Politique de Confidentialité

1. Responsable du traitement et délégué à la protection des données

1.1 Responsable du traitement (Art. 4 Nr. 7 DSGVO)

Le responsable du traitement des données personnelles en relation avec l'exploitation du site web biscotti-cmp.com, de l'application app.biscotti-cmp.com ainsi que de tous les services associés est :

Campcruisers GmbH
Berliner Str. 21 B
14612 Falkensee
Allemagne

Représentée par : Daniel Bosch (Directeur général / CEO)
Également habilité à représenter : Philipp André Marschall (Fondé de pouvoir)

1.2 Délégué à la protection des données

Si une obligation légale de désigner un délégué à la protection des données existe conformément au § 38 Abs. 1 BDSG ou à l'Art. 37 DSGVO, celui-ci sera désigné et ses coordonnées seront publiées à cet endroit. Indépendamment de cela, la direction (Daniel Bosch, Philipp André Marschall) assure la surveillance et le respect complets des obligations en matière de protection des données.

Pour toutes les demandes relatives à la protection des données, veuillez contacter :
E-mail : [email protected]
Téléphone : +49 3322 50703301
Heures d'ouverture : Du lundi au vendredi, 10h00–17h00 (HNC/HCE)

2. Aperçu des activités de traitement

Biscotti CMP est une plateforme complète de gestion du consentement et de conformité légale. Dans le cadre de l'exploitation de la plateforme, nous traitons des données personnelles dans les domaines suivants :

• Enregistrement et gestion de compte (Section 3)
• Utilisation de la plateforme SaaS / Tableau de bord (Section 4)
• Données de consentement des visiteurs de sites web de nos clients (Section 5)
• Scanner de cookies (Section 6)
• Legal Suite — Génération de textes par IA (Section 7)
• Legal Sync — Surveillance des modifications législatives (Section 8)
• Audit de politique — Scraping de site web et analyse par IA (Section 9)
• Place de marché d'avocats (Section 10)
• Fonctionnalités d'agence et de marque blanche (Section 11)
• Newsletter (Section 12)
• Programme de récompenses pour avis (Section 13)
• Traitement des paiements (Section 14)
• Détection GeoIP (Section 15)
• Détection de bots (Section 16)
• Suivi de session (Section 17)
• Sauvegardes (Section 18)
• Hébergement et infrastructure (Section 19)
• Cookies et stockage local sur biscotti-cmp.com (Section 20)

Pour chaque activité de traitement, la finalité, la base juridique, les catégories de données traitées, les destinataires ainsi que la durée de conservation sont indiqués ci-après.

3. Enregistrement et gestion de compte

3.1 Enregistrement et création de compte

Finalité : Création et gestion de votre compte utilisateur pour l'utilisation de la plateforme Biscotti CMP.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (Exécution du contrat — l'enregistrement est une condition préalable à l'utilisation de la plateforme SaaS).

Catégories de données traitées :

• Adresse e-mail (obligatoire)
• Mot de passe (stocké sous forme de hachage cryptographique, jamais en clair)
• Prénom, Nom (facultatif)
• Nom de l'entreprise (facultatif)
• Langue du compte (détectée automatiquement à partir de la langue du navigateur ou choisie manuellement parmi 42 langues disponibles)
• Moment de l'enregistrement
• Adresse IP au moment de l'enregistrement (pour la journalisation du consentement au DPA conformément à l'Art. 28 Abs. 9 DSGVO)

Destinataires : Resend (Envoi de l'e-mail de vérification), Hetzner Online GmbH (Hébergement de la base de données).

Durée de conservation : Les données sont conservées pendant la durée de la relation contractuelle. Après la suppression du compte, les données sont immédiatement supprimées, sous réserve des obligations légales de conservation (cf. Section 23).

3.2 Double-Opt-In (Vérification par e-mail)

Finalité : Vérification de l'adresse e-mail pour garantir que le titulaire de l'adresse e-mail a effectivement effectué l'enregistrement.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (Exécution du contrat) en relation avec l'Art. 6 Abs. 1 lit. f DSGVO (intérêt légitime à prévenir les abus).

Catégories de données traitées :

• Adresse e-mail
• Jeton de vérification (généré aléatoirement, valide 24 heures)
• Moment de l'envoi et de la confirmation
• Statut de vérification (emailVerified: true/false)

Destinataires : Resend (Envoi de l'e-mail de vérification).

Durée de conservation : Le jeton de vérification est supprimé après confirmation ou après l'expiration du délai de 24 heures. Le statut de vérification est conservé pendant la durée de la relation contractuelle.

3.3 Réinitialisation du mot de passe

Finalité : Permettre la récupération de l'accès au compte en cas de mot de passe oublié.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (Exécution du contrat).

Catégories de données traitées :

• Adresse e-mail
• Jeton de réinitialisation (généré aléatoirement, limité dans le temps)
• Moment de la demande

Destinataires : Resend (Envoi de l'e-mail de réinitialisation).

Durée de conservation : Le jeton de réinitialisation est supprimé après utilisation ou après l'expiration de sa période de validité.

4. Utilisation de la plateforme SaaS (Tableau de bord)

4.1 Utilisation du tableau de bord et configuration de la bannière

Finalité : Mise à disposition de l'interface utilisateur web (tableau de bord) sur app.biscotti-cmp.com pour la configuration et la gestion de la bannière de consentement, des sites web, des catégories, des textes juridiques et de toutes les autres fonctionnalités de la plateforme.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (Exécution du contrat).

Catégories de données traitées :

• Données du compte (e-mail, nom, entreprise)
• Configurations de site web (domaine, paramètres de bannière, couleurs, textes, catégories de consentement)
• Statistiques de bannière (vues, interactions, taux d'acceptation)
• Résultats et historiques de scan
• Textes juridiques générés
• Rapports de conformité et scores de santé
• Entrées du journal d'audit (horodatage, ID utilisateur, action effectuée, adresse IP)

Destinataires : Hetzner Online GmbH (Hébergement).

Durée de conservation : Pendant la durée de la relation contractuelle. Les journaux d'audit sont conservés pendant 12 mois. Après la suppression du compte, les données sont irrévocablement supprimées après l'expiration de la période de grâce de 30 jours.

4.2 Gestion d'équipe

Finalité : Permettre l'accès multi-utilisateur au compte par l'invitation de membres d'équipe.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (Exécution du contrat).

