THE QUANTIC FACTORY - POLITIQUE DE CONFIDENTIALITÉ

La présente politique remplace la version de décembre 2021. Elle est la traduction française de la version anglaise « The Quantic Factory - Privacy Policy v4.0 » ; en cas de divergence, la version française fait foi entre TQF et ses clients établis en France.

1. Qui nous sommes

The Quantic Factory (« TQF », « nous ») est une société par actions simplifiée de droit français, immatriculée au Registre du commerce et des sociétés de Paris sous le numéro 900 795 766.

TQF édite des solutions logicielles en mode SaaS destinées aux marchands e-commerce : QTrack, QSide et Qfy. Ces solutions collectent, structurent et analysent les données first-party du marchand, et synchronisent des signaux vers les outils tiers que le marchand a choisis, notamment Klaviyo, Shopify, les plateformes publicitaires et les outils d'analytics.

Pour toute question sur la présente politique ou sur vos données, écrivez à dpo [at] quanticfy. io.

2. Champ d'application

La présente politique explique comment TQF traite les données à caractère personnel :

• dans ses produits et ses intégrations, y compris l'intégration Klaviyo, lorsque TQF agit pour le compte d'un marchand ;
• sur son site internet et dans ses propres relations d'affaires, lorsque TQF agit pour son propre compte.

Elle s'applique dans le monde entier. L'article 11 énonce les droits complémentaires des résidents de Californie, et l'article 12 ceux que confèrent les autres lois américaines de protection des données.

3. Nos deux qualités

TQF traite des données à caractère personnel en deux qualités distinctes. Les droits que vous pouvez exercer, et la partie auprès de laquelle vous les exercez, dépendent de la qualité applicable.

Lorsque nous agissons en qualité de sous-traitant, le marchand est le responsable de traitement. Il décide de ce qui est collecté, sur quelle base légale et pour quelle durée. Nous n'agissons que sur ses instructions documentées, dans le cadre d'un accord de sous-traitance conclu en application de l'article 28 du RGPD. Si vous êtes client d'un marchand et souhaitez exercer vos droits, adressez-vous d'abord à ce marchand ; si vous nous écrivez, nous transmettons votre demande au marchand sans délai injustifié et nous l'aidons à y répondre.

4. Données traitées pour le compte d'un marchand

4.1 Catégories de données

Ces données proviennent de la plateforme e-commerce du marchand, de son site et des outils qu'il a connectés.

4.2 Ce que nous ne traitons jamais dans ces intégrations

Nous ne traitons pas, dans les intégrations clients ou partenaires, de données relevant de l'article 9 du RGPD, de données de santé, d'identifiants gouvernementaux non publics, de données de comptes financiers, de données de cartes de paiement, ni de données connues comme se rapportant à des enfants en dessous de l'âge à partir duquel le droit applicable permet leur traitement. Les marchands ne doivent pas nous transmettre de telles données.

4.3 Finalités

Nous traitons ces données uniquement pour fournir les services souscrits par le marchand, tels que décrits dans son contrat et dans la documentation produit, ainsi que pour le support, la sécurité, le diagnostic des incidents et la continuité de service.

4.4 Ce que nous n'en faisons pas

Nous ne vendons pas ces données et nous ne les partageons pas à des fins de publicité comportementale intercontextuelle. Nous ne les utilisons pas pour notre propre publicité. Les données de chaque marchand sont isolées logiquement de celles des autres : nous n'enrichissons pas les données d'un marchand avec celles d'un autre, nous ne créons aucun contact et nous n'envoyons aucun message aux clients d'un marchand.

Nous utilisons des statistiques agrégées et anonymisées, ne permettant d'identifier ni un marchand ni une personne, pour mesurer et améliorer la qualité technique de nos services. Lorsque l'accord de sous-traitance conclu avec un marchand restreint davantage cet usage, cet accord prévaut.

