Politique de confidentialité

Responsable du traitement

Le responsable du traitement des données à caractère personnel décrites dans la présente politique est Rodrigo Peiracchia, entrepreneur individuel (EI), exploitant sous le nom commercial Sibyro, dont le siège d'activité est situé 64 rue des Bas Rogers, 92800 Puteaux, immatriculé au Registre du commerce et des sociétés (RCS) de Nanterre sous le numéro 522 719 194 (SIREN : 522 719 194 — SIRET du siège : 522 719 194 00022), ci-après l'« Éditeur ».

Le responsable du traitement peut être contacté, pour toute question relative à la présente politique ou au traitement des données, à l'adresse électronique suivante : contact@sibyro.com.

Les traitements décrits dans la présente politique sont régis par le Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) ainsi que par la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa version en vigueur.

Périmètre de la présente politique

La présente politique couvre : le site sibyro.com, ses pages d'information et son espace client ; le logiciel SibyBuilder, installé sur l'ordinateur du Client ; et les serveurs de l'Éditeur qui gèrent les comptes, les licences, les paiements, les téléchargements, les mises à jour et le support (ci-après le « Service central »).

Elle ne couvre pas les données des membres des applications que les Clients publient sous leur propre marque : chaque Client en est le responsable du traitement (voir l'article « Données des membres des applications des Clients »). Les pages de sibyro.com consacrées à l'application de démonstration Sibyro (suppression de compte, inscription des vendeurs, partage d'annonces et de profils) relèvent de la politique de confidentialité de cette application, présentée dans l'application.

L'offre de l'Éditeur est réservée aux professionnels (B2B) : les données traitées concernent les représentants et interlocuteurs des entreprises clientes ou prospectes (ci-après, selon le cas, l'« Utilisateur » ou le « Client »).

Données traitées et origine

Visite du site. Le site ne comporte aucun outil de mesure d'audience ni de publicité. Comme pour tout site, l'hébergeur (Google, service Firebase Hosting) traite les données techniques de connexion (adresse IP, type de navigateur, pages demandées) nécessaires pour délivrer les pages et en assurer la sécurité. Les polices de caractères sont hébergées sur le site lui-même : aucune donnée n'est transmise à un service de polices tiers.

Prise de contact. Lorsque l'Utilisateur écrit à l'Éditeur par courrier électronique ou par le chat en direct (activé seulement avec son accord), l'Éditeur traite son nom, son adresse électronique, le contenu de ses messages et toute information qu'il choisit d'y faire figurer. Les courriers électroniques adressés à contact@sibyro.com sont reçus par le service de routage de Cloudflare, qui les transmet au Service central, où ils sont conservés avec leurs pièces jointes dans une boîte de réception accessible au seul Éditeur. À chaque message reçu, une notification indiquant le nom et l'adresse de l'expéditeur, l'objet et les premières lignes du message est adressée à la messagerie de l'Éditeur. Les réponses de l'Éditeur partent de l'adresse contact@sibyro.com ; les images qu'il y joint transitent par un espace de stockage temporaire de Cloudflare, d'où elles sont effacées au plus tard six (6) heures après leur dépôt.

Compte client. À la création de son compte, le Client fournit une adresse électronique professionnelle et un mot de passe. Le mot de passe est géré par le service d'authentification de Google (Firebase Authentication) : l'Éditeur n'y a jamais accès. L'adresse est vérifiée par un code à six chiffres envoyé par courrier électronique. Le Client renseigne ensuite ses coordonnées : raison sociale, forme juridique, numéro SIRET, adresse, code postal, ville, pays, numéro de TVA, adresse de facturation, prénom, nom, téléphone, nom de sa boutique et, s'il le souhaite, une photo de profil.

Achats et facturation. Les paiements (Licence, Options payantes) sont réalisés sur les pages sécurisées de Stripe : les données de carte bancaire sont saisies chez Stripe et ne sont jamais reçues ni conservées par l'Éditeur. L'Éditeur conserve l'identifiant client attribué par Stripe, la formule souscrite, les montants, les dates et le statut des paiements, des remboursements et des abonnements, les Options payantes acquises, ainsi que la demande d'exécution immédiate et la renonciation au droit de rétractation, avec leur date.

