Política de privacidade

Tradução fornecida apenas para informação. Somente a versão em francês tem valor jurídico.

1. Quem responde pelo quê

Dois tratamentos coexistem no qzaco e eles não têm o mesmo controlador. A distinção não é formal: ela determina a quem uma solicitação deve ser dirigida para poder ser atendida.

Os dados da conta (cadastro, faturamento, utilização do serviço): o editor, CAP-REL, é o controlador do tratamento.
O conteúdo de uma ficha: é o proprietário da etiqueta quem decide o que escreve nela, inclusive se incluir nela dados relativos a terceiros, como o nome de um profissional ou um número de telefone, por exemplo. O editor hospeda esse conteúdo por conta dele e não o explora. Uma solicitação relativa a esse conteúdo deve portanto ser dirigida primeiro ao proprietário da etiqueta; o editor pode ser acionado nas condições descritas no aviso legal.

Ponto de contato para qualquer questão relativa aos dados pessoais: https://cap-rel.fr/contact/, ou por correio para CAP-REL, 204 Avenue du Verger, 83140 Six Fours les Plages.

2. Dados coletados

Conta: sobrenome, nome, endereço eletrônico, data de comprovação desse endereço, função e saldo de ativações. A senha nunca é conservada em texto claro, somente um hash dela é conservado.
Faturamento: endereço postal, código postal, cidade e país, solicitados uma única vez, no primeiro pagamento on-line. Uma ativação por crédito ou por código de recarga não exige nenhum deles.
Pedidos: referência, produto, status, data do pagamento, bem como a versão das condições gerais de venda aceita e a data dessa aceitação.
Fichas: título, textos dos três níveis, fotografias, categoria de local, prazo de manutenção e data de término do período pago. As senhas de nível também não são conservadas em texto claro.
Consultas: apenas dois valores, registrados na ficha, o número de leituras e a data da última. Nenhum endereço IP, nenhum identificador de navegador, nenhuma tabela de visitas: sabe-se quantas vezes uma etiqueta foi escaneada, nunca por quem. O proprietário lendo sua própria página, os robôs, as pré-visualizações de link dos aplicativos de mensagens e os recarregamentos dentro de trinta minutos não são contados.
Registros técnicos do servidor, incluindo os endereços IP necessários à segurança: são eles que permitem limitar o número de tentativas de senha, de cadastros e de pedidos de redefinição.
Requisições para endereços que o site nunca serve (arquivos .php, .env, páginas de administração de outros softwares), enviadas por robôs que sondam os servidores: o endereço IP, a data, o método, o caminho sem seus parâmetros, o nome de domínio visado e o agente do usuário (user agent). Um endereço que as repete é bloqueado temporariamente pelo firewall do servidor.

3. O que não é coletado

Os metadados das fotografias. Toda fotografia enviada é recodificada e perde, nessa ocasião, a totalidade de seus metadados EXIF, incluindo as coordenadas GPS. A foto do quadro elétrico, portanto, não traz o endereço da residência. Não é um efeito colateral: é uma garantia, e um teste automatizado a verifica a cada entrega.
Nenhum dado bancário, já que o pagamento é feito fora do Serviço, em uma página de pagamento distinta.
Nenhum cookie de medição de audiência nem de publicidade. Os únicos cookies depositados são o da sessão e o do token anti-CSRF, ambos necessários ao funcionamento do serviço.
Nenhum recurso de terceiros. As páginas não carregam fonte, script nem imagem de um serviço externo: o seu endereço IP não é comunicado a ninguém pelo simples fato de sua visita.

4. Finalidades e bases legais

Execução do contrato (artigo 6.1.b do RGPD): abrir a conta, ativar uma etiqueta, manter a ficha legível durante a duração vendida, emitir a fatura, enviar os lembretes de vencimento e de manutenção.
Obrigação legal (artigo 6.1.c): a conservação dos documentos de faturamento.
Interesse legítimo (artigo 6.1.f): a segurança do serviço e o combate aos abusos, bem como a contagem das leituras, que é um dado do objeto etiquetado e não da pessoa que o observa.

Nenhuma decisão que produza efeitos jurídicos é tomada com base exclusivamente em um tratamento automatizado, e nenhuma criação de perfil é realizada.

5. As fichas não são indexadas

As páginas de ficha trazem uma instrução de não indexação (noindex, nofollow): uma etiqueta é feita para ser escaneada no local, não para ser encontrada procurando um endereço em um mecanismo de busca. Em contrapartida, o título de uma ficha é enviado aos aplicativos de mensagens que exibem a pré-visualização de um link colado em uma conversa, nunca o seu texto: o que o proprietário escreve é feito para ser lido no local, não para ser armazenado em cache por um serviço terceiro.

