Politique de confidentialité

• Vous avez un compte studio : l’Éditeur de Duova (Jérémy Bendenoun, Diurn Studio) est responsable des données de votre compte, décrites ci-dessous.
• Vous êtes le client d’un studio et consultez votre dossier par son lien privé : c’est ce studio qui est responsable de vos données ; Duova les traite pour son compte (voir l’accord de traitement des données). Adressez vos demandes à votre studio en priorité ; si vous écrivez à l’Éditeur, il les lui transmet.

• Compte : adresse e-mail, mot de passe (haché, jamais stocké en clair), date de confirmation de l’adresse, date de création du studio. Pour un membre invité dans une équipe : les mêmes données, plus son nom s’il le renseigne. Si vous activez la double authentification : sa clé (chiffrée), sa date d’activation et les empreintes de vos codes de secours, effacées quand vous la désactivez ou supprimez votre compte.
• Identité du studio saisie dans les réglages : nom, contact, téléphone, adresse, SIRET, couleurs, polices, logo et, si vous la tracez, votre signature (recopiée sur les devis que vous envoyez).
• Sécurité : nombre d’échecs de connexion par adresse e-mail, nombre de demandes d’inscription par adresse IP et par adresse e-mail, liens d’inscription et de réinitialisation (seule une empreinte est conservée).
• Facturation électronique, si vous l’activez : les jetons d’accès à votre compte SUPER PDP (chiffrés, jamais votre mot de passe), le nom et le numéro de l’entreprise reliée, l’identifiant et le statut de chaque facture transmise ; ou les identifiants de votre compte B2BRouter (la clé n’est jamais renvoyée au navigateur). Les jetons sont effacés quand vous retirez le compte.
• Paiement en ligne, si vous l’activez : les jetons d’accès à votre compte Mollie (chiffrés, jamais votre mot de passe), le nom du compte relié, et pour chaque paiement lancé par un client depuis son espace : la référence Mollie, le montant, le document payé, l’état et la date. Les informations de carte ou de compte bancaire du client sont saisies chez Mollie et ne passent jamais par Duova. Les jetons sont effacés quand vous retirez le compte ; le suivi des paiements, avec votre studio.

• Fournir le service, vous connecter, vous envoyer les e-mails utiles (réinitialisation, confirmation, alertes) : exécution du contrat.
• Protéger les comptes et prévenir les abus (blocage après des échecs répétés, limites de création de comptes et de demandes de réinitialisation) : intérêt légitime à sécuriser le service.
• Traiter les signalements de contenus illicites : obligation légale (règlement européen sur les services numériques).
• Si des formules payantes sont proposées : tenir la comptabilité et conserver les factures, obligation légale.

• Compte et contenus : tant que le compte existe. À sa suppression, tout est effacé immédiatement, puis disparaît des sauvegardes au fil de leur rotation (14 jours pour les sauvegardes de la base). Le compte d’un membre d’équipe est effacé quand il le supprime, quand le studio le retire, ou avec le studio. Un compte resté 6 mois sans aucune activité peut être fermé, après un e-mail de prévenance envoyé au moins 30 jours avant.
• Messagerie de l’équipe (fil commun et messages directs entre personnes d’un même studio) : gardée tant que le studio existe, chiffrée sur nos serveurs, jamais montrée aux clients du studio ; un message direct n’est lu que par ses deux personnes. La présence « en ligne » n’est gardée qu’en mémoire, jamais en base, et s’efface au redémarrage du serveur.
• Compteurs d’échecs de connexion, de demandes d’inscription et de demandes de réinitialisation (adresse e-mail ou IP) : effacés dans les 24 heures suivant la dernière tentative.
• Liens de réinitialisation et de confirmation : valables 1 heure ; liens d’inscription et de confirmation d’une invitation : 24 heures (l’adresse saisie est effacée avec le lien s’il n’est pas utilisé : aucun compte n’est créé) ; liens d’invitation dans une équipe : 7 jours. Effacés une fois utilisés ou expirés.
• Erreurs techniques rencontrées dans Duova (message d’erreur, page concernée sans ses paramètres, version, navigateur, studio concerné) : gardées sur nos serveurs pour corriger les pannes, jamais confiées à un tiers, effacées au bout de 30 jours. Elles ne contiennent pas le contenu des dossiers.
• Appareils reconnus sur le lien d’un client (nom de l’appareil, par exemple « Safari sur iPhone », date d’ajout et de dernière visite, jamais l’adresse IP) : effacés 30 jours après la dernière visite, quand le studio retire l’appareil, ou avec le lien. Le code envoyé pour le reconnaître est valable 10 minutes et ne sert qu’une fois ; seule son empreinte est gardée.
• Factures d’abonnement, le cas échéant : 10 ans (obligation comptable).
• Signalements de contenu (nom, e-mail, message de la personne qui signale) : le temps de les traiter, puis au plus un an, pour pouvoir répondre à une contestation.

