Politique de Confidentialité

Conformément au Règlement (UE) 2016/679 (RGPD) et à la Loi Organique 3/2018 (LOPDGDD), il est informé que le responsable du traitement des données personnelles est :

Ci-après, « Zynvio » ou le « Responsable ».

PIXELARIS S.L. s'engage à protéger la vie privée de toutes les personnes avec lesquelles elle interagit. La présente politique décrit les pratiques de confidentialité de Zynvio et s'applique aux :

• Utilisateurs qui souscrivent et utilisent la plateforme Zynvio (« Clients » ou « Utilisateurs »).
• Visiteurs du site web public www.zynvio.com (« Visiteurs »).
• Fournisseurs et partenaires commerciaux de PIXELARIS S.L. (« Fournisseurs »).
• Employés et collaborateurs internes de PIXELARIS S.L. (« Employés »).

Zynvio joue deux rôles distincts en matière de protection des données :

• Responsable du traitement : concernant les données des Utilisateurs, Visiteurs, Fournisseurs et Employés de PIXELARIS S.L., ainsi que les données techniques et de sécurité générées par la plateforme.
• Sous-traitant : concernant les données que les Utilisateurs saisissent sur la plateforme relatives à leurs propres clients, fournisseurs, employés ou autres tiers dans le cadre de leur activité professionnelle.

Les catégories de données personnelles que Zynvio traite en tant que responsable sont détaillées ci-dessous, ainsi que leurs finalités et bases juridiques.

3.1 Données des Clients et Utilisateurs de la plateforme

Données traitées :

• Nom et prénoms, adresse e-mail, téléphone, pays, image de profil
• Mot de passe (stocké sous forme de hash, jamais en texte clair)
• Données d'authentification : jetons de session, codes de vérification, données Google OAuth (nom et e-mail)
• Données professionnelles de l'utilisateur : raison sociale, NIF/CIF, adresse fiscale, type d'activité
• Données de paiement de l'abonnement à Zynvio (jetons fournis par Stripe/PayPal)

Finalités :

• Gestion de l'inscription, de l'authentification et de la vérification du compte utilisateur
• Fourniture des services souscrits (accès à la plateforme)
• Facturation de l'abonnement et gestion des encaissements
• Communications strictement nécessaires au service (vérification de l'e-mail, notifications du système)

3.2 Données des Visiteurs du site web

Données traitées :

• Données de navigation collectées via Google Analytics (pages visitées, durée de session, appareil, localisation approximative)
• Données du formulaire de contact (nom, e-mail, message)

Finalités :

• Analyse statistique de l'utilisation du site web www.zynvio.com afin d'améliorer l'expérience utilisateur
• Traitement des demandes soumises via les formulaires

3.3 Données des Fournisseurs de PIXELARIS S.L.

Données traitées :

• Nom et prénoms de la personne de contact, fonction
• Adresse e-mail et téléphone professionnel
• Raison sociale, NIF/CIF, adresse fiscale
• Données bancaires pour la gestion des paiements (IBAN, titulaire du compte)

Finalités :

• Gestion de la relation commerciale (contrats, commandes, paiements)
• Respect des obligations fiscales et comptables découlant de la relation commerciale

3.4 Données des Employés de PIXELARIS S.L.

Données traitées :

• Données d'identification : nom, DNI/NIE, adresse, e-mail, téléphone
• Données contractuelles : type de contrat, date de début/fin, catégorie professionnelle
• Données salariales : salaire de base, compléments, déductions, IRPF, cotisations à la Sécurité Sociale
• Registres de temps de travail (pointages d'entrée, de sortie et de pause)

Finalités :

• Gestion de la relation de travail (embauche, fiches de paie, Sécurité Sociale)
• Respect du registre du temps de travail (Art. 34.9 Statut des Travailleurs)
• Respect des obligations fiscales (retenues IRPF) et sociales

