Politique de confidentialité

Traduction de courtoisie. En cas de divergence, la version anglaise prévaut.

Altovar S.r.l. (P.IVA IT03086750993) (« Altovar », « nous », « notre » ou « nos ») est le responsable du traitement des données à caractère personnel collectées via nos sites web, nos logiciels, nos API et nos services (collectivement, les « Services »).

Siège social : Italie (Union européenne)
Demandes relatives à la confidentialité : [email protected]
Contact général : [email protected]

En tant que société constituée et opérant au sein de l'UE, nous sommes pleinement soumis au règlement (UE) 2016/679 (règlement général sur la protection des données). Notre autorité de contrôle est le Garante per la protezione dei dati personali (Italie).

Altovar a désigné un délégué à la protection des données (DPD) conformément à l'article 37 du RGPD, compte tenu de la nature et de l'ampleur de ses activités de traitement de données.

Contact du DPD : [email protected]

Le DPD exerce ses missions en toute indépendance et est chargé :
— De contrôler le respect du RGPD et du droit national applicable en matière de protection des données
— De conseiller sur les analyses d'impact relatives à la protection des données (AIPD) au titre de l'article 35
— D'agir en tant que point de contact pour l'autorité de contrôle
— De traiter les demandes des personnes concernées et l'exercice de leurs droits

Vous pouvez contacter directement le DPD pour toute question relative au traitement de vos données à caractère personnel. Toutes les communications sont traitées de manière confidentielle et font l'objet d'une réponse dans un délai de 30 jours calendaires.

Nous ne collectons que les données à caractère personnel nécessaires aux finalités décrites dans la présente politique (principe de minimisation des données, art. 5(1)(c) du RGPD).

Données de compte et d'identité : Nom, adresse e-mail, nom d'utilisateur, nom de l'organisation, intitulé du poste, numéro de TVA/référence fiscale aux fins de facturation, ainsi que toute information que vous ajoutez volontairement à votre profil.

Données d'utilisation et d'interaction : Fonctionnalités utilisées, pages consultées, clics, durée de session, requêtes de recherche au sein du produit, et événements d'erreur. Ces données sont collectées sous forme agrégée dans la mesure du possible et pseudonymisées dès leur collecte.

Données techniques et relatives à l'appareil : Adresse IP (tronquée au préfixe /24 et anonymisée dans un délai de 24 heures), type et version du navigateur, système d'exploitation, type d'appareil, résolution d'écran, URL de provenance, et identifiants de session attribués par notre infrastructure.

Données de communication : Contenu des messages que vous nous envoyez par e-mail, via des formulaires de contact ou des tickets d'assistance ; métadonnées relatives à ces communications (horodatages, objets des messages).

Données de paiement et de facturation : Nom, adresse et numéro de TVA/référence fiscale à des fins de facturation. Les numéros de carte et les identifiants de paiement sont traités exclusivement par notre prestataire de paiement certifié PCI-DSS niveau 1 (Stripe, hébergé dans l'UE) et ne sont jamais stockés ni traités par les systèmes d'Altovar.

Données contractuelles et relatives au service : Niveau d'abonnement, configuration du service, quotas d'utilisation, clés API (hachées), et toute donnée que vous téléversez ou créez lors de l'utilisation des Services.

Nous ne collectons pas de données auprès de courtiers en données tiers, de plateformes de réseaux sociaux ou de réseaux publicitaires. Nous ne constituons pas de profils publicitaires.

Nos Services ne sont pas conçus pour collecter ou traiter des catégories particulières de données à caractère personnel au sens de l'article 9, paragraphe 1, du RGPD — notamment les données révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données génétiques, les données biométriques aux fins d'identification unique, les données de santé, ou les données concernant la vie sexuelle ou l'orientation sexuelle d'une personne.

Nous déconseillons vivement de téléverser ou de traiter des données de catégories particulières via nos Services, sauf si vous avez mis en œuvre des garanties appropriées et disposez d'une base juridique valable au titre de l'article 9, paragraphe 2, du RGPD.

