Politique de confidentialité

La présente politique de confidentialité décrit la manière dont QRIndus traite les données à caractère personnel dans le cadre de son service SaaS B2B de gestion d'équipements industriels, de QR codes, de signalements, d'interventions et de maintenance.

Elle s'applique au site https://qrindus.fr (et domaine associé https://qrindus.com), à l'application web et aux pages publiques accessibles via QR code.

Avertissement : ce document a été rédigé à partir d'un audit technique du code existant. Il n'a pas été validé par un conseil juridique et ne constitue pas une affirmation de conformité au RGPD. Les bases légales et certaines durées de conservation restent à confirmer.

Dernière mise à jour : 9 novembre 2026.

Le responsable du traitement pour les traitements qu'il met en œuvre pour ses propres finalités (compte éditeur, facturation plateforme, sécurité du service, pages publiques) est :

• Nom commercial : QRIndus
• Responsable du traitement : Julien Bastardy, Entrepreneur individuel (EI), régime de la micro-entreprise
• SIREN : 103274510
• Adresse : 14 avenue de Provence, 31880 La Salvetat-Saint-Gilles
• E-mail : contact@qrindus.fr
• Téléphone : 06 46 19 75 33

Voir aussi la page Contact, les mentions légales, les CGU et les CGV.

QRIndus est un service destiné exclusivement aux professionnels (exclusivement destinée aux professionnels (b2b)).

Selon les traitements, QRIndus peut agir :

• En tant que responsable du traitement pour la création et la gestion des comptes utilisateurs de la plateforme, la sécurité, la facturation des abonnements, le support et l'amélioration du service ;
• En tant que sous-traitant (au sens de l'article 28 du RGPD) pour le compte de l'organisation cliente lorsque celle-ci utilise le service pour traiter des données relatives à ses équipements, collaborateurs, interventions ou signalements — ce cadre contractuel (DPA / clauses) reste à formaliser.

Les entreprises clientes restent responsables de déterminer les finalités et moyens des traitements qu'elles opèrent via l'espace organisation (par exemple : qui peut signaler une panne, quelles informations demander, combien de temps conserver leurs historiques métier), sous réserve des fonctionnalités réellement disponibles dans le produit.

Les catégories ci-dessous correspondent aux données effectivement manipulées par l'application selon l'audit du code.

4.1. Comptes utilisateurs

• Adresse e-mail et mot de passe (authentification Supabase) ;
• Prénom, nom et nom d'affichage (renseignés dans les paramètres du compte, le cas échéant) ;
• Préférence de notification e-mail relative aux signalements de panne ;
• Données de session (jetons d'authentification).

4.2. Organisations et collaborateurs

• Nom de l'entreprise, SIRET, adresse, téléphone, e-mail de contact, nom du responsable (fiche organisation) ;
• Appartenance à une organisation et rôle (propriétaire, administrateur, membre) ;
• Invitations : adresse e-mail de l'invité, rôle proposé, jeton d'invitation (stocké sous forme de hash), dates d'expiration / acceptation / révocation.

4.3. Équipements, interventions, maintenance et documents

• Données descriptives des équipements (nom, référence, numéro de série, localisation, description, jeton QR public) ;
• Interventions et plans de maintenance (titres, descriptions, texte libre, assignation éventuelle) ;
• Fichiers et photos associés (nom de fichier, contenu binaire dans le stockage objet).

Ces données peuvent contenir des informations personnelles si elles y sont volontairement saisies (noms, coordonnées dans un champ libre, etc.).

4.4. Signalements publics via QR code

Toute personne scannant un QR code public peut signaler une anomalie sans créer de compte. Les champs proposés / traités sont :

• Nom du déclarant (optionnel, limité en longueur) ;
• Description de la panne (obligatoire) ;
• Niveau d'urgence ;
• Photo éventuelle (formats image, taille maximale limitée) ;
• Données techniques de protection : empreinte (hash) de l'adresse IP (l'IP brute n'est pas stockée), extrait tronqué de l'agent utilisateur, clés d'idempotence hashées, jetons anti-abus.

Les pages publiques n'exposent que le nom et la référence de l'équipement (pas le numéro de série ni les données internes de l'organisation).

4.5. Notifications et e-mails

• Notifications dans l'application (destinataires : membres de l'organisation) ;
• E-mails de signalement et d'invitation (destinataires, contenu transactionnel limité).

4.6. Facturation

• Identifiants et statut d'abonnement liés à l'organisation ;
• E-mail et nom transmis à Stripe lors de la création / mise à jour du client de paiement (selon le flux Checkout) ;
• Métadonnées d'événements webhook (identifiants d'événements, pas le payload complet stocké localement).

