1. Qui sommes-nous
Le site et le service ClientZen (https://clientzen.fr) sont édités par Jonathan MEDER (Entrepreneur individuel (micro-entrepreneur)), 12 rue des Roses, 67350 Kindwiller, France, SIREN 485026975 (l'« Éditeur »). Pour toute question relative à vos données personnelles : contact@clientzen.fr.
La présente politique décrit les traitements réalisés par l'Éditeur et vos droits. Elle distingue trois situations :
- visiteurs du site public et personnes qui nous contactent ;
- titulaires de compte et utilisateurs du service (membres d'un espace) ;
- données métier des espaces (clients, contacts, documents, paiements du Client) : l'Éditeur agit ici comme sous-traitant, pour le compte du Client responsable de traitement, dans le cadre de l'accord de traitement des données (https://clientzen.fr/juridique/dpa).
2. Données que nous traitons, finalités et bases légales
2.1 Visiteurs du site et demandes de contact
- Données : adresse IP et données techniques de connexion (journaux du serveur), informations du formulaire de contact (nom, e-mail, société, sujet, message), résultat du contrôle anti-robot.
- Finalités : fonctionnement et sécurité du site, réponse à votre demande, suivi commercial de la demande.
- Bases légales : intérêt légitime (sécurité, réponse aux sollicitations) ; le suivi commercial d'une demande de démonstration repose sur votre demande elle-même.
- Durée : journaux techniques 12 mois ; demandes de contact 3 ans après le dernier échange.
2.2 Titulaires de compte et utilisateurs
- Données : nom, adresse e-mail, mot de passe (haché), paramètres de double authentification (secret chiffré, codes de récupération hachés, clés publiques de passkeys), sessions et appareils, adresses IP, journal d'audit des actions (qui, quoi, quand), appartenances aux espaces et rôles, preuves d'acceptation des documents contractuels (version, empreinte, date, IP), données de facturation de l'abonnement (société facturée, factures, statut des paiements, référence de mandat SEPA — jamais l'IBAN complet, conservé chez le prestataire de paiement).
- Finalités : création et sécurisation du compte, fourniture du service, facturation et recouvrement de l'abonnement, assistance, prévention de la fraude et des abus, respect de nos obligations légales (comptabilité, conservation), information sur le service et relances pendant l'essai.
- Bases légales : exécution du contrat ; intérêt légitime (sécurité, prévention des abus, amélioration du service) ; obligation légale (comptabilité, conservation des factures) ; consentement pour les communications commerciales, retirable à tout moment par le lien de désabonnement présent dans chaque message.
- Durée : compte et données de sécurité pendant la relation contractuelle, puis suppression au plus tôt 30 jours après la fin de l'abonnement ; journaux d'audit et de sécurité 12 mois glissants au-delà de la relation ; factures et preuves comptables 10 ans à compter de la clôture de l'exercice ; preuves d'acceptation contractuelle 5 ans après la fin de la relation.
2.2 bis Vérification de l'entreprise (KYB)
- Données : justificatif d'immatriculation (Kbis, avis de situation SIRENE, extrait RNE ou récépissé d'association), pièce d'identité du représentant légal, statuts, relevé d'identité bancaire, nom du représentant, SIREN et raison sociale, décision et son motif, journal des consultations des pièces par l'Éditeur.
- Finalités : s'assurer que l'espace appartient à l'entreprise qu'il désigne avant d'ouvrir l'encaissement en ligne, la facturation électronique par notre application, les SMS et la prospection ; prévenir la fraude, l'usurpation et l'utilisation du service au détriment de tiers.
- Base légale : intérêt légitime (sécurité du service et protection des tiers) ; nous ne sommes pas un établissement assujetti aux obligations de vigilance du Code monétaire et financier.
- Sécurité : pièces chiffrées dès leur dépôt (AES-256-GCM, clé dédiée), stockées hors de tout accès web, consultées par l'Éditeur uniquement pendant l'examen ; chaque consultation est journalisée et visible par le titulaire de l'espace.
- Durée : les pièces sont effacées 90 jours après la décision (validation ou refus) ; la date, la décision, son motif et l'empreinte des pièces sont conservés pendant la relation contractuelle puis 5 ans.
2.3 Données métier des espaces (sous-traitance)
Les données que vous saisissez dans votre espace (clients, prospects, contacts, documents, paiements, rendez-vous, échanges) sont traitées pour votre compte et selon vos instructions. Vous en êtes responsable de traitement : il vous appartient de disposer d'une base légale, d'informer vos propres contacts et de recueillir leur consentement lorsqu'il est requis (prospection par e-mail ou SMS vers des personnes physiques, rappels de rendez-vous). Le service vous y aide : journal des consentements en ajout seul, liens de désabonnement systématiques, oppositions STOP, politiques de conservation paramétrables, anonymisation des prospects inactifs sur validation humaine.
3. Destinataires et sous-traitants ultérieurs
Vos données sont accessibles aux seules personnes habilitées de l'Éditeur, dans la stricte mesure nécessaire (assistance sur demande approuvée, exploitation). Nous faisons appel aux prestataires suivants :
- Hébergement : Hostinger International Ltd (VPS) — 61 Lordou Vironos Street, 6023 Larnaca, Chypre — à confirmer — hébergement des serveurs, des bases et des sauvegardes chiffrées.
- Protection anti-robot du formulaire de contact : Cloudflare (Turnstile) — traite l'adresse IP et des signaux techniques du navigateur, uniquement sur la page Contact.
- Prélèvement SEPA des abonnements : GoCardless — recueil du mandat et exécution des prélèvements ; les coordonnées bancaires sont saisies sur sa page hébergée.