Seul l’Éditeur, pour faire fonctionner et maintenir le service, et ses prestataires techniques :

• Webdock.io ApS (Danemark (Union européenne)) : Hébergement du serveur : application, base de données, fichiers déposés et sauvegardes.
• Resend, Inc. (États-Unis) : Envoi des e-mails : réinitialisation de mot de passe, confirmation d’adresse, alertes d’activité du dossier, mails que le studio écrit à son client depuis le service, récap d’un compte-rendu validé des deux côtés, invitations aux rendez-vous et visios, rappels d’un message non lu de la Discussion d’un projet, envoi au client d’une facture ou d’un avoir émis, relances automatiques au client (devis, factures, éléments à valider), code et confirmation d’une demande de projet faite sur la page du studio, codes et confirmations de signature des devis, et code d’accès au lien d’un client sur un nouvel appareil. Garanties : Clauses contractuelles types de la Commission européenne intégrées à l’accord de traitement de Resend, et adhésion de Resend au Data Privacy Framework UE–États-Unis.

Certaines fonctionnalités font appel directement, depuis votre navigateur, à un service tiers, et seulement quand elles sont utilisées :

• Figma, Google Docs / Drive, Canva, CodePen, CodeSandbox, Loom, YouTube, Vimeo, Box : aperçu en direct d’un lien vers ces services ajouté par le studio, seulement après un clic sur « Afficher l’aperçu » : le service concerné reçoit alors l’adresse IP du visiteur et peut déposer ses propres cookies dans l’aperçu. Rien n’est chargé avant ce clic.
• Google Drive : uniquement si le studio ajoute un fichier en le choisissant dans son Google Drive : le navigateur se connecte à Google avec le compte du studio, qui n’autorise Duova que sur les fichiers choisis. Duova en garde le nom, le type, la taille et le lien, jamais le contenu, et active pour ces seuls fichiers le partage en lecture par lien afin que le client puisse les ouvrir. Google est alors le prestataire du studio.
• Dropbox : uniquement si le studio ajoute un fichier en le choisissant dans son Dropbox : la fenêtre de Dropbox s’ouvre dans le navigateur, Dropbox crée le lien de partage et Duova n’en garde que le nom, la taille et le lien, jamais le contenu ni aucun accès au compte. Dropbox est alors le prestataire du studio.
• SUPER PDP : uniquement si le studio active la facturation électronique : il relie lui-même son compte SUPER PDP (Plateforme Agréée) en l’autorisant depuis la fenêtre de SUPER PDP. Duova garde les jetons d’accès chiffrés, jamais son mot de passe, et transmet à SUPER PDP les factures que le studio choisit d’envoyer (vendeur, client, lignes, montants). SUPER PDP est alors le prestataire du studio, choisi et contracté par lui.
• Mollie : uniquement si le studio active le paiement en ligne : il relie lui-même son compte Mollie (prestataire de paiement, Pays-Bas) en l’autorisant depuis la fenêtre de Mollie. Duova garde les jetons d’accès chiffrés, jamais son mot de passe, et demande à Mollie chaque paiement que le client du studio lance depuis son espace (montant, numéro du devis ou de la facture, nom du studio, adresse de retour). Le client saisit ses informations de paiement chez Mollie, jamais dans Duova ; l’argent va directement au studio. Mollie est alors le prestataire du studio, choisi et contracté par lui.
• B2BRouter : uniquement si le studio y connecte son propre compte : ses factures y sont transmises sur sa demande. B2BRouter est alors le prestataire du studio, choisi et contracté par lui.

Quand le studio cherche une image libre de droits pour une proposition, Duova transmet les mots cherchés à Openverse (WordPress.org) depuis son propre serveur : ni l’adresse IP du studio ni aucune autre donnée personnelle ne lui parviennent. Les vignettes et l’image choisie sont aussi relayées par Duova ; l’image choisie est copiée dans la proposition, avec son auteur et sa licence.

Quand le studio colle le lien d’un tableau Pinterest ou d’une collection Cosmos publics, Duova lit ce tableau depuis son propre serveur et copie quelques vignettes dans le dossier du projet : ni le studio ni son client ne contactent Pinterest ou Cosmos pour voir l’aperçu, et aucune donnée personnelle ne leur est transmise.

