Politique de confidentialité

Le responsable des traitements décrits ci-dessous est T2ND SAAS, SASU au capital de 1 000 €, RCS Lille Métropole 107 995 631, 34 place du Général de Gaulle, Bureau 3, 59800 Lille (« cocoPIM », « nous »), joignable à contact@cocopim.fr. Pour toute question relative aux données personnelles, un référent protection des données est joignable à l'adresse dédiée rgpd@cocopim.fr.

Cas particulier : pour les données personnelles que nos clients importent dans leur catalogue (le service PIM), le client demeure responsable de traitement et cocoPIM agit en sous-traitant (art. 28 RGPD). Voir les CGU/CGV et l'accord de traitement des données (DPA).

• Compte et organisation (email, prénom/nom, société, rôle). Base légale : exécution du contrat. Finalités : fourniture du service, authentification par code de connexion envoyé par email, gestion des espaces et des droits.
• Authentification unique (SSO d'entreprise), lorsque votre organisation l'active (identifiant stable fourni par son fournisseur d'identité, dernière adresse email reçue, date de dernière connexion). Base légale : exécution du contrat. Le fournisseur d'identité est choisi et administré par votre organisation, qui en répond. Conservation : la vie du compte (effacement avec lui) ; les événements de connexion suivent le journal d'audit (§5).
• Vérification de votre adresse à l'inscription (adresse email, code à usage unique conservé sous forme d'empreinte, nombre d'essais). Bases légales : mesures précontractuelles prises à votre demande, et intérêt légitime (sécurité, prévention des inscriptions abusives). Des compteurs anti-abus conservent pendant 24 heures une empreinte non réversible de l'adresse, de son domaine et de l'adresse IP utilisée.
• Abonnement et facturation (email, prénom/nom, société, identifiant d'organisation, puis coordonnées de facturation, n° de TVA et historique de paiement ; les données de carte sont traitées directement par Stripe et ne sont jamais stockées par cocoPIM). Bases légales : exécution du contrat et obligations légales (comptables et fiscales). Un compte est créé chez notre prestataire Stripe dès l'ouverture de votre essai gratuit, y compris lorsque aucun moyen de paiement n'est enregistré et qu'aucun paiement n'intervient.
• Formulaire de contact et échanges par email avec nos équipes (nom, email, société, message, y compris les demandes de démonstration). Base légale : mesures précontractuelles / intérêt légitime à répondre aux demandes.
• Assistant CoCo de l'application (questions posées et réponses ; en cas de transmission au support, adresse email et échange avec l'assistant). Base légale : exécution du contrat (assistance à l'utilisation du service). Les réponses sont générées par notre fournisseur d'IA (Mistral AI, §3).
• Statistiques d'activité par utilisateur (actions réalisées dans l'application, rattachées à l'identifiant de l'utilisateur). Finalité : tableaux de bord d'analyse de l'usage, à destination des administrateurs de l'organisation. Base légale : intérêt légitime du client à suivre l'activité de son catalogue. Le propriétaire de l'organisation peut désactiver cette collecte dans ses paramètres.
• Journaux techniques (logs de connexion et d'usage, adresses IP). Base légale : intérêt légitime (sécurité, prévention de la fraude, preuve). Les journaux d'audit du service tracent les actions effectuées dans l'organisation du client.
• Emails transactionnels (codes de connexion et d'inscription, notifications de service). Base légale : exécution du contrat. Aucune prospection sans consentement.
• Préavis de fin d'essai et preuve de leur envoi (empreinte cryptographique et forme masquée de l'adresse destinataire, objet, date et statut d'envoi). Bases légales : exécution du contrat pour l'envoi des préavis (CGU/CGV, art. 5.8), et intérêt légitime pour la conservation de leur preuve, aucun compte ne pouvant être clôturé sans que nous puissions démontrer avoir informé le client au préalable (art. 5.2 RGPD).

Aucune donnée n'est vendue ni louée à des tiers. Aucun profilage publicitaire.

