Politique de confidentialité

La présente politique décrit comment Nexys Studio collecte, utilise et protège vos données personnelles lorsque vous utilisez le service Ma Visite by Nexys Studio (mavisite.nexysstudio.com).

1. Responsable du traitement

Nexys Studio (Thomas Janvier, porteur du projet Nexys Studio dans le cadre d'un CAPE au sein de CAE DEVELOCOOP)
CAE DEVELOCOOP, SARL SCOP - 32 rue des Montées, 45100 Orléans
Représentée par Élodie NOISIER, co-gérante
Contact : contact@nexysstudio.com

Ci-après dénommé « le porteur de projet Nexys Studio ».

2. Données collectées

Dans le cadre de l'utilisation du service, les données suivantes sont traitées :

Données d'identité et de compte

• Adresse e-mail : fournie lors de l'inscription ou de la connexion via Clerk.
• Prénom et nom : fournis via votre profil ou lors d'une connexion Google.
• Identifiant interne de compte (clerkUserId) : identifiant technique généré par Clerk, utilisé pour associer vos données à votre compte.
• Données de gestion : dates et plan d'hébergement, préférences de notification, identifiant de compte Stripe (stripeAccountId) et numéro de TVA (vatNumber) le cas échéant.

Données techniques collectées automatiquement

• Adresse IP : conservée en mémoire uniquement (jamais en base de données), pendant 7 jours, à des fins de sécurité et de lutte contre les abus (blocage d'adresses malveillantes).
• Agent utilisateur (User-Agent) : type de navigateur et système d'exploitation, enregistré dans les journaux d'accès.
• Empreinte d'appareil (fingerprintHash) : empreinte pseudo-anonyme (hachage SHA-256 de l'agent utilisateur et d'un identifiant d'appareil) utilisée pour l'activation des appareils et les statistiques anonymes de consultation des visites. Cette empreinte ne permet pas de vous identifier directement.

Ces données techniques sont nécessaires à la sécurité et au bon fonctionnement du service. Elles sont pseudo-anonymisées et ne sont pas utilisées à des fins de profilage ou de suivi comportemental.

Données de paiement

Le service intègre une composante de paiement traitée via Stripe (Stripe Connect). le porteur de projet Nexys Studio n'a jamais accès à vos données bancaires (numéro de carte, etc.), qui sont traitées directement et exclusivement par Stripe, certifié PCI-DSS.

Les données dites KYC (Stripe Connect : date de naissance, adresse, SIREN, téléphone, IBAN) sont transmises directement de votre navigateur à Stripe lors de la vérification de votre compte de paiement. Elles ne transitent jamais par les serveurs du porteur de projet Nexys Studio et n'y sont jamais stockées. Stripe agit en qualité de responsable de traitement indépendant pour ces données KYC.

Le porteur de projet Nexys Studio ne reçoit de Stripe qu'un identifiant opaque de compte (account_token), ainsi que les données transactionnelles nécessaires à la gestion de vos paiements (montants, commissions, virements, litiges).

Données de préférences (localStorage)

Les données suivantes sont stockées localement dans votre navigateur (localStorage). Elles ne sont jamais transmises à nos serveurs et sont contrôlables par vous à tout moment :

• nx_user_email : votre adresse e-mail mémorisée via la case « Se souvenir de moi » (optionnel, supprimé à la déconnexion).
• nexys360_visit_name_* : noms personnalisés de vos visites.
• nx_notification_app, nx_notification_email : vos préférences de notification.
• nx_sidebar_collapsed : état replié/déplié du menu latéral.
• nx_last_notification_check_* : horodatage de la dernière consultation des notifications.
• nexys360_embed_* : préférences d'intégration iframe (largeur, hauteur).
• nx_deleted_notifs_* : notifications supprimées.
• nx_errors (sessionStorage) : journaux de débogage techniques.

3. Finalités du traitement

• Gestion de votre compte : création, authentification, modification et suppression de votre espace client.
• Fourniture du service : accès à vos visites virtuelles, gestion des codes d'intégration, paramètres de diffusion.
• Facturation et paiement : traitement des abonnements et transactions via Stripe.
• Sécurité : prévention des accès non autorisés, détection d'abus, journalisation des accès (IP, User-Agent).
• Support : réponse à vos demandes d'assistance envoyées à contact@nexysstudio.com.

4. Base légale

• Exécution du contrat (art. 6-1-b RGPD) : traitement de vos données d'identité et de compte pour fournir le service.
• Obligations légales (art. 6-1-c RGPD) : conservation des données de facturation conformément aux obligations comptables (10 ans).
• Intérêt légitime (art. 6-1-f RGPD) : journalisation des accès (IP, User-Agent), conservation des empreintes pseudo-anonymes et des journaux d'audit pour assurer la sécurité du service et la traçabilité ; stockage local des préférences (localStorage) pour le confort d'utilisation.
• Consentement (art. 6-1-a RGPD) : pour la donnée de confort nx_user_email (« Se souvenir de moi »), qui n'est pas nécessaire au fonctionnement du service.

Concernant les données KYC (Stripe Connect), celles-ci sont traitées par Stripe en qualité de responsable de traitement indépendant sur la base de ses propres obligations légales et contractuelles. Le porteur de projet Nexys Studio n'intervient pas dans ce traitement.

5. Durées de conservation

• Données de compte : conservées pendant toute la durée de votre abonnement, puis supprimées dans les 30 jours suivant la clôture du compte.
• Adresse IP : conservée en mémoire uniquement pendant 7 jours, à des fins de sécurité et de lutte contre les abus. Elle n'est jamais enregistrée en base de données.
• Journaux d'accès et journaux d'audit (User-Agent, empreintes pseudo-anonymes) : 12 mois maximum, conformément aux recommandations de la CNIL.
• Données de facturation : 10 ans (obligation comptable légale).
• localStorage navigateur (préférences, nx_user_email, etc.) : jusqu'à suppression manuelle, déconnexion (pour nx_user_email) ou vidage du cache navigateur.