Catégories de données traitées :

• Adresses e-mail des membres d'équipe invités
• Rôles et autorisations attribués
• Moment de l'invitation et de l'acceptation

Destinataires : Resend (Envoi de l'e-mail d'invitation), Hetzner Online GmbH (Hébergement).

Durée de conservation : Pendant la durée de l'adhésion à l'équipe. En cas de suppression de l'équipe, les données d'attribution sont supprimées.

4.3 Analyse de consentement et tests A/B

Finalité : Évaluation statistique des taux de consentement, des interactions avec la bannière et du suivi des conversions. Les tests A/B permettent de comparer différentes variantes de bannières pour optimiser les taux d'acceptation.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (Exécution du contrat — les fonctions d'analyse font partie du tarif souscrit).

Catégories de données traitées :

• Statistiques de consentement agrégées (pas de données individuelles)
• Attribution de variantes de bannière (lors des tests A/B)
• Répartition du trafic et taux de conversion

Destinataires : Hetzner Online GmbH (Hébergement).

Durée de conservation : Les statistiques agrégées sont conservées pendant la durée de la relation contractuelle.

5. Données de consentement des visiteurs de sites web

5.1 Collecte des décisions de consentement

Finalité : Collecte, stockage et documentation des décisions de consentement des visiteurs du site web pour remplir l'obligation de preuve de l'opérateur du site web conformément à l'Art. 7 Abs. 1 DSGVO et au § 25 Abs. 1 TDDDG.

Base juridique : Art. 6 Abs. 1 lit. c DSGVO (obligation légale — obligation de preuve selon l'Art. 7 Abs. 1 DSGVO) en relation avec l'Art. 6 Abs. 1 lit. f DSGVO (intérêt légitime de l'opérateur du site web à documenter le consentement).

Catégories de données traitées :

• ID de consentement (UUID pseudonyme, attribuée à l'appareil/navigateur de l'utilisateur final)
• Décisions de consentement par catégorie (Essentiel, Fonctionnel, Analyse, Marketing et, le cas échéant, catégories personnalisées)
• Horodatage du consentement (date et heure)
• Hachage IP (l'adresse IP est traitée exclusivement pour la détection de la juridiction, puis anonymisée en un hachage cryptographique ; les adresses IP brutes ne sont pas stockées de manière permanente)
• Code pays (déterminé via la détection GeoIP)
• Langue du navigateur
• Chaîne User-Agent
• Catégorie de référent (organic, social, paid, direct, referral)
• Chaîne TCF (si le IAB Transparency & Consent Framework 2.3 est activé)
• Variante de consentement (si les tests A/B sont activés)
• Signaux Google Consent Mode v2
• Signal Global Privacy Control (GPC)

Destinataires : Hetzner Online GmbH (Hébergement, base de données), MinIO (Sauvegarde, auto-hébergé sur Hetzner).

Durée de conservation : Les données de consentement sont conservées par défaut pendant 18 mois. L'opérateur du site web (client) peut configurer individuellement la période de conservation. Après l'expiration de la période de conservation, les données sont automatiquement et irrévocablement supprimées.

5.2 Recherche de consentement (Information pour les visiteurs du site web)

Finalité : Permettre aux visiteurs du site web de consulter les données de consentement stockées pour remplir le droit d'accès conformément à l'Art. 15 DSGVO.

Base juridique : Art. 6 Abs. 1 lit. c DSGVO (obligation légale — droit d'accès selon l'Art. 15 DSGVO).

Catégories de données traitées :

• ID de consentement (saisie par le visiteur du site web)
• Adresse IP (pour la limitation de débit, non stockée de manière permanente)

Destinataires : Hetzner Online GmbH (Hébergement).

Durée de conservation : Aucune donnée supplémentaire n'est stockée. La requête est limitée à 10 demandes par minute par adresse IP.

6. Scanner de cookies

6.1 Scan automatisé de site web

Finalité : Recherche automatisée des sites web de nos clients pour les cookies, les entrées de stockage local et les traqueurs tiers afin d'identifier, de catégoriser et de documenter les technologies utilisées. Les résultats servent à la configuration du bandeau de consentement conforme à la protection des données.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (Exécution du contrat — le scanner de cookies est une fonction essentielle de la plateforme).

Catégories de données traitées :

• Domaine et URL du site web scanné
• Cookies trouvés (Nom, Valeur, Domaine, Date d'expiration, Chemin, Flag Secure, Attribut SameSite)
• Entrées de stockage local
• Traqueurs tiers et ressources externes intégrées
• Catégorisation des éléments trouvés (Essentiel, Fonctionnel, Analyse, Marketing)
• Correspondance avec la IAB Global Vendor List (GVL)
• Moment et durée du scan

Mise en œuvre technique : Le scanner utilise Playwright (navigateur headless open-source de Microsoft), qui est exploité sur nos propres serveurs sur la Hetzner (Falkenstein, Allemagne). Aucune donnée n'est transmise à Microsoft. Le scanner visite le site web du client comme un navigateur ordinaire pour collecter les contenus rendus par JavaScript et les cookies définis dynamiquement.

Destinataires : Hetzner Online GmbH (Hébergement), Alibaba Cloud Qwen (Catégorisation des cookies trouvés assistée par IA).

Durée de conservation : Les résultats du scan sont conservés pendant la durée de la relation contractuelle. Les historiques de scan permettent la comparaison avec des scans antérieurs.

6.2 Vérificateur de cookies public

Finalité : Mise à disposition d'un vérificateur de cookies public et gratuit sur le site web marketing, utilisable sans enregistrement.

Base juridique : Art. 6 Abs. 1 lit. f DSGVO (intérêt légitime à fournir un service d'information et à acquérir des clients).

Catégories de données traitées :

• Domaine/URL saisi(e)
• Adresse IP (pour la limitation de débit, non stockée de manière permanente)
• Résultats du scan

Destinataires : Hetzner Online GmbH (Hébergement).

Durée de conservation : Les résultats du scan du vérificateur public sont stockés temporairement. L'utilisation est limitée à 3 scans par jour par adresse IP.

7. Legal Suite — Génération de textes par IA

7.1 Génération de textes juridiques assistée par IA

Finalité : Génération de textes juridiques personnalisés (Mentions légales, Politique de confidentialité, Politique de cookies, CGV, Droit de rétractation, DPA, Conditions d'expédition et de retour, Conditions d'utilisation, Clause de non-responsabilité, NDA, Informations DSA et plus de 30 autres types de documents) sur la base des informations saisies par le client et en utilisant l'intelligence artificielle.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (Exécution du contrat — la Legal Suite fait partie du tarif souscrit).

