Politique de confidentialité

Cette politique informe les personnes dont les données sont traitées, conformément aux articles 13 et 14 du règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 « Informatique et Libertés ».

1. Qui traite vos données, et à quel titre

La société KERSYS, SARL au capital de 1 000 €, RCS Rennes 894 299 247, dont le siège est situé 14 La Billais, 35580 Baulon, édite le site pivalio.fr et le logiciel Pivalio (pivalio.app). Elle intervient selon deux rôles distincts :

• Responsable de traitement pour ses propres traitements : prospects, visiteurs du site, comptes des clients et de leurs utilisateurs, facturation de l'abonnement, support, sécurité du service. Ces traitements sont décrits ci-dessous.
• Sous-traitant (article 28 du RGPD) pour les données que ses clients enregistrent dans Pivalio : salariés, candidats, clients finaux, fournisseurs, prospects, contacts de ces clients. Pour ces données, le responsable de traitement est l'entreprise cliente ; KERSYS agit sur ses seules instructions, dans les conditions de l'accord de sous-traitance (DPA). Si vous êtes salarié ou client d'une entreprise utilisatrice de Pivalio, adressez d'abord vos demandes à cette entreprise ; nous l'aiderons à y répondre.

Contact pour toute question relative aux données personnelles : [email protected], ou par courrier au siège. KERSYS n'a pas désigné de délégué à la protection des données ; cette désignation n'est obligatoire que dans les cas prévus à l'article 37 du RGPD.

2. Traitements dont KERSYS est responsable

Les données marquées comme obligatoires dans les formulaires sont nécessaires à la conclusion du contrat ; sans elles, le compte ne peut pas être créé. Aucune décision produisant des effets juridiques n'est prise sur le seul fondement d'un traitement automatisé (article 22 du RGPD).

3. Données que vos clients enregistrent dans Pivalio

Pour ces données, KERSYS est sous-traitant (voir § 1 et le DPA). L'entreprise cliente choisit ce qu'elle enregistre et en définit les finalités ; l'application applique néanmoins les durées suivantes, fondées sur les textes cités :

• Pièces d'un client effacé à sa demande : factures et avoirs conservés 10 ans à compter de la clôture de l'exercice (C. com. L123-22) ; devis et interventions 5 ans à compter de la demande d'effacement (C. civ. 2224) ; travaux 10 ans à compter de la réception (C. civ. 1792 et 1792-4-1) ; pour une entreprise du bâtiment, tous les devis et interventions 10 ans. Chaque pièce est anonymisée à son échéance par une tâche quotidienne.
• Pistes commerciales non converties : supprimées au bout de 3 ans ; prospects sans échange depuis 3 ans : signalés chaque mois aux dirigeants (référentiel CNIL « gestion commerciale »).
• Registre unique du personnel : 5 ans après le départ du salarié (C. trav. R1221-26).
• Bulletins de paie : conservés et consultables par les salariés, y compris après leur départ ; avant toute fermeture du service, avis aux salariés trois mois à l'avance (C. trav. L3243-2, D3243-8).
• Géolocalisation du pointage, lorsqu'elle est activée : 60 jours par défaut, 1 an au maximum.
• Pièces comptables : 10 ans (C. com. L123-22) ; factures reçues : 6 ans au moins (LPF L102 B).
• Fichiers d'import : supprimés au bout de 7 jours.

4. Destinataires et sous-traitants ultérieurs

Les données sont accessibles aux seules personnes habilitées de KERSYS, dans la limite de leurs fonctions. Elles ne sont ni vendues ni louées. KERSYS fait appel aux prestataires suivants :

Services que l'entreprise cliente connecte elle-même. Lorsque l'entreprise active une connexion (plateforme agréée de facturation électronique avec son propre compte, Chorus Pro, dépôt de la DSN sur net-entreprises, sa propre messagerie SMTP/IMAP, son propre espace de stockage, Meta, LinkedIn, Google Business Profile, Shopify, Sellsy), Pivalio transmet les données nécessaires à ce service sur son instruction ; ce service relève de la relation directe entre l'entreprise et son fournisseur. Les notifications push, si l'utilisateur les active, transitent par le service de notification de son navigateur (Google, Mozilla ou Apple). La saisie d'adresses et la recherche d'entreprises interrogent les services publics de l'État (Base adresse nationale, annuaire des entreprises).

Les données peuvent enfin être communiquées aux autorités habilitées (administration fiscale, autorités judiciaires) lorsque la loi l'impose.

