Politique de confidentialité

1. Responsabilité et contact

Bryan Boquel, entrepreneur individuel, SIREN 103 358 438, 24 allée Ray Grassi, 13008 Marseille, France, est responsable du traitement pour l’administration des comptes, la sécurité, la facturation et l’exploitation du Service. Contact : contact@zaalislogistique.com.

Les clients professionnels déterminent les finalités des données personnelles qu’ils importent ou créent dans leurs opérations logistiques. Pour ces opérations, zaalis agit généralement comme sous-traitant sur les instructions du client. Les clients restent responsables de la licéité des données qu’ils fournissent.

2. Données et finalités

Le Service traite les données d’identité et de contact, déclarations professionnelles, permissions des comptes, enregistrements d’authentification et de sécurité, données logistiques, pièces jointes, commandes, informations de facturation et données nécessaires aux intégrations activées par le client. Les données servent à fournir le Service contractuel, maintenir la sécurité, satisfaire les obligations légales et traiter les demandes de support. Le marketing facultatif exige un choix distinct.

3. Bases légales

Les traitements reposent sur le contrat, les obligations légales applicables, les intérêts légitimes de sécurité et d’exploitation ou le consentement lorsqu’il est requis. La base applicable dépend de la finalité et des rôles des parties.

4. Cookies et préférences

L’authentification et la sécurité utilisent des cookies nécessaires. Le stockage local de l’appareil peut conserver les préférences d’interface et des instantanés d’affichage non sensibles. Aucun consentement publicitaire facultatif n’est inclus dans l’acceptation des conditions. Les traceurs facultatifs exigent un choix distinct avant activation. Le Service enregistre dans le compte les confirmations d’information sur la confidentialité avec leur version.

5. Gmail et intégrations

Gmail est facultatif et permet d’envoyer les commandes fournisseurs préparées par l’utilisateur. Les permissions par défaut sont gmail.send, openid et email ; les permissions OAuth déployées exigent une vérification distincte. L’application ne parcourt pas la boîte de réception. Les jetons OAuth sont conservés côté serveur, chiffrés au repos et supprimés lors de la déconnexion de l’intégration ou de l’effacement du compte. Les autres intégrations reçoivent les données nécessaires à l’opération demandée.

6. Blockchain permissionnée

La chaîne est un registre technique interne signé. Le flux public est filtré ; le filtrage ne suffit pas à établir l’anonymisation ni à empêcher les rapprochements. Les nouveaux blocs lient cryptographiquement les détails des événements et leurs nonces. L’effacement accepté supprime de la chaîne active du nœud les détails reconnus comme appartenant au compte, reconstruit et signe les blocs concernés et supprime les anciens instantanés locaux. La propagation aux autres nœuds et la suppression des sauvegardes d’infrastructure exigent une vérification distincte.

7. Destinataires et localisations

Les données sont accessibles aux utilisateurs autorisés du compte, au personnel habilité de zaalis et aux prestataires nécessaires, notamment Google Cloud, Stripe et les intégrations activées par le client. Le domaine public a été observé le 11 octobre 2026 sur une VM en zone us-central1-a. Cela ne permet pas d’établir la localisation de chaque service, sauvegarde ou opération de support. Les traitements ne doivent pas être décrits comme limités à l’Union européenne sans preuve.

Le dossier d’inscription professionnelle est envoyé à l’éditeur par le prestataire Brevo ou SMTP configuré pour une revue manuelle. Il comprend l’identité déclarée, l’adresse électronique professionnelle, le SIRET, la société facultative, la référence du compte et la date, mais exclut les mots de passe et secrets de session. Les échecs de livraison sont enregistrés et retentés. La vérification dans un registre SIRET n’est pas automatisée. Les données ne sont pas vendues. Les transferts hors de l’Espace économique européen exigent les garanties applicables du chapitre V.

8. Conservation et effacement

Les données du compte sont conservées pendant la relation contractuelle ou selon les instructions du client, sous réserve des obligations applicables. La suppression demandée par l’utilisateur prévoit un délai d’annulation de 30 jours. La suppression par un administrateur dispose d’un parcours distinct réversible pendant 24 heures et d’une action immédiate avec réauthentification. L’effacement n’est achevé qu’après la réussite des vérifications préalables.

Les sessions et jetons d’intégration expirent ou sont révoqués. Les enregistrements de la base d’événements de sécurité ont un seuil de purge à 90 jours. Les journaux ordinaires sont compressés après sept jours et les archives anciennes sont purgées après 90 jours, ou 30 jours pour les journaux du proxy ; la conservation totale peut approcher 97 ou 37 jours. security.log, alerts.log et startup.log ne sont pas purgés automatiquement par l’application ; leur durée de conservation opérationnelle doit être définie.

Les pièces soumises à une obligation légale de conservation, notamment les documents comptables concernés, peuvent exiger dix ans. Actuellement, les lignes du propriétaire dans certaines tables financières bloquent l’effacement automatique de l’ensemble du compte en attente d’une revue humaine. L’archivage séparé, la restriction d’accès et la suppression à l’échéance ne sont pas automatisés. Une décision documentée doit identifier les pièces, la base légale, la durée et les droits applicables.

9. Vos droits

Selon la base légale et les circonstances, vous pouvez demander l’accès, la rectification, l’effacement, la limitation ou la portabilité, ou vous opposer au traitement. Le consentement peut être retiré sans remettre en cause les traitements antérieurs licites. Envoyez vos demandes à l’adresse de contact ci-dessus ; une vérification d’identité proportionnée peut être demandée. Les réponses sont normalement apportées sous un mois. Les exceptions de l’article 17 peuvent limiter l’effacement et doivent être évaluées individuellement.

Vous pouvez déposer une réclamation auprès de la CNIL.

10. Sécurité et IA

Le Service utilise des sessions HttpOnly, des contrôles CSRF, des secrets chiffrés, des contrôles d’accès, la journalisation, des requêtes bornées et une chaîne signée. Les mesures de sécurité automatiques temporaires peuvent être réexaminées par une personne sur demande. L’assistance IA peut être inexacte et doit être identifiée comme telle. Vérifiez ses résultats avant des décisions opérationnelles, financières, juridiques ou personnelles. zaalis ne prend pas de décisions juridiques durables sur la seule base d’une réponse de l’assistant.

11. Mises à jour

La version et la date de la politique figurent ci-dessus. Les changements substantiels exigent une nouvelle confirmation dans le tableau de bord. Les versions et horodatages d’acceptation sont conservés comme preuves.