Politique générale de Protection des Données à caractère personnel de Kleyk

Chez Kleyk, nous nous engageons à respecter votre vie privée et à protéger vos données personnelles avec la plus grande attention.
Nous tenons à vous assurer que vos informations ne sont jamais partagées avec des tiers ni vendues à quelque entité que ce soit.
La sécurité de vos données est au cœur de nos priorités, et nous mettons en œuvre des mesures rigoureuses pour prévenir toute atteinte à votre vie privée.
Cette politique a pour but de vous informer clairement sur la manière dont vos données sont collectées, utilisées et protégées au sein de notre organisation.

1) RGPD

a) Les types de données personnelles

Les données personnelles sont insérées par le Client dans les Services (site Internet KLEYK et PWA KLEYK).
Les données INPUT sont :
Données :
-Noms et prénoms des utilisateurs des Services de KLEYK
- Noms des entreprises utilisatrices des Services de KLEYK
- Adresses des entreprises utilisatrices des Services de KLEYK
- Adresses et/ou coordonnées GPS des chantiers d'intervention
- Noms et prénoms des salariés des sous-traitants des entreprises utilisatrices des Services de KLEYK
- Noms des entreprises sous-traitantes des Clients utilisateurs des Services de KLEYK
- N°SIRET des entreprises Clientes des Services de KLEYK ainsi que de leurs sous-traitants
- Adresses des entreprises sous-traitante
- Matériels utilisés par les utilisateurs des Services de KLEYK
- Rôles des utilisateurs des Services de KLEYK (salariés, apprentis, etc...)
- Rôles des sous-traitants des Clients utilisateurs des Services de KLEYK
- Types de travaux réalisés
- Moyens de prévention mis en œuvre
- Moyens d'élévation-Situation des travaux
- Etat sanitaire et physiologiques des arbres sur les chantiers
- Le schéma du chantier-Photos et documents en lien avec les chantiers
- Risques biologiques, liés au réseaux, de noyade, liés à l'environnement ou autre
- Formations des intervenants des chantiers
- Diplômes des intervenants sur les chantiers

De façon optionnelle :
Les Clients peuvent rentrer le téléphone et le mail de leurs sous-traitants dans les Services de KLEYK
Nom, rôle et téléphone des Clients des utilisateurs des Services de KLEYK
Les utilisateurs peuvent indiquer sur le site internet leur adresse postale personnelle, leur numéro de téléphone et leur date de naissance ainsi que leurs photos de profil.

En OUTPUT, les données sortiront sous la forme d’une fiche de chantier numérique sous format PDF.

Les données personnelles concernent les salariés des entreprises Clientes de KLEYK, les salariés de leurs sous-traitants, les Clients des Clients de KLEYK, les informations propres aux entreprises Clientes de KLEYK et des entreprises sous-traitantes

b) Les mesures de sécurité mises en place par KLEYK pour sécuriser les données personnelles

Les mesures de sécurité mises en place par KLEYK :
- Sauvegarde des données une (1) fois par jour.
- Chiffrement des données effectué dans les règles de l’art : chiffrement en transit HTTPS (TLS) et chiffrement au repos AES-256.
- Contrôle de l’accès des Utilisateurs via un mot de passe établi dans les règles de l'artavec blocage du compte temporaire après plusieurs tentatives échouées (15caractères minimum incluant au moins 1 chiffre, 1 caractère minuscule, 1 caractère majuscule et 1 caractère spécial) + authentification multi facteur mise à la disposition de chaque Utilisateur.
- Journal des logs traçant les adresses IP qui se connectent à l'application et au site internet. Journal établi dans les règles de l'art de la CNIL
- Audits réguliers pour vérifier la conformité de la sécurité et de la politique RGPD
- Mesures de protection des logiciels avec pare feu et antivirus sur les terminaux de KLEYK + règles de sécurité internes

c) Mentions contractuelles RPGD art. 28.3 du règlement de l'UE 2016/679

- Le sous-traitant (KLEYK) « ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement ».
- Le sous-traitant (KLEYK) veille à ce que ses collaborateurs s’engagent à respecter la confidentialité.
- Le sous-traitant (KLEYK) prend toutes les mesures de l’article 32 : obligation de sécurité technique.
- Le sous-traitant (KLEYK) ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale du responsable du traitement.
- Le sous-traitant (KLEYK) aide le responsable du traitement à s’acquitter de son obligation de donner suite à l’exercice des droits RGPD exercés par les personnes concernées.
- Le sous-traitant (KLEYK) aide le responsable du traitement à garantir le respect des articles 32 [sécurité], 33 [notification des violations de données à la CNIL], 34[notification de violation de données aux personnes concernées], 35 [réalisation des analyses d’impact] et 36 [consultation préalable de la CNIL si AIPD]
- Le sous-traitant (KLEYK) supprime toutes les données au terme de la prestation de services relatifs au traitement, et détruit les copies existantes, excepté les fiches d’intervention numériques (OUTPUT) qui doivent être conservées 2 ans comme l’exigele décret 2021-1833.
- Le sous-traitant (KLEYK) permet la réalisation d’audits, y compris des inspections, par le responsable du traitement.

