Politique de Confidentialité

1. Introduction

Bienvenue chez Caramel (« nous », « notre » ou « nos »). Nous nous engageons à protéger vos données personnelles et à respecter vos droits en matière de confidentialité en vertu du Règlement Général sur la Protection des Données (RGPD) et des autres lois applicables en matière de protection des données dans le monde. La présente Politique de Confidentialité explique comment nous collectons, utilisons, divulguons et protégeons vos informations lorsque vous utilisez notre plateforme et nos services.

Caramel est une plateforme interentreprises (business-to-business). Les entreprises l'utilisent pour créer et publier des formulaires, collecter et gérer leurs propres fichiers clients, et mener des campagnes marketing par email, SMS, applications de messagerie et notifications push, ainsi que pour accéder aux intégrations et aux services de conseil premium qui accompagnent ce travail.

Notre engagement en matière de résidence des données dans l'UE : Nous accordons la priorité à la souveraineté des données en traitant et en stockant vos données principalement au sein de l'Union européenne, auprès de prestataires d'infrastructure basés dans l'UE.

La présente politique s'applique à :

• Notre site web et nos applications web
• Nos applications mobiles (iOS et Android)
• Nos services API
• Tous les services connexes que nous fournissons

2. Informations sur le Responsable du Traitement

Aux fins du RGPD, nous agissons en tant que :

• Responsable du traitement pour les utilisateurs de la plateforme et les comptes professionnels
• Sous-traitant pour les données des clients finaux que nos clients professionnels téléversent, collectent ou auxquels ils envoient des messages via la plateforme

3. Informations que Nous Collectons

3.1 Informations que vous nous fournissez directement

Informations de compte :

• Nom complet et fonction
• Adresse email (vérifiée)
• Numéro de téléphone (pour l'authentification à deux facteurs et les notifications)
• Nom de l'entreprise et informations d'immatriculation (pour les comptes professionnels)
• Numéros de TVA / d'identification fiscale
• Mot de passe (haché avec bcrypt, jamais stocké en clair)

Informations de paiement :

• Détails de carte bancaire (tokenisés via les serveurs Stripe dans l'UE)
• IBAN / coordonnées bancaires (pour les paiements SEPA)
• Adresse de facturation
• Historique des transactions
• Préférences de facturation

Données des clients finaux (traitées pour le compte des entreprises) :

Lorsqu'une entreprise utilise Caramel pour toucher ses propres clients, nous traitons les données que cette entreprise fournit ou collecte. Nous agissons en tant que sous-traitant pour l'ensemble de ces données :

• Coordonnées (nom, adresse email, numéro de téléphone)
• Réponses soumises via les formulaires publiés par l'entreprise
• Statut du consentement marketing et préférences de communication
• Registres de remise, d'ouverture, de clic et de désinscription des messages
• Appartenance à des segments et historique des campagnes
• Langue et paramètres régionaux, lorsqu'ils sont fournis

3.2 Informations collectées automatiquement

Données techniques :

• Adresse IP (anonymisée après 7 jours)
• Type d'appareil et identifiants (hachés)
• Type et version du navigateur
• Système d'exploitation
• Fuseau horaire et paramètres régionaux
• Préférences linguistiques

Données d'utilisation :

• Pages visitées et fonctionnalités utilisées
• Schémas de clics et parcours de navigation
• Recherches effectuées sur la plateforme
• Indicateurs de performance
• Journaux d'erreurs (données personnelles supprimées)
• Durée de session

Données de cookies : Cookies essentiels au fonctionnement, et cookies d'analyse/marketing lorsque vous avez donné votre consentement — voir notre Politique de Cookies.

3.3 Informations provenant de tiers

• Vérification des paiements par Stripe (serveurs UE)
• Événements de remise et d'engagement des messages transmis par nos prestataires d'envoi
• Données analytiques de PostHog (cloud UE)

3.4 Catégories particulières de données

Nous ne collectons PAS de catégories particulières de données personnelles (santé, biométrie, origine raciale/ethnique, opinions politiques, convictions religieuses, etc.), sauf si :

• Cela est requis pour respecter une obligation légale
• Ces données sont fournies explicitement avec un consentement distinct
• Cela est nécessaire au respect du droit du travail (comptes professionnels)

4. Base Légale du Traitement (Article 6 du RGPD)

Nous traitons vos données personnelles sur les bases légales suivantes :

5. Comment Nous Utilisons Vos Informations

5.1 Finalités principales

5.2 Décision automatisée et profilage

Nous recourons à une prise de décision automatisée limitée pour :

• Détection de la fraude : évaluation du risque des transactions
• Segmentation marketing : catégorisation des clients
• Personnalisation du service : recommandations de fonctionnalités

Vos droits :

• Demander un examen humain des décisions automatisées
• Vous opposer au profilage à des fins marketing
• Refuser la prise de décision automatisée
• Demander une explication de la logique utilisée

6. Partage et Divulgation des Données

6.1 Prestataires basés dans l'UE (sous-traitants)

Tous nos sous-traitants principaux maintiennent une résidence des données dans l'UE :