Le service et ses données sont hébergés en France (OVHcloud). Vos Données Client (catalogue) y sont stockées et sont traitées exclusivement dans l'Espace économique européen (EEE). Les flux que vous déclenchez vous-même vers des destinataires de votre choix (connecteurs, webhooks, API, exports, fournisseur d'identité) relèvent de vos instructions et ne constituent pas des transferts de notre fait.

Nos traitements d'IA générative s'appuient sur un fournisseur européen (Mistral AI, France). Vos contenus ne sont pas utilisés pour entraîner ses modèles et ne sont pas conservés au-delà du temps nécessaire à la génération de la réponse : nous avons désactivé l'usage de nos appels aux fins d'entraînement et obtenu l'activation de l'option « zéro rétention de données » sur notre compte. Ces traitements sont hébergés dans l'Espace économique européen (France, Suède, Norvège) ; les transferts éventuels des propres sous-traitants de Mistral AI hors de l'EEE sont encadrés par des clauses contractuelles types de la Commission européenne.

Deux exceptions, hors Données Client :

• Paiements : notre prestataire Stripe (Stripe Payments Europe Ltd, Irlande) peut transférer certaines données liées à la facturation et à la lutte contre la fraude vers Stripe, Inc. (États-Unis), dans le cadre des garanties standard de Stripe : clauses contractuelles types de la Commission européenne intégrées à son accord de traitement des données, Stripe, Inc. étant par ailleurs certifiée au titre du EU-U.S. Data Privacy Framework.
• Messagerie : nos adresses @cocopim.fr (formulaire de contact, support, échanges commerciaux) sont hébergées par Google Workspace, avec stockage des données dans l'Union européenne ; les transferts éventuels vers Google LLC (États-Unis) sont encadrés par les clauses contractuelles types de la Commission européenne et par la certification Data Privacy Framework de Google LLC.

• OVHcloud (France) : hébergement du site et du service.
• Stripe : traitement des paiements et gestion des abonnements. Stripe agit comme sous-traitant pour l'exécution des paiements, et comme responsable de traitement autonome pour ses obligations propres (lutte contre la fraude, obligations réglementaires des établissements de paiement). L'entité contractante est Stripe Payments Europe, Ltd (Irlande) ; les transferts éventuels hors EEE sont encadrés par les garanties de l'article 46 du RGPD (clauses contractuelles types intégrées à son accord de traitement, certification Data Privacy Framework de Stripe, Inc.).
• Mistral AI (France) : génération de contenus IA (à la demande de l'utilisateur ou selon les règles de champ IA qu'il a configurées) et réponses de l'assistant CoCo ; hébergement dans l'EEE.
• Brevo (France) : envoi des emails transactionnels (codes de connexion et d'inscription, notifications de service).
• Google (Google Cloud EMEA Ltd, Irlande) : messagerie professionnelle des adresses @cocopim.fr (Google Workspace), données stockées dans l'Union européenne, transferts éventuels encadrés (§3).

La liste à jour des sous-traitants est disponible sur demande à contact@cocopim.fr ; toute évolution substantielle est notifiée aux clients.

Chaque catégorie de données est conservée pour la durée strictement nécessaire aux finalités décrites au §2. Le fait générateur de la suppression du compte et de ses données est la clôture du compte, qui intervient : à votre demande ; au terme de votre abonnement payant ; ou, lorsque votre essai gratuit prend fin sans souscription ni choix de l'offre gratuite Découverte, 15 jours après le terme de cet essai, après cinq préavis adressés par email (CGU/CGV, art. 5.8).