d) Information des personnes (art. 13 RGPD)

Le Client doit insérer ses données personnelles en INPUT dans les Services (Site Internet et PWA) KLEYK afin d’obtenir en OUTPUT une fiche d’intervention numérique sous format PDF qui permettra au Client d’obtenir un moyen numérique simple d’utilisation pour se mettre plus facilement en conformité par rapport aux exigences du décret 2021-1833. Le contenu de cette fiche PDF et sa conformité sont totalement dépendants des données entrées par le Client, et contextualisés aux chantiers des Clients, c’est pourquoi il est indispensable que le Client entre ses données personnelles en INPUT.

Le Client donne son consentement en cochant les cases lors de son inscription sur le site internet de KLEYK. Par ce mode, le Client accepte ces présentes CGU ainsi que les CGV et la politique de confidentialité sans restriction. Pour une meilleure transparence, le Client pourra accéder à la documentation et aux vidéos sur le site internet de KLEYK et pourra juger par lui-même si l’application correspond à ses besoins ou non.

Coordonnées et identité du responsable du traitement chez KLEYK : Yann Barberon et Hugo Malatrait

Coordonnées du DPO : Yann Barberon et Hugo Malatrait

Le Client doit entrer ses données en INPUT pour que les Services (Site Internet et PWA) de KLEYK sortent en OUTPUT des fiches d’intervention numériques. La finalité est d’aider les entreprises Clientes à se conformer au décret 2021-1833 du 24 décembre 2021.

Les données personnelles entrées en INPUT sur les Services (Site Internet et PWA) de KLEYK seront hébergées sur 3 serveurs (Belgique, Pays Bas et Finlande), tous situés au sein de l’Union Européenne. Certaines données transitent aux Etats Unis. C’est notamment le cas pour les données liées au paiement via Stripe mais aussi pour les données permettant l’authentification de l’Utilisateur via un service de Google (Firebase Authentication).

Les données personnelles INPUT et OUTPUT sont conservées 2 ans, cela dans le cadre de l’exigence du décret 2021-1833 sur l’archivage et le stockage des fiches d’interventionpendant minimum 2 ans.

Le Client a le droit de demander au responsable de traitement des données chez KLEYKl’accès à ses propres données personnelles et a également le droit de demander larectification, l’effacement des données personnelles ainsi que la limitation du traitementdes données. Le Client a le droit de s’opposer au traitement ainsi qu’à la portabilité desdonnées. Le Client a aussi le droit de retirer son consentement. Dans tous ces cas, sachantque les données personnelles entrées par le Client dans les Services (Site Internet et PWA)de KLEYK sont indispensables au bon déroulement du service, cela signifie que le Client impactera l’efficacité des Services (Site Internet et PWA) KLEYK et que KLEYK ne pourra, parconséquent, pas être tenu responsable du manque d’informations affichées sur les données OUTPUT et donc sur les potentielles non-conformités qui en résulteront par rapport audécret n°2021-1833. Par ailleurs KLEYK s’est inscrit dans une démarche de minimisation des données dans le sens où seules les données personnelles indispensables aux services doivent être insérées. L’exigence de fourniture de données personnelles est donc primordiale et conditionne donc la conclusion du contrat entre KLEYK et le Client.

Le support de création des fiches d’intervention est d’origine numérique, il peut être imprimé en version papier mais il n’a pas pour but d’être crée ou modifié sans passer par le service PWA de KLEYK. Dans ce cas KLEYK ne pourra pas être tenu responsable de toute modification ou détournement d’utilisation des fiches d’intervention de KLEYK.

Le Client a le droit d’introduire une réclamation auprès d’une autorité de contrôle comme la CNIL.

Les sous-traitants de KLEYK sont liés à l’hébergement des données car KLEYK n’héberge pas les données personnelles directement.