Si vous choisissez « Continuer avec Google », vous vous identifiez chez Google, qui nous transmet votre nom, votre adresse e-mail (vérifiée par Google) et un identifiant propre à votre compte Google : rien d’autre, ni vos contacts, ni vos fichiers, ni votre agenda. Ils servent seulement à vous connecter, et à créer votre studio si l’adresse est nouvelle. Aucun jeton d’accès à votre compte Google n’est gardé. Google sait que vous vous connectez à Duova : c’est sa propre politique de confidentialité qui s’applique chez lui. Le lien entre votre compteDuova et votre compte Google disparaît avec votre compte ; vous pouvez aussi le retirer chez Google (Compte Google → Sécurité → Vos connexions à des applications tierces). L’e-mail et le mot de passe restent toujours possibles.

Un client peut joindre des images au questionnaire de brief du studio, depuis son lien. Chaque image est redessinée par le serveur de Duova avant d’être gardée : ses métadonnées (lieu de la prise de vue, appareil) sont retirées. Elle est rangée avec les fichiers du studio et suit les mêmes durées de conservation.

Le studio peut ajouter à un dossier des fichiers rangés dans son Google Drive ou son Dropbox, en les choisissant dans la fenêtre officielle de ces services. Duova ne demande jamais l’accès à tout le Drive : avec Google, l’autorisation porte uniquement sur les fichiers que le studio choisit. Duova en garde le nom, le type, la taille et le lien ; il n’en lit, n’en copie et n’en stocke jamais le contenu. Pour que le client du studio puisse ouvrir un fichier choisi dans Google Drive, Duova active, sur ce seul fichier, le partage en lecture « toute personne disposant du lien » ; Dropbox crée lui-même le lien de partage. L’accès donné par Google reste dans le navigateur du studio le temps de la séance (une heure au plus) : Duova ne l’enregistre pas et ne garde aucun accès au compte. Il se retire à tout moment depuis le compte Google (myaccount.google.com, « Sécurité », « Applications tierces »).

L’utilisation et le transfert par Duova des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d’utilisation limitée (« Limited Use requirements ») : ces informations servent uniquement à ajouter les fichiers choisis au dossier du studio ; elles ne sont ni vendues, ni utilisées à des fins publicitaires, ni utilisées pour entraîner un modèle d’intelligence artificielle, et aucune personne ne les lit, sauf demande du studio, obligation légale ou sécurité.

Le son, l’image et le tchat d’une visio Duova passent en principe directement d’un participant à l’autre. Quand leurs deux réseaux ne peuvent pas se joindre directement (wifi d’entreprise, certains opérateurs mobiles), ils transitent par un relais de Duova, sur notre serveur en Europe : ils y restent chiffrés de bout en bout, le relais ne peut ni les lire ni les enregistrer, et rien n’y est conservé. Pour mettre les participants en relation, ce serveur voit seulement leurs adresses réseau, le temps de l’appel ; aucun service tiers n’intervient. L’enregistrement d’une visio, s’il est lancé, reste sur l’ordinateur de la personne qui l’a lancé.

Le studio peut proposer de transcrire une visio : la demande s’affiche à l’écran de son client, et rien n’est enregistré tant que celui-ci n’a pas accepté ; chacun peut arrêter à tout moment. Les voix des deux participants sont alors enregistrées par le navigateur du studio puis envoyées, à la fin de l’appel, à notre serveur en Europe, où un modèle libre (Whisper) les met par écrit, sans service tiers. Le son est effacé dès la transcription faite, et au plus tard 24 heures après l’envoi. Le texte devient un brouillon du dossier, que le studio relit avant de le partager, conservé comme le reste du dossier.

Les résumés d’échanges sont rédigés par un modèle d’intelligence artificielle libre qui fonctionne sur notre serveur, en Europe, sans accès à Internet : le texte n’est envoyé à aucun service tiers, n’est pas conservé par le modèle et ne sert à entraîner aucun modèle. Un résumé rédigé par l’IA est signalé comme tel, et le studio le relit avant de le partager. La même IA peut aussi, à la demande du studio, préparer les lignes d’un devis à partir du brief et des comptes-rendus, ou écrire un brouillon de réponse à un mail : ce sont toujours des brouillons, relus par le studio, et rien n’est envoyé sans lui.

Chaque studio a une adresse de réception, que le studio met en copie de ses échanges ou à laquelle il transfère un mail. Un mail envoyé à cette adresse est reçu par notre propre serveur, en Europe, sans passer par un service tiers : on en garde l’objet, le texte, l’adresse de l’expéditeur et le nom des pièces jointes (les pièces jointes elles-mêmes ne sont pas conservées). Les adresses des destinataires servent seulement à reconnaître le client et à ranger le mail dans son projet ; elles ne sont pas gardées. Le mail devient un brouillon du dossier (ou attend dans « À classer » si le client n’est pas reconnu), que seul le studio voit, résumé par l’IA ci-dessus, et qu’il partage ou supprime. Il est conservé comme le reste du dossier. Le studio peut changer d’adresse à tout moment : l’ancienne ne reçoit plus rien.

