Politique de confidentialité

Cette politique explique comment TOONAH SAS traite les données personnelles dont elle est responsable de traitement : visiteurs du site toonah.io, prospects, interlocuteurs de nos clients, utilisateurs de la plateforme pour la gestion de leur compte, et personnes qui nous écrivent. Elle répond aux articles 13 et 14 du règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 (« Informatique et Libertés »).

Les données que nos clients enregistrent dans leur espace (risques, contrôles, audits, preuves, documents…) sont traitées par TOONAH pour leur compte, en qualité de sous-traitant : elles relèvent de la Politique de collecte et de traitement des données et de l’Accord de traitement des données. Pour ces données, adressez vos demandes en priorité à l’organisation qui vous a ouvert un accès.

1. Responsable de traitement et contact

TOONAH SAS, [À COMPLÉTER : forme sociale, RCS et adresse du siège].

Contact pour toute question relative à vos données : [À COMPLÉTER : adresse du délégué à la protection des données (DPO) ou du référent, par exemple dpo@toonah.io, et identité du DPO s’il est désigné]. Contact général : contact@toonah.io.

2. Traitements, finalités, bases légales et durées

Traitement	Données	Finalité	Base légale	Durée de conservation
Navigation sur toonah.io	Journaux techniques du serveur (adresse IP, date, page demandée, navigateur)	Sécurité et bon fonctionnement du site	Intérêt légitime (sécurité)	[À COMPLÉTER : durée des journaux du serveur web]
Demande de démonstration par le formulaire du site	Nom, e-mail professionnel, organisation, effectif, message	Vous recontacter	Mesures précontractuelles à votre demande	Le formulaire prépare un e-mail dans votre messagerie : rien n’est transmis tant que vous ne l’envoyez pas. Ensuite, comme un prospect (ci-dessous)
Assistant public de toonah.io	Questions posées, réponses, langue ; aucun cookie ; conversation gardée dans votre onglet et 24 h sur nos serveurs	Répondre à vos questions sur TOONAH	Intérêt légitime (information des visiteurs)	24 heures pour la conversation
Demande de contact via l’assistant	Nom, e-mail professionnel, organisation, fonction, besoin exprimé, extrait de la conversation ; preuve du consentement (date, version du texte d’information, empreintes HMAC de l’adresse IP et du navigateur)	Vous recontacter et qualifier votre besoin	Consentement, recueilli par une case non pré-cochée	Extrait de conversation : 90 jours. Fiche prospect : 36 mois après le dernier contact
Gestion des prospects et des clients (outil interne de relation client)	Identité et coordonnées professionnelles des interlocuteurs, fonction, échanges, tâches, notes internes, préférences de communication	Relation commerciale, suivi des comptes, support	Intérêt légitime (prospection B2B, gestion de la relation) ; exécution du contrat pour les clients	Prospects non convertis : 36 mois après le dernier contact (purge prévue). Clients : durée de la relation puis [À COMPLÉTER : durée]
Prospection par e-mail	Adresse e-mail professionnelle, consentement ou opposition	Informations sur nos offres	Intérêt légitime pour des offres analogues adressées à des professionnels, avec droit d’opposition ; consentement lorsque requis (case facultative à l’inscription)	Jusqu’à l’opposition ou 36 mois sans contact
Création et gestion du compte client	Nom de l’organisation, pays, secteur, offre ; nom, prénom, e-mail et langue de l’administrateur ; informations d’identification de l’entreprise (dénomination, numéro d’immatriculation, numéro fiscal, adresse, contact)	Ouvrir et administrer l’espace, vérifier l’identité de l’entreprise	Exécution du contrat ; intérêt légitime (prévention de la fraude)	Durée du contrat puis [À COMPLÉTER : durée]
Comptes des utilisateurs de la plateforme	Nom, prénom, e-mail, langue, rôle, état du compte, date de dernière connexion, échecs de connexion, activation de la double authentification	Authentifier, sécuriser et administrer les accès	Exécution du contrat avec le client ; intérêt légitime (sécurité)	Durée du compte ; [À COMPLÉTER : durée après suppression]
Preuve de l’acceptation des documents contractuels	Compte, organisation, versions et empreintes des documents acceptés, date, mode, langue, empreintes HMAC de l’adresse IP et du navigateur	Prouver la conclusion et le contenu du contrat	Obligation légale et intérêt légitime (preuve)	Durée du contrat puis [À COMPLÉTER : durée de prescription retenue, par exemple 5 ans]
Facturation et paiement	Organisation, e-mail de facturation, offre, devise, identifiants client et abonnement chez Stripe, historique des paiements (aucune donnée de carte chez TOONAH)	Facturer et encaisser	Exécution du contrat ; obligation légale (comptabilité)	Pièces comptables : 10 ans (article L. 123-22 du Code de commerce)
E-mails de service	E-mail, prénom, langue, type d’e-mail, référence technique	Envoyer les e-mails liés au compte (bienvenue, invitation, réinitialisation, sécurité, facturation, documents contractuels)	Exécution du contrat ; intérêt légitime (sécurité)	Journal d’envoi sans adresse : [À COMPLÉTER : durée des journaux]
Sécurité et journal d’audit	Identifiant du compte, action, date, adresse IP et navigateur pour les actions sensibles (connexion, changement de rôle, accès d’assistance)	Détecter et investiguer les incidents, prouver les actions	Intérêt légitime (sécurité) ; obligation légale (article 32 du RGPD)	[À COMPLÉTER : durée de conservation du journal d’audit, aucune purge automatique à ce jour]
Support et accès d’assistance	Échanges avec le support ; en cas d’accès d’assistance à un espace, identité de l’intervenant, date et motif	Résoudre les demandes	Exécution du contrat	[À COMPLÉTER : durée]

