Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données à caractère personnel au sens du RGPD est :

Octon Holding GmbH
représenté par : Mio McQueen (directeur général)
Paul-Ehrlich-Straße 7
79106 Freiburg im Breisgau
E-mail : team@octonholding.de

Lorsque la plateforme traite, pour le compte de l’utilisateur, des données à caractère personnel de tiers (tels que les clients, prospects ou contacts de l’utilisateur), l’utilisateur est le responsable du traitement au sens du RGPD et la plateforme est le sous-traitant. Les conditions applicables sont précisées dans le Accord de traitement des données (DPA).

2. Collecte et stockage des données à caractère personnel

2.1 Lors de la visite du site web

Lorsque vous visitez notre site web, votre navigateur envoie automatiquement des informations à notre serveur, qui sont temporairement enregistrées dans un fichier journal :

• Adresse IP de l’appareil demandeur
• Date et heure de l’accès
• Nom et URL du fichier demandé
• Site web à partir duquel l’accès a été effectué (URL de provenance)
• Navigateur utilisé et, le cas échéant, système d’exploitation

Durée de conservation du fichier journal : 30 jours.

2.2 Inscription et utilisation

Lors de votre inscription, nous collectons :

• Nom
• Adresse e-mail
• Heure d’acceptation et version des Conditions générales, de la Politique de confidentialité et du DPA acceptés

La connexion s’effectue via un lien magique à usage unique ou un code envoyé par e-mail, sans mot de passe. Les cookies de session sont HttpOnly et nécessaires à la connexion.

Lorsque vous utilisez la plateforme, nous stockons des informations commerciales (coordonnées de l’entreprise, offres, pages, contacts, factures et données de paiement) afin de fournir le service.

2.3 Suggestions de langue et de pays

Nous enregistrons une langue que vous sélectionnez explicitement dans le cookie bestride_locale pendant une durée maximale de douze mois et, lorsque vous êtes connecté(e), dans votre compte afin de fournir la langue demandée (article 6, paragraphe 1, point b) du RGPD ; article 25, paragraphe 2, point 2) du TDDDG). Vous pouvez modifier la langue ou supprimer le cookie via votre navigateur. Lorsque la détection du pays est activée, l’adresse IP de votre connexion est comparée à une base de données locale des pays. Cette fonction ne crée aucun historique IP supplémentaire et n’effectue aucune requête vers un service IP externe. Le résultat est une suggestion que vous pouvez corriger ; vous confirmez vous-même votre lieu d’activité. La recherche prend en charge la sélection du pays (article 6, paragraphe 1, point f) du RGPD).

3. Finalités du traitement

Nous traitons vos données à caractère personnel aux fins suivantes :

• Fourniture du site web et de ses fonctionnalités
• Création et gestion de votre compte utilisateur
• Fourniture de nos services SaaS
• Traitement des paiements
• Communication avec vous (assistance, mises à jour et notifications de tâches)
• Amélioration du service
• Respect des obligations légales de conservation

4. Bases légales

Le traitement repose sur les fondements juridiques suivants :

• Article 6(1)(a) du RGPD – consentement (cookies d’analyse et de marketing facultatifs)
• Article 6(1)(b) du RGPD – exécution d’un contrat (fourniture du service)
• Article 6(1)(c) du RGPD – obligation légale (conservation des documents fiscaux)
• Article 6(1)(f) du RGPD – intérêts légitimes (sécurité, prévention des abus et analyse anonymisée)

5. Cookies

Nous utilisons des cookies sur notre site web. Les cookies sont de petits fichiers texte que votre navigateur stocke sur votre appareil.

Types de cookies :

• Cookies essentiels : Requis pour les fonctions de base (session de connexion et paramètre de langue explicitement demandé par vous)
• Cookies d’analyse : Nous aident à comprendre l’utilisation (avec votre consentement uniquement)
• Cookies de marketing : Pour la mesure publicitaire (avec votre consentement uniquement)
• Autres cookies de préférence : Enregistrent des paramètres facultatifs (avec votre consentement uniquement)

Vous pouvez modifier les paramètres des cookies à tout moment dans votre navigateur ou via notre bandeau cookies.

Les sites web des utilisateurs (sites de sous-domaine) des fondateurs comptent les visites côté serveur sans cookies ; ce compteur ne nécessite pas le consentement aux cookies.

