Politique de confidentialité

1. Qui nous sommes

Onde est exploité par THE BROWZ, société immatriculée en France (SIREN 982 460 958), dont le siège social est situé au 58 rue de Monceau, CS 48756, 75380 Paris Cedex 08. Pour toute question ou demande relative à la confidentialité, contactez-nous à contact@onde-review.com.

2. Données que nous collectons

2.1 Données de compte (connexion Google)

Lorsque vous vous connectez avec Google, nous recevons et stockons les éléments suivants de votre profil Google :

• Votre adresse email
• Votre nom
• L'URL de votre photo de profil
• Un identifiant de compte Google stable (sub)

Nous utilisons uniquement les scopes OAuth openid, email et profile. Ces scopes ne donnent aucun accès à Google Drive : nous n'utilisons pas l'API Drive. L'extension lit seulement ce que la page Drive affiche dans votre navigateur (sections 2.2 et 2.5), et télécharge un fichier uniquement pour un lien public que vous créez (section 2.7).

2.2 Données de review (créées dans l'extension)

Quand vous utilisez Onde dans Drive, nous stockons le contenu que vous créez :

• Les commentaires et réponses (texte, auteur, horodatage, identifiant du fichier Drive concerné, personnes @mentionnées, statut « résolu »)
• Les annotations (coordonnées des formes, couleur, timecode vidéo optionnel)
• Le statut d'approbation d'un fichier (qui, quand)
• Les pièces jointes ajoutées aux commentaires (nom de fichier, type MIME, taille, contenu stocké dans notre stockage objet, accessible par une adresse web non devinable : voir section 3)
• L'identifiant et le nom du fichier Drive, ainsi que le fil d'Ariane du dossier (identifiants et noms des dossiers, lus dans le DOM de la page), nécessaires pour rattacher la review au bon fichier et rédiger les notifications
• Les identifiants des fichiers Drive que vous ouvrez dans le panneau Onde, avec la date de votre dernière ouverture de chacun, pour signaler les commentaires non lus et ne pas vous notifier de retours déjà vus

Pour afficher les pastilles de commentaires et d'approbation dans la grille Drive, l'extension envoie aussi à notre serveur les identifiants des fichiers affichés dans le dossier ouvert. Ces identifiants servent seulement à répondre à cette demande et ne sont pas conservés.

Le message facultatif que vous joignez à une « Review terminée » est transmis aux destinataires (Slack ou email, sections 2.3 et 4) sans être conservé dans notre base de données.

Nous ne recevons, ne copions et ne stockons jamais le contenu du fichier Drive lui-même (image, vidéo, PDF, document) dans le cadre de l'usage normal de l'extension. Dans la page Drive, Onde lit l'identifiant, le nom, le type et le poids des fichiers, les noms et identifiants des dossiers, les vignettes (affichées localement, jamais envoyées), le numéro de compte Google présent dans l'adresse (/u/1) et, pour les notifications, les collaborateurs du dossier (section 2.5). Pour le contenu des fichiers, la seule exception est le partage par lien public décrit en section 2.7.

2.3 Intégration Slack (optionnelle)

Si un utilisateur connecte explicitement un espace de travail Slack à un dossier Drive via OAuth, nous stockons :

• Une URL de webhook entrant émise par Slack
• Le nom du canal et le nom de l'espace de travail renvoyés par le callback OAuth (affichage uniquement)
• L'identifiant de l'utilisateur qui a créé la connexion

Cela nous permet d'envoyer dans ce canal le récapitulatif « Review terminée » du dossier. Chaque utilisateur peut aussi connecter son propre Slack pour recevoir ses alertes personnelles (mentions, commentaires, validations), selon les préférences qu'il choisit. La déconnexion de Slack dans Onde supprime le webhook de notre base de données.

2.4 Destinataires email ajoutés à la main (ancienne fonction)

Une version antérieure d'Onde permettait d'ajouter à la main des adresses email à un dossier Drive pour recevoir le récapitulatif « Review terminée ». Cette fonction n'est plus proposée dans l'extension : le récapitulatif par email est désormais envoyé aux seuls utilisateurs d'Onde qui collaborent sur le dossier et n'ont pas désactivé l'alerte « Review terminée » par email, active par défaut (sections 2.5 et 2.6), et la liste des destinataires s'affiche avant l'envoi.

