Politique de confidentialité

ID DESIGN, SARL au capital de 13 000 €, RCS Reims 513 589 226, siège social : 6 rue Henri Warnier, 51500 Taissy. Représentant légal : Sylvain Mizon.
Contact : contact@glidflow.com

ID DESIGN n’a pas désigné de Délégué à la Protection des Données : ce n’est pas obligatoire à notre échelle (article 37 RGPD). Vos demandes sont traitées directement par le représentant légal à l’adresse ci-dessus.

Lorsque vous utilisez Glidflow, nous collectons :

• Vos coordonnées : nom, prénom, email, téléphone
• Vos informations de facturation : adresse, raison sociale, SIRET, TVA
• Des données techniques : adresse IP, navigateur, journaux de connexion
• Les cookies essentiels (voir la Politique cookies)

Vos données servent uniquement à :

• Fournir le service et exécuter le contrat
• Établir les factures et respecter nos obligations comptables
• Sécuriser la plateforme et prévenir la fraude
• Vous informer sur le service

Le module Réservations est optionnel. Lorsqu’un marchand choisit d’y connecter son compte Google, Glidflow demande les autorisations suivantes :

• openid et email : identifier le compte Google connecté et l’afficher dans l’administration.
• calendar.events : créer un événement à chaque rendez-vous confirmé sur la boutique du marchand, et le supprimer en cas d’annulation.
• calendar.calendarlist.readonly : afficher la liste des agendas du compte pour que le marchand désigne celui à utiliser.

Ce que nous stockons :uniquement un jeton de rafraîchissement OAuth et l’adresse e-mail du compte connecté, dans une base hébergée dans l’Union européenne. Aucun contenu d’agenda n’est copié ni conservé sur nos serveurs.

Usage :ces données servent exclusivement à synchroniser les rendez-vous du marchand dans l’agenda qu’il a désigné. Elles ne sont jamais vendues, utilisées à des fins publicitaires ou de ciblage, transmises à des tiers, ni exploitées pour entraîner des modèles d’intelligence artificielle.

Révocation :le marchand peut se déconnecter à tout moment depuis son espace d’administration ; le jeton est alors révoqué auprès de Google et supprimé de notre base. La révocation reste également possible depuis la page des autorisations du compte Google.

L’utilisation et le transfert par Glidflow des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d’Usage Limité (Limited Use).

Ces modules sont optionnels. Lorsqu’un marchand y connecte un compte, Glidflow demande uniquement les autorisations nécessaires :

• Google Business Profile (business.manage) : lire les avis de l’établissement choisi, y publier les réponses rédigées ou validées par le marchand, et publier ses actualités sur la fiche.
• Facebook et Instagram(Meta) : lister les pages et comptes Instagram professionnels gérés par le marchand, et y publier les publications qu’il a créées ou programmées dans Glidflow.
• LinkedIn : lister les pages d’entreprise administrées par le marchand et y publier ses publications.

Ce que nous stockons :les jetons d’accès (chiffrés), le nom et l’identifiant des pages connectées, les avis de l’établissement (auteur public, note, texte, date) et les réponses du marchand, ainsi que les publications et leur résultat. Rien n’est publié sans une action du marchand ou une règle qu’il a lui-même activée.

Usage :ces données servent exclusivement à afficher les avis, à y répondre et à publier pour le compte du marchand. Elles ne sont jamais vendues, utilisées à des fins publicitaires, transmises à des tiers, ni exploitées pour entraîner des modèles d’intelligence artificielle. Les réponses et textes proposés par notre assistant de rédaction sont générés à la demande et relus par le marchand.

Révocation et suppression :le marchand peut déconnecter un compte à tout moment depuis son administration ; ses jetons sont alors effacés. La procédure complète, y compris depuis Facebook, est décrite sur la page Suppression des données.

Nous appliquons les mesures techniques et organisationnelles suivantes à l’ensemble des données personnelles, et en particulier aux données sensiblesque constituent les jetons d’accès aux agendas et les informations issues des API Google et Microsoft :

• Chiffrement en transit :toutes les communications entre votre navigateur, nos serveurs et les API tierces transitent exclusivement en HTTPS (TLS 1.2 ou supérieur). Les connexions non chiffrées sont refusées et redirigées.
• Chiffrement au repos :notre base de données et ses sauvegardes sont chiffrées au repos (AES-256) chez notre hébergeur, dans l’Union européenne.
• Cloisonnement des jetons :les jetons de rafraîchissement OAuth sont stockés dans des tables protégées par une politique de sécurité au niveau des lignes qui n’autorise aucunelecture publique. Ils ne sont jamais transmis au navigateur, jamais exposés par notre API publique, et ne sont lisibles que par les traitements serveur chargés de la synchronisation, via une clé de service qui n’est diffusée nulle part.
• Minimisation :nous ne copions ni ne conservons le contenu de vos agendas. Seuls sont enregistrés le jeton de rafraîchissement, l’adresse e-mail du compte connecté et l’identifiant de l’événement créé, afin de pouvoir le mettre à jour ou le supprimer.
• Contrôle des accès :l’accès aux systèmes de production est réservé aux personnes habilitées d’ID DESIGN, sur des comptes nominatifs protégés par une authentification à deux facteurs. Nos prestataires d’hébergement sont engagés par un accord de traitement conforme au RGPD.
• Suppression :à la déconnexion d’un agenda ou à la clôture du compte, le jeton est révoqué auprès du fournisseur puis effacé de notre base, sauvegardes comprises à l’expiration de leur cycle de rétention.

Aucun système n’étant infaillible, nous nous engageons à notifier la CNIL dans les 72 heures, ainsi que les personnes concernées lorsque le risque l’exige, en cas de violation de données (article 33 du RGPD).

• Données de compte actif : durée de l’abonnement + 30 jours
• Factures et documents comptables : 10 ans (article L123-22 du Code de commerce)
• Journaux de connexion : 12 mois (recommandation CNIL)

Pour fonctionner, Glidflow s’appuie sur des prestataires engagés à respecter le RGPD (hébergement, paiement, email, livraison, comptabilité). La liste complète et à jour est publiée sur la page Sous-traitants. Le cadre contractuel détaillé figure dans l’Accord de Traitement des Données (DPA).

Conformément au RGPD, vous disposez sur vos données des droits suivants :

• Accès, rectification et effacement
• Limitation et opposition au traitement
• Portabilité de vos données

Pour les exercer, écrivez à contact@glidflow.com. Nous répondons sous un mois (article 12 RGPD). Une preuve d’identité peut être demandée en cas de doute.

Vous pouvez aussi saisir la CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.