Politique de confidentialité

1. Responsable de traitement

STEPSVIEW, SARL au capital de 100 €, immatriculée au RCS de Paris sous le numéro 131 176 224, SIRET 131 176 224 00015, dont le siège social est situé 1 rue Marguerin, 75014 Paris, France. Pour toute question relative à vos données, contactez-nous via le formulaire de contact.

Pour le contenu que le Client saisit dans le service (descriptions de processus, catalogues), Stepsview agit en tant que sous-traitant au sens du RGPD : c'est l'entreprise cliente qui reste responsable de traitement pour les données à caractère personnel qu'elle choisit d'y inclure. Les obligations de sous-traitance sont formalisées dans l'Annexe 1 des CGU conformément à l'article 28 du RGPD.

2. Données collectées

• Données de compte : email, nom (facultatif), mot de passe (haché bcrypt, jamais en clair), rôle, entreprise de rattachement, date d'acceptation des CGU et de la présente politique.
• Données de connexion et de sécurité : date de dernière connexion, tentatives de connexion échouées, secret TOTP chiffré et codes de récupération MFA hachés (pour les comptes ayant activé l'authentification à deux facteurs), tokens de session et de vérification d'email (à usage unique, expirés automatiquement).
• Contenu métier : descriptions de processus et catalogues saisis par les utilisateurs, susceptibles de contenir des données à caractère personnel selon ce que l'utilisateur y inclut (ex. nom d'un exécutant cité dans une description de processus).
• Journaux d'activité et d'audit : historique des actions dans les catalogues (création, modification, validation de processus), journal des actions administratives sensibles (suppression de compte, changement de rôle, modification de quota) conservant l'email de l'auteur même après suppression du compte, à des fins de traçabilité de sécurité.
• Notifications in-app : messages générés automatiquement à l'attention des utilisateurs (changement de statut contributeur, validation d'un processus, etc.).
• Demandes d'accès et messages de contact : nom, email, entreprise, message, pour les formulaires publics du site.
• Fichiers importés : images de couverture d'articles, fichiers Excel importés pour peupler un catalogue.
• Adresse IP : conservée 30 jours glissants à des fins de limitation du nombre de tentatives sur les formulaires publics (protection anti-spam), sans finalité de traçage.
• Empreinte pseudonymisée de l'email : hash SHA-256 de l'adresse email normalisée, conservé après suppression d'un compte gratuit pour prévenir le contournement du quota à vie par réinscription (intérêt légitime, prévention d'abus).

3. Finalités et bases légales

• Fourniture du service (compte, catalogues, diagrammes) : exécution du contrat.
• Analyse sémantique assistée par IA des descriptions de processus, pour générer les diagrammes et alimenter le référentiel de l'entreprise cliente : exécution du contrat.
• Sécurité du service (anti brute-force, limitation anti-spam, journal des actions sensibles) : intérêt légitime.
• Réponse aux demandes de contact et d'accès : mesures précontractuelles / intérêt légitime.

4. Destinataires et sous-traitants

Les données sont hébergées et traitées par les sous-traitants suivants, dans la stricte mesure nécessaire au fonctionnement du service :

• Supabase (base de données et stockage de fichiers), données hébergées dans l'Union européenne (Francfort, Allemagne).
• Render, hébergement de l'application, traitement dans l'Union européenne (Francfort, Allemagne) ; société établie hors Union européenne, transfert encadré par des clauses contractuelles types (Art. 46 RGPD).
• Mistral AI (société française), pour l'analyse sémantique des descriptions de processus soumises par les utilisateurs. Les contenus transmis à l'API ne sont pas utilisés pour entraîner ses modèles.
• Resend, pour l'envoi des emails transactionnels (invitations, notifications), société établie hors Union européenne, transfert encadré par des clauses contractuelles types (Art. 46 RGPD).
• Backblaze, pour la copie de sauvegarde chiffrée hors site de la base de données, société établie hors Union européenne, transfert encadré par des clauses contractuelles types (Art. 46 RGPD).
• Cloudflare, pour la résolution DNS et la protection réseau du domaine, société établie hors Union européenne, transfert encadré par des clauses contractuelles types (Art. 46 RGPD).
• Stripe, pour le traitement des paiements et la gestion des abonnements, société établie hors Union européenne (États-Unis), transfert encadré par des clauses contractuelles types (Art. 46 RGPD). Les données transmises à Stripe sont limitées à celles nécessaires au paiement (informations de facturation).
• Sentry, pour la collecte des erreurs techniques côté serveur et navigateur permettant la supervision du service, société établie hors Union européenne (États-Unis), transfert encadré par des clauses contractuelles types (Art. 46 RGPD). Seules les traces d'erreur sont transmises ; les emails et le contenu métier des utilisateurs sont supprimés avant envoi.

Aucune donnée n'est vendue ni partagée à des fins publicitaires.

5. Durée de conservation

• Données de compte et contenu métier : pendant la durée de la relation contractuelle, puis supprimées dans un délai de 30 jours suivant la résiliation.
• Journaux d'audit des actions sensibles : 3 ans à compter de l'action (délai de prescription applicable).
• Demandes d'accès et messages de contact : 3 ans à compter de leur réception.
• Adresses IP (rate limiting) : 30 jours glissants.
• Sessions actives et tokens de vérification : supprimés à la déconnexion, à l'expiration automatique, ou à la suppression du compte.
• Invitations en attente : supprimées automatiquement à expiration (délai défini par l'administrateur, maximum 7 jours).
• Empreinte pseudonymisée de l'email (compte gratuit) : conservée de façon indéfinie sous forme non réversible pour la seule finalité de prévention d'abus, peut être supprimée sur demande exercée via le formulaire de contact.

6. Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données personnelles. Ces demandes sont traitées manuellement à ce stade, contactez-nous via le formulaire de contact en précisant votre demande ; nous y répondrons dans le délai légal d'un mois. Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).

7. Sécurité

Les mots de passe sont hachés (jamais stockés en clair), les échanges sont chiffrés en transit (HTTPS), et l'accès aux données est cloisonné par entreprise cliente au niveau applicatif. Les actions administratives sensibles (suppression de compte, changement de rôle) sont journalisées.

8. Cookies

Le site n'utilise à ce jour aucun cookie de suivi ou de mesure d'audience. Un cookie de session, strictement nécessaire au fonctionnement du service, est déposé uniquement lors de la connexion à l'application.

9. Modifications

Cette politique peut évoluer, notamment pour refléter un changement de sous-traitant ou une exigence légale. La date de dernière mise à jour figure en haut de cette page.