Les adresses saisies avec cette fonction (avec l'identifiant du dossier Drive, l'identifiant de l'utilisateur qui les a ajoutées et un horodatage) ne servent plus à aucun envoi. Notre serveur répond encore aux anciennes versions de l'extension : un utilisateur d'Onde qui ne l'a pas mise à jour peut toujours consulter la liste d'un dossier et y ajouter des adresses. Elles sont supprimées avec le compte de l'utilisateur qui les a ajoutées, ou sur simple demande à l'adresse indiquée en section 1.

2.5 Métadonnées de collaborateurs Drive (notifications par dossier et @mentions)

Pour vous prévenir des nouveaux commentaires, approbations et reviews terminées sur les dossiers qui vous concernent, pour savoir à qui envoyer le récapitulatif « Review terminée » et pour proposer les bonnes personnes quand vous @mentionnez quelqu'un, Onde doit savoir quels utilisateurs d'Onde collaborent sur un dossier Drive.

Pour faire cela sans utiliser l'API Google Drive (qui exigerait des permissions sensibles et un audit CASA Tier 2), Onde lit la liste des collaborateurs que Google Drive affiche déjà lui-même dans le DOM de la page quand vous visitez un dossier. Cette liste est la même que celle que Google vous montre dans le panneau de partage : Onde ne voit rien que vous ne pourriez pas voir vous-même.

De cette liste, nous ne conservons que les lignes qui correspondent à un compte Onde existant, identifié par l'adresse email. Concrètement :

• Le script de contenu extrait (email, nom optionnel, identifiant Google optionnel, rôle optionnel) du bloc DOM injecté par Google sur la page.
• Quand vous êtes connecté et ouvrez un dossier Drive, l'extension envoie cette liste à notre backend : à l'ouverture du dossier, puis au plus une fois toutes les 30 minutes par dossier tant que vous restez dans le même onglet Drive sans le recharger (un nouvel onglet ou un rechargement recommence ce décompte), et de nouveau quand vous tapez « @ ». Elle y joint l'identifiant et le nom du dossier et les identifiants de ses dossiers parents.
• Le backend effectue une jointure avec les comptes Onde existants et écarte toute ligne sans compte Onde correspondant. Les emails écartés ne sont jamais journalisés ni écrits sur disque.
• Seul l'identifiant interne Onde (un UUID, jamais une adresse email) est stocké, aux côtés de l'identifiant du dossier Drive, de la source du signal, du rôle Drive le cas échéant et d'horodatages. Nous conservons aussi le nom du dossier et ses liens avec ses dossiers parents, pour rattacher les notifications au bon dossier.
• Un utilisateur est aussi enregistré automatiquement comme collaborateur d'un dossier et de ses dossiers parents lorsqu'il (a) ouvre le panneau de commentaires Onde sur un fichier de ce dossier, ou (b) poste un commentaire ou une approbation dans ce dossier, si ses préférences de notification enregistrées en activent au moins une.

Autrement dit, aucun email d'un non-utilisateur d'Onde n'est jamais conservé dans le cadre de cette lecture des collaborateurs. Vous pouvez cesser de suivre un dossier à tout moment depuis les préférences de notification, ou désactiver toutes vos alertes.

2.6 Préférences de notification (par utilisateur)

Pour chaque utilisateur, nous stockons 8 réglages (mentions, tous les commentaires, approbations et Review terminée, par email et par Slack), un indicateur de première configuration et un horodatage. Par défaut, les alertes email de mention et de « Review terminée » sont actives ; les autres sont désactivées. Vous pouvez les modifier à tout moment. Si vous personnalisez ces réglages pour un dossier, nous stockons aussi vos réglages propres à ce dossier (ils s'appliquent à ses sous-dossiers). Si vous ne suivez plus un dossier, nous stockons une ligne par couple (utilisateur, dossier) avec un horodatage.