Catégories de données traitées, transmises à Alibaba Cloud Qwen :

• Données de l'entreprise du client (Nom de l'entreprise, Forme juridique, Adresse, Coordonnées)
• Noms des représentants autorisés (Directeurs généraux, Fondés de pouvoir)
• Données d'enregistrement (Tribunal d'enregistrement, Numéro d'enregistrement, Numéro d'identification TVA)
• Informations spécifiques à l'industrie et catégorie d'entreprise
• Description des activités de traitement
• Informations individuelles saisies par le client concernant le type de document
• Informations de juridiction

Fournisseur d'IA : Alibaba Cloud Qwen (Alibaba (Netherlands) B.V., Herengracht 448, 1017 CA Amsterdam, Niederlande). Le traitement s'effectue via l'API Alibaba Cloud Qwen au sein de l'UE/EEE. Conformément aux règles de confidentialité de Alibaba Cloud, les données d'entrée ne sont pas utilisées pour l'entraînement des modèles d'IA.

Destinataires : Alibaba Cloud Qwen (Traitement par IA), Hetzner Online GmbH (Hébergement, stockage des textes générés).

Durée de conservation : Les textes juridiques générés sont conservés pendant la durée de la relation contractuelle. Chez Alibaba Cloud Qwen, les données d'entrée ne sont pas stockées au-delà du traitement, conformément aux conditions d'utilisation de Alibaba Cloud.

7.2 Apportez votre propre clé (BYOK)

Finalité : Les clients peuvent éventuellement déposer leurs propres clés API pour les fournisseurs d'IA (Alibaba Qwen, Google Gemini, OpenAI, Anthropic Claude, Ollama) afin d'effectuer la génération de texte via leur propre compte auprès du fournisseur d'IA respectif.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (Exécution du contrat).

Catégories de données traitées :

• Clé API du client (est stockée chiffrée avec AES-256-GCM)

Remarque : Lors de l'utilisation d'une clé API propre, le traitement des données d'entrée chez le fournisseur d'IA respectif relève de la responsabilité du client. Les règles de protection des données du fournisseur respectif s'appliquent.

Destinataires : Le fournisseur d'IA choisi par le client.

Durée de conservation : La clé API chiffrée est conservée pendant la durée de la relation contractuelle et supprimée lors de la suppression du compte.

8. Legal Sync — Surveillance des modifications législatives

Finalité : Surveillance automatisée des modifications législatives dans plus de 186 juridictions. En cas de modifications pertinentes, les textes juridiques concernés du client sont automatiquement marqués comme nécessitant une mise à jour. Dans les tarifs avec fonction « Auto-Update », les textes concernés peuvent être régénérés automatiquement.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (Exécution du contrat — Legal Sync fait partie du tarif souscrit).

Catégories de données traitées :

• Attribution de juridiction des sites web des clients
• Attribution des textes juridiques générés aux juridictions
• Moment et type de la modification législative détectée
• Statut de la mise à jour (actuel, nécessitant une mise à jour, automatiquement mis à jour)

Mise en œuvre technique : Un processus automatisé quotidien (Cron-Job, 03:00 UTC) vérifie les modifications législatives et les compare avec les documents des clients.

Destinataires : Hetzner Online GmbH (Hébergement), Alibaba Cloud Qwen (lors de la régénération automatique des textes juridiques), Resend (E-mails de notification).

Durée de conservation : Les journaux de modifications sont conservés pendant la durée de la relation contractuelle.

9. Audit de politique — Scraping de site web et analyse par IA

9.1 Audits de conformité automatisés

Finalité : Vérification hebdomadaire automatisée des sites web des clients pour les risques liés à la protection des données. Cela comprend la détection de nouveaux cookies depuis le dernier scan, la vérification des problèmes de consentement ainsi que l'analyse assistée par IA des textes juridiques existants (Politique de confidentialité, Mentions légales) du client. Le résultat est présenté sous forme de score de santé (A–F).

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (Exécution du contrat — la fonction d'audit de conformité fait partie de la plateforme).

Catégories de données traitées :

• Domaine et URL du site web audité
• Contenus scrapés de la politique de confidentialité et des mentions légales du client
• Résultats de l'analyse IA (lacunes détectées, références obsolètes, services manquants)
• Score de santé et rapport de conformité
• Moment de l'audit

Mise en œuvre technique : Playwright (navigateur headless, auto-hébergé sur Hetzner) scrape les textes juridiques publiquement accessibles du site web du client. Les textes scrapés sont ensuite analysés via l'API Alibaba Cloud Qwen.

Destinataires : Hetzner Online GmbH (Hébergement), Alibaba Cloud Qwen (Analyse par IA), Resend (E-mails de notification en cas de problèmes détectés).

Durée de conservation : Les résultats d'audit et les rapports de conformité sont conservés pendant la durée de la relation contractuelle.

10. Place de marché des avocats

10.1 Intermédiation de services juridiques

Finalité : Intermédiation de services juridiques entre les clients et les avocats indépendants enregistrés sur la plateforme. Campcruisers GmbH agit exclusivement en tant qu'intermédiaire et ne devient pas elle-même partie au contrat de mandat entre le client et l'avocat (cf. § 14 CGV).

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (exécution du contrat — utilisation de la place de marché des avocats).

10.2 Enregistrement des avocats

Catégories de données traitées :

• Coordonnées de l'avocat (nom, e-mail, téléphone, adresse du cabinet)
• Qualifications professionnelles et domaines d'expertise
• Documents de vérification (max. 10 Mo, PDF/JPEG/PNG)
• Statut de vérification (PENDING_APPROVAL, APPROVED, REJECTED)
• Disponibilités (créneaux horaires hebdomadaires, dates bloquées, fuseau horaire)
• Photo de profil et description de profil
• Données du compte Stripe Connect (pour les paiements)

10.3 Données de mandat

Catégories de données traitées :

• Demandes de devis et devis (description, prix, durée de validité)
• Statut du mandat (QUOTE_REQUESTED, QUOTE_SENT, PAYMENT_PENDING, IN_REVIEW, COMPLETED, QUOTE_REJECTED, QUOTE_EXPIRED, CANCELLED, DISPUTED)
• Messages entre le client et l'avocat
• Informations de paiement (montant, commission de la plateforme, montant du versement)

10.4 Consultation vidéo (Twilio)

Finalité : Mise à disposition de consultations vidéo entre clients et avocats.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (exécution du contrat).

