Politique de confidentialité

Qui sommes-nous

DocBunker (docbunker.app) est édité par SL LABS (voir les mentions légales). Le responsable du traitement des données du compte est SL LABS (Stan Leon), 2 impasse Henri Bille, 34500 Béziers, France. Pour toute question sur cette politique ou sur vos données, écrivez à contact@docbunker.app. Aucun délégué à la protection des données n’a été désigné, faute d’obligation.

Deux rôles à distinguer

Le professionnel (la personne qui crée un dossier client) est responsable du traitement des documents, commentaires et informations de ses clients qu’il dépose dans DocBunker. DocBunker agit alors comme sous-traitant : il héberge et protège ces données pour le compte du professionnel, sans les utiliser pour son propre compte. Un accord de sous-traitance (article 28 du RGPD) est disponible sur demande.

DocBunker est responsable du traitement des données nécessaires au fonctionnement du compte du professionnel (adresse e-mail, connexion, sécurité).

Données traitées

• Professionnel : adresse e-mail (identifiant de connexion), code de connexion à usage unique (conservé sous forme d’empreinte, valable 10 minutes), session de connexion (cookie technique, 30 jours).
• Parrainage : code de parrainage personnel, et lien entre le parrain et le filleul inscrit avec son lien (aucun cookie : le code transite par la demande de connexion). Le parrain voit l’adresse du filleul masquée (« j***@exemple.com ») et l’état de son parrainage.
• Dossiers clients : titre, documents déposés, commentaires, noms saisis par le professionnel ou son client.
• Client : pas de compte. L’accès se fait par un lien privé. Le client peut saisir un nom lorsqu’il commente.
• Notifications au client (facultatives) : si elles sont activées, l’adresse e-mail du client, saisie par le professionnel (qui répond de l’accord de son client) ou confirmée par le client lui-même. Elle sert uniquement à envoyer un récapitulatif quand de nouveaux documents sont ajoutés (jamais de nom de fichier) ; chaque e-mail permet de se désabonner. L’adresse est supprimée avec le dossier.
• Formulaire de contact et support : nom, adresse e-mail et message, uniquement pour répondre à votre demande.
• Journal d’activité : ouverture du dossier, dépôt, téléchargement, suppression, commentaire et actions de gestion, avec la date. Il est visible du professionnel. Aucune adresse IP ni empreinte de navigateur n’y est enregistrée.
• Sécurité : les fichiers sont analysés par un moteur de règles avant d’être accessibles. Pour limiter les abus, des compteurs temporaires liés à l’adresse IP sont conservés quelques heures à quelques jours.

Pour les abonnements, nous traitons aussi votre nom et votre adresse de facturation, votre numéro de TVA éventuel et l’état de votre abonnement. Les données de carte bancaire sont saisies chez Stripe : elles ne transitent pas par DocBunker et ne sont jamais stockées par nous.

Bases légales

• Fonctionnement du compte et fourniture du service (connexion, dossiers, analyse des fichiers, parrainage) : exécution du contrat, article 6 §1 b) du RGPD.
• Sécurité, prévention des abus, limites de débit et journaux techniques : intérêt légitime à exploiter un service sûr, article 6 §1 f).
• Facturation et conservation des factures : obligation légale, article 6 §1 c).
• Contact et support : mesures précontractuelles et exécution du contrat (b), ou intérêt légitime à répondre (f).
• Notifications au client d’un dossier : consentement du client (a), donné par l’e-mail de confirmation et révocable à tout moment pour l’avenir (lien de désabonnement dans chaque e-mail). Lorsque le professionnel saisit lui-même l’adresse, il répond de l’accord de son client ; nous agissons alors comme son sous-traitant.

Fournir votre adresse e-mail est nécessaire pour utiliser le service : sans elle, pas de compte. Il n’y a pas de décision entièrement automatisée, y compris de profilage, au sens de l’article 22 du RGPD ; l’analyse automatique des fichiers bloque des fichiers selon des règles anti-malware et ne prend aucune décision concernant des personnes.

Cookies

DocBunker n’utilise qu’un cookie technique de session pour le professionnel connecté, et un cookie de préférence de langue. Il n’y a ni publicité ni outil de mesure d’audience. Aucun bandeau de consentement n’est donc nécessaire.

Hébergement et sous-traitants

Le service est hébergé chez Cloudflare. La base de données et le stockage des fichiers sont configurés en juridiction de l’Union européenne. Les e-mails (codes de connexion, notifications) sont envoyés via Cloudflare Email Sending. Les paiements sont traités par Stripe (Stripe Payments Europe, Ltd., Irlande). Cloudflare traite aussi des données techniques (adresses IP, journaux de requêtes) pour acheminer et protéger le service, selon ses propres conditions. Cloudflare et Stripe sont des sociétés américaines : les transferts éventuels de données hors de l’Union européenne reposent sur les clauses contractuelles types de la Commission européenne et, le cas échéant, sur le cadre de protection des données UE–États-Unis.

Sécurité

Connexions chiffrées (HTTPS), liens clients secrets, expirables et révocables, analyse des fichiers avant partage, mise en quarantaine puis suppression des fichiers jugés dangereux, accès au journal réservé au professionnel. Aucune mesure ne garantit une sécurité absolue : l’analyse détecte des menaces connues, pas toutes les menaces.

Durée de conservation

• Un dossier, ses documents, ses commentaires et son journal sont conservés jusqu’à leur suppression par le professionnel. L’expiration ou la désactivation du lien client bloque l’accès du client mais ne supprime pas le dossier.
• Supprimer un dossier supprime aussi ses fichiers stockés.
• Les codes de connexion expirent après 10 minutes, les sessions après 30 jours. Un envoi de fichier interrompu et jamais terminé est supprimé sous 24 heures.
• Les factures et données comptables liées aux abonnements sont conservées pendant la durée légale (10 ans).

Vos droits

Vous pouvez demander l’accès, la rectification, l’effacement, la limitation ou la portabilité de vos données, ou vous opposer à un traitement fondé sur un intérêt légitime, et retirer un consentement à tout moment pour l’avenir (article 7 §3 du RGPD). Si vous êtes le client d’un professionnel, adressez-vous d’abord à lui, puis à nous : nous l’aiderons à répondre. Vous pouvez aussi introduire une réclamation auprès de toute autorité de protection des données, notamment du lieu où vous vivez ou travaillez, ou de la CNIL, compétente pour nous (cnil.fr).

Évolutions

Cette politique peut évoluer avec le service. La date ci-dessus indique la dernière mise à jour.