5a. Analyse web et suivi marketing

Nous utilisons les services d’analyse et de marketing suivants. Ils ne sont chargés qu’après votre consentement explicite via notre bandeau cookies (base juridique : article 6(1)(a) du RGPD et section 25(1) du TDDDG). Aucune donnée n’est envoyée à ces fournisseurs avant le consentement. Vous pouvez retirer votre consentement à tout moment avec effet pour l’avenir.

• Google Analytics 4 (Google Ireland Ltd.) : Analyse de l’audience et de l’utilisation. L’anonymisation de l’adresse IP est activée. Les transferts vers les États-Unis sont protégés par les clauses contractuelles types (CCT) de l’UE et le cadre UE–États-Unis de protection des données (DPF).
• Meta Platforms Ireland Ltd. (Meta Pixel) : Mesure et optimisation des campagnes publicitaires. Transferts vers les États-Unis (CCT/DPF).
• LinkedIn Ireland Unlimited Company (Insight Tag) : Suivi des conversions pour la publicité LinkedIn. Transferts vers les États-Unis (CCT/DPF).
• PostHog (PostHog EU B.V./Ltd.) : Analyse produit pour améliorer l’application. Hébergé dans l’UE (eu.posthog.com).

6. Fonctions d’IA

La plateforme comprend des fonctions d’IA qui analysent les informations commerciales afin de créer des offres, des pages, des textes et des recommandations.

• Le traitement par IA a lieu lorsque la fonction correspondante est utilisée
• Les données ne sont pas utilisées pour entraîner nos propres modèles d’IA ni ceux de tiers. Un avenant relatif au traitement des données avec Anthropic inclut une clause de non-apprentissage
• Le traitement a lieu en partie sur des serveurs à Francfort (UE) et en partie via Anthropic PBC (États-Unis), protégé par des CCT
• Les contenus générés par l’IA sont identifiés comme tels dans la plateforme (article 50 de l’AI Act de l’UE)

6a. Images téléchargées et générées

Les images téléchargées et générées sont stockées dans votre système de gestion des documents d’entreprise. Lorsque vous demandez à l’agent d’examiner ou de placer une image, l’image et ses instructions peuvent être envoyées au service d’IA utilisé pour l’analyse visuelle. Pour la génération d’images, nous envoyons la description de l’image et les paramètres de sortie à l’API OpenAI ; le résultat peut ensuite être examiné visuellement par l’agent IA. Le traitement fournit la fonctionnalité que vous demandez (article 6, paragraphe 1, point b) du RGPD).

OpenAI indique que les données de l’API ne sont pas utilisées pour l’entraînement par défaut, sauf partage explicite. Les journaux de surveillance des abus peuvent généralement être conservés jusqu’à 30 jours, ou plus dans des cas exceptionnels justifiés. Aucun engagement de Zero Data Retention n’est pris ici. OpenAI : contrôles des données API

7. Sécurité des données

Nous utilisons des mesures techniques et organisationnelles pour protéger les données contre la manipulation, la perte, la destruction et l’accès non autorisé :

• Chiffrement TLS pour les transferts de données
• Chiffrement AES-256-GCM des identifiants et jetons sensibles
• Serveurs dans des centres de données allemands (AWS Frankfurt, UE)
• Sauvegardes quotidiennes chiffrées, conservées dans S3 pendant 30 jours
• Séparation stricte des données des locataires dans l’accès à la base de données
• Contrôles d’accès et journalisation des opérations sensibles
• Aucun mot de passe stocké (authentification sans mot de passe par lien magique)

Les détails des mesures techniques et organisationnelles sont fournis dans le DPA (section 7).

8. Divulgation des données et prestataires de services

Les données à caractère personnel ne sont divulguées à des tiers qu’avec votre consentement explicite, pour l’exécution du contrat, lorsque la loi l’exige, ou aux sous-traitants mentionnés dans le DPA dans le cadre du traitement effectué pour notre compte.