Si nous recevons par inadvertance des données de catégories particulières (par exemple via un ticket d'assistance), nous les supprimerons de manière sécurisée et en informerons l'expéditeur. Si vous devez traiter des données de catégories particulières dans le cadre d'un accord entreprise spécifique, veuillez contacter [email protected] afin de discuter des garanties contractuelles et techniques appropriées.

Nous ne traitons des données à caractère personnel que lorsqu'une base juridique valable existe au titre de l'article 6 du RGPD. La base applicable dépend de l'activité de traitement concernée :

Exécution d'un contrat (art. 6, paragraphe 1, point b)) : Fourniture des Services auxquels vous avez souscrit, gestion de votre compte, traitement des paiements, émission des factures, et exécution de l'ensemble des obligations contractuelles. Il s'agit de la base principale pour la plupart des traitements liés aux comptes actifs.

Obligation légale (art. 6, paragraphe 1, point c)) : Respect du droit applicable — y compris les obligations fiscales et comptables au titre du droit italien (D.P.R. 633/1972, D.P.R. 600/1973), les exigences en matière de lutte contre le blanchiment de capitaux, et les réponses aux demandes licites émanant des autorités publiques compétentes (tribunaux, autorités de régulation).

Intérêts légitimes (art. 6, paragraphe 1, point f)) : Surveillance de la sécurité, prévention des abus, détection des fraudes, analyses visant à améliorer le produit, et prospection commerciale directe auprès des clients existants pour des services substantiellement similaires. Nous avons réalisé, pour chacune de ces finalités, une analyse de mise en balance des intérêts légitimes et avons déterminé que nos intérêts ne prévalent pas sur vos droits et libertés fondamentaux.

Consentement (art. 6, paragraphe 1, point a)) : Cookies analytiques et de performance facultatifs, communications marketing adressées aux personnes qui ne sont pas clientes, et toute activité de traitement pour laquelle nous avons expressément sollicité votre consentement préalable. Vous pouvez retirer votre consentement à tout moment — ce retrait n'affecte pas la licéité du traitement effectué avant celui-ci. Voir la section 9 pour les modalités de retrait du consentement.

Nous ne conservons les données à caractère personnel que pendant la durée nécessaire à la finalité poursuivie et dans le respect des obligations légales applicables (principe de limitation de la conservation).


À l'expiration de la période de conservation applicable, les données sont supprimées de manière sécurisée ou anonymisées de façon irréversible selon des méthodes conformes aux standards du secteur, de sorte qu'elles ne puissent plus être rattachées à une personne physique identifiée ou identifiable.

Nous faisons appel à des sous-traitants ultérieurs tiers de confiance (« sous-traitants ultérieurs ») dans le cadre d'accords de traitement des données contraignants conformes à l'article 28 du RGPD. Nous sommes responsables de la conformité au RGPD de nos sous-traitants ultérieurs et effectuons des vérifications de diligence raisonnable périodiques.


Nous ne vendons, ne louons et n'échangeons pas vos données à caractère personnel à des tiers. Nous ne partageons pas de données avec des réseaux publicitaires ou des courtiers en données. Nous ne pouvons partager des données avec des autorités publiques que lorsque la loi ou une procédure légale valable l'exige, et nous en informons les utilisateurs concernés dans la mesure où la loi le permet.

Une liste actualisée des sous-traitants ultérieurs est disponible sur demande à l'adresse [email protected]. Nous notifions tout ajout d'un nouveau sous-traitant ultérieur avec un préavis de 30 jours.

Engagement de localisation des données au sein de l'UE : L'ensemble du stockage et du traitement principal des données s'effectue sur une infrastructure située dans l'Espace économique européen (EEE). Altovar ne transfère pas de données à caractère personnel vers des pays tiers dans le cadre de son fonctionnement standard.