2.7 Liens publics et reviewers externes

Onde vous permet de générer un lien public pour partager un fichier ou un dossier Drive avec des reviewers externes qui n'ont pas l'extension ni accès à votre Drive. Cette fonctionnalité, que vous déclenchez explicitement, implique trois traitements spécifiques :

a) Copie temporaire des fichiers partagés. Pour pouvoir afficher vos fichiers à des reviewers qui n'ont pas accès au Drive, l'extension télécharge les fichiers que vous choisissez de partager et en dépose une copie dans notre stockage objet Cloudflare R2 (région Europe de l'Ouest), sous un préfixe dédié au lien. C'est la seule situation où Onde copie le contenu de vos fichiers. Le lien expire au bout de 30 jours. Les copies sont supprimées immédiatement si vous révoquez le lien, et dans tous les cas automatiquement au plus tard 35 jours après leur mise en ligne. Après révocation ou expiration, le lien renvoie une erreur et les copies ne sont plus accessibles. Pour chaque fichier partagé, nous enregistrons aussi son identifiant Drive, son nom, son type, sa taille et son emplacement dans le dossier partagé (noms des sous-dossiers), ainsi que le nom du dossier partagé. Ces informations restent associées au lien après sa fin, avec les retours des reviewers.

b) Identité des reviewers externes (invités). Quand un reviewer ouvre un lien public, il s'identifie soit via une connexion Google optionnelle (scopes openid, email, profile uniquement, aucun scope Drive), soit en tant qu'invité en saisissant son nom et, s'il le souhaite, son email (facultatif). Nous stockons alors, par lien et par reviewer, son identité d'invité :

• Le nom d'affichage, saisi ou issu de son compte Google
• L'adresse email, s'il la saisit ou se connecte avec Google
• La photo et l'identifiant de son compte Google, s'il se connecte avec Google
• Ses préférences de notification (point c ci-dessous)
• Les horodatages de première et dernière visite

Cette identité signe ses commentaires, annotations et approbations : elle les accompagne dans Drive via l'extension et sur ce même lien. Son nom, sa photo et, s'il l'a donnée, son adresse email sont ainsi transmis aux utilisateurs d'Onde qui ouvrent les fichiers concernés dans Drive et à toute personne qui ouvre le lien. Elle reste attachée à ses retours après la fin du lien, pour que l'on sache toujours qui les a laissés (voir plus bas). Son email sert aussi à lui envoyer les alertes qu'il a choisies (point c) et, s'il veut reprendre sur ce lien une identité déjà créée avec cet email, un code de vérification à usage unique (il peut aussi se connecter avec Google). Ce code n'est jamais stocké en clair.

c) Préférences de notification des invités. Un reviewer externe identifié (disposant d'une adresse email) peut activer des notifications email lorsqu'il est mentionné dans un commentaire, ou à chaque nouveau commentaire sur la review partagée. Aucun email n'est envoyé à un reviewer qui n'a pas renseigné d'adresse. Lorsqu'il en renseigne une, l'alerte en cas de mention lui est proposée pré-cochée et l'alerte pour chaque commentaire décochée : il choisit avant de valider, et peut changer d'avis à tout moment. Le cas échéant, nous stockons ses préférences (les indicateurs choisis et un horodatage), rattachées à son identité sur ce lien. Les emails sont relayés via notre prestataire d'envoi (voir section 4), et le reviewer peut modifier ou désactiver ces notifications à tout moment depuis la fenêtre de préférences accessible sur le lien.

Les commentaires, annotations et approbations posés par un reviewer externe sont stockés comme les autres données de review, rattachés au fichier Drive d'origine. Comme ceux de l'équipe, ils déclenchent les notifications des utilisateurs d'Onde qui suivent le dossier : son nom, le nom du fichier et le texte de ses commentaires peuvent donc leur parvenir par email, ou dans un Slack qu'un utilisateur d'Onde a connecté (sections 2.3 et 4). Ils restent visibles dans Drive via l'extension après l'expiration ou la révocation du lien, signés du nom de leur auteur : son identité d'invité est conservée avec les retours qu'elle signe. Onde ne supprime jamais automatiquement ces retours ni cette identité, ni à l'expiration, ni à la révocation du lien : seuls le lien et les copies temporaires des fichiers (point a) prennent fin.

