Accord de traitement des données

• Le Studio, titulaire du compte, responsable de traitement : il décide des données qu’il dépose, de leur finalité et des personnes à qui il ouvre un dossier.
• L’Éditeur (Jérémy Bendenoun, Diurn Studio, SIRET 842 741 928 00027), sous-traitant : il héberge et traite ces données uniquement pour fournir Duova au Studio.

• Objet : fournir Duova, stocker et afficher les dossiers clients, les partager avec le client final par un lien privé, envoyer les notifications, transmettre une facture à la Plateforme Agréée du Studio s’il le demande.
• Opérations : hébergement, enregistrement, consultation, affichage, mise à disposition du client final, envoi d’e-mails, sauvegarde, effacement.
• Personnes concernées : clients et prospects du Studio, leurs interlocuteurs, les participants aux échanges et rendez-vous, les membres du Studio.
• Données : identité et coordonnées (nom, e-mail, téléphone, adresse) ; contenus de projet (propositions, fichiers, images, commentaires, notes, comptes-rendus d’échanges et de visios, messages de la Discussion d’un projet, tâches de l’équipe) ; messages échangés entre les membres du Studio ; rendez-vous ; devis et factures ; données techniques de connexion.
• Durée : celle du compte du Studio, puis effacement selon l’article 9.

Duova n’est pas conçu pour des données sensibles (santé, opinions, origine…) : le Studio s’abstient d’en déposer.

Visio native : le son, l’image, le tchat et les fichiers échangés pendant une visio passent en principe directement d’un participant à l’autre. Si leurs réseaux ne peuvent pas se joindre directement, ils transitent par le relais de Duova (sur son serveur, en Europe), chiffrés de bout en bout : le relais ne peut pas les lire et n’en conserve rien. L’enregistrement éventuel est fait dans le navigateur du participant et téléchargé sur son appareil. Seuls ceux qui peuvent ouvrir la visio (Studio connecté, client muni d’un lien valable) reçoivent un accès temporaire à ce relais.

Résumé des échanges : à la demande du Studio, le texte d’un échange est résumé par un modèle d’intelligence artificielle libre qui fonctionne sur le serveur de Duova, en Europe, sans accès à Internet. Le texte n’est transmis à aucun tiers, n’est pas conservé par le modèle et ne sert à entraîner aucun modèle ; le résumé est un brouillon que le Studio relit avant de le partager.

Mails reçus dans un dossier : les mails que le Studio fait envoyer à son adresse de réception (celle du studio ou celle d’un projet) sont reçus par le serveur de Duova, en Europe, sans service tiers. Seuls l’objet, le texte, l’adresse de l’expéditeur et le nom des pièces jointes sont conservés (pas les pièces jointes), dans le dossier du projet, sous forme de brouillon visible du seul Studio. Les adresses des destinataires servent seulement à reconnaître le client et à ranger le mail dans son projet ; elles ne sont pas gardées. Un mail qui ne peut pas être rangé attend dans « À classer », visible du seul Studio. Le Studio décide de l’adresse qu’il communique, peut la remplacer à tout moment, et supprime les mails qu’il ne veut pas garder.

Mails écrits au client depuis Duova : quand le Studio écrit à son client depuis un projet, le mail est envoyé par Resend (voir l’article 6), au nom de la personne qui l’écrit, à l’adresse e-mail du client enregistrée dans le dossier et aux personnes que le Studio met en copie (cinq au plus) ; les réponses reviennent à l’adresse de réception du projet (ci-dessus). Une copie du mail envoyé est gardée dans le dossier, visible du seul Studio.

Discussion avec le client et tâches de l’équipe : les messages échangés dans la Discussion d’un projet sont gardés dans ce projet, visibles du Studio et du client concerné. Si un message du client reste non lu, le Studio reçoit une alerte par e-mail qui ne contient pas le message ; si un message du Studio reste non lu, le client reçoit par Resend, au nom du Studio, un e-mail qui reprend les derniers messages. Les tâches d’un projet ne sont visibles que de l’équipe du Studio, jamais du client.

Messagerie de l’équipe : les messages échangés entre les membres du Studio (fil commun et messages directs) sont conservés chiffrés sur le serveur de Duova, jamais montrés aux clients du Studio ; un message direct n’est lu que par ses deux destinataires. La présence « en ligne » n’est gardée qu’en mémoire, jamais enregistrée.