3.5 Données techniques et de sécurité

Données traitées :

• Adresse IP de connexion
• User-Agent (navigateur et système d'exploitation)
• Journaux d'activité (logs d'audit) : action effectuée, module, entité, date et heure

Finalités :

• Garantir la sécurité, l'intégrité et la disponibilité du système
• Prévention de la fraude, détection d'accès non autorisés et de comportements anormaux
• Traçabilité des opérations et conformité réglementaire (RD 1007/2023 VERI*FACTU)

Zynvio a effectué une mise en balance entre ses intérêts légitimes et les droits des personnes concernées, concluant que le traitement est proportionné et que les droits de la personne concernée ne prévalent pas.

Il est informé que :

• Pour l'inscription en tant qu'Utilisateur : l'adresse e-mail, le nom et le mot de passe sont obligatoires. Sans ces données, la création d'un compte n'est pas possible.
• Pour la facturation de l'abonnement : le NIF/CIF, la raison sociale et l'adresse fiscale de l'Utilisateur sont nécessaires.
• Le téléphone, le pays et l'image de profil sont des données facultatives ; leur non-fourniture n'empêche pas l'utilisation du service.
• Les données des Fournisseurs et Employés de PIXELARIS S.L. sont nécessaires à la gestion des relations contractuelles ou de travail respectives.

Les données traitées par Zynvio en tant que responsable peuvent être communiquées à :

5.1 Administrations publiques

Agencia Estatal de Administración Tributaria (AEAT), Tesorería General de la Seguridad Social et autres organismes, lorsque cela est nécessaire au respect des obligations légales de PIXELARIS S.L.

5.2 Prestataires de services (sous-traitants)

Zynvio fait appel aux prestataires suivants pour la fourniture du service, tous soumis à des contrats conformes à l'Art. 28 du RGPD :

Ces prestataires traitent les données exclusivement pour le compte de PIXELARIS S.L. et conformément à ses instructions. Aucune cession de données à des tiers à des fins autres que celles indiquées n'est effectuée.

Les données sont principalement stockées et traitées sur des serveurs situés dans l'Espace Économique Européen (EEE).

Lorsque certains prestataires sont situés en dehors de l'EEE (Google, Stripe, PayPal), Zynvio garantit un niveau de protection adéquat par :

• Décisions d'adéquation de la Commission européenne : en particulier, le EU-US Data Privacy Framework (Décision d'exécution de la Commission du 10 juillet 2023).
• Clauses Contractuelles Types (CCT) approuvées par la Commission européenne (Décision d'exécution 2021/914), complétées par des mesures supplémentaires si nécessaire.
• Évaluation d'Impact des Transferts (TIA) conformément à la jurisprudence de la CJUE (Arrêt Schrems II, C-311/18).

La personne concernée peut demander des informations détaillées en écrivant à : privacy@zynvio.com

Conformément aux articles 15 à 22 du RGPD, les Utilisateurs, Visiteurs, Fournisseurs et Employés de PIXELARIS S.L. peuvent exercer les droits suivants concernant les données que Zynvio traite en tant que responsable :

Comment exercer ses droits

Par demande adressée à :

• Courrier électronique : privacy@zynvio.com
• Courrier postal : PIXELARIS S.L., Carrer Penyagolosa, Nº 8 - Pl. 5 - Prta. D, 12540 Vila-real (Castellón, Espagne)

La demande devra inclure nom et prénoms, copie d'une pièce d'identité et description du droit exercé.

Délais et gratuité

• Délai de réponse : un (1) mois, prorogeable jusqu'à deux (2) mois supplémentaires en cas de complexité.
• L'exercice est gratuit, sauf demandes manifestement infondées ou excessives (Art. 12.5 RGPD).

Limitations au droit d'effacement

Le droit d'effacement peut être limité lorsque le traitement est nécessaire au respect d'obligations légales (conservation de la documentation fiscale et comptable) ou à la défense de réclamations.

