Politique de confidentialité

1. Introduction

NidApp SAS (« NidApp », « nous » ou « notre ») opère la plateforme NidApp sur console.nidapp.io et nidapp.io. Cette Politique de confidentialité explique comment nous collectons, utilisons, divulguons et protégeons vos informations lorsque vous utilisez notre plateforme en tant que service (PaaS).

Pour les comptes de la console NidApp, c’est-à-dire l’adresse e-mail, le nom et l’identifiant Google des utilisateurs, les adresses IP consignées dans les journaux d’audit et les données de facturation, NidApp agit en qualité de responsable de traitement. Ce sont ces traitements que décrit la présente politique.

Pour les données que vous ou vos utilisateurs déposez dans vos services déployés, vous êtes responsable de traitement et NidApp agit en qualité de sous-traitant pour votre compte. Ces traitements sont régis par l’accord de traitement des données au sens de l’article 28 du RGPD, annexé au contrat de service signé, et non par la présente politique. NidApp ne traite ces données que sur votre instruction documentée, jamais pour son propre compte, ni à des fins de statistique commerciale ou d’entraînement de modèles.

2. Responsable du traitement

3. Informations collectées

3.1 Informations d’authentification

Lorsque vous vous inscrivez via Google OAuth, nous collectons :

• Adresse email
• Nom complet
• Photo de profil

Nous n’utilisons pas d’outils d’analyse, de pixels de suivi, de cookies à des fins de tracking, ni de services de collecte de données tiers.

3.2 Données de service

Lorsque vous utilisez notre plateforme, nous stockons :

• Organisations, projets et services que vous créez
• Données de configuration de vos applications déployées
• Logs et métriques de service nécessaires au fonctionnement de la plateforme
• Adresses IP consignées dans les journaux d’audit de la console
• Données de facturation de votre organisation

3.3 Ce que nous ne collectons PAS

Nous ne collectons explicitement PAS :

• Empreintes de navigateur
• Données comportementales
• Données marketing ou publicitaires
• Cookies tiers

4. Utilisation de vos informations

Nous utilisons vos informations uniquement pour :

• Authentification de compte et vérification d’identité
• Fourniture et exploitation de la plateforme NidApp
• Gestion de vos organisations, projets et services
• Communication concernant votre compte et vos services
• Facturation et traitement des paiements
• Support technique

5. Stockage et sécurité des données

5.1 Localisation

Les données client sont hébergées exclusivement dans l’Union européenne, sur Google Cloud à Paris (région europe-west9). Les sauvegardes sont stockées dans la même région. Aucun contenu client, fichier ou base de données, ne sort de l’Union européenne. La liste des sous-traitants et leur localisation figure à la section Sous-traitants ci-dessous.

5.2 Chiffrement

Nous mettons en œuvre des mesures de sécurité conformes aux standards de l’industrie :

• Données en transit : tous les accès à la plateforme et à vos services utilisent le chiffrement TLS
• Données au repos : chiffrement AES-256, assuré par le fournisseur cloud
• Les identifiants de connexion de vos services managés sont chiffrés par NidApp au niveau applicatif (AES-256-GCM) avant stockage

5.3 Contrôle d’accès

Nous mettons en œuvre un contrôle d’accès basé sur les rôles (RBAC) avec les rôles propriétaire, administrateur et lecteur pour garantir que seuls les utilisateurs autorisés accèdent à vos données.

5.4 Violation de données

Lorsque NidApp agit en qualité de sous-traitant, elle notifie au client concerné toute violation de données à caractère personnel sans délai injustifié, et au plus tard dans les 24 heures suivant la prise de connaissance. Lorsque NidApp agit en qualité de responsable de traitement, elle notifie la CNIL au plus tard 72 heures après en avoir pris connaissance et, en cas de risque élevé pour les personnes, informe celles-ci dans les meilleurs délais. Toute violation est inscrite dans un registre interne, qu’elle soit notifiable ou non.

6. Sous-traitants

Nous ne vendons pas vos données personnelles et ne les partageons pas avec des tiers pour leur propre compte. Les sous-traitants suivants sont susceptibles de traiter des données dans le cadre du service. Cette liste est une copie de celle de l’accord de traitement des données au sens de l’article 28, qui en est la source unique ; elle est mise à jour à chaque ajout ou remplacement, avec information écrite préalable des clients.

• Google Cloud EMEA Limited : hébergement des services et des sauvegardes. Irlande, infrastructure à Paris (europe-west9). Toutes les données hébergées pour votre compte.
• OVH : DNS et messagerie sortante. France. Adresses e-mail des demandes de contact.
• GitHub : dépôts de code et manifests de déploiement GitOps. États-Unis, Data Privacy Framework. Configurations de déploiement, aucun contenu client.
• Pennylane : facturation et comptabilité. France. Données d’identification et de facturation de votre société.
• Telegram : alertes techniques internes à l’exploitation. Hors Union européenne. Noms d’organisations et de services, aucun contenu client.
• Google Workspace Sheets (Google Ireland Limited) : registre des demandes de démo reçues par ce site. Irlande. Nom, adresse e-mail, société et message de la demande.
• Fournisseur du modèle des agents d’exploitation : triage d’alerte, rapport mensuel, revue de montée de version. Aucun fournisseur de ce type n’est utilisé à ce jour ; il sera listé ici, avec sa localisation, le jour de son adoption.