Invitations aux rendez-vous : quand le Studio pose, déplace ou annule un rendez-vous ou une visio d’un projet, le client reçoit par Resend, au nom du Studio, un e-mail avec la date, la durée, le lieu, le mot du Studio et un fichier d’agenda (.ics), sans jamais l’identifiant de la salle de visio. Il peut répondre depuis son espace. Le Studio peut couper ces invitations (Réglages → Intégrations).

Paiement en ligne : si le Studio relie son compte Mollie, son client peut payer l’acompte d’un devis ou une facture depuis son espace. Duova transmet à Mollie, pour le compte du Studio, le montant, le numéro du document et le nom du Studio, puis garde la référence, l’état et la date du paiement, et émet la facture d’acompte. Les informations de paiement du client sont saisies chez Mollie et ne passent jamais par Duova.

Récap d’un compte-rendu validé : quand un compte-rendu est validé par le Studio et par son client, le client reçoit une fois, par Resend et au nom du Studio, un e-mail qui en reprend l’objet, le résumé, les décisions et les actions, avec le lien de son dossier ; sa réponse revient à l’adresse de réception du projet. Le Studio peut couper ces récaps (Réglages → Intégrations).

Signature électronique des devis : quand le client signe un devis depuis son espace, Duova lui envoie un code à usage unique (par Resend) à l’adresse e-mail enregistrée dans le dossier, puis conserve, pour le compte du Studio, la preuve de la signature : le devis tel que signé et son empreinte, le nom du signataire, cette adresse e-mail, la date et l’heure, l’adresse IP et le navigateur utilisés, et la signature tracée s’il y en a une. Cette preuve est gardée à part des données modifiables, accessible au seul Studio (« Preuve de signature », export des données) et effacée avec son compte. Le signataire reçoit par e-mail la trace de sa signature, au nom du Studio.

Transcription des visios : à la demande du Studio et seulement après l’accord du participant, recueilli à l’écran pendant la visio, le son de la visio est transmis au serveur de Duova, en Europe, et mis par écrit par un modèle libre, sans tiers. Le son est effacé dès la transcription faite (24 heures au plus) ; le texte est un brouillon du dossier que le Studio relit avant de le partager. Le Studio reste responsable de l’usage qu’il fait de cette transcription et de l’information de ses participants.

Synchro d’agenda : à la demande d’un membre du Studio, Duova lui fournit une adresse privée d’abonnement aux rendez-vous du Studio ; l’ajouter à un agenda tiers (Google, Apple, Microsoft) relève du choix du Studio, qui confie alors ces rendez-vous à ce service. Le membre peut aussi indiquer l’adresse privée de son agenda : le serveur de Duova le lit et en affiche le titre et les horaires des rendez-vous à ce seul membre, sans les enregistrer (dix minutes en mémoire au plus). Il peut enfin brancher un appareil (iPhone, Mac, Android…) sur l’agenda du Studio : l’appareil lit et modifie les rendez-vous des projets avec un mot de passe qui lui est propre, conservé par Duova sous forme d’empreinte seulement, et coupé dès que le membre le retire, change de mot de passe ou quitte le Studio.

L’Éditeur ne traite les données que sur instruction documentée du Studio : ces conditions, et les actions que le Studio effectue dansDuova. Il ne les utilise pour aucune autre finalité : ni revente, ni publicité, ni entraînement d’un modèle d’intelligence artificielle. Si une instruction lui paraît contraire au RGPD, il en informe immédiatement le Studio.

Seul l’Éditeur accède au serveur, et uniquement quand c’est nécessaire (maintenance, incident, demande du Studio). Toute personne qu’il autoriserait à y accéder serait tenue à la confidentialité.

