Accord de traitement des données

• Le Studio, titulaire du compte, responsable de traitement : il décide des données qu’il dépose, de leur finalité et des personnes à qui il ouvre un dossier.
• L’Éditeur (Jérémy Bendenoun, Diurn Studio, SIRET 842 741 928 00027), sous-traitant : il héberge et traite ces données uniquement pour fournir Duova au Studio.

• Objet : fournir Duova — stocker et afficher les dossiers clients, les partager avec le client final par un lien privé, envoyer les notifications, transmettre une facture à la Plateforme Agréée du Studio s’il le demande.
• Opérations : hébergement, enregistrement, consultation, affichage, mise à disposition du client final, envoi d’e-mails, sauvegarde, effacement.
• Personnes concernées : clients et prospects du Studio, leurs interlocuteurs, les participants aux échanges et rendez-vous, les membres du Studio.
• Données : identité et coordonnées (nom, e-mail, téléphone, adresse) ; contenus de projet (propositions, fichiers, images, commentaires, notes, comptes-rendus d’échanges et de visios) ; rendez-vous ; devis et factures ; données techniques de connexion.
• Durée : celle du compte du Studio, puis effacement selon l’article 9.

Duova n’est pas conçu pour des données sensibles (santé, opinions, origine…) : le Studio s’abstient d’en déposer.

Visio native : le son, l’image, le tchat et les fichiers échangés pendant une visio passent directement d’un participant à l’autre, sans transiter par le serveur de Duova ni y être conservés. L’enregistrement éventuel est fait dans le navigateur du participant et téléchargé sur son appareil. Duova ne relaie que les messages techniques d’établissement de la connexion.

L’Éditeur ne traite les données que sur instruction documentée du Studio : ces conditions, et les actions que le Studio effectue dansDuova. Il ne les utilise pour aucune autre finalité — ni revente, ni publicité, ni entraînement d’un modèle d’intelligence artificielle. Si une instruction lui paraît contraire au RGPD, il en informe immédiatement le Studio.

Seul l’Éditeur accède au serveur, et uniquement quand c’est nécessaire (maintenance, incident, demande du Studio). Toute personne qu’il autoriserait à y accéder serait tenue à la confidentialité.

L’Éditeur met en œuvre notamment les mesures suivantes (article 32 du RGPD) :

• chiffrement de toutes les connexions (HTTPS, certificat renouvelé automatiquement) ;
• mots de passe jamais stockés en clair (hachage bcrypt) ;
• cloisonnement de chaque studio, vérifié par le serveur à chaque requête ; un lien client n’ouvre que le dossier concerné ;
• liens clients et fichiers servis par des adresses aléatoires impossibles à deviner (128 bits), liens révocables par le Studio ;
• blocage temporaire des connexions après des échecs répétés, limite de création de comptes, liens de réinitialisation à usage unique valables 1 heure ;
• serveur dans l’Union européenne, pare-feu limité aux seuls accès nécessaires, mises à jour de sécurité automatiques, accès d’administration par clé uniquement ;
• sauvegarde quotidienne de la base de données, conservée 14 jours.

Le Studio autorise l’Éditeur à faire appel aux sous-traitants ci-dessous. L’Éditeur leur impose des obligations de protection équivalentes à celles de cet accord et reste responsable envers le Studio de leur exécution.

Tout ajout ou remplacement est annoncé par e-mail au moins 30 jours à l’avance. Le Studio peut s’y opposer pour un motif légitime ; si aucune solution n’est trouvée, il peut mettre fin au contrat en supprimant son compte.

Les services contactés directement par le navigateur (polices, visio, aperçus, recherche de références) et la Plateforme Agréée choisie par le Studio sont décrits dans la politique de confidentialité.

Les données sont hébergées dans l’Union européenne. Seul l’envoi des e-mails implique un transfert vers les États-Unis (Resend), encadré par les garanties indiquées à l’article 6.

• Droits des personnes : le Studio peut consulter, corriger et supprimer les données de ses clients, et en télécharger les fichiers, directement dans Duova. Pour ce qu’il ne peut pas faire lui-même, l’Éditeur l’aide dans les meilleurs délais. Si une personne s’adresse directement à l’Éditeur, sa demande est transmise au Studio.
• Violation de données : l’Éditeur notifie au Studio toute violation de données le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, avec les informations utiles pour que le Studio puisse, s’il y a lieu, la notifier à la CNIL dans les 72 heures.
• Analyse d’impact : l’Éditeur fournit sur demande les informations dont il dispose sur le traitement.

À tout moment, et en particulier avant de supprimer son compte, le Studio peut exporter gratuitement toutes ses données dans un format structuré et lisible par machine (Réglages du studio → Aide & compte → Exporter mes données, fichier JSON) et récupérer ses fichiers depuisDuova ; l’Éditeur l’assiste sur demande pour tout transfert vers un autre service.

À la suppression du compte, toutes les données du Studio et de ses clients sont effacées immédiatement de la base et du stockage de fichiers. Elles disparaissent des sauvegardes au fil de leur rotation (14 jours pour les sauvegardes de la base). L’Éditeur ne conserve aucune copie au-delà.

L’Éditeur met à la disposition du Studio les informations nécessaires pour démontrer le respect de cet accord, et répond à ses questions écrites. Un audit sur place est possible, à la charge du Studio, avec un préavis de 30 jours, sans accès aux données des autres studios.

Le Studio s’assure de disposer d’une base légale pour les données qu’il dépose, informe ses clients de ce traitement (il peut renvoyer vers cette page) et ne transmet ses liens privés qu’aux personnes concernées.

Pour toute question sur cet accord ou pour signaler un incident : diurn.design@gmail.com.