4.5 Intégrations partenaires

Lorsqu'un marchand connecte une plateforme partenaire telle que Klaviyo, l'intégration est autorisée par le flux OAuth 2.0 Authorization Code avec PKCE, avec le jeu de portées le moins permissif nécessaire aux fonctionnalités activées. Les jetons d'accès et de rafraîchissement sont conservés dans un coffre à secrets chiffré et ne sont jamais exposés dans un navigateur, un journal ou un dépôt de code. Lorsque le marchand désinstalle ou désactive l'intégration, nous révoquons les jetons auprès de la plateforme partenaire et supprimons les données d'intégration associées conformément à l'article 7. Les données obtenues via une plateforme partenaire servent uniquement à fournir les services souscrits par le marchand et ne sont jamais utilisées à une autre fin.

5. Données traitées pour notre propre compte

Le présent article couvre notre site internet, nos relations commerciales et notre gestion administrative.

La fourniture des données nécessaires à la souscription de nos services a un caractère contractuel : sans elles, le contrat ne peut être conclu.

6. Destinataires

6.1 Catégories de destinataires

Chaque prestataire est tenu par des engagements écrits de confidentialité, de sécurité, de coopération en cas d'incident et de restitution ou suppression des données, au moins équivalents à ceux que nous devons à nos clients. La liste à jour de nos sous-traitants ultérieurs, avec leur identité, leur rôle et leur lieu de traitement, est communiquée aux clients dans le cadre de l'accord de sous-traitance, et à toute personne justifiant d'un intérêt légitime sur demande à dpo [at] quanticfy. io.

6.2 Transmissions sur instruction du marchand

Lorsque nous agissons en qualité de sous-traitant, nous transmettons des signaux vers les outils tiers que le marchand a connectés, tels que Klaviyo, les plateformes publicitaires et les outils d'analytics. Ces outils sont les prestataires du marchand ; les contrats qu'il a conclus avec eux régissent leur usage des données. Ces transmissions sont chiffrées en transit.

6.3 Autres transmissions

Nous communiquons des données lorsque la loi, une décision de justice ou une autorité compétente nous y oblige, ainsi qu'à une entité repreneuse dans le cadre d'une fusion, d'une acquisition ou d'une réorganisation, sous réserve d'une protection équivalente.

Nous ne vendons aucune donnée à caractère personnel et nous n'en communiquons à aucun courtier en données.

7. Durées de conservation

Les durées de conservation sont documentées par catégorie de données et revues avec la présente politique.

8. Transferts hors de l'Union européenne

Les données que nous traitons pour le compte d'un marchand sont stockées et traitées exclusivement dans l'Union européenne. Nous n'effectuons aucun transfert de ces données hors de l'Espace économique européen.

Deux traitements réalisés pour notre propre compte peuvent donner lieu à un transfert vers les États-Unis : la messagerie et la suite bureautique que nous utilisons, et la mesure d'audience de notre site, décrite à l'article 10, qui ne fonctionne qu'après votre consentement. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, lorsque le prestataire y est certifié, par le cadre de protection des données UE-États-Unis. Une copie des garanties de transfert est disponible sur demande à dpo [at] quanticfy. io.

9. Sécurité

TQF maintient un programme écrit de sécurité de l'information couvrant des mesures administratives, techniques et physiques. Il impose notamment : le chiffrement en transit en TLS 1.2 ou supérieur et le chiffrement au repos ; l'authentification multifacteur sur tout système traitant des données clients ; des accès en moindre privilège fondés sur les rôles, revus régulièrement ; des secrets conservés dans un coffre chiffré dédié avec rotation périodique ; des contrôles obligatoires sur les postes gérés par l'entreprise, dont le chiffrement intégral du disque, le verrouillage automatique, les mises à jour de sécurité, la protection de poste et un pare-feu local ; une journalisation centralisée et des alertes en temps réel ; un processus documenté de réponse aux incidents ; et une revue des fournisseurs fondée sur le risque avant tout partage de données confidentielles, renouvelée au moins tous les 12 mois pour les fournisseurs critiques.

Une copie de notre politique de sécurité de l'information est disponible sur demande à dpo [at] quanticfy. io.

10. Cookies et traceurs

Sur notre propre site, nous utilisons des cookies strictement nécessaires à la fourniture et à la sécurité du site, ainsi que des cookies de mesure d'audience fournis par Google Analytics 4. Les cookies non essentiels, dont ceux de Google Analytics 4, ne sont déposés qu'après votre consentement recueilli par notre bandeau, et vous pouvez le retirer à tout moment par le même bandeau ou par les paramètres de votre navigateur. La durée de vie des traceurs est limitée à 13 mois et les informations collectées par leur intermédiaire ne sont pas conservées au-delà de 25 mois.