L’Éditeur met en œuvre notamment les mesures suivantes (article 32 du RGPD) :

• chiffrement de toutes les connexions (HTTPS, versions anciennes et peu sûres du protocole refusées, certificat renouvelé automatiquement) ;
• chiffrement des données au repos (AES-256) : espaces de travail des studios, messages de l’équipe, clés des intégrations et clés de double authentification ; la clé de chiffrement est gardée hors de la base de données ;
• jetons des liens clients et des adresses de réception conservés sous forme d’empreinte, avec une copie chiffrée ; mots de passe jamais stockés en clair (hachage bcrypt), au moins 10 caractères avec une majuscule, un chiffre et un caractère spécial ;
• double authentification (code à 6 chiffres et codes de secours) proposée à chaque compte, et obligatoire pour l’espace d’administration de l’Éditeur ;
• sessions courtes : fermeture à la fermeture du navigateur, après 4 heures sans activité et au plus tard 12 heures après la connexion ; changer de mot de passe ferme les autres sessions ;
• cloisonnement de chaque studio, vérifié par le serveur à chaque requête ; un lien client n’ouvre que les projets de ce client, jamais les brouillons ; fichiers servis seulement à l’équipe du Studio et au client concerné ;
• liens clients et fichiers servis par des adresses aléatoires impossibles à deviner (plus de 120 bits), liens révocables par le Studio et, s’il le souhaite, limités dans le temps ; fichiers déposés vérifiés d’après leur contenu réel ;
• blocage temporaire des connexions après des échecs répétés, limites sur la création de comptes et l’envoi d’e-mails, liens de réinitialisation à usage unique valables 1 heure ;
• serveur dans l’Union européenne, pare-feu limité aux seuls accès nécessaires, blocage automatique des adresses qui tentent de forcer l’accès, mises à jour de sécurité automatiques, accès d’administration par clé uniquement ;
• sauvegarde quotidienne de la base de données, chiffrée avec une clé que le serveur ne possède pas, conservée 14 jours ; surveillance du service avec alerte de l’Éditeur en cas de panne.

Le Studio autorise l’Éditeur à faire appel aux sous-traitants ci-dessous. L’Éditeur leur impose des obligations de protection équivalentes à celles de cet accord et reste responsable envers le Studio de leur exécution.

Tout ajout ou remplacement est annoncé par e-mail au moins 30 jours à l’avance. Le Studio peut s’y opposer pour un motif légitime ; si aucune solution n’est trouvée, il peut mettre fin au contrat en supprimant son compte.

Les services que le navigateur contacte directement, seulement quand le Studio les utilise (aperçus de services tiers, Google Drive, Dropbox), la Plateforme Agréée et le prestataire de paiement (Mollie) choisis par le Studio sont décrits dans la politique de confidentialité.

Les données sont hébergées dans l’Union européenne. Seul l’envoi des e-mails (alertes, mails écrits au client depuis Duova, récaps, invitations aux rendez-vous, rappels de la Discussion, codes de signature) implique un transfert vers les États-Unis (Resend), encadré par les garanties indiquées à l’article 6.

• Droits des personnes : le Studio peut consulter, corriger et supprimer les données de ses clients, et en télécharger les fichiers, directement dans Duova. Pour ce qu’il ne peut pas faire lui-même, l’Éditeur l’aide dans les meilleurs délais. Si une personne s’adresse directement à l’Éditeur, sa demande est transmise au Studio.
• Violation de données : l’Éditeur notifie au Studio toute violation de données le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, avec les informations utiles pour que le Studio puisse, s’il y a lieu, la notifier à la CNIL dans les 72 heures.
• Analyse d’impact : l’Éditeur fournit sur demande les informations dont il dispose sur le traitement.

À tout moment, et en particulier avant de supprimer son compte, le Studio peut exporter gratuitement toutes ses données dans un format structuré et lisible par machine (Réglages du studio → Compte & sécurité → Exporter mes données : une archive .zip avec les données en JSON et tous les fichiers déposés) ; l’Éditeur l’assiste sur demande pour tout transfert vers un autre service.

À la suppression du compte, toutes les données du Studio et de ses clients sont effacées immédiatement de la base et du stockage de fichiers. Elles disparaissent des sauvegardes au fil de leur rotation (14 jours pour les sauvegardes de la base). L’Éditeur ne conserve aucune copie au-delà.

L’Éditeur met à la disposition du Studio les informations nécessaires pour démontrer le respect de cet accord, et répond à ses questions écrites. Un audit sur place est possible, à la charge du Studio, avec un préavis de 30 jours, sans accès aux données des autres studios.

Le Studio s’assure de disposer d’une base légale pour les données qu’il dépose, informe ses clients de ce traitement (il peut renvoyer vers cette page) et ne transmet ses liens privés qu’aux personnes concernées.

Pour toute question sur cet accord ou pour signaler un incident : hello@duova.fr.