6.2 Services de communication

6.3 Catégories de destinataires

• Partenaires commerciaux : uniquement leurs propres données clients
• Conseils professionnels : avocats, experts-comptables (sous accord de confidentialité)
• Autorités de régulation : lorsque la loi l'exige
• Autorités judiciaires : uniquement sur une base légale valable
• Acquéreurs potentiels : dans le cadre d'opérations de fusion-acquisition (sous accord de confidentialité)

6.4 Nous ne partageons jamais vos données avec

• Des courtiers en données ou des annonceurs
• Des tiers à des fins de marketing pour leur propre compte
• Toute personne sans base légale
• Des pays hors UE sans garanties appropriées

7. Transferts Internationaux de Données

7.1 Priorité à la résidence des données dans l'UE

Traitement principal : Toutes les données sont traitées et stockées au sein de l'UE :

• Base de données : Allemagne (Hetzner)
• Application : régions UE
• Analytique : serveurs UE
• Sauvegardes : sites UE

7.2 Transferts limités vers des pays tiers

Lorsque des transferts hors de l'UE sont nécessaires :

7.3 Garanties relatives aux transferts

• Clauses Contractuelles Types (CCT) : Module 2 (responsable de traitement vers sous-traitant)
• Mesures supplémentaires : chiffrement de bout en bout, pseudonymisation, minimisation des données, restrictions d'accès
• Analyses d'impact des transferts (TIA) : réalisées pour chaque transfert
• Vos droits : demander une copie de la documentation relative aux garanties

8. Sécurité des Données

8.1 Mesures techniques (alignées sur ISO 27001)

8.2 Mesures organisationnelles

8.3 Réponse aux violations de données

Calendrier de détection et de réponse :

1. 0 à 1 heure : détection et confinement de l'incident
2. 1 à 24 heures : évaluation de l'impact et mesures d'atténuation
3. 24 à 72 heures : notification à l'autorité de contrôle (si requise)
4. Au-delà de 72 heures : notification aux personnes concernées (en cas de risque élevé)

Registre des violations : tenu conformément à l'article 33(5) du RGPD.

9. Conservation des Données

9.1 Calendrier de conservation

9.2 Principes de conservation

• Minimisation des données : nous ne conservons que ce qui est nécessaire
• Limitation des finalités : suppression une fois la finalité atteinte
• Exigences légales : respect des durées de conservation obligatoires
• Suppression automatisée : calendriers de purge systématiques
• Rotation des sauvegardes : conservation des sauvegardes pendant 90 jours

10. Vos Droits en Matière de Confidentialité (Chapitre III du RGPD)

10.1 Résumé de vos droits

10.2 Comment exercer vos droits

10.3 Vérification d'identité

Pour votre sécurité, nous exigeons :

• Vérification de l'adresse email du compte
• Authentification à deux facteurs
• Une pièce d'identité officielle (pour les demandes sensibles, données masquées)
• Questions de sécurité

10.4 Réclamations

Procédure interne : contactez d'abord notre DPO, puis escalade vers la direction, résolution sous 30 jours.

11. Droits de Confidentialité à l'International

12. Confidentialité des Mineurs

Restrictions d'âge :

• Âge minimum : 18 ans (règle générale)
• UE/EEE : 16 ans avec le consentement parental
• Autres régions : âge de la majorité

Si nous découvrons des utilisateurs mineurs :

1. Suspension immédiate du compte
2. Tentative de notification aux parents
3. Suppression des données sous 48 heures

13. Communications Marketing

13.1 Consentement et refus

13.2 Méthodes de désinscription

• Désinscription en un clic dans les emails
• SMS : répondre STOP
• Portail de confidentialité : contrôles détaillés
• Email : privacy@joincaramel.com

14. Liens et Services Tiers

Notre plateforme peut contenir des liens vers des sites web tiers. Nous ne sommes pas responsables de leurs pratiques en matière de confidentialité. Veuillez consulter leurs politiques avant de fournir des données personnelles.

Politiques de confidentialité des services intégrés :

• Confidentialité Stripe
• Confidentialité PostHog
• Confidentialité AWS

15. Traitement des Données pour le Compte des Entreprises

Lorsque nous traitons des données pour le compte d'entreprises :

Voir notre Générateur de DPA pour plus de détails.

16. Modifications de Cette Politique

Notification des modifications :

• Email : préavis de 30 jours pour les modifications substantielles
• Plateforme : notification par bannière
• Versions antérieures disponibles sur demande à privacy@joincaramel.com

Calendrier de révision : révision trimestrielle, mise à jour annuelle au minimum.

17. Accessibilité

La présente Politique de Confidentialité est disponible :

• Langues : anglais, français, allemand, espagnol, italien
• Accessibilité : conforme aux normes WCAG 2.1 AA
• Formats alternatifs : disponibles sur demande

18. Juridiction et Résolution des Litiges

18.2 Contact préalable à toute action en justice

Avant d'engager toute action en justice :

1. Adressez une demande à privacy@joincaramel.com ou via le Portail de demandes de confidentialité
2. Laissez un délai de 30 jours pour la résolution
3. Envisagez une médiation auprès des autorités françaises compétentes

En utilisant nos services, vous acceptez expressément que SEULS les tribunaux de Paris soient compétents, sauf lorsque le droit de l'UE prévoit des protections impératives pour les consommateurs.

Nous Contacter