6. Destinatários

Os dados não são vendidos, nem alugados, nem cedidos. Eles são tratados pelo editor e, apenas para as operações que o exigem, por:

os provedores de hospedagem indicados no aviso legal: armazenamento e execução do serviço;
o canal de faturamento do editor: sobrenome, nome, endereço eletrônico e endereço de faturamento, para a emissão da fatura;
o servidor de envio de correio eletrônico: endereço do destinatário e conteúdo da mensagem enviada.

Nenhum dado é transferido para fora da União Europeia: eles são hospedados e tratados na França.

7. Prazos de conservação

Ficha: durante o período de 10 anos, e depois arquivada em modo somente leitura. Ela nunca é excluída automaticamente no vencimento, e esse é o próprio compromisso do produto: uma etiqueta colada em uma parede deve continuar respondendo.
Conta: enquanto ela existir.
Pedidos: conservados, pois são documentos de faturamento.
Tokens de redefinição de senha: eliminados diariamente depois de expirados.
Sessão de navegação: duas horas de inatividade.
Desbloqueio de um nível protegido: trinta minutos, e o proprietário pode fechar o nível imediatamente. A senha ditada a um profissional, portanto, não abre a ficha pelo dia inteiro.
Arquivo dos seus dados: 7 dias. Decorrido esse prazo, o arquivo é apagado dos nossos servidores e o link deixa de funcionar; o registro da sua solicitação, por sua vez, é conservado, pois precisamos poder provar que os seus direitos foram atendidos.
Registros técnicos: 90 dias para o registro da aplicação, oito semanas para o das requisições de robôs.

8. Seus direitos

Em conformidade com o RGPD, você dispõe de um direito de acesso, de retificação, de apagamento, de portabilidade, de oposição e de limitação sobre os seus dados, bem como do direito de definir diretrizes relativas ao destino deles após o seu falecimento (article 85 de la loi Informatique et Libertés, artigo 85 da Lei francesa de Informática e Liberdades).

O acesso e a portabilidade são atendidos automaticamente: a partir da sua conta, o botão "Solicitar uma cópia dos meus dados" prepara um arquivo contendo as suas fichas e seus três níveis, as suas fotografias, os seus pedidos e a origem de cada uma das suas ativações. As suas fichas aparecem nele duas vezes: em JSON, para que outro software possa retomá-las, e em página web, para que você possa lê-las. Um link pessoal é enviado a você por e-mail assim que ele estiver pronto. O arquivo não contém nenhuma senha: nem a da sua conta nem as dos seus níveis protegidos são conservadas em texto claro, e o hash que as substitui protege os seus dados em vez de descrevê-los.

O conteúdo das suas fichas pode ser corrigido e substituído diretamente a partir do seu espaço, a qualquer momento. Para as demais solicitações, escreva para o ponto de contato indicado na seção 1. Respondemos no prazo de um mês a contar do recebimento; esse prazo pode ser prorrogado por dois meses se a solicitação for complexa, caso em que você será informado disso no primeiro mês, com o motivo. Um documento de identidade só lhe será solicitado em caso de dúvida razoável sobre a sua identidade.

O apagamento é solicitado a partir da sua conta, e ele é examinado por uma pessoa em vez de ser executado automaticamente: ele distingue o que pode desaparecer do que não pode. Antes que você confirme qualquer coisa, a tela indica em números o que a solicitação produzirá na sua conta, e você recebe o mesmo detalhe assim que o apagamento for executado.

O que desaparece definitivamente:

a sua identidade, o seu endereço de faturamento e a sua senha;
as suas etiquetas que não estão mais no período pago, as que você nunca ativou e as que você tinha colocado na lixeira, com suas fotografias;
os arquivos de dados que você tinha solicitado, que contêm uma cópia deles.

O que é conservado, e por quê:

as suas etiquetas ainda dentro do período pago, até o vencimento delas. É o que lhe foi vendido: uma etiqueta colada em um quadro deve continuar respondendo a quem a escaneia, inclusive a um terceiro que não pediu nada. Elas deixam de trazer o seu nome.
os seus pedidos: são documentos de faturamento que a lei obriga a conservar. A conta que os contém é esvaziada de tudo o que identifica você, restando apenas um número.

Uma consequência que você deve conhecer antes de solicitar: as ativações compradas e não utilizadas são perdidas junto com a conta. O número delas é indicado a você na tela, antes da confirmação.

9. Segurança

As comunicações são criptografadas (HTTPS). As senhas de conta, assim como as senhas de nível, só são conservadas na forma de hash. As fotografias não são servidas a partir de um caminho público adivinhável, mas por um controlador que verifica, a cada imagem, se o nível ao qual ela pertence está de fato aberto. As tentativas de login, os cadastros, os pedidos de redefinição e as tentativas de senha de nível são contados e limitados.

10. Reclamação

Se você considerar que o tratamento dos seus dados constitui uma violação do RGPD, você pode apresentar uma reclamação à CNIL (autoridade francesa de proteção de dados), sem prejuízo de um recurso judicial: www.cnil.fr, ou por correio para 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.