Politique de confidentialité

1. Qui traite vos données ?

Pour la gestion des comptes, la sécurité, la facturation et l’exploitation du Service, le responsable du traitement est Bryan Boquel, entrepreneur individuel, SIREN 103 358 438, 24 allée Ray Grassi, 13008 Marseille, France. Contact unique pour les questions de confidentialité et l’exercice des droits : contact@zaalislogistique.com.

Pour les données personnelles que les clients professionnels importent ou créent dans leurs propres opérations logistiques, le client détermine les finalités et zaalis agit en principe comme sous-traitant, sur ses instructions. Le client reste responsable de la licéité des données qu’il confie au Service.

2. Données concernées et provenance

• Compte et profil : adresse e-mail, identité, société, rôle, formule, adresse de portefeuille technique, préférences et consentements horodatés ;
• Activité logistique : colis, produits, stocks, commandes, fournisseurs, transporteurs, destinataires, pièces jointes, preuves et événements opérationnels fournis par l’utilisateur ou ses intégrations ;
• Utilisation et sécurité : sessions, adresse IP, appareil et navigateur, requêtes, erreurs, tentatives de connexion et événements d’administration ;
• Intégrations facultatives : identifiants techniques et données strictement nécessaires au service choisi, notamment Gmail, transporteurs ou caisse ;
• Paiement : formule, identifiants de facturation et état des transactions transmis par Stripe ; zaalis ne conserve pas les numéros complets de carte ;
• Assistant IA : messages transmis volontairement, contexte fonctionnel nécessaire et réponses générées.

Les champs indiqués comme obligatoires sont nécessaires à la création du compte ou à l’exécution de la fonction demandée. À défaut, celle-ci peut ne pas fonctionner.

3. Finalités et bases juridiques

• créer le compte, fournir le dashboard, traiter les opérations logistiques, gérer le support et la facturation : exécution du contrat ;
• sécuriser les accès, prévenir la fraude, maintenir la disponibilité, établir et défendre des droits : intérêt légitime de zaalis et de ses clients ;
• conserver les pièces comptables et répondre aux autorités habilitées : obligation légale ;
• connecter une intégration facultative ou envoyer des actualités produit : consentement, retirable à tout moment ;
• traiter les données logistiques pour le compte d’un client : instructions du client, qui détermine la base juridique applicable.

4. Cookies et stockage local

Dans la version actuelle du Service, les cookies sont strictement nécessaires à l’authentification, à la session et à la protection CSRF. Le stockage local du navigateur est limité aux préférences d’interface et aux snapshots d’affichage non sensibles ; une adresse Gmail ou un jeton d’accès n’y est pas conservé. Aucun traceur publicitaire n’est déposé par zaalis. Si cette situation change, l’information et, lorsque requis, le consentement seront mis à jour avant activation.

5. Gmail et autres intégrations

L’intégration Gmail est facultative. Elle sert à envoyer, après action de l’utilisateur, les commandes fournisseurs préparées dans zaalis. Le Service utilise uniquement l’autorisation d’envoi et l’identification du compte connecté ; il ne parcourt pas la boîte de réception. Les jetons OAuth restent côté serveur, chiffrés au repos, et sont supprimés lors de la déconnexion ou de l’effacement du compte. Les autres intégrations ne reçoivent que les données nécessaires à l’action demandée et peuvent être désactivées depuis le Service lorsqu’une commande est disponible.

6. Blockchain permissionnée

La chaîne utilisée par zaalis est un journal technique permissionné, et non une blockchain publique. Les événements peuvent contenir des données opérationnelles du client ; le flux public est filtré et anonymisé. Les nouveaux blocs lient cryptographiquement l’intégralité des événements, y compris leurs détails et leur nonce. Lorsqu’un effacement est fondé, les détails personnels de la chaîne active sont remplacés par une mention d’effacement, les blocs concernés sont reconstruits et signés, et les snapshots antérieurs de cette chaîne sont supprimés. La chronologie et la preuve de l’opération d’effacement sont conservées sans conserver les détails supprimés.

7. Destinataires, hébergement et transferts

Les données sont accessibles aux utilisateurs autorisés du compte, aux personnes habilitées de zaalis et aux prestataires strictement nécessaires : Google Cloud pour l’hébergement principal en région Paris, Stripe Payments Europe pour la facturation, ainsi que les fournisseurs d’intégrations expressément activées par le client. Elles ne sont pas vendues.

Le traitement courant est configuré dans l’Union européenne. Si un prestataire ou une autorité située hors de l’Espace économique européen devait accéder à des données, cet accès ne peut intervenir que selon un mécanisme du chapitre V du RGPD et avec les garanties applicables. Les informations contractuelles disponibles peuvent être demandées à l’adresse de contact.

8. Durées de conservation

• compte actif et données nécessaires au Service : durée de la relation contractuelle ;
• demande de suppression : compte désactivé puis délai de rétractation de 30 jours ; à l’échéance, suppression ou anonymisation des données actives et révocation des accès ;
• sessions et jetons : jusqu’à expiration, révocation, déconnexion de l’intégration ou effacement du compte ;
• journaux de sécurité applicatifs : rotation prévue à 90 jours, sauf incident ou obligation imposant une conservation ciblée plus longue ;
• données logistiques et pièces jointes : durée du compte ou durée définie par le client, sous réserve d’une obligation légale ;
• pièces comptables et justificatifs devant légalement être conservés : archivage séparé jusqu’à 10 ans, avec accès restreint.

Une donnée faisant l’objet d’un litige ou d’une obligation légale peut être isolée et conservée uniquement pendant la durée nécessaire, sans rester disponible dans le Service courant.

9. Vos droits et l’article 17

Selon la base et la situation, vous pouvez demander l’accès, la rectification, l’effacement, la limitation, la portabilité, ou vous opposer au traitement. Vous pouvez retirer un consentement sans remettre en cause le traitement antérieur. Écrivez à contact@zaalislogistique.com ; une preuve d’identité proportionnée peut être demandée. Une réponse est apportée en principe dans un délai d’un mois. L’effacement n’est pas absolu lorsqu’une obligation légale, la défense de droits ou une autre exception prévue par l’article 17 s’applique ; la donnée est alors isolée et son accès limité.

Vous pouvez aussi introduire une réclamation auprès de la CNIL.

10. Sécurité, automatisation et IA

zaalis met en œuvre notamment des sessions HttpOnly, une protection CSRF, le chiffrement des secrets, des contrôles d’accès, la journalisation, des limites de requêtes et une chaîne signée. Des mesures automatiques temporaires peuvent protéger un compte en cas de comportement suspect. Vous pouvez demander leur réexamen humain à l’adresse de contact.

L’assistant IA peut produire des réponses inexactes. Il doit être identifié comme tel dans l’interface et ses résultats doivent être vérifiés par l’utilisateur avant toute décision opérationnelle, financière, juridique ou concernant une personne. Aucune décision juridique durable n’est prise par zaalis sur le seul fondement d’une sortie de l’assistant.

11. Mise à jour

La version et la date figurent en tête de page. Une modification substantielle impose une nouvelle acceptation dans le dashboard. Les versions et horodatages d’acceptation sont conservés afin d’en établir la preuve.