Assistant du site toonah.io

Le site propose un assistant automatisé, signalé comme tel, qui répond à vos questions sur TOONAH à partir de notre documentation publique. Vos messages sont traités par notre fournisseur d’intelligence artificielle Mistral AI uniquement pour vous répondre ; la conversation est conservée 24 heures au plus, sauf si vous l’effacez avant (bouton « Effacer la conversation »). Si vous acceptez d’être recontacté, nous enregistrons, sur la base de votre consentement, les coordonnées que vous saisissez, un résumé et un extrait de l’échange, ainsi que la date et la version du texte de consentement. Ces données sont destinées à notre équipe commerciale, conservées 36 mois au plus après notre dernier échange (90 jours pour l’extrait de conversation) et ne sont jamais vendues. L’envoi d’informations commerciales nécessite une case distincte et facultative. Ne communiquez pas de données sensibles à l’assistant.

3. Destinataires

Vos données sont accessibles aux seules équipes de TOONAH qui en ont besoin (commerce, support, technique), selon des droits limités par rôle. Elles sont également traitées par nos prestataires, dans la limite de leur mission :

OVH SAS (France) : hébergement des serveurs et des bases de données ; [À COMPLÉTER : à confirmer — envoi des e-mails transactionnels] ;
Stripe : paiement des abonnements [À COMPLÉTER : entité contractante Stripe et mécanisme de transfert] ;
Mistral AI (Union européenne) : modèle de langage de l’assistant public de toonah.io [À COMPLÉTER : confirmer la localisation et les garanties du contrat Mistral].

Nous ne vendons pas vos données. Elles peuvent être communiquées aux autorités lorsque la loi l’exige.

4. Transferts hors de l’Union européenne

Les traitements dont TOONAH est responsable sont hébergés en France. Lorsqu’un prestataire est susceptible de traiter des données hors de l’Espace économique européen (par exemple Stripe), le transfert est encadré par une décision d’adéquation (dont le cadre UE–États-Unis de protection des données pour les entités certifiées) ou par les clauses contractuelles types de la Commission européenne [À COMPLÉTER : mécanisme retenu pour chaque prestataire]. Vous pouvez obtenir une copie des garanties en écrivant à l’adresse de contact ci-dessus.

5. Sécurité

TOONAH applique des mesures adaptées au risque : hébergement en France, chiffrement des communications (HTTPS), double authentification proposée à tous les utilisateurs, chiffrement des secrets au repos, contrôle d’accès par rôles, journal d’audit, sauvegardes quotidiennes. Le détail figure à l’annexe 3 de l’Accord de traitement des données.

6. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition (notamment à la prospection, à tout moment et sans motif), de portabilité, et du droit de retirer votre consentement à tout moment, sans que cela remette en cause les traitements antérieurs. Vous pouvez définir des directives sur le sort de vos données après votre décès.

Pour exercer vos droits : [À COMPLÉTER : adresse de contact données]. Nous répondons dans un délai d’un mois, prolongeable de deux mois si la demande est complexe. Nous pouvons vous demander de justifier de votre identité en cas de doute raisonnable.

Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr) ou de l’autorité de contrôle de votre pays de résidence. Si vous résidez hors de l’Union européenne (par exemple dans un État de la CEMAC, de l’UEMOA ou en République démocratique du Congo), votre législation nationale peut vous accorder des droits complémentaires et désigner une autorité compétente [À COMPLÉTER : autorités et mentions locales à vérifier par le conseil].

7. Cookies et stockage local

Le site toonah.io ne dépose aucun cookie et n’utilise aucun traceur de mesure d’audience ou de publicité. Le détail du stockage utilisé par le site et par la plateforme figure dans la page Cookies.

8. Décisions automatisées

TOONAH ne prend aucune décision produisant des effets juridiques à votre égard sur le seul fondement d’un traitement automatisé. L’assistant public qualifie une demande de contact (intérêt, urgence) pour aider l’équipe commerciale ; un membre de l’équipe décide toujours de la suite donnée.

9. Modifications

Nous pouvons modifier cette politique. Chaque version est datée et numérotée. Les modifications importantes sont signalées sur le site et, pour nos clients, dans la plateforme.