Licence, SibyBuilder et application. Pour fournir et vérifier la Licence, l'Éditeur traite : l'identifiant et la clé de la Licence ; l'identifiant et la configuration web du projet Firebase de l'application du Client ; les versions de SibyBuilder utilisées et la date de leur dernière utilisation ; les dates des téléchargements de SibyBuilder et des composants servant à fabriquer l'application ; le résultat de chaque fabrication de l'application ; et les informations techniques limitées décrites à l'article « Options payantes et protection de la Licence » des conditions générales. Les applications des Clients et leur moteur interrogent régulièrement le Service central pour vérifier la Licence : ces requêtes transmettent l'identifiant de la Licence et, techniquement, l'adresse IP de l'appareil ou du serveur qui les émet, que l'Éditeur n'enregistre pas dans ses bases de données.

Support. Lorsque l'Éditeur intervient sur l'application d'un Client, il enregistre la demande d'accès et son motif, l'accord ou le refus du Client, l'adresse électronique de la personne qui a répondu, les opérations effectuées, leurs dates et l'identité de l'intervenant. En cas de changement de l'adresse de connexion d'un compte, l'ancienne et la nouvelle adresse sont conservées dans ce journal.

Courriers électroniques de service. L'Éditeur adresse au Client les messages nécessaires au service : code de vérification, invitation à l'espace client, réinitialisation du mot de passe, confirmation du lancement de son application, fin de fabrication de son application, demande d'accès du support et changement d'adresse de connexion.

Sur l'ordinateur du Client. SibyBuilder conserve localement, sous le seul contrôle du Client et sans les transmettre à l'Éditeur : si la case « Rester connecté » est cochée, l'adresse et le mot de passe du compte dans le coffre chiffré de Windows (Gestionnaire d'identification) ; les clés des services que le Client configure ; ses préférences ; et des journaux d'installation dans le dossier %LOCALAPPDATA%\SibyBuilder. L'ouverture de SibyBuilder est protégée par Windows Hello. SibyBuilder utilise le même compte pour administrer le projet Firebase de l'application du Client, et communique directement, depuis l'ordinateur du Client et avec ses propres clés, avec les services que celui-ci configure (notamment Stripe, Resend, Sendcloud et TrackingMore) : ces échanges relèvent de la relation entre le Client et ces prestataires. SibyBuilder ne contient aucun outil de mesure d'audience ni de rapport de plantage.

Finalités et bases légales du traitement

Répondre aux demandes de contact : mesures précontractuelles ou intérêt légitime de l'Éditeur à donner suite aux messages reçus (article 6, paragraphe 1, points b) et f) du RGPD).

Créer et gérer le compte client ; vendre, fournir et renouveler la Licence et les Options payantes ; permettre les téléchargements et les mises à jour ; adresser les courriers électroniques de service : exécution du contrat (article 6, paragraphe 1, point b) du RGPD).

Facturer et tenir la comptabilité : respect d'une obligation légale (article 6, paragraphe 1, point c) du RGPD).

Vérifier la Licence et l'usage des Options payantes, prévenir la fraude et le contournement, constater et défendre les droits de l'Éditeur : intérêt légitime de l'Éditeur à protéger ses logiciels et sa rémunération (article 6, paragraphe 1, point f) du RGPD), et exécution du contrat.

Intervenir en support : exécution du contrat, avec l'accord exprès et préalable du Client pour chaque intervention.

Assurer la sécurité du site et des serveurs : intérêt légitime de l'Éditeur (article 6, paragraphe 1, point f) du RGPD).

Activer le chat en direct : consentement de l'Utilisateur (article 6, paragraphe 1, point a) du RGPD), qu'il peut retirer à tout moment sans que ce retrait remette en cause la licéité du traitement antérieur.

Aucune décision produisant des effets juridiques n'est prise sur le seul fondement d'un traitement automatisé : toute anomalie de licence fait l'objet d'une vérification humaine. Les données ne sont ni vendues, ni louées, ni utilisées à des fins publicitaires.

Cookies et stockage dans le navigateur

Le site ne dépose lui-même aucun cookie. Il enregistre seulement dans le navigateur, sans finalité publicitaire ni de mesure d'audience : le choix de l'Utilisateur concernant le chat en direct ; la session de connexion à l'espace client, conservée par le service Firebase Authentication ; et, le temps d'un paiement, un repère technique supprimé au retour sur le site. Ces éléments sont strictement nécessaires au service demandé et ne requièrent pas de consentement, conformément à l'article 82 de la loi n°78-17 du 6 janvier 1978 modifiée.