Catégories de données traitées :

• Métadonnées de la consultation vidéo (heure, durée, participants)
• ID de la salle Twilio et jeton d'accès

Destinataires : Twilio Ireland Limited, Dublin, Irlande (fourniture de l'infrastructure vidéo).

10.5 Évaluations

Finalité : Permettre l'évaluation des avocats par les clients pour l'assurance qualité.

Base juridique : Art. 6 Abs. 1 lit. f DSGVO (intérêt légitime pour l'assurance qualité et la transparence).

Catégories de données traitées :

• Évaluation (étoiles, texte libre)
• Date de l'évaluation
• Affectation au mandat

Destinataires pour l'ensemble de la place de marché des avocats : Stripe Connect (traitement des paiements), Twilio (consultation vidéo), Hetzner Online GmbH (hébergement), Resend (notifications).

Durée de conservation : Les données de mandat sont conservées pendant la durée de la relation contractuelle, mais au moins pendant la durée des obligations légales de conservation (10 ans pour les données de facturation). Les évaluations restent visibles pendant la durée de l'enregistrement de l'avocat. Les offres non acceptées expirent automatiquement après 7 jours.

11. Fonctions d'agence et de marque blanche

11.1 Gestion des sous-comptes

Finalité : Permettre la gestion des comptes clients finaux (sous-comptes) par les agences dans le cadre du tarif Agence.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (exécution du contrat).

Catégories de données traitées :

• Adresses e-mail et coordonnées des titulaires de sous-comptes (clients finaux de l'agence)
• Données d'invitation (e-mail, date)
• Journaux d'accès aux jetons proxy (date, utilisateur de l'agence, sous-compte)
• Configurations de site web et données de consentement des sous-comptes

Destinataires : Hetzner Online GmbH (hébergement), Resend (e-mails d'invitation).

Durée de conservation : Pendant la durée de la relation contractuelle entre l'agence et Campcruisers GmbH.

11.2 Domaine personnalisé (CNAME)

Finalité : Mise à disposition d'un domaine propre pour le tableau de bord de l'agence.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (exécution du contrat).

Catégories de données traitées :

• Nom de domaine de l'agence
• Données de vérification DNS
• Données de certificat SSL/TLS (fournies automatiquement via Let's Encrypt)

Destinataires : Let's Encrypt (émission de certificats SSL — seuls les noms de domaine sont transmis, aucune donnée personnelle de personnes physiques), Hetzner Online GmbH (hébergement, routage Traefik).

11.3 Emails transactionnels personnalisés

Finalité : Permettre l'envoi d'e-mails transactionnels sous la marque de l'agence via un fournisseur d'e-mails propre.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (exécution du contrat).

Catégories de données traitées :

• Clés API du fournisseur d'e-mails de l'agence (stockées cryptées avec AES-256-GCM)
• Données de l'expéditeur de l'e-mail (nom, adresse e-mail)
• Fournisseurs pris en charge : Resend, SendGrid, Mailjet, Mailchimp/Mandrill, Maileroo, Gmail SMTP, Custom SMTP

Note : En cas d'utilisation d'un fournisseur d'e-mails propre, l'envoi des e-mails relève de la responsabilité de l'agence en matière de protection des données.

Durée de conservation : Les clés API cryptées sont conservées pendant la durée de la relation contractuelle.

12. Newsletter

12.1 Abonnement à la newsletter

Finalité : Envoi d'informations sur les mises à jour de produits, le droit de la protection des données, les questions de conformité et les nouveautés concernant Biscotti CMP.

Base juridique : Art. 6 Abs. 1 lit. a DSGVO (consentement — la newsletter n'est envoyée qu'après consentement explicite via la procédure de double opt-in).

Catégories de données traitées :

• Adresse e-mail
• Date d'inscription et de confirmation du double opt-in
• Statut de désabonnement

Procédure de double opt-in : Après avoir saisi votre adresse e-mail, vous recevrez un e-mail de confirmation avec un lien de vérification. Ce n'est qu'après avoir cliqué sur ce lien que votre adresse e-mail sera ajoutée à la liste de diffusion de la newsletter.

Destinataires : Resend (envoi des e-mails de la newsletter et de l'e-mail de confirmation).

Désabonnement : Vous pouvez vous désabonner de la newsletter à tout moment. Chaque e-mail de newsletter contient un lien de désabonnement (Unsubscribe-Link). Alternativement, vous pouvez vous désabonner par e-mail à [email protected].

Durée de conservation : Votre adresse e-mail est conservée jusqu'à votre désabonnement de la newsletter. Après désabonnement, l'adresse e-mail est immédiatement supprimée de la liste de diffusion. Pour la documentation du consentement donné, la date d'inscription et de confirmation est conservée pendant 3 ans après le désabonnement (intérêt légitime à la preuve du consentement, Art. 6 Abs. 1 lit. f DSGVO).

13. Programme de récompenses pour avis

Finalité : Récompenser les clients qui soumettent des avis sur Biscotti CMP sur des plateformes d'évaluation externes, avec des sessions bonus et une mise à niveau temporaire du plan.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (exécution du contrat — la participation au programme est volontaire et constitue une prestation contractuelle supplémentaire).

Catégories de données traitées :

• Données de compte du client participant
• Plateforme d'évaluation (OMR Reviews, Capterra, G2, Google Business, WordPress.org, Trustpilot, SourceForge, Facebook, earlybird.so)
• Lien vers l'avis soumis
• Statut d'approbation (par vérification administrative)
• Données de récompense (15 000 sessions bonus, 1 mois de mise à niveau de plan)

Destinataires : Hetzner Online GmbH (hébergement).

Durée de conservation : Les données de récompense sont conservées pendant la durée de la relation contractuelle. Les sessions bonus expirent après 6 mois (plans réguliers) ou sont valables indéfiniment (plans LTD).

14. Traitement des paiements (Stripe)

14.1 Paiements d'abonnement

Finalité : Traitement des paiements pour les abonnements payants, les packs de crédits et autres services payants.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (exécution du contrat).