Chaque personne connectée peut, si elle le souhaite, obtenir une adresse privée qui montre les rendez-vous du studio (projets, visios, échéances) dans son agenda Google, Apple ou Outlook : en l’y ajoutant, elle choisit de confier ces rendez-vous à ce service, qui relit l’adresse régulièrement. Elle peut changer d’adresse à tout moment ; l’ancienne ne montre alors plus rien.

Elle peut aussi ajouter Duova comme compte d’agenda sur son téléphone ou son ordinateur (iPhone, Mac, Android…) : l’appareil lit et modifie alors les rendez-vous des projets du studio, et les garde aussi en mémoire de son côté. Chaque appareil reçoit son propre mot de passe, montré une seule fois et conservé chez nous sous forme d’empreinte seulement (jamais en clair), avec un nom (« iPhone, iPad ou Mac »), sa date d’ajout et celle de sa dernière synchronisation. L’accès est coupé dès qu’elle retire l’appareil, change de mot de passe ou quitte le studio, et effacé avec son compte.

Elle peut aussi coller l’adresse privée de son propre agenda : notre serveur le lit (titre et horaires des rendez-vous) pour l’afficher dans l’agenda du studio, à elle seule. Ni les clients ni l’équipe ne le voient. Les rendez-vous lus ne sont pas enregistrés : gardés en mémoire dix minutes au plus. L’adresse est conservée jusqu’à ce qu’elle la retire ou supprime son compte, et n’est jamais renvoyée à un navigateur.

Duova n’envoie que des e-mails liés au service (confirmation d’adresse, mot de passe oublié, alertes de vos projets), jamais de prospection. Ils ne contiennent aucun pixel de suivi et les liens ne sont pas réécrits pour mesurer les clics. Le logo affiché en tête est chargé depuis duova.fr, sans être enregistré ni servir à savoir si l’e-mail a été ouvert.

Un studio peut aussi écrire à son client depuis Duova : le mail part de notre domaine, au nom de la personne qui l’écrit, et la réponse du client revient dans le dossier de son projet, chez ce studio. De même, quand un compte-rendu est validé des deux côtés, le client en reçoit une fois le récap (résumé, décisions, actions), au nom du studio. Et quand le client signe un devis en ligne, un code de vérification lui est envoyé par e-mail, puis la preuve de sa signature (devis signé, nom, adresse e-mail, date, adresse IP, navigateur, signature tracée) est gardée dans le compte du studio. Pour ces mails et cette preuve, c’est le studio qui est responsable du traitement : c’est à lui qu’il faut s’adresser.

Duova dépose un seul cookie, nécessaire à la connexion au compte studio (il est effacé à la fermeture du navigateur, expire après 4 heures sans utiliser Duova, et une nouvelle connexion est demandée 12 heures au plus après la précédente), plus, le temps d’activer la facturation électronique ou le paiement en ligne, un cookie technique de 15 minutes qui sécurise l’aller-retour avec SUPER PDP ou Mollie. Sur le lien d’un client, un cookie reconnaît son appareil une fois le code reçu par e-mail tapé : il évite de redemander le code, et expire 30 jours après la dernière visite. Il garde aussi dans votre navigateur quelques préférences (tutoriel déjà vu, affichage, aperçus tiers que vous avez choisi d’afficher sans confirmation). Ces éléments sont indispensables au service et ne demandent pas de consentement. Aucun cookie publicitaire ni de mesure d’audience. Les polices des studios sont servies par duova.fr : votre navigateur ne contacte pas Google pour les afficher. Les aperçus en direct de services tiers (Figma, Canva…) ne se chargent qu’après votre clic sur « Afficher l’aperçu » ; ces services peuvent alors déposer leurs propres cookies (voir ci-dessus).

Vous pouvez accéder à vos données, les corriger, les effacer, en limiter l’usage, vous y opposer et les récupérer. La plupart se fait directement dans Duova : vos informations se modifient dans les réglages, l’export de toutes les données est en libre-service (Réglages du studio → Compte & sécurité → Exporter mes données, archive .zip avec les données en JSON et les fichiers déposés) et la suppression du compte est immédiate (même endroit → Supprimer mon compte). Pour le reste, écrivez à hello@duova.fr : réponse sous un mois au plus.

Vous pouvez aussi définir des directives sur le sort de vos données après votre décès (loi Informatique et Libertés, article 85), à la même adresse.

Vous pouvez aussi adresser une réclamation à la CNIL (cnil.fr).

Connexions chiffrées, mots de passe hachés, studios cloisonnés, serveur dans l’Union européenne, sauvegardes quotidiennes : le détail est dans l’accord de traitement des données (article 5).