Cette politique explique les traitements réalisés par Vardis. Le service est destiné aux professionnels et n'utilise pas les données à des fins publicitaires ni ne les vend.
1. Qui traite les données ?
Strack Consulting, entreprise individuelle de Ruben Strack et éditeur de Vardis, est responsable des traitements nécessaires à la gestion des prospects, des comptes, de la sécurité, du support et du fonctionnement commercial du service. Il peut être contacté à contact@vardis.fr. Il s'agit du point de contact vie privée ; aucun délégué à la protection des données n'est déclaré par cette mention.
Pour les données professionnelles que l'organisation cliente importe ou crée dans Vardis, cette organisation détermine les finalités et agit comme responsable de traitement ; Vardis agit alors comme sous-traitant selon l'annexe RGPD.
2. Données, finalités et bases légales
- Demandes de démonstration et inscription : société, nom, prénom, email professionnel, téléphone et message facultatifs, page d'entrée, domaine référent et paramètres de campagne UTM, preuve versionnée d'acceptation des CGU et empreinte HMAC de l'adresse IP ; mesures précontractuelles, gestion de la relation commerciale et preuve du contrat.
- Prospection professionnelle : entreprise, nom, fonction et adresse professionnelle, source publique, historique limité des messages, réponses et oppositions ; intérêt légitime à présenter Vardis à des professionnels dont les fonctions sont en rapport avec le pilotage de réseaux multisites. Les coordonnées proviennent de sites d'entreprises et d'annuaires professionnels accessibles au public. La fonction peut être classée automatiquement afin d'adapter ou de réorienter le message, sans décision produisant d'effet juridique ou significatif.
- Comptes et accès : identité professionnelle, rôle, organisation, connexions, appareils mémorisés et, si activé, identifiant de tenant Microsoft ; exécution du service et sécurité.
- Données métier : sites, contacts, fournisseurs, documents, contrats, incidents et coordonnées géographiques saisis par le client ; exécution des instructions du client.
- Exploitation et sécurité : adresse IP, horodatage, action, identifiants techniques, journaux applicatifs et erreurs expurgées des secrets ; intérêt légitime à sécuriser et améliorer le service.
- Support et avis : message, page concernée et contexte technique limité transmis volontairement ; intérêt légitime à répondre et corriger le produit.
- Paiement : aucun paiement ni moyen de paiement n'est collecté pendant la phase de lancement.
3. Destinataires et services techniques
Les accès sont limités aux personnes autorisées et aux prestataires nécessaires :
- OVHcloud : hébergement du VPS, sauvegardes chiffrées sur Object Storage et acheminement SMTP des emails transactionnels.
- Sentry : détection d'erreurs dans sa région européenne ; l'envoi de données personnelles par défaut et l'enregistrement de session sont désactivés.
- Microsoft : authentification Entra ID uniquement lorsqu'une organisation active le SSO.
- OpenStreetMap : affichage des fonds cartographiques ; l'adresse IP du navigateur est transmise au serveur de tuiles lors de l'affichage d'une carte.
- API Adresse de l'État : recherche et géocodage des adresses saisies dans les champs concernés.
La liste contractuelle des sous-traitants est tenue à jour dans l'annexe RGPD.
4. Transferts hors de l'Espace économique européen
L'hébergement principal et la région Sentry choisis sont européens. Certains fournisseurs internationaux peuvent néanmoins impliquer un accès ou un sous-traitant situé hors de l'EEE. Ces transferts doivent être encadrés par une décision d'adéquation ou les clauses contractuelles types et les mesures complémentaires prévues par le fournisseur.
5. Durées de conservation
- demande d'inscription non confirmée : 24 heures ;
- demande de démonstration et contexte d'acquisition associé : 3 ans à compter de la collecte ou du dernier contact venant du prospect ;
- prospection professionnelle : 3 ans à compter de la collecte ou du dernier contact, avec conservation d'une empreinte de l'adresse en cas d'opposition afin d'éviter toute nouvelle sollicitation ;
- jeton « se souvenir de cet appareil » : 30 jours, sauf révocation ou déconnexion ;
- journal d'audit de sécurité : 12 mois ;
- erreurs et événements Sentry : 30 jours avec le forfait gratuit actuellement utilisé ; cette durée sera mise à jour en cas de changement de forfait ;
- avis produit résolus : 24 mois après leur résolution ; les avis encore ouverts sont conservés le temps de leur traitement ;
- demandes de support reçues par email : 24 mois après le dernier échange, sauf nécessité contractuelle ou contentieuse ;
- journaux techniques des conteneurs : rotation glissante plafonnée à 5 fichiers de 10 Mio par conteneur, uniquement pour le diagnostic d'exploitation ;
- données du compte et données métier : pendant la relation contractuelle, puis le temps nécessaire à l'export, à la suppression et au respect des obligations légales ;
- sauvegardes locales chiffrées : 30 jours par défaut ; sauvegardes externalisées chiffrées : politique de rotation pouvant conserver des instantanés mensuels jusqu'à 12 mois ;
- brouillons d'incident hors connexion : sur l'appareil de l'utilisateur jusqu'à leur envoi et au maximum 7 jours.
6. Cookies et stockage local
Vardis utilise uniquement les cookies et stockages nécessaires à la session, à la protection CSRF, aux préférences d'interface et, sur demande, à la reconnexion pendant 30 jours. Le stockage local peut aussi conserver temporairement un brouillon d'incident lorsque le réseau est indisponible. Aucun outil publicitaire, cookie de mesure d'audience ou enregistrement de session Sentry n'est activé. L'attribution d'une demande de démonstration ou d'inscription est transmise avec le formulaire, sans identifiant visiteur ni stockage persistant dans le navigateur. Si cela change, le recueil du consentement sera réévalué avant activation.
7. Vos droits
Vous pouvez demander l'accès, la rectification, l'effacement, la limitation, l'opposition ou la portabilité des données qui vous concernent en écrivant à contact@vardis.fr. Lorsque les données sont gérées pour le compte de votre employeur ou client, Vardis transmet la demande à l'organisation responsable. Une réponse est apportée en principe sous un mois, sous réserve d'une vérification raisonnable de l'identité.
Vous pouvez également saisir la CNIL sur cnil.fr.
8. Sécurité et violations
Les données sont cloisonnées par organisation, les accès sont contrôlés par rôles, les échanges sont chiffrés, les actions sensibles sont auditées et les sauvegardes externalisées sont chiffrées avant envoi. Une procédure interne organise l'analyse, la documentation et, lorsque nécessaire, la notification d'une violation à la CNIL et aux personnes concernées.