Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement est Florian Guiot, entrepreneur individuel, éditeur du service Blummy (voir les mentions légales). Pour toute question relative à vos données personnelles, vous pouvez nous contacter à l'adresse contact@blummy.fr.

2. Données que nous traitons

Selon votre utilisation du Service, nous pouvons traiter :

• Données de compte : adresse email, mot de passe chiffré (hashé), nom et prénom, photo de profil éventuelle, identifiants de connexion via un fournisseur tiers (OAuth), date de création et date de dernière connexion.
• Données d'organisation : informations sur votre agence ou structure (raison sociale, coordonnées, éléments de marque) que vous renseignez.
• Données de vos clients : coordonnées des clients finaux que vous invitez à consulter vos projets. Vous en êtes l'auteur et restez responsable de leur collecte et de leur exactitude.
• Contenus de projet : projets, versions, fichiers et documents déposés, retours, commentaires et validations.
• Données de facturation : statut d'abonnement et palier souscrit. Les paiements et la facturation sont opérés par notre prestataire Lemon Squeezy (voir section 4) ; nous n'avons pas accès à vos données complètes de carte bancaire.
• Données techniques et de sécurité : journaux d'activité et de sécurité, adresse IP, données de connexion et préférences (dont consentement aux emails commerciaux et aux cookies).

3. Finalités et bases légales

• Fournir le Service (création de compte, gestion des projets, partage et validation). Base légale : exécution du contrat.
• Gérer les abonnements et la facturation. Base légale : exécution du contrat et respect de nos obligations légales (notamment comptables).
• Assurer la sécurité du Service, prévenir la fraude et les abus, et contrôler les fichiers déposés. Base légale : intérêt légitime.
• Améliorer le Service et mesurer l'audience. Base légale : intérêt légitime ou votre consentement lorsqu'il est requis (cookies de mesure d'audience).
• Vous adresser des communications sur le Service (emails transactionnels). Base légale : exécution du contrat. Et, le cas échéant, des communications commerciales. Base légale : votre consentement, révocable à tout moment.

4. Destinataires et sous-traitants

Vos données ne sont jamais vendues. Elles sont accessibles à Blummy et à des prestataires techniques (sous-traitants au sens du RGPD) qui agissent sur nos instructions :

• OVH : hébergement, sur des serveurs situés en France.
• Lemon Squeezy : traitement des paiements et facturation, en qualité de « Merchant of Record ».
• Prestataire d'envoi d'emails : acheminement des emails transactionnels et de notification.

Vos données peuvent également être communiquées aux autorités compétentes lorsque la loi l'exige.

5. Transferts hors Union européenne

L'hébergement des données est réalisé au sein de l'Union européenne (France). Certains prestataires, tels que Lemon Squeezy, peuvent être établis en dehors de l'Union européenne. Dans ce cas, les transferts sont encadrés par des garanties appropriées prévues par le RGPD (notamment les clauses contractuelles types de la Commission européenne).

6. Durées de conservation

Nous conservons les données uniquement le temps nécessaire aux finalités poursuivies :

• Données de compte : pendant toute la durée de vie du compte. À la suppression du compte, vos données sont conservées pendant une période de grâce de 30 jours (permettant une restauration), puis définitivement purgées.
• Projets, versions et fichiers supprimés : conservés 30 jours après suppression (période de récupération), puis purgés.
• Organisation ou espace supprimé : conservé 30 jours après suppression, puis purgé.
• Jetons de réinitialisation de mot de passe : 1 heure.
• Documents comptables et de facturation : conservés conformément à nos obligations légales (jusqu'à 10 ans pour les pièces comptables).
• Journaux techniques et de sécurité : conservés pour une durée proportionnée aux finalités de sécurité.
• Cookies et mesure d'audience : selon les durées indiquées dans le gestionnaire de cookies et conformément aux recommandations de la CNIL.

7. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles destinées à protéger vos données : hébergement en France, chiffrement des échanges (HTTPS/TLS), contrôle des accès, contrôle des fichiers déposés, ainsi qu'un accès restreint et une conservation limitée de nos journaux techniques et de sécurité. Ces mesures relèvent d'une obligation de moyens et ne garantissent pas l'absence de tout risque.

8. Cookies

Le site utilise des cookies nécessaires à son fonctionnement, ainsi que, sous réserve de votre consentement, des cookies de mesure d'audience. Vous pouvez accepter, refuser ou modifier votre choix à tout moment via le gestionnaire de cookies.

Nous réalisons par ailleurs une mesure d'audience strictement interne au moyen de cookies first-party anonymes (durée de vie limitée à 1 an). Ces cookies servent uniquement à produire des statistiques globales et anonymes destinées à améliorer le Service : aucune adresse IP ni aucun identifiant d'appareil n'est conservé, les données ne sont jamais recoupées avec d'autres traitements ni partagées avec des tiers, et la conservation est limitée à 25 mois. Conformément aux recommandations de la CNIL, cette mesure d'audience anonymisée est exemptée de consentement.

Dans ce même cadre anonyme et interne, nous mesurons l'usage de nos pages publiques : pages consultées, durée de consultation (temps passé sur une page), profondeur de défilement (portion de la page affichée, par palier) et interactions avec les éléments d'interface (clics sur des boutons et liens). Ces interactions sont identifiées à partir de la structure de la page (zone et destination du lien), jamais à partir d'un contenu que vous saisissez ; aucune donnée personnelle n'est collectée à cette occasion. L'adresse IP n'est utilisée que de manière transitoire, à des fins de sécurité et de prévention des abus, sans être conservée à des fins de mesure d'audience. Ces statistiques restent globales, anonymes et destinées au seul pilotage du Service.

Afin de mesurer l'efficacité de nos actions de communication, nous conservons également, de manière anonyme, l'origine des visites : le nom de domaine du site référent (sans l'adresse complète de la page d'origine) et, le cas échéant, les étiquettes de campagne (paramètres « utm ») que nous posons nous-mêmes sur nos propres liens. Ces informations ne contiennent aucune donnée personnelle, ne sont jamais recoupées avec votre identité et suivent la même durée de conservation limitée à 25 mois.

9. Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition au traitement de vos données, ainsi que d'un droit à la portabilité et du droit de retirer votre consentement à tout moment. Pour exercer ces droits, écrivez-nous à contact@blummy.fr. Nous pourrons vous demander de justifier de votre identité.

Lorsque vous invitez vos clients sur le Service, vous agissez en tant que responsable des données que vous collectez à leur sujet ; il vous appartient de répondre à l'exercice de leurs droits, Blummy intervenant comme sous-traitant pour ces données.

10. Réclamation

Si vous estimez que le traitement de vos données n'est pas conforme à la réglementation, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris, www.cnil.fr.

11. Modifications

Nous pouvons faire évoluer la présente politique. La version applicable est celle en vigueur lors de votre utilisation du Service, sa date de dernière mise à jour figurant en en-tête.