Catégories de données traitées :

• Adresse de facturation (nom/entreprise, rue, code postal, ville, pays)
• Numéro de TVA intracommunautaire (pour les clients B2B)
• Méthode de paiement (carte de crédit, prélèvement SEPA, PayPal, Apple Pay, Google Pay, etc.)
• Historique des paiements et factures
• ID client Stripe et ID d'abonnement

Destinataires : Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irlande. Stripe est certifié dans le cadre du EU-US Data Privacy Framework.

Durée de conservation : Les factures et les données comptables sont conservées pendant 10 ans (§ 147 AO, §§ 238, 257 HGB). Les méthodes de paiement sont conservées chez Stripe pendant la durée de l'abonnement.

14.2 Stripe Connect (Place de marché des avocats)

Finalité : Traitement des paiements entre clients et avocats via la place de marché des avocats ainsi que le versement aux avocats.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (exécution du contrat).

Catégories de données traitées :

• Données du compte Stripe Connect Express des avocats
• Montants des paiements, commission de la plateforme, montants des versements
• Données de session de paiement

Destinataires : Stripe Payments Europe, Ltd., Dublin, Irlande.

Durée de conservation : Conformément aux obligations de conservation des données de facturation (10 ans).

14.3 Factures ZUGFeRD

Finalité : Création et mise à disposition de factures au format ZUGFeRD (PDF avec XML intégré conformément à EN 16931).

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (exécution du contrat) en relation avec Art. 6 Abs. 1 lit. c DSGVO (obligation légale — obligations de facturation selon UStG, HGB).

Catégories de données traitées :

• Adresse de facturation, numéro de client (CUS-JJMM-XXXXX), numéro de facture (INV-JJMM-XXXXX)
• Description des services, montants, taux de TVA

Destinataires : Resend (envoi de la facture par e-mail), Hetzner Online GmbH (hébergement).

Durée de conservation : 10 ans (§ 147 AO, §§ 238, 257 HGB).

15. Détection GeoIP

Finalité : Détermination basée sur l'adresse IP du pays ou de la juridiction du visiteur du site web pour l'affichage dynamique de variantes de bannières conformes à la loi (par exemple, Opt-In pour les pays RGPD, Opt-Out pour les pays CCPA, Notice-Only pour les pays sans législation spécifique sur les cookies).

Base juridique : Art. 6 Abs. 1 lit. f DSGVO (intérêt légitime à l'affichage conforme à la loi de la bannière de consentement en fonction de la juridiction applicable du visiteur du site web).

Catégories de données traitées :

• Adresse IP du visiteur du site web (transmise à ip-api.com pour la détection du pays)
• Code pays déterminé

Mise en œuvre technique : L'adresse IP est transmise au service ip-api.com (siège : Lituanie, UE). Le résultat (code pays) est mis en cache (Redis) pendant 1 heure pour éviter les requêtes répétées. Après la détection du pays, l'adresse IP est anonymisée en un hachage cryptographique (IP-Hash). Les adresses IP brutes ne sont pas stockées de manière permanente.

Destinataires : ip-api.com (ip-api, Lituanie — service GeoIP), Hetzner Online GmbH (hébergement, cache Redis).

Durée de conservation : Le résultat GeoIP est stocké dans le cache pendant 1 heure. Les adresses IP brutes sont immédiatement anonymisées après la détection du pays. Le hachage IP est stocké en tant que composant des données de consentement pour la période de conservation configurée (standard : 18 mois).

16. Détection de bots

Finalité : Distinction entre les visiteurs humains du site web et les accès automatisés (bots, crawlers, scrapers) pour un comptage correct des sessions. Les accès automatisés ne sont pas comptés comme des sessions et ne sont pas facturés.

Base juridique : Art. 6 Abs. 1 lit. f DSGVO (intérêt légitime à une facturation correcte et à la protection de la plateforme contre les abus).

Catégories de données traitées :

• Chaîne User-Agent
• En-têtes HTTP (par exemple, Accept-Language, Accept-Encoding)
• Caractéristiques des navigateurs sans interface graphique (headless browsers)
• Adresse IP (pour la limitation de débit basée sur l'IP, non stockée de manière permanente)

Mise en œuvre technique : La détection de bots analyse chaque accès sur la base de l'analyse du User-Agent, de l'analyse des en-têtes (par exemple, absence d'en-têtes Accept-Language), de la détection des navigateurs sans interface graphique et de la limitation de débit basée sur l'IP. L'analyse est effectuée en temps réel sur nos serveurs.

Destinataires : Hetzner Online GmbH (hébergement).

Durée de conservation : Les résultats de l'analyse ne sont pas stockés de manière permanente. Le résultat (Bot : oui/non) est intégré au comptage des sessions.

16.1 Cloudflare Turnstile (Protection anti-bot lors de la connexion/inscription)

Finalité : Protection des formulaires de connexion et d'inscription contre les attaques automatisées de bots.

Base juridique : Art. 6 Abs. 1 lit. f DSGVO (intérêt légitime à la protection de la plateforme contre les abus et les attaques automatisées).

Catégories de données traitées :

• Adresse IP
• Informations sur le navigateur
• Données d'interaction avec le widget Turnstile

Destinataires : Cloudflare Germany GmbH, Rosental 7, 80331 Munich, Allemagne. Cloudflare est certifié dans le cadre du EU-US Data Privacy Framework. La sécurisation est également assurée par des clauses contractuelles types (CCT).

Durée de conservation : Cloudflare conserve les données conformément à ses propres politiques de confidentialité. Aucune donnée supplémentaire de Turnstile n'est stockée sur nos serveurs.

17. Suivi de session

Finalité : Comptage des sessions pour la facturation basée sur le tarif. Une session est comptée lorsque le widget Biscotti-CMP (biscotti.min.js) est chargé sur un site web du client et envoie un ping HTTP au point de terminaison /api/v1/ping.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (exécution du contrat — la facturation basée sur les sessions est la base du modèle tarifaire).

Catégories de données traitées :

• Compteur de sessions (agrégé par site web et par mois de facturation)
• Date du ping
• Résultat de la détection de bot (cf. section 16)

Mise en œuvre technique : Redis est utilisé comme base de données en mémoire pour le suivi de session et la mise en cache. Redis est auto-hébergé sur la Hetzner (Falkenstein, Allemagne). Aucune transmission de données à des tiers n'a lieu.

Destinataires : Hetzner Online GmbH (hébergement, Redis).

