Politique de confidentialité

Responsable des traitements liés au compte

Ygdraz Studio détermine les finalités des traitements nécessaires à la création du compte, à la facturation, au support, à la sécurité et à l’amélioration du service.

Données traitées

• Identité, coordonnées, activité et informations de l’entreprise.
• Données de connexion, sécurité, support et préférences.
• Statut d’abonnement, historique de facturation et références de paiement, sans conservation des numéros complets de carte par Ygdraz Studio.
• Données métier saisies dans l’application : recettes, stocks, clients, devis, commandes, factures, planning et, lorsque les modules sont activés, données HACCP, comptables, de site ou d’assistant IA.

Finalités et bases juridiques

• Créer et administrer le compte, fournir le service et gérer l’abonnement : exécution du contrat.
• Émettre et conserver les pièces de facturation : obligation légale.
• Sécuriser le service, prévenir les abus et améliorer sa fiabilité : intérêt légitime.
• Répondre aux demandes d’assistance et accompagner l’utilisation du service : exécution du contrat ou mesures précontractuelles.
• Envoyer des communications commerciales non indispensables : consentement lorsqu’il est requis.

Vos propres clients

Pour les données personnelles que le professionnel saisit au sujet de ses clients, prospects, salariés ou fournisseurs, ce professionnel détermine les finalités et reste responsable du traitement. Ygdraz Studio agit comme sous-traitant pour héberger et faire fonctionner L’atelier, dans les limites décrites par l’annexe de sous-traitance.

Prestataires

Selon les fonctions utilisées, les données peuvent être confiées aux prestataires strictement nécessaires : OpenAI/ChatGPT Sites et Cloudflare pour l’application et son infrastructure, Supabase pour l’authentification du site commercial, Stripe pour les paiements et abonnements, Resend pour les e-mails, Notion lorsque l’utilisateur active la connexion, et OpenAI pour les fonctions d’assistant IA. La liste et les fonctions de ces prestataires pourront évoluer ; toute modification importante sera portée à la connaissance des clients.

Durées de conservation et sauvegardes

Les données du compte et les données métier sont conservées pendant la relation contractuelle, puis selon les besoins de restitution, de défense des droits et les obligations légales applicables. Les pièces comptables suivent leurs durées légales propres. Une copie quotidienne de la base applicative et des fichiers est stockée dans un espace Cloudflare R2 privé distinct de l’application ; une copie mensuelle est également prévue. Les règles actives de ce stockage font expirer les archives quotidiennes après 30 jours et les mensuelles après 180 jours. Une archive antérieure peut contenir des données effacées du compte actif jusqu’à son expiration effective. Une copie réelle a été reconstruite dans un environnement local isolé le 23 septembre 2026, sans que la restauration complète du service hébergé soit encore démontrée.

Durées par catégorie

• Compte et espace métier : pendant le service, puis une fenêtre de restitution de 30 jours après sa fin effective, avant traitement de la clôture. Une nouvelle souscription interrompt cette clôture.
• Preuves contractuelles et suivi des demandes de droits : 5 ans après la fin du contrat ou la clôture de la demande, en archive à accès restreint et limitée aux éléments nécessaires.
• Assistance ordinaire : 2 ans après la clôture du ticket ; les pièces devenues inutiles sont retirées plus tôt.
• Factures et pièces comptables de Ygdraz Studio : 10 ans après la clôture de l’exercice concerné. Les pièces comptables du professionnel restent sous sa responsabilité et doivent lui être restituées.
• Journaux techniques et opérationnels propres au studio : 6 mois après l’événement, sauf exception justifiée liée à un incident, un litige ou une obligation légale.

Les dossiers arrivés à échéance font l’objet d’une revue manuelle : hebdomadaire pour les clôtures et mensuelle pour les journaux et l’assistance. Il ne s’agit pas d’une purge générale automatique déjà déployée. Les exceptions sont documentées et réévaluées. Les données détenues par les prestataires suivent également leurs propres obligations et conditions.

Les marqueurs de protection des comptes effacés sont limités à ce qui est nécessaire pour empêcher leur réapparition depuis une sauvegarde. Leur retrait est examiné une fois toutes les copies concernées expirées ou supprimées, y compris les copies locales. Ils ne sont pas utilisés pour réactiver le compte.

Transferts internationaux

Certains prestataires peuvent traiter des données hors de l’Espace économique européen. Ces transferts doivent alors reposer sur un mécanisme reconnu par la réglementation applicable, notamment une décision d’adéquation ou des clauses contractuelles appropriées.

Sécurité et accès

L’accès aux espaces est authentifié et limité aux personnes habilitées. Les communications utilisent HTTPS et les prestataires sont sélectionnés pour leurs garanties techniques et contractuelles. Aucun dispositif ne pouvant offrir une sécurité absolue, les incidents sont traités conformément aux obligations applicables.

Vos droits et l’export

Vous pouvez demander l’accès, la rectification, l’effacement, la limitation ou la portabilité de vos données, vous opposer à certains traitements et retirer votre consentement à tout moment. L’archive disponible dans l’application rassemble les principales données métier de l’espace, avec ses photos et pièces jointes. Un espace trop volumineux nécessite une restitution assistée ; les données détenues séparément par Supabase, Stripe et Resend n’y figurent pas. L’effacement en libre-service vise l’espace métier actif ; il n’annule pas un abonnement en cours et ne supprime pas l’identité de connexion détenue par Supabase. Pour une restitution assistée, la fermeture de cette identité ou toute autre demande, écrivez à contact@ygdrazstudio.fr. Vous pouvez également saisir la CNIL.

Provenance des souscriptions

Lorsqu’un lien contient des paramètres de campagne (source, support ou nom de campagne), ils sont transmis au parcours d’inscription par l’adresse des liens. Aucun stockage supplémentaire dans le navigateur n’est utilisé pour cette transmission. Si une personne ouvre le paiement Stripe, L’atelier enregistre ces paramètres avec une empreinte technique de la session et l’état de l’essai afin de compter les passages à Stripe et les essais activés. Le rapport administrateur est agrégé, sans adresse e-mail ni donnée bancaire, et porte sur les 90 derniers jours. Ces enregistrements techniques font partie des journaux soumis à la revue de conservation indiquée ci-dessus. Vous pouvez exercer vos droits ou vous opposer à cette mesure en écrivant à contact@ygdrazstudio.fr.

Cookies

Les traceurs strictement nécessaires à l’authentification, à la sécurité et au fonctionnement peuvent être utilisés sans finalité publicitaire. Tout outil de mesure d’audience ou de prospection soumis au consentement sera désactivé tant que ce consentement n’aura pas été recueilli.

Comment obtenir une restitution ou fermer votre espace

L’export ZIP se télécharge depuis Mon compte et mes données, avant l’effacement. Pour une restitution assistée, un fichier manquant ou la fermeture de l’identité Supabase, contactez le studio depuis l’adresse associée au compte, sans communiquer de mot de passe. Consultez la procédure détaillée de restitution. La fin de l’abonnement, l’effacement métier et la fermeture de l’identité de connexion sont des opérations distinctes.

Les demandes d’exercice des droits relatives aux traitements dont le studio est responsable reçoivent une réponse dans un délai d’un mois. Une éventuelle prolongation justifiée est annoncée dans ce premier mois. Les demandes concernant les clients d’un professionnel sont traitées avec ce professionnel, responsable du traitement.