Une fois le lien expiré ou révoqué, le reviewer externe ne reçoit plus d'alerte par email. Tant que le lien est actif, il peut supprimer lui-même ses commentaires et retirer son approbation. Il peut à tout moment demander la suppression de ses données en écrivant à contact@onde-review.com (section 7). Son identité est aussi supprimée si le compte Onde qui a créé le lien est supprimé (section 6) : ses retours restent alors, sans son nom.

2.8 Données que nous ne collectons PAS

• L'historique de navigation en dehors de drive.google.com et des pages de lien public Onde
• Le contenu de vos fichiers Drive (sauf copie temporaire lors d'un partage par lien public que vous déclenchez, voir 2.7)
• Toute donnée d'analyse d'audience dans l'extension et les pages de lien public (aucun outil d'analytics tiers), pixel de tracking ou identifiant publicitaire ; la télémétrie technique décrite en section 2.9 sert seulement à réparer l'extension. Le site onde-review.com mesure sa fréquentation de façon anonyme et sans cookie (section 4).
• Les frappes clavier, mouvements de souris ou enregistrements d'écran
• Avant votre connexion, les données vous concernant, à l'exception du signalement technique décrit en section 2.9, des informations techniques que contient toute requête (section 3) et de votre adresse email si quelqu'un vous a invité dans son organisation (section 2.10) ou l'a ajoutée avec l'ancienne fonction décrite en section 2.4. Les reviewers externes, qui n'ont pas de compte, sont traités en section 2.7 ; les collaborateurs Drive sans compte Onde, en section 2.5 (leur email est comparé à nos comptes puis écarté, jamais conservé).

2.9 Télémétrie technique

L'extension nous envoie deux signalements techniques, qui servent uniquement à détecter et réparer une panne :

• Casse de l'interface Drive. Quand Google modifie l'interface de Drive et qu'un élément n'est plus trouvé, l'extension envoie, au plus une fois par chargement de Drive : l'élément concerné et son sélecteur, la classe de l'élément de la page qui semble l'avoir remplacé, le chemin de la page Drive où la panne a été vue et la version de l'extension. Ce chemin peut contenir l'identifiant du dossier ouvert et, si vous utilisez plusieurs comptes Google, le numéro de compte (par exemple /drive/u/1/folders/ suivi de l'identifiant du dossier). Ce signalement part sans votre session Onde, y compris avant votre connexion : il n'est pas rattaché à votre compte, mais notre serveur reçoit, comme pour toute requête, votre adresse IP (section 3).
• Échec de copie pour un lien public. Quand un fichier ne peut pas être copié pour un lien public, l'extension envoie, avec votre session : la raison de l'échec (qui peut contenir le nom du fichier), un diagnostic technique (étape en cause, taille du fichier et, pour un téléchargement depuis Drive, une trace de chaque tentative : code de réponse, type et taille de la réponse, site vers lequel Drive a redirigé, titre d'une éventuelle page d'erreur de Drive, numéro du compte Google utilisé), la version de l'extension, le nom et la version du navigateur et le système d'exploitation. Notre serveur y ajoute l'identification du navigateur (user agent). Ce signalement est rattaché à votre compte et au lien concerné.

Ces signalements sont enregistrés dans les journaux de notre serveur (section 3) et transmis à notre canal d'alertes interne (section 4).

2.10 Organisations et abonnement

Une organisation regroupe une équipe, ses liens publics et son abonnement. Quand vous en créez une ou en rejoignez une, nous stockons :

• Le nom de l'organisation, le compte qui l'a créée et sa date de création
• Ses membres, leur rôle (admin ou membre) et leur date d'arrivée
• Les invitations : l'adresse email de la personne invitée (qui n'a pas forcément de compte Onde), le rôle proposé, le compte qui l'a invitée, un jeton d'invitation et les dates d'expiration, d'acceptation ou d'annulation. L'invitation est envoyée par email à cette adresse.
• L'état de l'abonnement : statut, dates de fin d'essai et de période en cours, rappels de fin d'essai envoyés, remise de lancement le cas échéant, ajustement éventuel du quota de stockage, et les références Stripe (identifiants du client, de l'abonnement et de la session de paiement). Les données de paiement elles-mêmes sont saisies chez Stripe (section 4).