Les sous-traitants de KLEYK sont :

Stripe :
‍
Lieu Hébergement des données : Etats Unis. Stripe est une entreprise enregistrée au Data Privacy Framework Program, c’est-à-dire que l’entreprise est membre du département du commerce des Etats Unis et donc soumise à la règle RGPD de décision d’adéquation. Cette règle a pour effet de permettre le transfert, sans exigences supplémentaires, de données personnelles depuis les organismes soumis au RGPD vers les pays concernés (les Etats unis ici).

Les données hébergées : Adresses mail, coordonnées de facturation, données de transactions comme les noms, adresses de livraison, informations relatives au mode de paiement, montant de l’achat, date de l’achat, numéro de téléphone, coordonnées bancaires, numéro de cartes de paiement.

Fonction du sous-traitant : Stripe collecte les données dans l’objectif de procéder aux paiements et aux facturations.

Durée de conservation des données : En fonction du type de données, la durée de collecte figure entre quelques mois jusqu’à 5 ans.

Sécurité : Stripe utilise le Chiffrement en transit HTTPS (TLS) et le Chiffrement au repos AES-256.

Normes qualité : Est conforme aux normes SSAE18/SOC 1 type 1 et 2 ainsi que SSAE18/SOC 2 type 1 et 2. A obtenu la certification PCI DSS de niveau 1. Possède des Licences d'établissement de monnaie électronique dans l'UE et au Royaume-Uni.

Sentry :
‍
Lieu Hébergement des données : Etats Unis. Sentry est une entreprise enregistrée au Data Privacy Framework Program, c’est-à-dire que l’entreprise est membre du département du commerce des Etats Unis et donc soumise à la règle RGPD de décision d’adéquation. Cette règle a pour effet de permettre le transfert, sans exigences supplémentaires, de données personnelles depuis les organismes soumis au RGPD vers les pays concernés (les Etats unis ici).

Les données hébergées : Métadonnées liées aux erreurs et bugs.

Fonction du sous-traitant : Permet de faire un suivi des erreurs et bugs rencontrés sur les Services (Site Internet et PWA) de KLEYK. Permet d’accompagner KLEYK dans la résolution des bugs. Utile pour proposer une meilleure expérience utilisateur aux clients de KLEYK.

Durée de conservation des données : Toutes les métadonnées sont conservées 90 jours par défaut puis supprimées.

Sécurité : Chiffrement en transit HTTPS (TLS) et utilise la technologie PII Data Scrubbing (Option nettoyage des données - pour supprimer toute information personnellement identifiable (IPI) des données, afin de garantir que ces IPI ne soient pas envoyées ou stockées sur les serveurs de Sentry.).

Normes qualité : Est conforme aux normes SOC 2 et ISO 270001:2013.

Firebase Authentication (Google) :
‍
Lieu Hébergement des données : Etats Unis. Google est une entreprise enregistrée au Data Privacy Framework Program, c’est-à-dire que l’entreprise est membre du département du commerce des Etats Unis et donc soumise à la règle RGPD de décision d’adéquation. Cette règle a pour effet de permettre le transfert, sans exigences supplémentaires, de données personnelles depuis les organismes soumis au RGPD vers les pays concernés (les Etats unis ici).

Les données hébergées : Ce service de Google stocke les adresses IP, les adresses mails, les mots de passe et les numéros de téléphone si la double authentification est activée.

Fonction du sous-traitant : Firebase Authentication utilise les données pour activer l'authentification de l'utilisateur final et faciliter la gestion du compte de l'utilisateurfinal. Il utilise également des chaînes d'agent utilisateur et des adresses IP pour fournir une sécurité supplémentaire et empêcher les abus lors de l'inscription et de l'authentification.

Durée de conservation des données : Firebase Authentication conserve les adresses IP enregistrées pendant quelques semaines. Il conserve d'autres informations d'authentification jusqu'à ce que le client Firebase initie la suppression de l'utilisateurassocié, après quoi les données sont supprimées des systèmes en direct et de sauvegarde dans les 180 jours.

Sécurité : Firebase Authentification utilise le Chiffrement en transit HTTPS (TLS), le Chiffrement au repos AES-256 ainsi qu’une version interne modifiée de SCRYPT pour hacher les mots de passe des comptes.

Normes qualité : Le service est conforme aux normes ISO 27001, ISO 27017, ISO 27018,SOC 1, SOC 2 et SOC 3.

Cloud Firestore (Google) :
‍
Lieu Hébergement des données : Europe (Belgique et Pays Bas en mode lecture/Finlande en mode témoin).

