Politique de confidentialité

1. Qui sommes-nous

DoLoop est exploité par BarnRecords SASU, société par actions simplifiée unipersonnelle de droit français au capital de 100 €, immatriculée au RCS d'Évry sous le numéro 982 485 260, dont le siège social est situé 24 rue de la Sablonnière, 91410 Les Granges-le-Roi, France (« nous »). Nous sommes le responsable du traitement des données personnelles décrites ci-dessous.

Pour toute question sur cette politique ou sur vos données, écrivez à contact@getdoloop.com. Cette adresse est lue par un être humain. Vous n'avez besoin d'aucun formulaire ni modèle particulier.

2. Champ d'application

Cette politique couvre le site DoLoop à l'adresse getdoloop.com et l'application web DoLoop. Elle ne couvre pas les sites tiers vers lesquels nous renvoyons.

3. Notre approche, en un paragraphe

DoLoop est un organiseur de tâches. Nous avons besoin d'une adresse e-mail pour vous créer un compte, et nous conservons les tâches et les boucles que vous créez parce que c'est le produit lui-même. Nous ne vendons pas de données, nous ne diffusons pas de publicité, nous ne constituons pas de profils et nous n'utilisons pas le contenu de vos tâches pour entraîner des modèles d'apprentissage automatique. Nous collectons le strict minimum, et nous préférons pouvoir répondre « nous n'avons pas cette donnée » plutôt que d'expliquer pourquoi nous l'avons gardée.

4. Les données que nous détenons

Données de compte — les données que vous nous fournissez à l'inscription :

• adresse e-mail (obligatoire — c'est votre identifiant de connexion)
• un mot de passe, conservé uniquement sous forme de hachage bcrypt salé. Nous ne voyons ni ne conservons jamais votre mot de passe lui-même.
• nom d'affichage (facultatif)
• langue de l'interface choisie
• date et heure de création du compte
• si vous vous êtes inscrit depuis l'une de nos pages de modèles de boucles, et laquelle (par exemple template_weekly-home-reset) ; vide sinon

Données de contenu — ce que vous créez dans l'application :

• tâches : nom, description, type, planification (expression cron), durée, dates
• boucles : nom, description, ordre des tâches, état d'activité, planification
• compteurs d'activité : nombre de fois où chaque tâche a été accomplie, nombre de fois où elle a été reportée, et date et heure de la dernière réalisation, du dernier report et du dernier armement
• la date et l'heure de votre dernier passage d'armement
• la date et l'heure de votre premier passage d'armement

Ce contenu n'est visible que par vous et par les personnes qui exploitent les serveurs, aux seules fins de faire fonctionner et de maintenir le service. Il n'y a aucun partage, aucun profil public et aucune fonctionnalité d'équipe.

Nous n'utilisons deux de ces données que de manière agrégée, pour mesurer si les personnes qui s'inscrivent depuis une page de modèle de boucle commencent à utiliser DoLoop : le modèle depuis lequel vous vous êtes inscrit, et la date et l'heure de votre premier passage d'armement. Toutes deux figurent dans l'export décrit au §10.

Clés d'API — uniquement si vous en créez une :

• le nom que vous donnez à la clé, son niveau d'accès (lecture seule, ou lecture et écriture), et ses dates de création, d'expiration et de révocation
• les premiers caractères de la clé (par exemple dl_9zq27svr), pour que vous puissiez distinguer vos clés
• une empreinte SHA-256 de la clé. La clé elle-même ne vous est montrée qu'une seule fois et n'est jamais conservée : nous ne pouvons pas vous la remontrer.
• la date et l'heure de la dernière utilisation de la clé (mises à jour au plus une fois par minute)
• le nombre de requêtes effectuées avec chaque clé, par jour. Nous les comptons pour fixer des limites d'usage raisonnable ; elles ne sont pas facturées.

Lorsque vous confiez une clé à un outil de votre choix — un script, une intégration, un assistant IA —, cet outil peut lire (et, avec une clé en lecture et écriture, modifier) vos tâches et vos boucles selon vos instructions. Il agit pour vous, pas pour nous : nous ne le choisissons pas et ne le contrôlons pas, ce n'est pas notre sous-traitant, et ses propres conditions et sa propre politique de confidentialité s'appliquent à ce qu'il fait de vos données. Révoquez la clé à tout moment pour lui couper l'accès.

Applications connectées (OAuth). Si vous connectez une application tierce (par exemple un assistant IA) à DoLoop, nous conservons l'application que vous avez connectée, l'accès que vous lui avez accordé (lecture, ou lecture et écriture), la date de sa connexion et celle de sa dernière utilisation, ainsi que les empreintes (hachages) de ses jetons d'accès. L'application peut accéder à vos tâches et à vos boucles dans la limite de cet accès jusqu'à ce que vous la déconnectiez depuis votre compte, que vous changiez ou réinitialisiez votre mot de passe, ou que vous supprimiez votre compte. Ce que l'application fait des données qu'elle lit relève de sa propre politique de confidentialité.