Dans nos produits, nous déposons un cookie first-party sur le domaine du marchand. Ce cookie ne permet aucun suivi sur d'autres sites ou applications. Le marchand reste responsable de l'information des personnes, du recueil du consentement lorsque le droit applicable l'exige, et de la mise à disposition d'un mécanisme d'opposition dans sa propre politique de confidentialité.

11. Droits des résidents de Californie

Le présent article s'applique aux résidents de Californie et est fourni au titre du California Consumer Privacy Act tel que modifié par le California Privacy Rights Act (« CCPA »). Les termes y ont le sens que leur donne le CCPA.

11.1 Notre qualité au titre du CCPA

Pour les données traitées dans nos produits et intégrations pour le compte d'un marchand, TQF est un service provider au sens de la section 1798.140(ag). Nous ne traitons ces données que pour exécuter les services stipulés dans notre contrat écrit avec le marchand. Nous ne les vendons pas, nous ne les partageons pas à des fins de publicité comportementale intercontextuelle, nous ne les conservons, n'en faisons usage ni ne les divulguons à une autre fin que l'exécution de ces services, ni en dehors de la relation d'affaires directe avec le marchand, et nous ne les combinons pas avec des données reçues d'une autre source, sauf dans les cas où le CCPA le permet expressément à un service provider. Si vous êtes un résident de Californie dont nous traitons les données pour un marchand, exercez vos droits auprès de ce marchand ; nous l'assisterons dans sa réponse.

Pour les données que nous collectons pour notre propre compte, décrites à l'article 5, TQF est un business au sens de la section 1798.140(d). La suite du présent article porte sur ces données.

11.2 Catégories de données collectées au cours des 12 derniers mois

11.3 Sources

Nous collectons ces données directement auprès de vous lorsque vous nous contactez, souscrivez à nos services ou candidatez ; auprès de votre employeur ou de la société que vous représentez ; automatiquement depuis votre terminal lorsque vous visitez notre site ; et auprès de sources professionnelles publiques et de fournisseurs d'informations d'entreprise dans le cadre de la prospection entre professionnels.

11.4 Finalités commerciales

Nous utilisons ces données pour conclure et exécuter nos contrats, facturer et encaisser, fournir le support, sécuriser et maintenir nos systèmes, prospecter entre professionnels, conduire des enquêtes de satisfaction et des études clients, respecter nos obligations légales et comptables, et établir ou défendre un droit en justice. Ce sont des « business purposes » au sens de la section 1798.140(e).

11.5 Communications pour une finalité commerciale

Au cours des 12 derniers mois, nous avons communiqué les catégories A, B, D, F, I et K aux catégories de destinataires listées à l'article 6.1, pour les finalités ci-dessus, ainsi qu'à nos conseils externes et aux autorités compétentes lorsque la loi l'exige.

11.6 Absence de vente et de partage

Au cours des 12 derniers mois, TQF n'a vendu aucune donnée à caractère personnel et n'en a partagé aucune à des fins de publicité comportementale intercontextuelle, au sens des sections 1798.140(ad) et 1798.140(ah). Ni la vente de données à caractère personnel ni leur partage à des fins de publicité comportementale intercontextuelle ne font partie de notre modèle économique, et nous n'avons pas l'intention d'y recourir. Nous n'avons aucune connaissance effective d'une vente ou d'un partage de données de consommateurs de moins de 16 ans ; nous ne collectons pas sciemment de données de mineurs.

11.7 Conservation

Nous conservons chaque catégorie de données pendant les durées indiquées à l'article 7. Nous ne conservons aucune donnée plus longtemps que ce qui est raisonnablement nécessaire à la finalité poursuivie.