Les données hébergées :
Données INPUT
Informations du compte
Informations des Utilisateurs
Informations des fiches d'intervention
Informations des sous-traitants des Clients de Kleyk ajoutés
Avis des Utilisateurs

Fonction du sous-traitant : Cloud Firestore permet le stockage des données nécessaire au fonctionnement de l'application et à la création de la fiche PDF au sein de l’application KLEYK.

Durée de conservation des données : Les données des chantiers validés sont conservées 2 ans.

Sécurité : Cloud Firestore utilise le Chiffrement en transit HTTPS (TLS) et le Chiffrement au repos AES-256.

Normes qualité : Est conforme aux normes ISO 27001, ISO 27017, ISO 27018, SOC 1,SOC 2 et SOC 3

Cloud Functions for Firebase (Google) :
‍
Lieu Hébergement des données : Belgique

Les données hébergées : Adresses IP

Fonction du sous-traitant : Cloud Functions for Firebase utilise les adresses IP pour exécuter des fonctions de gestion d'événements et des fonctions HTTP basées sur les actions de l'utilisateur final.

Durée de conservation des données : Les fonctions cloud enregistrent uniquement les adresses IP temporairement, pour fournir le service.

Sécurité : Cloud Functions utilise le Chiffrement en transit HTTPS (TLS).

Normes qualité : Est conforme aux normes ISO 27001, ISO 27017, ISO 27018, SOC 1,SOC 2 et SOC 3.

Google Cloud Storage (Google) :
‍
Lieu Hébergement des données : Ce service de Google héberge les données en Europe.

Les données hébergées :
Les photos de profils des Utilisateurs
Les Fiches d'intervention PDF
Les photos des chantiers prises par les Clients
Les documents personnelles et d'entreprises

Fonction du sous-traitant : L’objectif de ce service est de stocker les fichiers/médias télécharger par les utilisateurs.

Durée de conservation des données : Les photos des chantiers et les fiches d'intervention sont conservées 2 ans. Les autres données sont supprimées au moment où les Clients et Utilisateurs suppriment leurs comptes KLEYK (données conservées tant que les Clients et Utilisateurs ont leurs comptes KLEYK)

Sécurité : Chiffrement en transit HTTPS (TLS) et Chiffrement au repos AES-256. Système de redondance entre les régions

Normes qualité : ISO 27001, ISO 27017, ISO 27018, SOC 1, SOC 2 et SOC 3

Google Logging (Google) :
‍
Lieu Hébergement des données : Ce service de Google héberge les données en Europe.

Les données hébergées : le journal des logs (Métadonnées en lien avec les logs comme adresse IP, identifiant, traces, etc…)

Fonction du sous-traitant : Tracer dans l'état de l'art les logs afin de repérer d'éventuelles anomalies comme des cyber-attaques.

Durée de conservation des données : Les Métadonnées sont conservées 1 an puis supprimées automatiquement en adéquation avec l'état de l'art demandé par la CNIL.

Sécurité : Chiffrement en transit HTTPS (TLS) et Chiffrement au repos AES-256

Vercel :
‍
Lieu Hébergement des données : Etats-Unis
N'est pas enregistré au Département du Commerce des Etats Unis.Application des clauses contractuelles du RGPD en vigueur en Europe depuis 2021.Notamment du Module 3 : Sous-traitant (Kleyk) vers sous-traitant (Vercel)https://vercel.com/legal/dpa#schedule-3

Les données hébergées : Logs d’accès au site internet de KLEYK.

Fonction du sous-traitant : Hébergeur des sites internet : https://www.kleyk.com/ et https://app.kleyk.com.

Durée de conservation des données : 24 heures.

Sécurité : Chiffrement en transit HTTPS (TLS 1.2 ou supérieur) et Chiffrement au repos AES-256.

MailerLite :
‍
Lieu Hébergement des données : Europe. https://www.mailerlite.com/gdpr-compliance

Les données hébergées : Les adresses emails des utilisateurs de KLEYK.

Fonction du sous-traitant : Plateforme d’email marketing (newsletters, emails de promotions)

Durée de conservation des données : Les données sont supprimées dés lors que le Client en fait la demande par email.

Sécurité : GDPR compliant, c’est-à-dire certifié RGPD avec toutes les mesures de sécurité appropriées en l’état de l’art.

Normes : Storage security certificate (ISO 27001)

Les données OUTPUT sont archivées et conservées pendant 2 ans puis automatiquement supprimées, c’est pourquoi il est absolument nécessaire que le Client télécharge, archive et stocke lui-même ses propres fiches d’intervention en plus du système mis en place par KLEYK car le Client est aussi responsable au même titre que KLEYK de la conservation et delà sauvegarde des données OUTPUT.