Données techniques — créées automatiquement lorsque vous utilisez le service :

• les journaux serveur de notre hébergeur, contenant l'adresse IP, la date et l'heure, l'URL demandée, le user-agent et le code de réponse. Ils existent pour la sécurité et le débogage.
• des statistiques agrégées de fréquentation de nos pages publiques, décrites en détail au §5. Elles comprennent votre adresse IP tronquée et le user-agent de votre navigateur, à partir desquels est dérivée une empreinte de visite de courte durée — elles sont donc pseudonymisées et non totalement anonymes.

Ce que nous ne détenons pas : aucune donnée de paiement ou de carte bancaire (il n'existe ni système de facturation ni offre payante), aucune adresse postale, aucun numéro de téléphone, aucune date de naissance, aucune donnée de localisation, aucun contact, aucun identifiant publicitaire ou de suivi intersites, ni aucune catégorie particulière de données au sens de l'article 9 du RGPD.

5. Mesure d'audience

Nous mesurons la fréquentation de nos pages publiques avec Matomo, un outil de mesure d'audience open source. Nous l'exécutons sur un serveur auto-hébergé dans l'Union européenne, que nous exploitons conjointement avec les autres produits de la même équipe ; ce n'est pas un service commercial de mesure d'audience et vos données ne sont envoyées à aucune société d'analyse.

Concrètement, et en termes précis :

• Aucun cookie. Matomo est configuré en mode sans cookie. Il ne stocke rien sur votre appareil — ni cookie, ni entrée de stockage local, ni identifiant publicitaire — et il ne vous suit ni sur d'autres sites ni d'un appareil à l'autre.
• Votre adresse IP est tronquée avant d'être enregistrée. Les deux derniers octets sont supprimés : une adresse telle que 82.67.144.31 est enregistrée sous la forme 82.67.0.0. Nous n'enregistrons jamais votre adresse IP complète dans la mesure d'audience.
• Une empreinte technique de courte durée est utilisée. Pour reconnaître que plusieurs pages vues appartiennent à la même visite, Matomo dérive un identifiant temporaire à partir de votre adresse IP déjà tronquée et de la chaîne user-agent de votre navigateur. Il n'est pas stocké sur votre appareil, il change lorsque ces éléments changent, il n'est pas lié à votre compte, et la reconnaissance intersites est désactivée : il ne peut donc pas servir à vous suivre sur un autre site. Il s'agit d'un identifiant pseudonyme et non totalement anonyme, et nous préférons vous dire qu'il existe plutôt que de laisser le terme « sans cookie » laisser croire qu'il n'existe pas.
• Le signal Do Not Track est respecté. Si votre navigateur envoie un signal Do Not Track (« ne pas me pister »), aucune donnée de mesure d'audience n'est collectée lors de votre visite.
• Uniquement les pages publiques, plus la page d'inscription. La page d'inscription est comptée comme une page publique, sans la partie de son adresse située après le ?. Lorsqu'une inscription est finalisée, un événement « inscription terminée » est envoyé. Il ne contient aucune donnée de compte : rien de ce que vous saisissez dans le formulaire, ni adresse e-mail, ni nom, ni identifiant d'utilisateur. Comme une page vue, il comporte l'adresse de la page, le référent et des informations sur votre appareil et votre navigateur, et il appartient à la même visite que vos pages vues. Si vous vous êtes inscrit depuis l'une de nos pages de modèles de boucles, un second événement indique le nom de ce modèle (par exemple « plant-care ») ; il ne contient pas non plus de données de compte. L'application connectée n'est pas mesurée : /dashboard et la page de connexion n'envoient rien. Nous ne savons pas sur quoi vous cliquez à l'intérieur de DoLoop.
• Ce que nous regardons effectivement : le nombre de pages vues, les référents, le pays approximatif, le type d'appareil et le navigateur — de manière agrégée. Nous ne constituons pas de profil de vous et il n'y a aucune publicité, de quelque nature que ce soit.

Base légale : notre intérêt légitime à savoir si notre site fonctionne (art. 6(1)(f)). Aucun cookie ni aucune autre information n'étant stocké sur votre appareil ou lu depuis celui-ci, ce traitement ne requiert pas de consentement au titre des règles ePrivacy, et DoLoop n'affiche donc aucun bandeau cookies.

6. Cookies et stockage local

DoLoop ne dépose aucun cookie de suivi. L'API est conçue pour fonctionner sans cookie.

L'application web enregistre deux éléments dans le stockage local de votre navigateur :

• un jeton d'authentification, pour que vous restiez connecté. Strictement nécessaire — sans lui, l'application ne peut pas fonctionner.
• votre préférence de langue.

Les deux sont effacés lorsque vous vous déconnectez ou que vous effacez les données de votre navigateur.

7. Pourquoi nous avons le droit de les détenir (base légale)

Nous ne nous fondons sur le consentement pour rien, car nous ne faisons rien qui l'exige.