Dans les cas limités où un sous-traitant ultérieur exploite une infrastructure ou des fonctions de support en dehors de l'EEE (par exemple, des nœuds périphériques de CDN à l'échelle mondiale ou du personnel de support), nous veillons à ce que des garanties appropriées au titre du chapitre V du RGPD soient mises en place avant tout transfert :

— Décisions d'adéquation (art. 45) : Lorsque la Commission européenne a reconnu que le pays de destination assure un niveau de protection adéquat (par exemple, l'UK IDTA, la décision d'adéquation suisse).
— Clauses contractuelles types (art. 46, paragraphe 2, point c)) : Les clauses contractuelles types de l'UE de 2021, approuvées par la décision d'exécution (UE) 2021/914 de la Commission, sont intégrées dans tous les accords pertinents conclus avec nos sous-traitants ultérieurs.
— Garanties techniques : Un chiffrement de bout en bout est appliqué aux données en transit, garantissant qu'aucun accès significatif aux données à caractère personnel n'est possible pour le personnel de l'infrastructure des sous-traitants ultérieurs.

Nous suivons les décisions du Comité européen de la protection des données (CEPD) et du Garante italien, et mettons à jour nos mécanismes de transfert en cas de besoin. Une analyse d'impact relative aux transferts (Transfer Impact Assessment, TIA) a été réalisée pour chaque transfert vers un pays tiers.

En tant que personne concernée, vous disposez des droits suivants au titre du RGPD, que vous pouvez exercer gratuitement et sans restriction injustifiée :

Droit d'accès (art. 15) : Obtenir la confirmation que nous traitons ou non vos données à caractère personnel, et en recevoir une copie accompagnée d'informations complémentaires (finalités, catégories, destinataires, durées de conservation, garanties applicables à tout transfert vers un pays tiers).

Droit de rectification (art. 16) : Demander la rectification des données à caractère personnel inexactes et la complétion des données incomplètes, sans délai injustifié.

Droit à l'effacement / « droit à l'oubli » (art. 17) : Demander la suppression de vos données à caractère personnel lorsqu'elles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées, lorsque le consentement est retiré, lorsque vous vous opposez au traitement, lorsque le traitement est illicite, ou lorsque l'effacement est requis par le droit de l'Union ou d'un État membre — sous réserve de motifs légitimes prépondérants (par exemple, des obligations légales de conservation).

Droit à la limitation du traitement (art. 18) : Demander que nous limitions le traitement à la seule conservation tant qu'un litige relatif à l'exactitude, à la licéité, ou à une opposition fondée sur l'intérêt légitime n'est pas résolu.

Droit à la portabilité des données (art. 20) : Lorsque le traitement est fondé sur le consentement ou sur un contrat et est effectué à l'aide de procédés automatisés, recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON ou CSV) et les transmettre à un autre responsable du traitement.

Droit d'opposition (art. 21) : Vous opposer à tout moment à un traitement fondé sur l'intérêt légitime (art. 6, paragraphe 1, point f)), y compris au profilage, pour des raisons tenant à votre situation particulière. Vous opposer sans condition à un traitement à des fins de prospection directe — nous cesserons immédiatement un tel traitement.

Droits relatifs à la prise de décision automatisée (art. 22) : Nous ne prenons pas de décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire. Tout scoring de risque ou filtrage automatisé utilisé dans nos Services est examiné par des opérateurs humains avant toute décision ayant des conséquences pour vous.

Droit de retirer son consentement (art. 7, paragraphe 3) : Lorsque le traitement est fondé sur le consentement, le retirer à tout moment. Voir la section 10 pour les modalités de retrait.

Comment soumettre une demande : Envoyez un e-mail à [email protected] avec pour objet « Demande de personne concernée — [Type de droit] » (par exemple, « Demande de personne concernée — Accès »). Vous pouvez également soumettre vos demandes via les paramètres de votre compte sur notre plateforme, lorsque des options en libre-service sont disponibles.

Vérification d'identité : Afin de protéger vos données, nous vous demanderons de vérifier votre identité avant de traiter votre demande. Cette vérification s'effectue via votre adresse e-mail enregistrée ou, si nécessaire, au moyen de justificatifs complémentaires.