Durée de conservation : Les compteurs de sessions sont conservés pour le mois de facturation respectif. Les données de session historiques sont conservées pendant la durée de la relation contractuelle pour la traçabilité de la facturation.

18. Sauvegardes

Finalité : Sauvegarde régulière des journaux de consentement, des configurations de bannière, des configurations de site web et des données de base de données pour garantir la restaurabilité en cas de perte de données.

Base juridique : Art. 6 Abs. 1 lit. f DSGVO (intérêt légitime à la sécurité des données et à la restaurabilité conformément à Art. 32 Abs. 1 lit. c DSGVO).

Catégories de données traitées :

• Toutes les données stockées dans la base de données (journaux de consentement, configurations, données de compte, textes juridiques, résultats d'analyse)
• Configurations de bannière

Mise en œuvre technique :

• Sauvegardes automatiques quotidiennes de la base de données PostgreSQL
• Sauvegardes automatiques quotidiennes des configurations de bannière et des configurations de site web
• Stockage sur un stockage MinIO auto-hébergé au sein de la Hetzner
• Chiffrement côté serveur avec AES-256
• Vérification d'intégrité par des sommes de contrôle SHA-256
• Tests de restauration réguliers

Destinataires : MinIO (auto-hébergé sur la Hetzner Online GmbH).

Durée de conservation : Les sauvegardes sont conservées pour une période glissante. En cas de suppression de compte, les données de sauvegarde sont supprimées après l'expiration de la période de grâce de 30 jours et du prochain cycle de rotation des sauvegardes.

19. Hébergement et infrastructure

19.1 Hetzner Online GmbH

Objectif : Hébergement de l'ensemble de l'infrastructure Biscotti CMP, y compris les serveurs web, la base de données, la logique applicative et tous les services associés.

Base juridique : Art. 6 Abs. 1 lit. b DSGVO (exécution du contrat) en liaison avec l'Art. 6 Abs. 1 lit. f DSGVO (intérêt légitime à une infrastructure fiable et sécurisée).

Localisation du centre de données : Falkenstein/Vogtland (Allemagne, EU).

Fournisseur : Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne.

Architecture technique :

• Application conteneurisée (Docker)
• Traefik comme proxy inverse et équilibreur de charge
• PostgreSQL comme base de données relationnelle (auto-hébergée sur Hetzner)
• Redis comme base de données en mémoire pour le suivi de session et le caching (auto-hébergée sur Hetzner)
• Playwright comme navigateur headless pour le scanning de sites web (auto-hébergé sur Hetzner)
• MinIO comme stockage d'objets compatible S3 pour les sauvegardes (auto-hébergé sur Hetzner)

19.2 Fichiers journaux du serveur

Objectif : Fourniture technique du site web et garantie de la stabilité du système.

Base juridique : Art. 6 Abs. 1 lit. f DSGVO (intérêt légitime à la fourniture technique et à la sécurité).

Catégories de données traitées :

• Adresse IP (anonymisée)
• Date et heure de l'accès
• Page/point d'accès consulté
• Code de statut HTTP
• Quantité de données transférées
• URL de référence
• Type et version du navigateur
• Système d'exploitation

Durée de conservation : Les fichiers journaux du serveur sont conservés pendant un maximum de 30 jours, puis automatiquement supprimés.

20. Cookies et stockage local sur biscotti-cmp.com

20.1 Utilisation propre de Biscotti CMP

Pour gérer les consentements nécessaires sur notre propre site web (biscotti-cmp.com), nous utilisons notre propre produit "Biscotti CMP".

20.2 Cookies techniquement nécessaires

Objectif : Assurer la fonctionnalité du site web et du tableau de bord.

Base juridique : Art. 6 Abs. 1 lit. f DSGVO (intérêt légitime à la fonctionnalité technique) en liaison avec le § 25 Abs. 2 Nr. 2 TDDDG (les cookies techniquement nécessaires sont exemptés de l'obligation de consentement).

Cookies techniquement nécessaires utilisés :

• Cookie de session (JWT-Token pour l'authentification, validité : 7 jours)
• Cookie de consentement (stockage de la décision de consentement du visiteur sur biscotti-cmp.com)
• Cookie de préférence linguistique

20.3 Cookies d'analyse (uniquement avec consentement)

Objectif : Évaluation statistique de l'utilisation de notre site web pour améliorer notre offre.

Base juridique : Art. 6 Abs. 1 lit. a DSGVO (consentement) en liaison avec le § 25 Abs. 1 TDDDG.

Google Analytics 4 : Nous utilisons Google Analytics 4 pour l'évaluation statistique exclusivement avec votre consentement. Fournisseur : Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande. Le traitement des données a lieu dans l'UE. L'anonymisation de l'IP est activée.

20.4 Informations détaillées sur les cookies

Des informations détaillées sur tous les cookies utilisés sur biscotti-cmp.com, y compris le nom, l'objectif, le fournisseur, la durée de conservation et le type, sont disponibles dans notre politique de cookies séparée.

21. Prestataires de services externes / Destinataires

Pour la fourniture de nos services, nous faisons appel aux prestataires de services externes suivants. Cette liste correspond au § 24 de nos CGV et au § 7 de notre AVV :

Technologies auto-hébergées (pas de sous-traitants indépendants) :

• PostgreSQL (Open Source) — Base de données relationnelle, auto-hébergée sur Hetzner (Falkenstein)
• Redis (Open Source) — Base de données en mémoire pour le suivi de session et le caching, auto-hébergée sur Hetzner (Falkenstein)
• Playwright (Open Source, Microsoft) — Navigateur headless pour le scanning de sites web, auto-hébergé sur Hetzner (Falkenstein)
• MinIO (Open Source) — Stockage d'objets compatible S3 pour les sauvegardes, auto-hébergé sur Hetzner (Falkenstein)

Avec ces technologies, aucune transmission de données à des tiers n'a lieu. Elles font partie de l'infrastructure Hetzner mentionnée au point 5.

22. Transfert vers des pays tiers

22.1 Principe

Le traitement des données personnelles a lieu en principe au sein de l'Union Européenne (UE) ou de l'Espace Économique Européen (EEE). L'infrastructure primaire (Hetzner Online GmbH, Falkenstein) est située en Allemagne.