Les membres d'une organisation voient le nom, l'adresse email et la photo des autres membres, ainsi que les liens publics de l'organisation (adresse du lien, nom du dossier, nom et email de la personne qui l'a créé, nombre de fichiers). Les admins voient en plus les invitations en attente et peuvent révoquer les liens de l'organisation. La personne invitée voit, avant de se connecter, le nom de l'organisation, l'adresse invitée, le rôle proposé et la date d'expiration de l'invitation.

3. Où vos données sont stockées

• Base de données : Postgres hébergé chez Neon, région Francfort (UE).
• Pièces jointes et copies temporaires des fichiers de liens publics : stockage objet Cloudflare R2, région Europe de l'Ouest. Les copies de liens publics sont supprimées à la révocation, et automatiquement au plus tard 35 jours après leur mise en ligne.
• Serveur applicatif : Railway, région Europe (Europe-West). Les requêtes vers notre serveur transitent par le réseau de Cloudflare.
• Journaux techniques : notre hébergeur applicatif (Railway) enregistre pour chaque requête l'adresse IP, l'identification du navigateur (user agent), l'adresse appelée et l'heure. Notre serveur journalise aussi chaque requête (adresse IP, adresse appelée, heure) et certains événements avec l'identifiant de votre compte ou une adresse email, par exemple l'échec de l'envoi d'un fichier avec son nom, ou l'échec de l'envoi d'un email avec l'adresse du destinataire. Il limite le nombre de requêtes par adresse IP pour se protéger des abus. Nous n'utilisons votre adresse IP que pour ces journaux et cette limitation, jamais pour vous localiser. Ces journaux servent à la sécurité et au diagnostic des pannes. Ils ne nous sont plus accessibles au-delà de la durée de conservation de notre offre Railway, 30 jours au plus.
• Alertes internes (section 4) : espace Slack de l'équipe Onde, aux États-Unis.

Google, Cloudflare, Slack et Stripe sont des sociétés américaines : certaines données peuvent donc être traitées hors de l'Union européenne, notamment aux États-Unis (connexion Google et chargement de sa bibliothèque de connexion sur les pages web d'Onde, acheminement du trafic et relais des emails par Cloudflare, notifications et alertes Slack, paiement chez Stripe). Neon et Railway sont aussi des sociétés américaines ; elles hébergent nos données en Europe (section 3). Pour savoir comment ces transferts sont encadrés, écrivez-nous à l'adresse indiquée en section 1.

Toutes les données transitent uniquement via HTTPS. Vos données sont conservées par nos seuls sous-traitants listés en section 4. Les pièces jointes des commentaires sont servies par une adresse web contenant une clé aléatoire : toute personne qui obtient cette adresse peut ouvrir le fichier sans se connecter. N'y joignez pas de document sensible.

4. Avec qui nous partageons les données

Nous faisons appel aux sous-traitants suivants strictement pour faire fonctionner le service. Aucun n'est utilisé à des fins de publicité, de profilage ou de revente.

Équipe Onde. En plus des alertes internes ci-dessus, une page d'administration réservée à l'équipe Onde affiche, pour chaque compte, le nom, l'adresse email, la photo, la date d'inscription, le nombre de commentaires, d'approbations et de liens publics, et la date de dernière activité, ainsi que le nombre de comptes par domaine d'email. Elle sert à faire fonctionner le service et à assister ses utilisateurs.