Le chat en direct, fourni par Tawk.to, n'est chargé et ne dépose de cookies qu'après le consentement exprès de l'Utilisateur, recueilli au moyen d'une bannière dédiée. L'Utilisateur peut retirer son consentement à tout moment, notamment en effaçant les données de son navigateur.

Les pages de paiement, le portail de facturation et l'inscription des vendeurs de l'application de démonstration sont servis par Stripe sur ses propres domaines et relèvent des politiques de confidentialité et relatives aux cookies de Stripe.

Destinataires et sous-traitants

Les données sont destinées à l'Éditeur et ne font l'objet d'aucune cession ni location. Elles sont traitées, pour le compte et selon les instructions de l'Éditeur, par les prestataires suivants, liés par des engagements contractuels conformes à l'article 28 du RGPD :

Google (Google Ireland Limited et ses sociétés affiliées) : hébergement du site (Firebase Hosting) ; comptes et authentification (Firebase Authentication) ; base de données et fonctions serveur du Service central (Cloud Firestore et Cloud Functions, région europe-west1, Belgique) ; conservation des secrets (Secret Manager).

Stripe (Stripe Payments Europe, Limited) : paiements, abonnements, remboursements, factures et portail de facturation. Stripe reçoit notamment la raison sociale et l'adresse électronique du Client. Pour ses obligations propres (lutte contre la fraude, obligations réglementaires), Stripe agit en qualité de responsable de traitement distinct.

Resend : envoi des courriers électroniques de service, depuis l'adresse no-reply@sibyro.com, et des réponses de l'Éditeur, depuis l'adresse contact@sibyro.com.

Tawk.to : chat en direct, uniquement après consentement.

Cloudflare (Cloudflare, Inc.) : noms de domaine (DNS) de sibyro.com ; réception des courriers électroniques adressés à contact@sibyro.com et transmission au Service central ; notification de l'Éditeur ; stockage temporaire, six (6) heures au plus, des images jointes aux réponses de l'Éditeur.

Les données peuvent en outre être communiquées aux autorités habilitées, lorsque la loi l'exige.

Transferts de données hors de l'Union européenne

Le Service central est hébergé dans l'Union européenne (région europe-west1 de Google Cloud, en Belgique). Certains prestataires peuvent toutefois traiter des données hors de l'Union européenne, notamment aux États-Unis : Google pour certains services, dont l'authentification ; Stripe ; Resend, dont l'infrastructure d'envoi est située aux États-Unis ; Cloudflare, dont le réseau mondial reçoit les courriers électroniques adressés à contact@sibyro.com et conserve temporairement les images jointes aux réponses ; et Tawk.to.

Ces transferts sont encadrés, conformément aux articles 44 à 49 du RGPD, par la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE–États-Unis (« Data Privacy Framework ») pour les sociétés qui y sont certifiées, ou par les clauses contractuelles types adoptées par la Commission européenne.

L'Utilisateur peut obtenir auprès de l'Éditeur une information sur les garanties encadrant ces transferts.

Durée de conservation

Demandes de contact et échanges par chat : trois (3) ans à compter du dernier contact.

Dans la boîte de réception de l'Éditeur, chaque message, reçu ou envoyé, est supprimé automatiquement avec ses pièces jointes trois (3) ans après sa date.

Images jointes aux réponses, dans l'espace de stockage temporaire : six (6) heures au plus.

Copie des données personnelles transmise à une personne qui en fait la demande, dans ce même espace de stockage temporaire, le temps de son envoi par courrier électronique : une (1) heure au plus.

Compte client, coordonnées et licences : pendant toute la relation contractuelle, puis cinq (5) ans à compter de la fin de la dernière Licence, en archive à accès restreint, conformément au délai de prescription en matière commerciale (article L.110-4 du Code de commerce).

Factures et pièces comptables : dix (10) ans (article L.123-22 du Code de commerce).

Codes de vérification de l'adresse électronique : valables dix (10) minutes, supprimés dès leur utilisation et au plus tard quarante-huit (48) heures après leur envoi.

Informations techniques de contrôle de la Licence et d'usage des Options payantes : durée de la Licence augmentée d'un (1) an.

Journal du support (demandes, accords, interventions) : trois (3) ans à compter de l'intervention.

Registre des demandes d'exercice des droits (date, nature de la demande, réponse apportée, sans l'adresse électronique en clair) : trois (3) ans à compter de la demande.