6. Sous-traitants et transferts

Pour fournir le service, nous recourons aux sous-traitants suivants :

Prestataire	Rôle	Localisation	Garanties
Clerk	Authentification des utilisateurs (e-mail/mot de passe + Google OAuth), gestion des cookies de session (__session, __client_uat)	États-Unis	Clauses Contractuelles Types UE, RGPD Art. 46
Stripe	Traitement des paiements, Stripe Connect (KYC, litiges, virements)	États-Unis / UE	PCI-DSS, Clauses Contractuelles Types, EU-US DPF
Resend	Envoi d'e-mails transactionnels (notifications, informations d'hébergement)	États-Unis	Clauses Contractuelles Types UE, RGPD
OVHcloud	Hébergement du serveur (VPS)	Warsaw (WAW) - Pologne (UE)	Hébergement dans l'UE, RGPD
Google	Fournisseur OAuth via Clerk (données de connexion Google transmises à Clerk) ; ReCaptcha via Clerk	États-Unis	Clauses Contractuelles Types UE, EU-US DPF
review.nexysstudio.com	Application tierce du groupe Nexys Studio (révisions de visites)	UE	RGPD, traitement au sein du groupe Nexys Studio

Nous limitons les données transmises à chaque prestataire au strict nécessaire et n'opérons aucun recoupement à des fins commerciales.

Cas particulier de Stripe : pour les données KYC (Stripe Connect), Stripe agit en qualité de responsable de traitement indépendant, et non de simple sous-traitant. Ces données sont transmises directement de votre navigateur à Stripe et ne transitent jamais par nos serveurs.

7. Cookies et localStorage

Ce service utilise uniquement des éléments strictement nécessaires à son fonctionnement, ainsi que des données de confort stockées localement dans votre navigateur :

Nom	Type	Finalité	Durée
__session	Cookie	Session d'authentification Clerk (strictement nécessaire)	Session
__client_uat	Cookie	État de l'utilisateur Clerk (strictement nécessaire)	Persistant
__authenticate_uat	Cookie	État d'authentification Clerk (strictement nécessaire)	Session
__clerk_db_jwt	Cookie	Jeton JWT de session Clerk (strictement nécessaire)	Session
nx_user_email	localStorage	Adresse e-mail mémorisée via la case « Se souvenir de moi » (donnée de confort optionnelle, supprimée à la déconnexion)	Jusqu'à déconnexion / suppression
nexys360_visit_name_*	localStorage	Noms personnalisés de vos visites	Jusqu'à suppression
nx_notification_app, nx_notification_email	localStorage	Préférences de notification	Jusqu'à suppression
nx_sidebar_collapsed	localStorage	Mémoriser l'état replié/déplié du menu latéral	Jusqu'à suppression
nx_last_notification_check_*	localStorage	Horodatage de la dernière consultation des notifications (par compte)	Jusqu'à suppression
nexys360_embed_*	localStorage	Préférences d'intégration iframe (largeur, hauteur)	Jusqu'à suppression
nx_deleted_notifs_*	localStorage	Notifications supprimées	Jusqu'à suppression
nx_errors	sessionStorage	Journaux de débogage techniques	Session

Les cookies Clerk (__session, __client_uat, __authenticate_uat, __clerk_db_jwt) relèvent du fonctionnement essentiel du service et ne nécessitent pas de consentement préalable. Les données de localStorage sont des données de confort et de préférences, stockées localement dans votre navigateur, jamais transmises à nos serveurs, et contrôlables par vous à tout moment (suppression via les paramètres de votre navigateur).

La donnée nx_user_email (« Se souvenir de moi ») est une donnée de confort optionnelle : vous pouvez la retirer à tout moment en décochant la case correspondante ou en vous déconnectant. Aucun cookie publicitaire ni outil de tracking comportemental n'est utilisé.

8. Sécurité des données

Les données sont chiffrées en transit (HTTPS/TLS). L'accès au serveur est restreint et protégé. Les mots de passe ne sont jamais stockés en clair (gérés par Clerk). Les journaux d'accès sont conservés sur le serveur avec accès limité.

9. Vos droits

Conformément au RGPD et à la loi « Informatique et Libertés », vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles.
• Droit de rectification : corriger des données inexactes (modifiable depuis votre profil).
• Droit à l'effacement : demander la suppression de votre compte et de vos données.
• Droit à la portabilité : recevoir vos données dans un format structuré, lisible par machine. Vous pouvez en faire la demande à tout moment.
• Droit d'opposition : vous opposer au traitement fondé sur l'intérêt légitime.
• Droit à la limitation : demander le gel temporaire du traitement de vos données.
• Droit de retirer votre consentement à tout moment (art. 7.3 RGPD) : le service ne repose pas principalement sur votre consentement, mais sur l'exécution du contrat et l'intérêt légitime. Toutefois, pour la donnée de confort nx_user_email (« Se souvenir de moi »), vous pouvez retirer votre accord à tout moment en décochant la case correspondante ou en vous déconnectant. Le retrait du consentement ne remet pas en cause la licéité du traitement effectué avant ce retrait.

Pour exercer ces droits : contact@nexysstudio.com (délai de réponse maximal : 30 jours).

En cas de désaccord, vous pouvez saisir la CNIL : www.cnil.fr

10. Mise à jour

Cette politique peut évoluer pour refléter la législation et nos pratiques. La date de mise à jour est indiquée en bas de page.