Réclamation auprès de l'autorité de contrôle

La personne concernée peut déposer une réclamation auprès de l'Agence Espagnole de Protection des Données (AEPD) :

Lorsque les Utilisateurs utilisent la plateforme Zynvio pour gérer leur activité professionnelle, ils saisissent des données de tiers (leurs propres clients, fournisseurs, employés, etc.). Pour ces données, l'Utilisateur est le responsable du traitement et Zynvio agit uniquement en tant que sous-traitant, traitant les données exclusivement conformément aux instructions de l'Utilisateur.

Catégories de données que l'Utilisateur peut saisir sur la plateforme :

• Données des clients de l'Utilisateur (identification fiscale, contact, données commerciales)
• Données des fournisseurs de l'Utilisateur (identification fiscale, contact, données de paiement)
• Données des employés de l'Utilisateur (identification, données contractuelles, salariales, registres de temps de travail)
• Factures émises et reçues par l'Utilisateur, registres comptables, inventaire
• Certificats numériques de l'Utilisateur pour la signature électronique et la conformité fiscale (VERI*FACTU)
• Toute autre donnée que l'Utilisateur saisit dans le cadre de son activité professionnelle

Services fournis par Zynvio en tant que sous-traitant :

• Facturation émise et reçue (y compris les systèmes compatibles avec VERI*FACTU)
• Comptabilité (plan comptable, écritures comptables, immobilisations)
• Gestion des clients, fournisseurs et projets
• Inventaire et entrepôts
• Ressources humaines (fiches de paie, contrôle horaire, gestion des employés)
• Communication de données à l'AEAT dans le cadre de VERI*FACTU pour le compte de l'Utilisateur

L'Utilisateur, en tant que responsable du traitement des données qu'il saisit sur la plateforme, s'engage à :

• Disposer d'une base juridique suffisante pour le traitement des données (Art. 6 RGPD).
• Informer les personnes concernées dont il saisit les données conformément aux articles 13 et 14 du RGPD.
• Appliquer le principe de minimisation des données (Art. 5.1.c RGPD).
• Ne pas saisir de catégories particulières de données (Art. 9 RGPD) sauf s'il dispose d'une exception légale.
• Respecter la réglementation en matière de protection des données applicable dans sa juridiction.
• Déterminer, documenter et communiquer aux personnes concernées les durées de conservation de leurs données.

Concernant les données que l'Utilisateur saisit sur la plateforme :

• Les durées de conservation seront celles que l'Utilisateur lui-même définit et communique aux personnes concernées conformément à la réglementation applicable.
• En l'absence d'instructions spécifiques de l'Utilisateur, Zynvio appliquera les durées légales par défaut : 6 ans pour la documentation commerciale et fiscale (Art. 30 Code de Commerce), 4 ans pour les données relatives au travail (LISOS).
• À l'issue de la relation contractuelle avec l'Utilisateur, et sauf instructions contraires, les données seront restituées ou supprimées conformément à l'Accord de Sous-traitance (DPA).

La relation entre Zynvio en tant que sous-traitant et l'Utilisateur en tant que responsable est régie par un Accord de Sous-traitance (DPA) conforme à l'Art. 28 du RGPD, qui comprend :

• Objet, durée, nature et finalité du traitement
• Types de données personnelles et catégories de personnes concernées
• Obligations et droits du responsable
• Instructions documentées du responsable
• Obligations de confidentialité du personnel de Zynvio
• Mesures de sécurité appliquées (Art. 32 RGPD)
• Conditions de sous-traitance ultérieure
• Assistance dans l'exercice des droits des personnes concernées
• Notification des violations de données
• Restitution ou suppression des données à l'issue de la relation contractuelle
• Droit d'audit par le responsable

Pour la fourniture du service en tant que sous-traitant, Zynvio fait appel aux sous-traitants ultérieurs suivants, qui traitent également des données de l'Utilisateur :

Zynvio informera l'Utilisateur dans un délai raisonnable de tout changement dans l'ajout ou le remplacement de sous-traitants ultérieurs (Art. 28.2 RGPD).