Participants d'une review. Les participants d'une même review voient aussi certaines de vos données, parce que c'est le principe de l'outil :

• Dans Drive, les utilisateurs d'Onde qui ouvrent les mêmes fichiers voient vos commentaires et approbations avec votre nom et votre photo, et reçoivent votre adresse email avec vos commentaires et approbations et dans les suggestions de @mention. Ceux qui ouvrent un fichier situé dans un dossier dont vous êtes collaborateur (section 2.5), ou dans l'un de ses sous-dossiers, reçoivent aussi votre adresse email dans les suggestions de @mention. De la même façon, le nom, la photo et, s'il l'a donnée, l'adresse email d'un reviewer externe sont visibles des utilisateurs d'Onde qui ouvrent un fichier qu'il a commenté ou qui fait partie de son lien.
• Sur un lien public, toute personne qui dispose du lien voit les commentaires, annotations et approbations posés sur les fichiers partagés, y compris ceux que l'équipe a laissés dans Drive, avec le nom et la photo de leurs auteurs ; la page reçoit aussi leur adresse email, sans toujours l'afficher. Un reviewer externe identifié voit en plus, dans les suggestions de @mention, l'adresse email des autres invités du lien, de la personne qui l'a créé et des utilisateurs d'Onde qui ont commenté ses fichiers.

Nous ne vendons, ne louons et n'échangeons jamais vos données, à personne.

5. Divulgation Limited Use (Chrome Web Store)

L'utilisation par Onde des informations reçues des API Google respecte la Chrome Web Store User Data Policy, y compris ses exigences de Limited Use, ainsi que la Google API Services User Data Policy pour la connexion Google. Ces engagements couvrent toutes les données que l'extension traite, notamment : données de compte Google, contenu lu dans les pages Drive (identifiants et noms des fichiers et des dossiers, collaborateurs), fichiers copiés pour un lien public, commentaires, annotations, approbations et pièces jointes, identifiants des fichiers ouverts dans le panneau et date de dernière ouverture, URL de webhook Slack, adresse IP et télémétrie technique. Concrètement :

• Nous n'utilisons ces données que pour fournir et améliorer la fonction unique d'Onde décrite sur sa fiche Chrome Web Store, la review de fichiers Drive (commentaires, annotations, approbations, notifications et liens de review), y compris pour en assurer le fonctionnement et la sécurité.
• Nous ne les vendons pas, et ne les utilisons ni pour la publicité, ni pour évaluer une solvabilité ou accorder un prêt.
• Nous ne les transférons qu'aux sous-traitants listés en section 4 et, pour les fonctions de collaboration, aux participants d'une review décrits en section 4, pour faire fonctionner ou améliorer le service, pour respecter la loi, ou pour lutter contre la fraude et les abus.
• En dehors des alertes internes et de la page d'administration décrites en section 4, et des journaux techniques (section 3) que nous consultons pour diagnostiquer une panne, aucun humain ne lit vos données, sauf (a) avec votre accord explicite pour des données précises, par exemple quand vous écrivez au support, (b) pour des raisons de sécurité, comme l'investigation d'un abus, (c) pour respecter la loi, ou (d) lorsque les données sont agrégées et anonymisées et servent à nos opérations internes.

6. Conservation et suppression

• Les données de compte et de review sont conservées tant que votre compte existe.
• L'identité d'un reviewer externe est conservée avec les commentaires, annotations et approbations qu'elle signe, y compris après l'expiration ou la révocation du lien (section 2.7). Elle est supprimée à sa demande, écrite à contact@onde-review.com.
• Vous pouvez demander la suppression de votre compte et des données associées en écrivant à contact@onde-review.com depuis l'adresse email liée à votre compte Google. La suppression est traitée sous 30 jours. À la suppression du compte, toutes les lignes liées (commentaires, pièces jointes, webhooks Slack créés, destinataires email ajoutés, préférences de notification, liens publics créés et identités des invités de ces liens, appartenance à une organisation) sont supprimées, ainsi que les fichiers joints de notre stockage. Les approbations données par ce compte restent sur les fichiers, sans son nom, tout comme les retours des invités de ses liens. Nous effaçons aussi les invitations d'organisation adressées à votre email et, quand c'est possible, les alertes internes (section 4) et les journaux qui vous concernent ; les journaux de Railway, eux, expirent avec leur durée de conservation (section 3). Les données de facturation que Stripe conserve pour nos obligations comptables ne sont pas supprimées.
• Les données d'une organisation (section 2.10) sont conservées tant qu'elle existe, y compris ses invitations acceptées, annulées ou expirées et l'adresse invitée qu'elles portent. Un membre qui supprime son compte quitte l'organisation, qui continue d'exister. Un admin peut nous demander de supprimer l'organisation (une fois son éventuel abonnement résilié) ou une invitation, et une personne invitée l'invitation qui la concerne, à l'adresse indiquée en section 1.
• La déconnexion de l'intégration Slack supprime immédiatement l'URL du webhook de notre base.
• Quand vous recommencez à suivre un dossier, la ligne qui l'excluait est supprimée immédiatement.
• La révocation d'un lien public supprime immédiatement les copies de fichiers associées de notre stockage ; sans révocation, elles sont supprimées automatiquement au plus tard 35 jours après leur mise en ligne.
• Les journaux techniques (section 3) ne nous sont plus accessibles au-delà de la durée de conservation de notre offre Railway, 30 jours au plus. Les alertes internes (section 4) restent dans l'espace Slack de l'équipe Onde tant que nous ne les effaçons pas, notamment à votre demande (voir plus haut).
• La désinstallation de l'extension ne supprime pas automatiquement les données côté serveur : écrivez-nous comme indiqué ci-dessus.