- Envoi d'e-mails : serveur d'envoi de l'Éditeur ; les espaces peuvent utiliser leur propre serveur SMTP.
Les prestataires suivants ne traitent des données que si l'espace concerné active la fonction ou connecte le service, sous la responsabilité du Client :
- Assistant IA : fournisseur de modèles de langage choisi par l'Éditeur (OpenRouter et les modèles qu'il expose) — ne reçoit que des contenus pseudonymisés (noms, e-mails, téléphones, IBAN, SIREN/SIRET, TVA, URL remplacés par des jetons), sans conservation du contenu par l'Éditeur.
- SMS : BulkGate — numéro de téléphone et texte du message.
- Connexion bancaire : Bridge (prestataire agréé DSP2) — identifiants bancaires saisis chez la banque, jamais dans ClientZen.
- Agenda externe : Google (Google Agenda) — événements de l'agenda de l'intervenant connecté, pour l'intervenant qui l'a autorisé.
- Mesure d'audience du site public : Google (Google Tag Manager et Google Analytics) — uniquement si vous l'acceptez dans le bandeau de consentement (voir la section 5).
- Prestataires de paiement connectés par le Client (encaissement de ses factures) et plateforme agréée de facturation électronique : chacun sous le contrat propre du Client.
Nous ne vendons ni ne louons aucune donnée. Nous ne procédons à aucune publicité ciblée.
4. Transferts hors de l'Union européenne
Les données sont hébergées dans l'Union européenne. Certains prestataires (notamment Cloudflare, Google et le fournisseur d'assistant IA) peuvent traiter des données depuis des pays tiers ; ces transferts sont encadrés par des clauses contractuelles types de la Commission européenne ou une décision d'adéquation, et limités aux données strictement nécessaires (pseudonymisées pour l'assistant IA). Le détail est disponible sur demande auprès de contact@clientzen.fr.
5. Cookies et traceurs
Le site et l'application n'utilisent aucun cookie publicitaire. Les cookies suivants sont strictement nécessaires au fonctionnement, et donc exemptés de consentement :
- session : identifie votre session de navigation (2 heures d'inactivité) ; cookie sécurisé, inaccessible aux scripts, limité au site ;
- XSRF-TOKEN : protège les formulaires contre les requêtes forgées ;
- remember (« se souvenir de moi ») : uniquement si vous cochez l'option à la connexion ;
- Cloudflare Turnstile : sur la page Contact uniquement, pour distinguer un humain d'un robot.
- cz_consent : mémorise votre choix sur la mesure d'audience (accepté ou refusé), pendant six mois.
Mesure d'audience Google Analytics — seulement avec votre accord. Sur le site public (et jamais dans l'application ni l'espace client), un bandeau vous propose d'accepter ou de refuser, aussi simplement l'un que l'autre. Tant que vous n'avez pas accepté, aucun script Google n'est chargé. Si vous acceptez, Google Tag Manager charge Google Analytics, qui dépose ses cookies (`_ga`, `_ga_*`, jusqu'à treize mois) et transmet à Google des données de navigation (pages vues, provenance, appareil ; l'adresse IP sert à Google pour situer grossièrement la visite et, selon Google, n'est pas conservée dans Google Analytics 4) ; les signaux publicitaires restent refusés (mode de consentement de Google). Vous pouvez retirer votre accord à tout moment par le lien « Gestion des cookies » en bas de chaque page : les cookies Google sont alors effacés.
Indépendamment de ce choix, ClientZen tient une mesure d'audience propriétaire sans cookie (pages vues, provenance, pays), sans adresse IP conservée ni identifiant durable, pour les seuls besoins du site.
Le tchat d'un site client ou de ce site conserve dans le stockage local de votre navigateur un identifiant aléatoire de conversation, pour vous permettre de la retrouver ; il n'identifie pas votre personne. Vos préférences d'affichage (thème, filtres) sont mémorisées de la même façon et n'en sortent jamais.
6. Sécurité
Chaque espace dispose de sa propre base de données et de sa propre clé de chiffrement (enveloppe AES-256-GCM, clé maître hors base, rotation possible). Les secrets d'intégration, coordonnées bancaires et données sensibles sont chiffrés ; les mots de passe sont hachés ; la double authentification et les passkeys sont proposées ; les accès sont vérifiés côté serveur à chaque requête ; les journaux d'audit sont en ajout seul ; les fichiers privés sont servis par des liens signés de courte durée ; les sauvegardes quotidiennes sont chiffrées et conservées trente jours ; les données personnelles sont masquées dans les journaux techniques. Les mesures détaillées figurent dans l'accord de traitement des données.
En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous vous en informons dans les délais prévus par le RGPD et notifions la CNIL lorsque cela est requis.
7. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que du droit de retirer votre consentement à tout moment et de définir des directives relatives au sort de vos données après votre décès. Pour les exercer : contact@clientzen.fr (ou par courrier à l'adresse de l'Éditeur), en précisant votre identité ; nous répondons dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes. Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).
Si vos données figurent dans l'espace d'un de nos Clients (vous êtes son client, prospect ou contact), adressez-vous en premier lieu à ce Client, responsable de traitement ; nous l'assistons dans le traitement de votre demande.
8. Mineurs
Le service est réservé aux professionnels et n'est pas destiné aux personnes de moins de 18 ans.
9. Mise à jour de la politique
La présente politique est versionnée : chaque version porte un numéro, une date d'entrée en vigueur et une empreinte SHA-256 publiés sur cette page ; les versions antérieures restent consultables. En cas de modification substantielle, une nouvelle acceptation est demandée aux utilisateurs connectés.