4.7. Preuves d'acceptation CGU / CGV

• Identifiant de l'utilisateur concerné ;
• Type de document (CGU ou CGV) et version acceptée ;
• Contexte (par ex. inscription / régularisation, ou souscription) ;
• Horodatage d'acceptation ; organisation le cas échéant (souscription) ;
• Extrait éventuel d'agent utilisateur associé à l'enregistrement de la preuve.

• Fournir et sécuriser le service (authentification, contrôle d'accès, anti-abus des signalements publics) ;
• Permettre la gestion collaborative du parc d'équipements, des interventions et de la maintenance ;
• Recevoir et traiter les signalements issus des QR codes publics ;
• Informer les membres (notifications in-app et e-mails optionnels) ;
• Gérer les invitations et l'accès des collaborateurs ;
• Facturer les abonnements et gérer le cycle de vie commercial via Stripe ;
• Conserver la preuve d'acceptation des CGU / CGV et appliquer les contrôles d'accès associés ;
• Assurer le fonctionnement technique (hébergement, sauvegardes opérées par les prestataires, files d'attente, tâches planifiées).

Les bases légales ci-dessous sont proposées à titre indicatif et doivent être validées juridiquement :

• Exécution du contrat / mesures précontractuelles — création de compte, fourniture du SaaS, abonnement, invitations, enregistrement des preuves d'acceptation des conditions ;
• Intérêt légitime — sécurité du service, prévention des abus (rate-limiting, honeypot), amélioration opérationnelle, dans la limite du respect des droits des personnes ;
• Obligation légale — le cas échéant, conservation de pièces liées à la facturation (à confirmer selon le régime applicable) ;
• Consentement — uniquement si des traitements non essentiels (par ex. cookies analytiques) étaient introduits ultérieurement ; aucun outil d'audience ni bannière de consentement n'est actuellement mis en œuvre dans le code.

Pour les données traitées pour le compte d'une organisation cliente, la base légale applicable peut relever de la relation entre cette organisation et les personnes concernées (collaborateurs, déclarants, etc.).

Les données sont accessibles, selon les cas, aux membres autorisés de l'organisation cliente et aux prestataires techniques nécessaires au fonctionnement du service :

• Supabase — authentification, base de données PostgreSQL et stockage de fichiers pour le projet QRIndus ; région confirmée : eu-central-1 (Francfort, Allemagne);
• Vercel Inc. — hébergement de l'application et exécution éventuelle de tâches planifiées ; coordonnées légales : Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, United States — contact : privacy@vercel.com — [À COMPLÉTER — numéro de téléphone public de l'hébergeur non publié dans les documents légaux Vercel consultés]. La région d'exécution effective dépend de la configuration de déploiement et n'est pas affirmée ici au-delà des informations publiées par l'hébergeur ;
• Stripe — paiement et abonnements (Checkout, portail client, webhooks) ;
• Resend — envoi d'e-mails transactionnels (invitations, alertes de signalement), depuis l'adresse contact@qrindus.fr (domaine qrindus.fr) ;
• Polices Geist — chargées via next/font et auto-hébergées avec l'application au moment du build ; le navigateur des visiteurs n'effectue pas, selon la documentation Next.js, de requête vers les serveurs Google Fonts pour ces polices.

Les accords de sous-traitance (DPA) et les garanties contractuelles de transfert restent à vérifier et formaliser auprès de chaque prestataire. Aucune conformité RGPD n'est affirmée par la seule présente liste.

Pour le projet QRIndus, les données d'application hébergées chez Supabase le sont dans la région eu-central-1 (Francfort, Allemagne), située dans l'Espace économique européen.

D'autres prestataires (notamment le processeur de paiement, le prestataire d'e-mail et l'hébergeur applicatif) peuvent entraîner des traitements ou des transferts hors de l'EEE selon leur organisation et leurs sous-traitants. Les mécanismes exacts (clauses contractuelles types, décisions d'adéquation, etc.) figurent dans les documents contractuels de chaque prestataire et doivent être examinés séparément ; ils ne sont pas détaillés ni garantis ici.

Les durées ci-dessous reflètent uniquement ce qui est codé dans l'application. En l'absence de règle technique, aucune durée automatique ne doit être présumée.

