones (rappels, crons applicatifs). Localisation : États-Unis. Encadrement : SCC + EU-U.S. Data Privacy Framework.
• Upstash, Inc. — Limitation de débit anti-abus (protection des formulaires publics et de l'authentification) — stocke temporairement des identifiants techniques (adresse IP, adresse email) à durée de vie courte. Localisation : États-Unis. Encadrement : SCC + EU-U.S. Data Privacy Framework.

La liste à jour des sous-traitants est notifiée aux Clients au moins 30 jours avant tout changement substantiel (cf. DPA).

4. Transferts hors UE

Certains sous-traitants (Vercel, Resend, Sentry, Inngest, Upstash) sont situés aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision 2021/914) et, le cas échéant, par l'adhésion au EU-U.S. Data Privacy Framework. Une analyse d'impact sur les transferts (TIA) est tenue à disposition des Clients qui en font la demande.

5. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées :

• Chiffrement TLS 1.3 pour toutes les communications ;
• Chiffrement au repos de la base PostgreSQL et des fichiers (AES-256) ;
• Isolation logique des données par tenant via Row Level Security au niveau PostgreSQL, vérifiée par tests automatisés en CI ;
• Contrôle d'accès par rôles (RBAC) avec principe du moindre privilège, journalisation des actions sensibles ;
• Sauvegardes quotidiennes avec rétention de 35 jours ;
• Suivi des erreurs et incidents par Sentry, monitoring 24/7 ;
• Revue régulière des dépendances et des CVE.

6. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès aux données vous concernant ;
• Rectification des données inexactes ou incomplètes ;
• Effacement (« droit à l'oubli ») dans les cas prévus par la loi ;
• Limitation du traitement ;
• Portabilité dans un format structuré et lisible par machine ;
• Opposition au traitement fondé sur l'intérêt légitime ;
• Définir des directives sur le sort de vos données après votre décès.

Pour exercer ces droits, contactez-nous à privacy@yelloowplan.com. Une réponse vous sera adressée dans un délai d'un mois, prolongeable de deux mois si nécessaire compte tenu de la complexité de la demande.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75007 Paris — cnil.fr).

7. Cookies

L'utilisation des cookies fait l'objet d'une politique dédiée qui précise leur nature, leur finalité et les modalités de gestion de votre consentement.

8. Contact

Pour toute question relative à la protection des données personnelles, contactez-nous à privacy@yelloowplan.com.

9. Modification

La présente politique peut évoluer. Toute modification substantielle est notifiée aux Utilisateurs par email ou via une notification dans le Service.