• Compte et données d'organisation (y compris le catalogue) : pendant toute la durée d'utilisation du service, puis jusqu'à la clôture du compte ; suppression définitive à l'issue de la fenêtre de restauration de 30 jours qui suit la clôture (soit, pour un essai non converti, 45 jours au plus après son terme).
• Documents de facturation : 10 ans (obligation comptable).
• Journal d'audit des actions réalisées dans l'organisation, y compris les événements de connexion (connexions, échecs, déconnexions, changements de mot de passe) : 12 mois glissants (purge automatique).
• Statistiques d'usage alimentant les tableaux de bord d'analyse : 90 jours.
• Journaux des appels aux fonctions IA (traçabilité et quotas) : 90 jours.
• Demandes adressées à l'assistant et transmises au support (adresse email et échange avec l'assistant) : 90 jours.
• Registre de consommation des crédits IA (statistiques de quota pour le propriétaire de l'organisation) : 12 mois, l'identité de l'utilisateur étant effacée au bout de 90 jours.
• Journaux d'accès de nos administrateurs aux espaces clients (traçabilité des consultations et des actions de support et de maintenance) : 13 mois.
• Codes de vérification envoyés par email : le code de connexion (valable 10 minutes) est effacé dans l'heure qui suit son usage ou son expiration ; le code d'inscription et l'adresse associée sont effacés 24 heures après l'expiration du code.
• Journaux techniques et de connexion (adresses IP, sécurité) : 12 mois au maximum.
• Preuve d'envoi des préavis de fin d'essai et de clôture : 5 ans à compter de l'envoi. Cette preuve ne conserve pas votre adresse email en clair : elle enregistre une empreinte cryptographique (SHA-256) de l'adresse et une forme masquée (par exemple t***@exemple.fr), suffisantes pour démontrer l'envoi sans conserver la donnée elle-même.
• Demandes de contact : 3 ans après le dernier échange.
• Compte de facturation Stripe : créé dès l'ouverture de l'essai gratuit (même sans paiement) ; supprimé avec le compte, à l'issue de la fenêtre de 30 jours qui suit la clôture, s'il ne porte aucune facture ; sinon conservé 10 ans avec les documents de facturation (obligation comptable).
• Sauvegardes : les données supprimées disparaissent des copies de sauvegarde au terme de leur cycle de rotation, qui n'excède pas 30 jours (offre PostgreSQL infogérée OVHcloud : sauvegardes automatiques quotidiennes et chiffrées, rétention actuelle de 2 jours, susceptible d'être portée à 14 ou 30 jours selon le plan souscrit). Une sauvegarde n'est jamais restaurée dans le but de réintroduire des données supprimées.

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données personnelles. Pour les exercer : contact@cocopim.fr (réponse sous un mois). Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).

Droit d'opposition (art. 21 RGPD). Vous pouvez vous opposer à tout moment, pour des raisons tenant à votre situation particulière, aux traitements fondés sur notre intérêt légitime, notamment aux messages de relance et de réactivation adressés à un compte non converti ou devenu inactif. Cette opposition est sans effet sur les messages nécessaires à l'exécution du contrat et à l'information préalable du client, préavis de fin d'essai et de clôture (CGU/CGV, art. 5.8), messages de sécurité et de facturation, ni sur la conservation de leur preuve d'envoi (§5), que nous devons pouvoir produire.

Le site cocopim.fr ne dépose aucun cookie de mesure d'audience ni de publicité. Seuls des cookies strictement nécessaires sont utilisés :

• Préférence de thème (clair/sombre) : stockage local, durée de vie du navigateur.
• Application cocoPIM (app.cocopim.fr et sous-domaines) : cookie de session sécurisé (authentification) et préférence de langue, strictement nécessaires au fonctionnement, exemptés de consentement (délibération CNIL).
• Préférences d'affichage des listes (application cocoPIM) : colonne de tri, nombre de lignes par page et mode d'affichage, mémorisés dans le stockage local du navigateur, par compte et par espace, jamais transmis au serveur ; aucun texte saisi ni filtre n'y est conservé. Durée : jusqu'à effacement par vous-même.

Ces cookies étant indispensables, ils ne nécessitent pas de bannière de consentement ; une information est néanmoins affichée à la première visite de l'application.

Les mesures techniques et organisationnelles protégeant vos données (chiffrement en transit, cloisonnement par client, contrôle d'accès, sauvegardes quotidiennes de la base de données) sont décrites sur la page Sécurité.

Cette politique peut évoluer avec le service ; la date de dernière mise à jour figure en tête de page et toute modification substantielle est notifiée aux utilisateurs concernés.