7. Bases légales et vos droits

Nous traitons vos données sur les bases suivantes (article 6 du RGPD) :

• Fourniture du service que vous utilisez : compte, données de review, liens publics et identité des reviewers externes sur ces liens, notifications et intégration Slack, organisation et abonnement.
• Intérêt légitime : sécurité, journaux techniques et limitation du nombre de requêtes, télémétrie technique, alertes internes et page d'administration (faire fonctionner le service et assister ses utilisateurs), lecture des collaborateurs Drive pour les notifications et les @mentions, conservation de l'identité d'un reviewer externe avec ses retours (pour que l'on sache qui les a laissés), mesure d'audience anonyme du site onde-review.com.
• Obligation légale : conservation des données de facturation.

Si vous résidez dans l'Espace économique européen, au Royaume-Uni, ou dans toute juridiction accordant des droits équivalents, vous pouvez :

• Demander une copie des données que nous détenons sur vous
• Demander la rectification de données inexactes
• Demander la suppression (droit à l'oubli)
• Demander la portabilité de vos données dans un format lisible par machine
• Vous opposer au traitement ou en demander la limitation
• Désactiver à tout moment les notifications et l'intégration Slack depuis vos préférences

Pour exercer l'un de ces droits, contactez contact@onde-review.com. Nous répondons sous 30 jours. Vous pouvez aussi adresser une réclamation à la CNIL (cnil.fr), l'autorité française de protection des données.

8. Sécurité

• Tout le trafic est exclusivement en HTTPS.
• Les jetons de session (JWT) sont signés avec un secret HMAC 256 bits et stockés uniquement côté client : dans chrome.storage.local pour l'extension, dans le stockage local du navigateur pour les pages web d'Onde (liens publics, espace web).
• Aucun mot de passe n'est demandé ni stocké : la connexion passe par Google, et un reviewer externe s'identifie par son nom, son email (avec un code de vérification si besoin) ou son compte Google.
• Les URL de webhook Slack sont stockées dans notre base de données, chiffrée au repos par l'hébergeur, et ne sont jamais exposées au client.
• Aucun identifiant de production n'est versionné dans le code source.

Si vous découvrez un problème de sécurité, signalez-le à contact@onde-review.com. Nous accusons réception sous 72 heures.

9. Enfants

Onde est un outil B2B qui ne s'adresse pas aux enfants de moins de 16 ans. Nous ne collectons pas sciemment de données personnelles d'enfants. Si vous pensez qu'un enfant nous a fourni des données, contactez-nous et nous les supprimerons.

10. Modifications de cette politique

Nous publions toute mise à jour sur cette page et actualisons la date « Dernière mise à jour » en haut. Si un changement modifie les données qu'Onde collecte ou la façon dont nous les utilisons, nous prévenons par email les titulaires d'un compte, et les reviewers externes qui nous ont donné leur adresse et dont le lien est encore actif, avant son entrée en vigueur.