Zynvio applique des mesures techniques et organisationnelles appropriées conformément à l'Art. 32 du RGPD, tant pour les données qu'il traite en tant que responsable que pour celles qu'il traite en tant que sous-traitant :

Mesures techniques

• Chiffrement des données au repos et en transit (TLS/SSL, AES-256)
• Stockage des mots de passe à l'aide de fonctions de hachage avec salt
• Jetons de session générés de manière cryptographique
• Prévention de l'injection SQL par requêtes paramétrées
• Validation et assainissement des fichiers téléchargés
• Contrôle d'accès basé sur les rôles et permissions granulaires
• Isolation logique des données entre entreprises (architecture multi-tenant)
• Sauvegardes périodiques
• Protection contre les attaques automatisées

Mesures organisationnelles

• Principe du moindre privilège pour l'accès aux données
• Journal d'audit avec traçabilité des opérations
• Évaluation périodique des mesures de sécurité
• Obligations de confidentialité pour l'ensemble du personnel
• Procédures de gestion des incidents de sécurité

Conformément aux articles 33 et 34 du RGPD :

En tant que responsable

• Zynvio notifiera l'AEPD dans un délai maximum de 72 heures toute violation de données susceptible de présenter un risque pour les droits et libertés des personnes concernées.
• Lorsque la violation est susceptible d'engendrer un risque élevé, les personnes concernées en seront directement informées.

En tant que sous-traitant

• Zynvio notifiera l'Utilisateur (responsable) dans les meilleurs délais toute violation de données affectant les données traitées pour son compte.
• Il incombe à l'Utilisateur, en tant que responsable, de déterminer s'il doit notifier l'AEPD et les personnes concernées. Zynvio fournira toutes les informations nécessaires pour faciliter ladite notification.

Conformément à l'Art. 22 de la LSSI-CE :

Cookies techniques de la plateforme

Zynvio utilise exclusivement des cookies techniques et strictement nécessaires, exemptées de consentement (Art. 22.2 LSSI-CE) :

Cookies tiers

Stockage local

La plateforme utilise le localStorage exclusivement pour la préférence de thème visuel (mode clair/sombre), sans stocker de données personnelles.

Zynvio est destiné exclusivement aux utilisateurs professionnels. Aucune donnée de mineurs de moins de 14 ans n'est collectée (Art. 7 LOPDGDD). Si la collecte de données d'un mineur était détectée, celles-ci seraient immédiatement supprimées.

Zynvio ne prend pas de décisions fondées uniquement sur le traitement automatisé des données, y compris le profilage, produisant des effets juridiques sur la personne concernée (Art. 22 RGPD). Les processus automatisés de la plateforme (calculs de paie, génération de factures, amortissements) sont des outils d'aide nécessitant une supervision humaine.

La présente politique est régie par :

• Règlement (UE) 2016/679 (RGPD)
• Ley Orgánica 3/2018 (LOPDGDD)
• Ley 34/2002 (LSSI-CE)
• Législation fiscale, comptable et sociale espagnole applicable

Pour tout litige, les parties se soumettent aux tribunaux de Castellón de la Plana, sauf si la personne concernée est un consommateur (tribunaux de son domicile).

Autorité de contrôle compétente : Agence Espagnole de Protection des Données (AEPD).

Zynvio se réserve le droit de modifier la présente politique afin de l'adapter aux évolutions législatives ou techniques.

Les modifications substantielles seront communiquées aux utilisateurs par un avis sur la plateforme ou par courrier électronique dans un délai raisonnable.

La version mise à jour sera publiée à cette même adresse.

La présente politique de confidentialité (version 2.0) entre en vigueur le 2 avril 2026.