22.2 Transferts vers des pays tiers

Dans la mesure où un traitement par des prestataires de services externes a lieu en dehors de l'UE/EEE, nous nous assurons que les conditions particulières des Art. 44 et suivants. DSGVO sont remplies :

(a) Resend (USA) :

• Sécurisation par les clauses contractuelles types (CCT) actuelles de la Commission européenne conformément à la décision d'exécution (UE) 2021/914
• Sécurisation supplémentaire par le cadre de protection des données UE-États-Unis (DPF) conformément à la décision d'adéquation de la Commission européenne du 10 juillet 2023
• Mesures techniques complémentaires : chiffrement TLS de toutes les transmissions d'e-mails
• Le traitement des données a lieu sur des serveurs AWS dans l'UE (région eu-west-1)

(b) Let's Encrypt (USA) :

• La communication avec Let's Encrypt se limite à l'émission automatisée de certificats SSL/TLS via le protocole ACME
• Seuls les noms de domaine sont transmis — aucune donnée personnelle de personnes physiques

(c) Cloudflare Turnstile (Global) :

• Sécurisation par les clauses contractuelles types (CCT) de la Commission européenne
• Sécurisation supplémentaire par le cadre de protection des données UE-États-Unis
• Le traitement se limite à la détection des bots lors des processus de connexion et d'enregistrement

22.3 Évaluation des conséquences du transfert

Pour chaque transfert vers un pays tiers, nous effectuons une évaluation des conséquences du transfert (Transfer Impact Assessment — TIA) afin de garantir que le niveau de protection des données dans le pays tiers est essentiellement équivalent à celui de l'UE. Les résultats de la TIA sont mis à disposition sur demande.

22.4 Modifications de la situation juridique

Si une décision d'adéquation de la Commission européenne devait être annulée ou si un transfert vers un pays tiers devait être interdit par une autorité de contrôle ou un tribunal, nous vous en informerons sans délai et prendrons des mesures de protection alternatives appropriées ou cesserons le traitement concerné.

23. Durée de conservation et délais de suppression

Nous ne conservons les données personnelles que tant que cela est nécessaire pour la finalité de traitement respective ou que des obligations légales de conservation existent. Voici un aperçu des principales durées de conservation :

Après la suppression du compte, toutes les données personnelles sont irrévocablement et conformément à la protection des données supprimées des systèmes de production et des sauvegardes après l'expiration de la période de grâce de 30 jours, sous réserve des obligations légales de conservation mentionnées ci-dessus.

24. Droits des personnes concernées (Art. 15–22 RGPD)

En tant que personne concernée, vous disposez des droits suivants concernant vos données personnelles :

24.1 Droit d'accès (Art. 15 RGPD)

Vous avez le droit de nous demander une confirmation que nous traitons des données personnelles vous concernant. Si tel est le cas, vous avez le droit d'accéder à ces données personnelles et aux informations mentionnées à l'Art. 15 Abs. 1 DSGVO (finalités du traitement, catégories de données personnelles, destinataires, durée de conservation prévue, origine des données, existence d'une prise de décision automatisée).

Mise en œuvre technique : Vous pouvez consulter vos données de compte à tout moment dans le tableau de bord. Les données de consentement peuvent être téléchargées via la fonction d'exportation (CSV). Les visiteurs du site web peuvent consulter leurs données de consentement enregistrées en indiquant leur Consent-ID sur la page publique de recherche de consentement.

24.2 Droit de rectification (Art. 16 RGPD)

Vous avez le droit d'obtenir sans délai la rectification des données personnelles inexactes. Compte tenu des finalités du traitement, vous avez le droit d'obtenir que les données personnelles incomplètes soient complétées.

Mise en œuvre technique : Les données de compte (nom, e-mail, entreprise, adresse) peuvent être corrigées à tout moment dans le tableau de bord.

24.3 Droit à l'effacement (Art. 17 RGPD)

Vous avez le droit d'obtenir sans délai l'effacement de vos données personnelles, si l'un des motifs mentionnés à l'Art. 17 Abs. 1 DSGVO s'applique (par exemple, les données ne sont plus nécessaires à la finalité, retrait du consentement, traitement illicite).

Mise en œuvre technique : Vous pouvez demander la suppression de votre compte à tout moment via le tableau de bord ou par e-mail à [email protected]. Lors de la suppression du compte, toutes les données personnelles sont irrévocablement supprimées, sous réserve des obligations légales de conservation (cf. section 23). Les données de consentement peuvent être supprimées par le client (opérateur du site web) via les fonctions du tableau de bord.

Restrictions : Le droit à l'effacement n'existe pas dans la mesure où le traitement est nécessaire pour le respect d'une obligation légale (par exemple, obligations de conservation fiscales et commerciales).

24.4 Droit à la limitation du traitement (Art. 18 RGPD)

Vous avez le droit d'obtenir la limitation du traitement si l'une des conditions mentionnées à l'Art. 18 Abs. 1 DSGVO est remplie (par exemple, contestation de l'exactitude, traitement illicite, opposition conformément à l'Art. 21 DSGVO).

Mise en œuvre technique : La limitation de certains ensembles de données peut être initiée via les fonctions du tableau de bord ou en contactant notre support.

24.5 Droit à la portabilité des données (Art. 20 RGPD)

Vous avez le droit de recevoir les données personnelles vous concernant que vous nous avez fournies, dans un format structuré, couramment utilisé et lisible par machine. Vous avez le droit de transmettre ces données à un autre responsable du traitement sans que nous y fassions obstacle.

Mise en œuvre technique : Biscotti CMP offre de vastes possibilités d'exportation de données au format CSV via le tableau de bord et l'API REST. Sont exportables : les données de consentement, les configurations de site web, les résultats de scan, les textes juridiques, les journaux d'audit et les factures.

24.6 Droit d'opposition (Art. 21 RGPD)

Vous avez le droit de vous opposer à tout moment, pour des raisons tenant à votre situation particulière, à un traitement des données personnelles vous concernant fondé sur l'Art. 6 Abs. 1 lit. f DSGVO (intérêt légitime). Nous ne traiterons alors plus les données personnelles, à moins que nous ne puissions démontrer des motifs légitimes et impérieux pour le traitement qui prévalent sur vos intérêts, droits et libertés, ou que le traitement serve à la constatation, à l'exercice ou à la défense de droits en justice.

24.7 Droit de retirer son consentement (Art. 7, par. 3 RGPD)

Dans la mesure où le traitement est fondé sur votre consentement (Art. 6 Abs. 1 lit. a DSGVO), vous avez le droit de retirer votre consentement à tout moment. Le retrait du consentement n'affecte pas la licéité du traitement fondé sur le consentement effectué avant ce retrait.