• Invitations : expiration du lien après 7 jours (la ligne d'invitation peut toutefois demeurer en base ; aucune purge automatique n'a été identifiée) ;
• Signalements publics — anti-abus : limitation de débit (fenêtre horaire), déduplication courte (~5 minutes), bail d'idempotence (environ 15 minutes, puis prolongation à 30 jours après succès) ;
• Files d'e-mails transactionnels : suppression de l'élément de file après envoi réussi ;
• Documents / photos : URL signée à durée limitée (~1 heure) pour l'accès ; suppression du fichier Storage via file d'attente lors de la suppression logique du document ;
• Preuves d'acceptation CGU / CGV : conservation tant que nécessaire aux finalités de preuve et de contrôle d'accès ; aucune purge automatique n'a été identifiée dans le code ;
• Comptes, profils, organisations, signalements, interventions, notifications in-app et autres données métier : aucune politique de rétention ni purge globale automatisée n'a été identifiée dans le code. Aucun délai définitif de suppression des données métier n'est annoncé ici.

L'essai commercial de 14 jours concerne l'offre produit et ne constitue pas, à lui seul, une durée de conservation des données.

L'application utilise notamment :

• Cookies / stockage de session Supabase — nécessaires à l'authentification et au maintien de la session (cookies essentiels au service) ;
• localStorage — une clé technique historique peut stocker localement des données d'équipements en mode de développement / migration ; le mode production prévu s'appuie sur Supabase.

Aucun outil de mesure d'audience (type Google Analytics, Plausible, PostHog, Vercel Analytics) ni pixel publicitaire n'a été identifié dans le code. En conséquence, aucune bannière de consentement aux cookies n'est déployée à ce stade. Si des traceurs non essentiels étaient ajoutés ultérieurement, un mécanisme de consentement adapté devrait être mis en place.

Des mesures techniques et organisationnelles sont mises en œuvre dans le produit, notamment :

• Contrôle d'accès par organisation et rôles ; politiques de sécurité au niveau base de données (RLS) ;
• Clé secrète serveur (service role) réservée aux opérations backend ;
• Hachage des adresses IP pour les signalements publics ; absence de journalisation volontaire des jetons d'invitation et de certaines adresses e-mail dans les workers ;
• Limitation de débit et mécanismes anti-rejeu sur l'API publique de signalement ;
• Accès aux fichiers via URL signées à durée limitée.

Aucune mesure de sécurité ne peut garantir une absence totale de risque. Les procédures d'incident, les tests de sécurité et le registre des traitements restent [À COMPLÉTER / à formaliser].

Conformément au RGPD, vous pouvez disposer, selon les cas, des droits d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, ainsi que du droit de retirer un consentement lorsque le traitement repose sur celui-ci.

Les demandes d'export et de suppression de données sont traitées manuellement après vérification de l'identité du demandeur. Il n'existe pas, à ce jour, de parcours libre-service d'export ou de suppression de compte dans l'application. La procédure interne associée n'a pas encore été validée de bout en bout en conditions réelles ; elle ne doit donc pas être présentée comme un mécanisme pleinement opérationnel automatisé.

Nous nous efforçons de répondre aux demandes dans le délai prévu par le RGPD, en principe d'un mois à compter de la réception d'une demande complète et vérifiable, sous réserve des prolongations prévues par la réglementation.

Mécanismes techniques réellement opérationnels dans le produit :

• Modification de certaines données de profil (prénom, nom) et préférence d'e-mail « signalements » ;
• Contrôles d'accès et enregistrement des preuves d'acceptation des CGU / CGV.

Procédures encore manuelles ou à tester :

• Export / portabilité et suppression de compte ou de données métier sur demande vérifiée ;
• Opt-out des notifications in-app (seul le canal e-mail signalements est paramétrable dans l'interface).

Pour exercer vos droits, contactez-nous via contact@qrindus.fr ou la page Contact. Si vous êtes collaborateur d'une organisation cliente, vous pouvez également vous adresser en premier lieu à cette organisation lorsqu'elle est responsable du traitement concerné.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) :

• Site : www.cnil.fr
• Adresse postale : CNIL — 3 Place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07 — France

Le service s'adresse aux professionnels. Il n'est pas destiné aux mineurs. Aucun mécanisme spécifique de vérification de l'âge n'a été identifié dans le code.

QRIndus pourra mettre à jour cette politique pour refléter l'évolution du service, de la réglementation ou des prestataires. La date de mise à jour indiquée en tête de document fera foi. Les utilisateurs sont invités à la consulter régulièrement.

• Formalisation et test de bout en bout de la procédure manuelle d'export / suppression sur demande vérifiée ;
• Accords de sous-traitance (DPA) et mécanismes de transfert pour Vercel Inc., Stripe et Resend ; téléphone de l'hébergeur si requis ;
• Politique de rétention métier définitive (aucun délai public de purge des données métier n'est fixé à ce stade) ;
• Éventuelles fonctionnalités techniques d'exercice des droits (export / suppression en libre-service) ;
• Validation juridique de la présente politique et des bases légales (statut actuel : disponible — non validée juridiquement).