11.8 Vos droits californiens

Sous réserve des conditions et exceptions du CCPA, vous avez le droit :

• de connaître les catégories et les éléments précis de données que nous avons collectés sur vous, les catégories de sources, les finalités commerciales et les catégories de tiers destinataires ;
• de faire supprimer les données que nous avons collectées auprès de vous ;
• de faire rectifier les données inexactes que nous détenons sur vous ;
• de vous opposer à la vente ou au partage de vos données. Nous ne vendons ni ne partageons de données, de sorte qu'il n'y a rien à refuser ; nous traiterions un signal Global Privacy Control reçu sur notre site comme une opposition si cela devait changer ;
• de limiter l'usage et la divulgation des données sensibles. Nous ne collectons pas de données sensibles, de sorte que ce droit est sans objet ;
• de ne subir aucune discrimination pour avoir exercé l'un de ces droits. Nous ne refuserons pas un service, n'appliquerons pas un prix différent et ne fournirons pas un niveau de qualité différent au motif que vous avez exercé un droit.

11.9 Comment les exercer

Adressez votre demande par e-mail à dpo [at] quanticfy. io avec l'objet « California privacy request ». Nous accusons réception sous 10 jours ouvrés et répondons sous 45 jours calendaires, délai prorogeable une fois de 45 jours calendaires lorsque cela est raisonnablement nécessaire, auquel cas nous vous en informons dans les 45 premiers jours.

Nous vérifions les demandes en rapprochant les éléments que vous fournissez de ceux que nous détenons déjà, et nous pouvons demander des éléments complémentaires lorsque la demande porte sur des données précises. Ces éléments de vérification ne sont utilisés à aucune autre fin.

Un mandataire peut présenter une demande pour votre compte en produisant une autorisation écrite signée de votre main, accompagnée le cas échéant de la preuve de son enregistrement ; nous pouvons néanmoins vous demander de vérifier votre identité directement.

En cas de refus, nous vous en indiquons le motif. Vous pouvez former un recours en répondant à notre décision avec l'objet « California privacy appeal » ; nous répondons au recours sous 45 jours calendaires.

12. Droits issus des autres lois américaines

Les résidents des autres États américains dotés d'une loi générale de protection des données, notamment la Virginie, le Colorado, le Connecticut, l'Utah, le Texas, l'Oregon et le Montana, disposent de droits d'accès, de rectification, de suppression, de portabilité et d'opposition à la publicité ciblée, à la vente et à certains profilages. TQF ne vend aucune donnée, n'en fait aucun usage de publicité ciblée et ne réalise aucun profilage produisant des effets juridiques ou significatifs équivalents. Les demandes sont traitées par le canal de l'article 11.9 et dans le délai fixé par la loi applicable. Lorsque cette loi prévoit un recours, la procédure de recours de l'article 11.9 s'applique.

13. Vos droits au titre du RGPD

Lorsque nous agissons en qualité de responsable de traitement, vous disposez du droit de demander l'accès à vos données, leur rectification, leur effacement, la limitation de leur traitement et leur portabilité, ainsi que du droit de vous opposer à un traitement fondé sur notre intérêt légitime, y compris au profilage. Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans que cela remette en cause la licéité du traitement réalisé avant ce retrait. Vous pouvez également donner des directives sur le sort de vos données après votre décès.

Pour exercer ces droits, écrivez à dpo [at] quanticfy. io. Nous répondons dans le mois de la réception, délai prorogeable de deux mois si la demande est complexe, auquel cas nous vous en informons dans le premier mois. Nous pouvons demander un justificatif d'identité en cas de doute raisonnable.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, www.cnil.fr, ou auprès de l'autorité de contrôle de votre résidence habituelle.

Lorsque nous agissons en qualité de sous-traitant pour un marchand, adressez votre demande à ce marchand.

14. Mineurs

Nos services sont vendus à des professionnels et ne sont pas destinés à des enfants. Nous ne collectons pas sciemment de données d'enfants. Les marchands ne doivent pas nous transmettre de données qu'ils savent se rapporter à des enfants en dessous de l'âge à partir duquel le droit applicable permet leur traitement. Si vous pensez que des données d'un enfant nous sont parvenues, écrivez à dpo [at] quanticfy. io et nous les supprimerons.

15. Modifications

Nous pouvons mettre à jour la présente politique. La version en vigueur est publiée à la présente adresse, en anglais et en français, avec son numéro de version et sa date d'entrée en vigueur dans le tableau de contrôle. Lorsqu'une modification affecte substantiellement nos traitements, nous en informons les clients concernés par les canaux contractuels habituels avant son entrée en vigueur. Nous révisons cette politique au moins tous les 12 mois.

16. Contact