Politique de confidentialité

1. Trois rôles — à lire en premier

• Données de plateforme (nous sommes responsable du traitement) : les données de compte et de facturation des locataires et des membres de leur équipe, les journaux de l'opérateur, les échanges avec le support, et les données d'analyse de la plateforme.
• Données du site du locataire (nous sommes sous-traitant) : les données personnelles que les visiteurs et les clients soumettent au site d'un locataire (commandes, formulaires envoyés, comptes de boutique). Le locataire est responsable du traitement ; nous traitons ces données pour le compte du locataire conformément aux Conditions et à un avenant distinct relatif au traitement des données (DPA), disponible sur demande à info@olmira.app. Les demandes relatives à la boutique d'un locataire doivent être adressées à ce locataire ; nous transférons les demandes mal orientées lorsque cela est possible.
• Données d'achat (notre marchand officiel (merchant of record) est un responsable du traitement indépendant) : les données personnelles que Dodo Payments recueille pour vous vendre un abonnement Olmira — l'identité de facturation que vous lui communiquez, votre moyen de paiement, votre facture et les données fiscales qui la sous-tendent. Dodo Payments décide par lui-même pourquoi et comment il traite ces données, conformément à son propre avis de confidentialité ; il ne les traite pas sur instruction d'Olmira. La section 5 explique ce que cela signifie pour vous.

2. Qui est responsable

Pour les données de plateforme, le responsable du traitement est Olmira — l'opérateur identifié intégralement à la fin de la présente politique : Individual Entrepreneur Mario Atienza Sanchez, immatriculé en Géorgie sous le numéro d'immatriculation et d'identification fiscale 305768354, à l'adresse Ateni str. N6-8, Space N4b, Vake district, Tbilisi, Georgia.

Nous traitons les données de plateforme conformément à la législation sur la protection des données de la juridiction de l'opérateur (Géorgie) et, pour les personnes situées dans l'UE/EEE, conformément au RGPD lorsqu'il s'applique.

3. Données que nous collectons (en tant que responsable du traitement)

• Compte : nom, adresse e-mail, hachage du mot de passe, téléphone facultatif, inscription à la double authentification, langue.
• Facturation : votre plan, vos factures et les métadonnées de paiement que notre marchand officiel nous communique en retour — le statut d'un prélèvement, la marque et les derniers chiffres du moyen de paiement utilisé, et le pays retenu pour déterminer la taxe applicable. Nous ne recevons ni ne conservons jamais les numéros de carte complets.
• Utilisation et sécurité : adresses IP, métadonnées d'appareil et de navigateur, événements de connexion et d'audit, empreintes d'appareil utilisées pour la prévention des abus, et données de télémétrie relatives aux erreurs et aux performances.
• Mesure de l'utilisation de l'IA : décompte des jetons d'IA et des générations d'IA consommés au titre de votre plan, enregistré par compte.
• Le contenu que vous stockez dans votre espace de travail, traité afin de l'héberger et de l'afficher.
• Communications : tickets de support, e-mails et messages au sein de l'application.

4. Finalités et bases juridiques

• Fourniture du service et hébergement de vos sites — contrat.
• Facturation et registres fiscaux — obligation légale / contrat.
• Mesure de l'utilisation de l'IA afin de faire respecter les quotas du plan — contrat.
• Sécurité, prévention de la fraude et des abus (y compris le contrôle au regard de la politique de noms) — intérêt légitime.
• E-mails de service (vérification, sécurité, modifications) — contrat.
• Analyse et amélioration du produit — intérêt légitime.
• E-mails marketing — consentement (opt-in, révocable).

5. Partage et sous-traitants ultérieurs

Nous ne vendons pas de données personnelles. Nous ne les partageons qu'avec les prestataires de services dont nous dépendons pour faire fonctionner la plateforme, avec notre marchand officiel pour les achats d'abonnement, avec les fournisseurs de modèles d'IA lorsque vous utilisez des fonctionnalités d'IA (uniquement le texte saisi, sans revente), et — lorsque la loi l'exige — avec les autorités. Nos prestataires de services sont des sous-traitants liés par des accords de traitement des données ; notre marchand officiel n'en fait pas partie, et le paragraphe ci-dessous précise ce qu'il est à la place. Nos sous-traitants ultérieurs et prestataires de services actuels sont les suivants :

• DigitalOcean — hébergement cloud, infrastructure de calcul et de stockage.
• Cloudflare — DNS, CDN, TLS et sécurité en périphérie de réseau.
• Dodo Payments — marchand officiel (merchant of record) pour les achats d'abonnement Olmira, et responsable du traitement indépendant des données personnelles liées à ces achats.
• Anthropic — fournisseur de modèles d'IA pour les fonctionnalités d'IA que vous utilisez.
• OpenAI — fournisseur de modèles d'IA pour les fonctionnalités d'IA que vous utilisez.
• Proton — envoi des e-mails transactionnels et de compte.