Traces des courriers électroniques de service : un (1) an.

Journaux techniques des serveurs : trente (30) jours.

À l'issue de ces durées, les données sont supprimées ou anonymisées, sauf obligation légale de conservation plus longue ou nécessité de constater, d'exercer ou de défendre un droit en justice.

Droits des personnes concernées

Conformément aux articles 15 à 22 du Règlement (UE) 2016/679 (RGPD), toute personne concernée dispose d'un droit d'accès (article 15), de rectification (article 16), d'effacement (article 17), de limitation du traitement (article 18), à la portabilité de ses données (article 20) et d'opposition (article 21), ainsi que du droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques la concernant (article 22).

Le Client peut consulter et corriger ses coordonnées à tout moment dans son espace client, et retrouver ses factures dans le portail de facturation. Les autres demandes (copie des données, suppression du compte, limitation, opposition, portabilité) sont adressées à contact@sibyro.com, accompagnées le cas échéant de tout élément permettant de justifier de l'identité du demandeur. Conformément à l'article 12 du RGPD, l'Éditeur y répond dans un délai d'un mois à compter de leur réception, ce délai pouvant être prolongé compte tenu de la complexité et du nombre de demandes.

La suppression du compte n'efface pas les données que l'Éditeur doit conserver en vertu de la loi (factures, pièces comptables), ni les données de l'application du Client, hébergées dans son propre projet Firebase.

Droit de réclamation auprès de la CNIL

Conformément à l'article 77 du RGPD, toute personne concernée qui estime que le traitement de ses données personnelles constitue une violation de la réglementation dispose du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr, sans préjudice de tout autre recours administratif ou juridictionnel.

L'Éditeur invite toutefois la personne concernée à le contacter préalablement afin de rechercher une solution amiable à toute difficulté relative au traitement de ses données.

Sécurité des données

L'Éditeur met en œuvre des mesures techniques et organisationnelles adaptées : chiffrement de toutes les communications (HTTPS) ; mots de passe gérés par le service d'authentification de Google et jamais accessibles à l'Éditeur ; vérification de l'adresse électronique par un code à usage unique, conservé sous forme d'empreinte et limité à cinq essais ; jetons de licence signés électroniquement ; secrets conservés dans un coffre dédié ; règles d'accès limitant chaque Client à ses propres données ; la boîte de réception n'est accessible qu'à l'Éditeur, et les messages reçus y sont affichés en texte seul, sans contenu actif ni image distante.

Le support n'accède à l'application d'un Client qu'après l'accord exprès de celui-ci, pour une durée limitée à vingt-quatre (24) heures, au moyen d'autorisations signées à usage unique ; les demandes, les accords et les opérations du support sont journalisés.

La transmission de données par courrier électronique n'offre pas une sécurité absolue : l'Utilisateur est invité à ne communiquer par ce canal que les informations nécessaires au traitement de sa demande.

Données des membres des applications des Clients

Chaque Client publie, sous sa propre marque, une application dont il est le responsable du traitement à l'égard de ses membres. Ces données sont hébergées dans le projet Firebase que le Client détient en son nom : l'Éditeur n'y accède pas dans le cadre normal du service.

Lorsqu'un Client autorise une intervention du support, l'Éditeur peut accéder à l'application de ce Client pour son compte et selon ses instructions, en qualité de sous-traitant au sens de l'article 28 du RGPD, pour la seule durée et les seules opérations autorisées.

Les applications des Clients interrogent régulièrement le Service central pour vérifier la Licence. Ces requêtes ne contiennent aucune donnée relative aux membres, mais transmettent techniquement l'adresse IP de leur appareil, traitée dans les journaux techniques de l'hébergeur pendant trente (30) jours et non enregistrée dans les bases de données de l'Éditeur. Il appartient au Client d'en informer ses membres dans sa propre politique de confidentialité.

SibyBuilder propose au Client des modèles de textes légaux pour son application ; le Client demeure seul responsable de leur contenu et de leur conformité.

Modification de la politique de confidentialité

L'Éditeur se réserve la faculté de modifier la présente politique de confidentialité à tout moment, notamment afin de tenir compte de toute évolution législative, réglementaire ou technique. La version applicable est celle en vigueur à la date de consultation du site. En cas de modification substantielle, les Clients en sont informés par courrier électronique ou dans leur espace client.

Dernière mise à jour : 8 octobre 2026.