Prestataires de services :

• Amazon Web Services EMEA SARL (hébergement, stockage des données et envoi d’e-mails via SES) — localisation du serveur : Francfort-sur-le-Main, UE
• Stripe Payments Europe Ltd. (traitement des paiements) — basé en Irlande (région de données de l’UE)
• Anthropic PBC (traitement par IA) — basé aux États-Unis ; DPA avec clause de non-apprentissage et CCT en place
• OpenAI (génération d’images via API ; descriptions d’images et paramètres de sortie). Un traitement en dehors de l’UE est possible ; les conditions applicables au traitement et aux transferts internationaux doivent être respectées.
• Lexware GmbH / lexoffice (intégration comptable, uniquement en cas de connexion) — basé en Allemagne
• Openprovider B.V. (bureau d’enregistrement de domaines, uniquement lorsqu’un domaine est acheté via la plateforme) — basé aux Pays-Bas (UE). Si vous achetez un domaine via BeStride AI, nous utilisons l’adresse de facturation fournie lors du paiement comme coordonnées du titulaire du domaine et la transmettons à Openprovider ainsi qu’au registre concerné (par exemple DENIC eG pour les domaines .de). Les mêmes informations peuvent être utilisées pour préremplir vos mentions légales.
• Google Analytics 4 / Meta Platforms / LinkedIn / PostHog (avec consentement uniquement ; voir section 5a)

Pour les transferts vers des pays tiers (États-Unis), la protection est assurée par les clauses contractuelles types (CCT) de l’UE et, le cas échéant, par le Data Privacy Framework UE–États-Unis (DPF).

9. Vos droits

Vous disposez des droits suivants concernant vos données personnelles :

• Accès (article 15 RGPD) : Informations sur les données que nous conservons à votre sujet
• Rectification (article 16 RGPD) : Correction des données inexactes
• Effacement (article 17 RGPD) : Suppression de vos données
• Limitation (article 18 RGPD) : Limitation du traitement
• Portabilité des données (article 20 RGPD) : Exportation de vos données (JSON / CSV / PDF)
• Opposition (article 21 RGPD) : Opposition au traitement
• Retrait du consentement : À tout moment avec effet pour l’avenir

Contact : team@octonholding.de. L’accès, la rectification, l’effacement et l’exportation sont également disponibles directement dans les paramètres du compte de la plateforme.

9a. Décisions automatisées (article 22 RGPD)

La plateforme comprend des fonctions qui réalisent des classifications automatisées, notamment :

• Analyse des justificatifs : Les justificatifs entrants sont automatiquement catégorisés (taux de TVA et centre de coûts). Vous pouvez corriger la classification manuellement à tout moment.
• Scoring des contacts : Les soumissions de formulaires sont évaluées selon des critères de qualité. L’évaluation est visible et peut être remplacée manuellement.

Ces classifications ne sont pas des décisions automatisées juridiquement contraignantes au sens de l’article 22 RGPD ; une personne confirme la décision. Vous pouvez à tout moment examiner et corriger chaque décision.

Si vous avez des questions sur les décisions automatisées, contactez team@octonholding.de.

10. Durées de conservation

• Données du compte : Jusqu’à la suppression du compte
• Données commerciales : Jusqu’à suppression par l’utilisateur ou lors de la suppression du compte
• Pièces comptables et factures : Pendant la durée de conservation légale applicable ; les pièces comptables sont généralement conservées pendant huit ans conformément à l’article 147, paragraphe 3, de l’AO. D’autres types de documents et certaines circonstances légales particulières peuvent nécessiter des durées différentes.
• Fichiers journaux : 30 jours
• Délai de grâce après la fin du contrat : 30 jours pour exporter les données, puis suppression définitive
• Rotation des sauvegardes : Suppression complète des sauvegardes dans un délai maximal de 90 jours

11. Droit de réclamation

Vous avez le droit d’introduire une réclamation auprès d’une autorité de contrôle de la protection des données.

Pour les utilisateurs basés en Allemagne :

Commissaire d’État à la protection des données et à la liberté d’information du Bade-Wurtemberg
Königstraße 10a, 70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

Pour les utilisateurs basés en Autriche :

Autorité autrichienne de protection des données
Barichgasse 40–42, 1030 Wien
www.dsb.gv.at

Pour les utilisateurs basés en Suisse :

Préposé fédéral à la protection des données et à la transparence (PFPDT)
Feldeggweg 1, 3003 Bern
www.edoeb.admin.ch

12. Modifications

Nous pouvons mettre à jour la présente Politique de confidentialité afin de refléter les changements de la loi ou de notre service. La version actuelle est disponible sur cette page. Nous vous informerons en temps utile des modifications importantes par e-mail ou via le logiciel.