5. Transferts hors de l'Union européenne

Les données de l'application sont hébergées en France. Certains prestataires sont établis aux États-Unis (Cloudflare, Resend, Stripe pour une partie de ses traitements). Ces transferts sont encadrés conformément aux articles 44 à 46 du RGPD : par la décision d'adéquation de la Commission européenne du 10 juillet 2023 (cadre de protection des données UE–États-Unis) pour les entreprises certifiées — Cloudflare, Resend et Stripe déclarent cette certification sur leurs pages officielles — et, à défaut ou en complément, par les clauses contractuelles types adoptées par la Commission européenne. Vous pouvez obtenir une copie des garanties applicables en écrivant à [email protected].

6. Fin de l'abonnement

À la fin d'un essai ou à la résiliation d'une formule payante, l'entreprise passe sur la formule Gratuit : ses données sont conservées et restent exportables. Après un impayé non régularisé, l'accès est suspendu jusqu'au paiement, sans effacement de données. À la fermeture de son espace (à sa demande, ou par KERSYS dans les cas prévus par les CGV), l'accès est bloqué ; l'entreprise peut, pendant 30 jours après le blocage, réactiver son espace ou récupérer ses données ; la suppression de son espace est ensuite programmée, et n'intervient pas moins de trois mois après l'avis de fermeture adressé aux salariés titulaires de bulletins (C. trav. D3243-8). Les détails figurent dans le DPA.

7. Sécurité

KERSYS met en œuvre des mesures techniques et organisationnelles adaptées (article 32 du RGPD) : hébergement en France, isolation des données de chaque entreprise, chiffrement des connexions et de certaines données au repos, double authentification, journal d'audit, sauvegardes quotidiennes. Elles sont décrites dans le DPA et sur la page Sécurité.

8. Vos droits

Vous disposez des droits suivants sur les données vous concernant :

• accès (art. 15), rectification (art. 16), effacement (art. 17) et limitation du traitement (art. 18) ;
• portabilité des données que vous avez fournies, lorsque le traitement repose sur le contrat (art. 20) ;
• opposition, à tout moment, au traitement fondé sur l'intérêt légitime, et sans justification à la prospection (art. 21) ;
• définition de directives relatives au sort de vos données après votre décès (art. 85 de la loi Informatique et Libertés).

Pour les exercer, écrivez à [email protected] ou au siège. Nous répondons dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe, dont vous serez alors informé (art. 12.3). Une pièce d'identité ne peut être demandée qu'en cas de doute raisonnable sur votre identité.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur cnil.fr/fr/plaintes.

9. Cookies et traceurs

Site pivalio.fr

Le site ne dépose aucun cookie de mesure d'audience, de publicité ou de réseau social, et ne charge aucune police ni aucun script depuis un service tiers. Le réseau Cloudflare peut déposer un cookie technique de sécurité (__cf_bm, 30 minutes) lorsqu'une protection contre les robots est active ; ce cookie est strictement nécessaire et exempté de consentement (article 82 de la loi Informatique et Libertés).

Application pivalio.app

L'application n'utilise que des cookies nécessaires à son fonctionnement ou à la sécurité, exemptés de consentement (article 82 de la loi Informatique et Libertés) ; aucun outil de mesure d'audience ni traceur publicitaire n'y est intégré.

Le stockage local du navigateur conserve seulement des préférences d'affichage et des brouillons (par exemple un compte rendu d'intervention saisi sans réseau). Si un contenu publié dans l'application intègre une vidéo YouTube, sa lecture peut entraîner le dépôt de cookies par Google, selon la politique de ce service.

Extension de navigateur « Pivalio – Import d'articles fournisseurs »

Cette extension, facultative, permet d'ajouter au catalogue d'articles de l'entreprise un produit vu sur le site d'un fournisseur.

• Ce qu'elle lit : uniquement la fiche produit affichée dans l'onglet actif, au moment où l'utilisateur clique sur le bouton de l'extension. Elle ne lit aucune autre page, ne suit pas la navigation et ne fonctionne pas en arrière-plan.
• Où vont les données : les informations du produit (désignation, référence, prix, image…) sont envoyées au seul compte Pivalio de l'utilisateur, sur pivalio.app, et à aucun autre destinataire.
• Jeton de connexion : l'extension est reliée au compte par un jeton stocké localement dans le navigateur. Il est valable 90 jours et révocable à tout moment depuis Paramètres > Extensions connectées dans Pivalio ; la désinstallation de l'extension l'efface du navigateur.
• Aucun tiers : l'extension ne transmet rien à un tiers et ne contient aucun outil de mesure d'audience ni traceur publicitaire.

Les articles importés font partie des données de l'entreprise enregistrées dans Pivalio (§ 3) ; le jeton relève de la sécurité des comptes décrite au § 2.

10. Modification de cette politique

Cette politique peut évoluer, notamment en cas de nouveau prestataire ou de nouvelle fonction. La version en vigueur et sa date figurent en haut de cette page ; les clients sont informés des changements portant sur les sous-traitants ultérieurs dans les conditions du DPA.