Dodo Payments n'est pas notre sous-traitant. En tant que marchand officiel, il vend l'abonnement en son nom propre et détermine donc lui-même les finalités et les moyens du traitement qu'exige cette vente : vous identifier en tant qu'acheteur, percevoir et sécuriser le paiement, prévenir la fraude, émettre votre facture, et respecter ses propres obligations fiscales, comptables et de lutte contre le blanchiment de capitaux. Pour ce traitement, il est responsable du traitement indépendant, et non un sous-traitant agissant sur nos instructions, et son propre avis de confidentialité le régit : https://dodopayments.com/privacy-policy. Les demandes des personnes concernées adressées à Dodo Payments passent par les canaux d'assistance que Dodo Payments publie : sa page de contact à https://dodopayments.com/contact et, pour la suppression de vos données, support@dodopayments.com au titre de sa politique de suppression des données (https://dodopayments.com/legal/data-deletion). Lorsque Dodo Payments et nous échangeons des données — la commande que nous lui transmettons, les métadonnées de paiement et fiscales qu'il nous communique en retour — chacun de nous est responsable des données qu'il détient, et aucun n'agit sur instruction de l'autre. Nous ne recevons jamais les données complètes de votre carte. Rien de ce qui précède ne concerne un compte Stripe ou PayPal qu'un locataire connecte à son propre site pour facturer ses propres clients — ce compte appartient au locataire et relève de l'accord que ce dernier a conclu directement avec ce prestataire.

6. Autorités répressives et prévention de la fraude

Nous communiquons des données de compte, des journaux et du contenu aux autorités répressives, aux juridictions, aux régulateurs, aux établissements financiers et aux prestataires de paiement lorsque la communication est exigée par la loi ou demandée par voie de procédure légale, sur la base de preuves claires ou d'un soupçon motivé de fraude, d'usurpation d'identité ou d'autre infraction (base juridique : obligation légale, ou intérêt légitime). La fraude que nous détectons nous-mêmes est traitée par les mesures d'application de la plateforme, les preuves étant conservées à la disposition des autorités compétentes sur demande licite. Nous pouvons conserver, au-delà des durées habituelles, les données faisant l'objet d'une enquête, y compris les identifiants bloqués (adresses IP, empreintes d'appareil) nécessaires pour faire respecter les exclusions.

7. Transferts internationaux

L'infrastructure peut être située dans l'UE/EEE, aux États-Unis ou dans la juridiction d'origine de l'opérateur (Géorgie). Lorsque des données personnelles de résidents de l'EEE sont transférées hors de l'UE/EEE vers un pays ne bénéficiant pas d'une décision d'adéquation de l'UE, nous nous appuyons sur des clauses contractuelles types (CCT) ou sur un autre mécanisme de transfert valable avec le prestataire concerné, et nous respectons toute règle applicable aux transferts transfrontaliers de la juridiction de l'opérateur. Notre marchand officiel transfère les données d'achat qu'il contrôle conformément à son propre avis de confidentialité et à ses propres mécanismes de transfert.

8. Conservation

Les données de compte sont conservées pendant toute la durée de vie du compte et jusqu'à 90 jours après sa suppression (cycles de sauvegarde), sauf lorsque la législation fiscale ou comptable impose une durée plus longue (factures). Les journaux de sécurité sont conservés pendant environ 12 mois. Les preuves relatives à une enquête pour abus sont conservées pendant toute la durée de l'enquête et de toute procédure qui s'ensuit. Les données du site d'un locataire sont conservées selon les instructions du locataire pendant toute la durée du contrat ; lorsqu'un espace de travail est suspendu — après la prise d'effet d'une annulation, la conversion d'une pause en annulation, ou l'expiration d'une période d'essai — les données de l'espace de travail et du site sont conservées 90 jours puis supprimées définitivement, avec avertissement préalable, sauf lorsque des obligations légales de conservation ou la préservation de preuves imposent une durée plus longue.

9. Vos droits

Selon votre juridiction, en vertu de la législation sur la protection des données de la juridiction de l'opérateur (Géorgie) et (le cas échéant) du RGPD : accès, rectification, effacement, limitation, portabilité, opposition et retrait du consentement.

Vous pouvez introduire une réclamation auprès de l'autorité de contrôle en matière de protection des données de la juridiction de l'opérateur (Géorgie) ou, si vous résidez dans l'UE/EEE, auprès de votre autorité de contrôle locale.

Les droits sur les données d'achat détenues par notre marchand officiel s'exercent auprès de lui, car il est le responsable de ces données et non notre sous-traitant — écrivez-nous et nous vous indiquerons le contact approprié. Les droits sur votre compte Olmira, vos sites et votre contenu s'exercent auprès de nous.

• Exercez vos droits à l'adresse:info@olmira.app

Nous vérifions l'identité avant d'agir et répondons dans un délai d'un mois.

10. Sécurité

TLS partout (HSTS sur olmira.app), hachage des mots de passe, double authentification facultative et — pour les rôles à privilèges — obligatoire, isolation de la base de données par locataire, secrets chiffrés par enveloppe, et accès de l'opérateur soumis à audit. Aucune méthode n'est sûre à 100 % ; nous informons les utilisateurs concernés et l'autorité de contrôle compétente des violations de données personnelles qui le requièrent, sans retard injustifié — lorsqu'un délai s'applique, dans les 72 heures suivant leur connaissance — conformément aux exigences de la loi applicable.

11. Cookies

Consultez notre Politique relative aux cookies pour connaître les cookies déposés par les interfaces de la plateforme. Les sites des locataires déposent leurs propres cookies sous la responsabilité du locataire.

12. Modifications

Les modifications substantielles sont annoncées par e-mail ou dans l'application au moins 30 jours à l'avance lorsque cela est possible. La date de « dernière mise à jour » ci-dessus reflète toujours la version en vigueur.