Délais de réponse : Nous répondons à toutes les demandes dans un délai de 30 jours calendaires à compter de leur réception. Pour les demandes complexes ou multiples, ce délai peut être prolongé de 2 mois supplémentaires — nous vous en informerons dans les 30 jours initiaux si une prolongation est nécessaire, en indiquant les motifs de cette prolongation.

Retrait du consentement : Pour retirer votre consentement aux cookies analytiques, utilisez le gestionnaire de préférences en matière de cookies accessible depuis le pied de page. Pour retirer votre consentement aux communications marketing, cliquez sur « Se désabonner » dans tout e-mail marketing, ou écrivez à [email protected].

Gratuité : Toutes les demandes des personnes concernées sont traitées gratuitement. Si les demandes sont manifestement infondées, excessives ou répétitives, nous pouvons facturer des frais administratifs raisonnables ou refuser d'y donner suite — nous vous en expliquerons alors les raisons.

Droit d'introduire une réclamation : Si vous estimez qu'Altovar a violé vos droits au titre du RGPD, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente :

— Garante per la protezione dei dati personali (Italie) — garanteprivacy.it
— L'autorité de contrôle de votre État membre de l'UE de résidence habituelle ou de lieu de travail
— L'autorité de contrôle de l'État membre dans lequel la violation alléguée a été commise

Nous utilisons des cookies et des technologies similaires (stockage web, balises pixel) pour faire fonctionner nos sites web et améliorer votre expérience. L'utilisation que nous faisons des cookies est régie par la directive ePrivacy (2002/58/CE, telle que modifiée), transposée en Italie par le D.lgs. 69/2012, ainsi que par les lignes directrices du Garante de juillet 2021.

Cookies essentiels sont strictement nécessaires à la sécurité, à l'authentification et au fonctionnement du service. Ils sont déployés sans consentement, sur le fondement de l'article 5, paragraphe 3, de la directive ePrivacy, en tant qu'ils sont techniquement requis pour un service que vous avez explicitement demandé. Vous ne pouvez pas refuser ces cookies sans compromettre le fonctionnement du service.

Cookies analytiques provenant d'outils tiers ne sont déposés qu'avec votre consentement préalable, libre, spécifique, éclairé et univoque. Nous n'utilisons pas Google Analytics.

Notre propre outil d'analyse web (Plausible Analytics, hébergé de manière autonome sur nos serveurs en Allemagne) ne dépose aucun cookie et ne lit ni ne stocke aucune information sur votre appareil. Il enregistre les pages vues, les sites référents, le navigateur, le système d'exploitation, le type d'appareil et le pays sous forme agrégée ; votre adresse IP n'est utilisée que de manière transitoire pour générer un identifiant anonyme qui change chaque jour, et elle n'est jamais stockée. Dans la mesure où rien n'est lu ni écrit sur votre appareil, cette mesure fonctionne indépendamment de la bannière de cookies, sur le fondement de notre intérêt légitime à comprendre l'utilisation de nos sites web (art. 6, paragraphe 1, point f), du RGPD). Vous pouvez vous y opposer à tout moment en écrivant à [email protected].

Une mesure que nous n'exploitons pas. Le réseau de diffusion de contenu placé devant nos sites web injecte son propre script de mesure dans chaque page HTML qu'il sert. Il se charge avant tout choix que vous effectuez dans la bannière de cookies et indépendamment de celui-ci, et il ne dépose aucun cookie sur votre appareil ; il ne nous appartient pas et n'est pas géré par nos soins. Le fournisseur concerné figure dans le tableau des sous-traitants ultérieurs ci-dessus.

Cookies marketing ne sont actuellement pas déposés sur notre site vitrine. Si cela devait changer, nous solliciterions un consentement distinct et granulaire.