8. Qui d'autre y a accès (sous-traitants)

• Scaleway SAS (8 rue de la Ville-l'Évêque, 75008 Paris, France) — héberge l'application, la base de données, les journaux serveur et les sauvegardes de la base de données, sur des serveurs et un stockage objet situés en France (région de Paris), et envoie nos e-mails (par exemple ceux de réinitialisation du mot de passe).
• Notre propre serveur de mesure d'audience (Union européenne) — l'instance Matomo décrite au §5. Elle est exploitée par nous, sur une infrastructure partagée avec les autres produits de la même équipe, et ne reçoit aucune donnée de compte ni de contenu. Ce n'est pas une société d'analyse tierce, et aucune donnée de mesure d'audience n'est vendue, partagée ni envoyée ailleurs.

Cette liste est complète. Nous n'avons aucun partenaire publicitaire, aucun courtier en données, et aucun outil tiers de support client, de CRM ou d'enregistrement de sessions. Tous les traitements ont lieu dans l'UE/EEE ; nous n'effectuons aucun transfert international au sens du chapitre V du RGPD.

9. Combien de temps nous les conservons

• Données de compte et de contenu : aussi longtemps que votre compte existe. Supprimez votre compte et elles disparaissent.
• Clés d'API : aussi longtemps que votre compte existe, y compris la trace des clés révoquées ou expirées (qui ne sont plus utilisables), avec leur nombre de requêtes par jour. Tout est effacé lorsque vous supprimez votre compte.
• Après suppression : votre compte, vos tâches, vos boucles et vos compteurs sont immédiatement effacés de la base de données en production. Les sauvegardes de la base peuvent en conserver une copie pendant 30 jours au maximum, après quoi elles sont supprimées par rotation. Les sauvegardes ne servent à rien d'autre qu'à la reprise après sinistre.
• Journaux serveur : 14 jours.
• Mesure d'audience : les rapports agrégés (pages vues, référents, pays) sont conservés sans limite de durée, car ils ne contiennent aucun identifiant. Les données brutes de visite décrites au §5 — IP tronquée, user-agent et empreinte de visite dérivée — sont supprimées automatiquement au bout de 760 jours.

10. Vos droits

En vertu du RGPD, vous disposez d'un droit d'accès à vos données, de rectification, d'effacement, de limitation du traitement, d'opposition, et du droit de les recevoir dans un format structuré et lisible par machine (portabilité). Vous pouvez également introduire une réclamation auprès de l'autorité de protection des données de votre pays — en France, il s'agit de la CNIL (Commission nationale de l'informatique et des libertés, www.cnil.fr).

En pratique :

• Accès / export — exportez vos tâches et vos boucles depuis l'application, ou écrivez à contact@getdoloop.com et nous vous enverrons, au format JSON, tout ce que nous détenons.
• Rectification — modifiez votre nom et votre langue dans l'application ; écrivez-nous pour modifier votre adresse e-mail.
• Effacement — supprimez votre compte, ou demandez-nous de le faire. La suppression de votre compte entraîne celle de vos tâches et de vos boucles (elles sont supprimées en cascade avec l'utilisateur).
• Opposition / limitation — écrivez-nous.

Nous répondons dans un délai de 30 jours, et normalement bien plus vite. L'exercice de ces droits est gratuit, et nous ne vous demanderons pas de vous justifier.

11. Sécurité

Les mots de passe sont conservés sous forme de hachages bcrypt ; ils ne sont jamais journalisés et ne peuvent pas être récupérés. Tout le trafic vers getdoloop.com et api.getdoloop.com passe par HTTPS. L'accès à la base de données de production est réservé aux personnes qui exploitent le service.

DoLoop est un produit à un stade précoce, conçu par une très petite équipe. Nous ne prétendrons pas à un niveau de sécurité que nous ne pouvons pas démontrer. Si vous découvrez une vulnérabilité, merci de nous la signaler à contact@getdoloop.com avant d'en parler à quiconque ; nous vous citerons si vous le souhaitez.

En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits, nous la notifierons à l'autorité de contrôle compétente dans un délai de 72 heures et en informerons directement les utilisateurs concernés.

12. Enfants

DoLoop ne s'adresse pas aux enfants de moins de 16 ans. Nous ne créons pas sciemment de compte pour eux. Si vous pensez qu'un enfant possède un compte, écrivez-nous et nous le supprimerons.

13. Décisions automatisées

Aucune. Rien dans DoLoop ne vous profile ni ne prend à votre sujet de décision automatisée produisant des effets juridiques ou vous affectant de manière significative.

14. Modifications de cette politique

Si nous modifions cette politique de manière substantielle — un nouveau sous-traitant, une nouvelle finalité, une nouvelle catégorie de données — nous mettrons à jour la date figurant en haut de la page et en informerons les utilisateurs inscrits par e-mail avant l'entrée en vigueur de la modification. Les corrections de pure forme peuvent être faites sans préavis.

15. Contact

BarnRecords SASU, 24 rue de la Sablonnière, 91410 Les Granges-le-Roi, France — contact@getdoloop.com

L'ensemble des informations relatives à l'éditeur figure dans nos mentions légales.