L’authentification passe par Google OAuth, que vous autorisez explicitement lors de l’inscription. Nous n’utilisons pas d’outils d’analyse tiers, de réseaux publicitaires ni de plateformes marketing. Nous ne communiquons de données personnelles à une autorité que lorsque la loi l’exige.

7. Vos droits en vertu du RGPD

En tant que personne concernée au sens du Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants :

Pour exercer l’un de ces droits, contactez-nous à contact@nidapp.io. Nous répondrons sous 30 jours.

Si votre demande porte sur des données hébergées par NidApp pour le compte d’un de ses clients, NidApp n’est que sous-traitant : elle ne répond pas elle-même et transmet la demande sous 5 jours ouvrés au client concerné, qui en est le responsable de traitement.

8. Durées de conservation

La durée de conservation de chaque donnée est reprise de notre registre des traitements :

• Données client hébergées dans vos services déployés : la durée du contrat, puis suppression 30 jours après son terme, sauvegardes comprises
• Compte de la console NidApp : suppression 3 ans après la dernière connexion
• Journaux techniques de la plateforme : 30 jours
• Journaux et métriques de vos services déployés : 10 jours
• Journaux d’audit du fournisseur cloud : 400 jours
• Demandes de démo : 12 mois après notre dernier contact
• Pièces comptables et factures : 10 ans, au titre des obligations comptables

Vous pouvez demander la suppression de votre compte à tout moment en écrivant à contact@nidapp.io. Une attestation de suppression datée est délivrée sur demande écrite.

9. Base légale du traitement

En vertu du RGPD, nous traitons vos données sur la base de :

• Nécessité contractuelle : pour fournir les services demandés
• Intérêts légitimes : pour exploiter, maintenir et améliorer notre plateforme
• Consentement : lorsque vous acceptez explicitement (ex. : authentification Google OAuth)
• Obligations légales : lorsque la loi l’exige

10. Transferts internationaux de données

Les données client ne sortent pas de l’Union européenne. Elles sont hébergées à Paris (europe-west9) et les sauvegardes restent dans la même région. Deux sous-traitants techniques sont établis hors de l’Union européenne : GitHub, aux États-Unis, sur la base du Data Privacy Framework entre l’Union européenne et les États-Unis, qui reçoit des configurations de déploiement et aucun contenu client ; et Telegram, hors Union européenne, qui reçoit des noms d’organisations et de services. Les données qui leur sont transmises sont limitées et listées à la section Sous-traitants.

11. Confidentialité des mineurs

NidApp n’est pas destiné aux utilisateurs de moins de 16 ans. Nous ne collectons pas sciemment d’informations personnelles concernant des enfants. Si vous pensez que nous avons collecté par inadvertance des informations d’un enfant, veuillez nous contacter immédiatement.

12. Modifications de cette Politique de confidentialité

Nous pouvons mettre à jour cette Politique de confidentialité de temps à autre. Nous vous notifierons de tout changement important par :

• Mise à jour de la date de « Dernière mise à jour » en haut de cette politique
• Envoi d’un email de notification à votre adresse enregistrée
• Affichage d’un avis sur la plateforme

La poursuite de l’utilisation de la plateforme après les modifications vaut acceptation de la politique mise à jour.

13. Nous contacter

Si vous avez des questions, préoccupations ou demandes concernant cette Politique de confidentialité ou nos pratiques en matière de données, contactez-nous :

Nous répondrons à toutes les demandes sous 30 jours conformément aux exigences du RGPD.

14. Formulaire de demande de démo

Le formulaire de demande de démo de ce site est distinct des données de compte décrites plus haut. Quand vous l’envoyez, nous collectons :

• Votre nom
• Votre adresse email
• Votre société
• Le message que vous écrivez, le cas échéant
• La langue du formulaire (en ou fr)
• La page d’où vous venez (referer)

Finalité : répondre à votre demande. Base légale : les mesures prises à votre demande avant la conclusion d’un contrat. Aucune adresse IP n’est conservée avec la demande.

Sous-traitant : en plus de la notification envoyée par email à notre équipe, la demande est consignée dans une feuille Google Workspace Sheets (Google Ireland Limited, accord de traitement des données en place). Aucun autre tiers ne la reçoit.

Conservation : 12 mois après notre dernier contact, puis suppression.

Suppression sur demande : écrivez à contact@nidapp.io et nous retirons votre demande du registre.