Pour la liste complète des cookies utilisés, leurs noms, finalités, durées et fournisseurs, ainsi que pour gérer vos préférences en matière de cookies, veuillez consulter notre politique en matière de cookies →

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées (MTO) afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Notre programme de sécurité comprend notamment :

— Chiffrement : Toutes les données en transit sont chiffrées au moyen de TLS 1.2 ou d'une version supérieure. Les données au repos sont chiffrées au moyen d'AES-256. Les sauvegardes de bases de données sont chiffrées de bout en bout.
— Contrôles d'accès : Contrôle d'accès basé sur les rôles (RBAC), principe du moindre privilège, authentification multifacteur (MFA) pour tous les systèmes internes, et gestion des accès à privilèges (PAM) pour l'accès à l'infrastructure.
— Sécurité réseau : Segmentation du réseau, pare-feu applicatif web (WAF), atténuation des attaques DDoS, et systèmes de détection/prévention d'intrusion (IDS/IPS).
— Gestion des vulnérabilités : Tests d'intrusion réguliers, analyses automatisées SAST/DAST, surveillance des vulnérabilités des dépendances, et programme de divulgation responsable.
— Analyses d'impact relatives à la protection des données (AIPD) : Nous réalisons des AIPD pour les nouvelles activités de traitement susceptibles d'engendrer un risque élevé pour les personnes, conformément à l'article 35 du RGPD.
— Formation du personnel : L'ensemble du personnel ayant accès à des données à caractère personnel suit une formation obligatoire sur le RGPD et la sécurité de l'information lors de son intégration, puis chaque année par la suite.

Violations de données à caractère personnel : En cas de violation susceptible d'engendrer un risque pour vos droits et libertés, nous en informerons le Garante dans un délai de 72 heures à compter du moment où nous en avons pris connaissance (art. 33). Lorsque la violation est susceptible d'engendrer un risque élevé, nous vous en informerons directement et sans retard injustifié (art. 34), en précisant la nature de la violation, ses conséquences probables, et les mesures prises ou envisagées.

Nos Services sont à vocation professionnelle et commerciale ; ils ne s'adressent pas aux personnes âgées de moins de 16 ans (ou de l'âge numérique de consentement supérieur applicable dans certains États membres de l'UE, tel que 13 ans en Finlande, ou 16 ans aux Pays-Bas et en Irlande), et ne sont pas destinés à être utilisés par elles.

Nous ne collectons pas sciemment de données à caractère personnel auprès de mineurs. L'inscription d'un compte exige que l'utilisateur confirme qu'il a atteint l'âge requis. Si nous découvrons que nous avons collecté par inadvertance des données à caractère personnel d'un mineur, nous supprimerons immédiatement ces données et clôturerons le compte associé.

Si vous pensez qu'un mineur a créé un compte ou nous a communiqué des données à caractère personnel, veuillez contacter [email protected] en précisant les éléments concernés. Nous mènerons une investigation et prendrons les mesures correctives nécessaires dans un délai de 5 jours ouvrés.

Nous pouvons mettre à jour périodiquement la présente politique de confidentialité afin de refléter l'évolution de nos activités de traitement des données, les changements du droit applicable, ou l'introduction de nouveaux produits et services. Toute mise à jour est examinée par notre DPD avant sa publication.

Les modifications substantielles — celles qui affectent sensiblement vos droits ou l'utilisation que nous faisons de vos données — vous seront communiquées :
— Par notification par e-mail à votre adresse enregistrée (pour les titulaires de compte), avec un préavis d'au moins 30 jours avant l'entrée en vigueur de la modification
— Par un avis bien visible sur notre site web pendant cette même période de 30 jours
— Par une notification au sein du produit pour les modifications affectant la plateforme

Les modifications mineures (corrections, mise en forme, clarifications n'altérant pas le fond) peuvent être apportées sans préavis. La date de « dernière mise à jour » figurant en haut de la présente politique reflète toujours la date de la révision la plus récente.

La poursuite de l'utilisation de nos Services après l'entrée en vigueur de modifications substantielles vaut acceptation de la politique révisée. Si vous n'acceptez pas la politique révisée, vous devez cesser d'utiliser les Services concernés et pouvez demander la suppression de vos données conformément à la section 09.