Mise en œuvre technique pour les visiteurs du site web : La bannière de consentement de Biscotti CMP offre aux utilisateurs finaux la possibilité de consulter et de révoquer les paramètres effectués à tout moment. Le retrait est aussi simple que l'octroi du consentement.

Mise en œuvre technique pour la newsletter : Chaque e-mail de newsletter contient un lien de désinscription.

24.8 Droit d'introduire une réclamation auprès d'une autorité de contrôle (Art. 77 RGPD)

Vous avez le droit de déposer une plainte auprès d'une autorité de contrôle de la protection des données concernant le traitement de vos données personnelles par nos soins. L'autorité de contrôle compétente pour nous est :

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow
Téléphone : +49 33203 356-0
E-mail : [email protected]

Vous pouvez également vous adresser à l'autorité de contrôle de votre lieu de résidence habituel ou de votre lieu de travail.

24.9 Contact pour l'exercice de vos droits

Pour exercer vos droits, veuillez contacter :

E-mail : [email protected]
Téléphone : +49 3322 50703301
Courrier : Campcruisers GmbH, Berliner Str. 21 B, 14612 Falkensee, Allemagne

Nous traiterons votre demande sans délai, au plus tard dans un délai d'un mois à compter de sa réception (Art. 12 Abs. 3 DSGVO). Dans les cas complexes ou en cas de grand nombre de demandes, ce délai peut être prolongé de deux mois supplémentaires, ce dont nous vous informerons en indiquant les motifs.

25. Prise de décision automatisée (Art. 22 RGPD)

25.1 Génération de texte par IA

Dans le cadre de la Legal Suite, des textes juridiques sont générés par Intelligence Artificielle (Alibaba Cloud Qwen). Cette génération de texte constitue un traitement automatisé, mais ne représente pas une prise de décision automatisée au sens de l'Art. 22 Abs. 1 DSGVO, car :

• Les textes générés n'ont pas d'effet juridique sur la personne concernée et ne l'affectent pas de manière significative de manière similaire.
• Les textes ne sont que des brouillons qui doivent être vérifiés, modifiés et approuvés par le client avant utilisation.
• Aucune décision n'est basée exclusivement sur un traitement automatisé — le client conserve toujours le contrôle total sur l'utilisation des textes générés.

25.2 Catégorisation de cookies assistée par IA

La catégorisation automatique des cookies par IA (Essentiel, Fonctionnel, Analyse, Marketing) constitue une fonction de support. Le client peut vérifier et ajuster manuellement la catégorisation à tout moment. Il ne s'agit pas d'une prise de décision automatisée au sens de l'Art. 22 DSGVO.

25.3 Détection de bots

La détection automatisée de bots (cf. section 16) décide automatiquement si un accès est classé comme humain ou automatisé. Cette décision a des conséquences sur le comptage des sessions et donc sur la facturation. Étant donné que la décision concerne exclusivement le client (et non le visiteur du site web) et que le client peut suivre le comptage des sessions dans le tableau de bord, il n'y a pas de prise de décision automatisée au sens de l'Art. 22 DSGVO qui affecterait significativement une personne concernée.

25.4 Score de santé de conformité

Le calcul automatisé du Compliance-Health-Score (A–F) dans le cadre de l'audit de politique (cf. section 9) constitue une fonction d'information et de support. Le score n'a pas d'effet juridique et sert exclusivement à informer le client.

25.5 Avis de transparence conformément à l'EU AI Act

Nous utilisons des systèmes d'IA (Alibaba Cloud Qwen) pour la génération de texte, la catégorisation de cookies et l'analyse de politique. Conformément aux obligations de transparence du règlement (UE) 2024/1689 (EU AI Act), nous signalons que :

• Les contenus générés par IA sont identifiés comme tels.
• L'IA simule différents rôles d'experts juridiques — il ne s'agit pas d'une vérification par de véritables avocats.
• Nous recommandons fortement de faire vérifier les textes juridiques générés par IA par un avocat qualifié avant toute utilisation productive.

26. Modifications de la déclaration de confidentialité

Nous nous réservons le droit d'adapter cette déclaration de confidentialité afin de l'ajuster aux modifications de la législation, aux développements techniques ou aux nouvelles fonctionnalités de Biscotti CMP. La version la plus récente est toujours disponible sur notre site web à l'adresse biscotti-cmp.com/de/datenschutz.

En cas de modifications substantielles affectant vos droits ou la nature du traitement des données, nous vous informerons par e-mail à l'adresse e-mail enregistrée dans votre compte. Nous vous recommandons de consulter régulièrement cette déclaration de confidentialité.

27. Autorité de contrôle compétente

L'autorité de contrôle de la protection des données compétente pour Campcruisers GmbH est :

Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77
14532 Kleinmachnow
Allemagne
Téléphone : +49 33203 356-0
E-mail : [email protected]
Site web : https://www.lda.brandenburg.de

Sécurité des données

Nous mettons en œuvre des mesures de sécurité techniques et organisationnelles complètes conformément à l'Art. 32 DSGVO pour protéger vos données personnelles. Celles-ci comprennent notamment :

• Chiffrement lors de la transmission : TLS 1.2/1.3 pour toutes les transmissions de données, application HTTPS (HSTS)
• Chiffrement au repos : Chiffrement AES-256 de toutes les bases de données et supports de stockage sur la Hetzner Online GmbH, AES-256-GCM pour les données de configuration sensibles (API-Keys, BYOK-Schlüssel)
• Pseudonymisation : Les données de consentement sont liées à des Consent-IDs pseudonymes, les adresses IP sont anonymisées en IP-Hashes
• Contrôle d'accès : Contrôle d'accès basé sur les rôles (RBAC), principe du moindre privilège, séparation logique des clients
• Authentification : Authentification basée sur JWT, Cloudflare Turnstile pour la protection contre les attaques de bots
• Sauvegarde et restauration : Sauvegardes automatiques quotidiennes avec chiffrement AES-256 et vérification d'intégrité SHA-256
• Journalisation d'audit : Système de journalisation complet pour toutes les actions pertinentes pour la sécurité

Les mesures techniques et organisationnelles complètes (TOMs) sont documentées au § 8 de notre contrat de traitement de données (AVV).