Politique de confidentialité

La présente politique explique comment Pliber collecte, utilise, conserve, protège et partage les données personnelles traitées dans le cadre :

• du site pliber.com ;
• de l’application web app.pliber.com ;
• de l’application mobile Pliber ;
• des échanges commerciaux, demandes d’assistance et communications avec Pliber.

Elle s’applique aux utilisateurs, aux représentants et collaborateurs des organisations clientes, aux prospects ainsi qu’aux personnes dont les données peuvent apparaître dans une preuve créée avec Pliber.

Pour les traitements qu’elle détermine elle-même, le responsable du traitement est :

Contact relatif à la protection des données :

hello@pliber.com

Pliber agit comme responsable du traitement pour les données nécessaires à la gestion des comptes, à la sécurité du service, à la facturation, à l’assistance, à l’administration de la plateforme et à ses propres relations commerciales.

Lorsqu’une entreprise, une organisation ou un professionnel utilise Pliber pour collecter ou constituer des preuves concernant ses salariés, clients, prestataires, occupants, partenaires ou toute autre personne, cette organisation détermine généralement les finalités et les conditions de cette collecte.

Dans cette situation :

• l’organisation cliente agit comme responsable du traitement ;
• Pliber agit comme sous-traitant, en traitant les données pour le compte et selon les instructions de l’organisation ;
• les obligations respectives des parties peuvent être précisées dans un accord relatif au traitement des données personnelles.

Une personne concernée par une preuve créée pour le compte d’une organisation peut exercer ses droits auprès de cette organisation. Pliber lui apportera, lorsque cela est nécessaire, l’assistance prévue par la réglementation.

4.1 Données de compte

Pliber peut traiter notamment :

• les nom et prénom ;
• l’adresse électronique ;
• le mot de passe sous une forme sécurisée ou les informations nécessaires à l’authentification par code ;
• le type de profil ;
• le nom de l’entreprise ou de l’organisation ;
• les rôles, autorisations et appartenances à des organisations ou projets ;
• la date de création du compte ;
• les paramètres et préférences du compte.

4.2 Données relatives aux organisations et aux collaborations

Selon les fonctionnalités utilisées, Pliber peut traiter :

• le nom de l’organisation ;
• les noms de projets et de dossiers ;
• les rôles et droits d’accès ;
• les invitations ;
• les demandes de preuve ;
• l’historique des affectations et des actions réalisées ;
• les informations relatives aux membres internes ou externes.

4.3 Données contenues dans les preuves

Les données traitées dépendent du type de preuve et du modèle sélectionné. Elles peuvent comprendre :

• des documents, photographies et fichiers ;
• des vidéos et enregistrements audio ;
• des descriptions et commentaires ;
• des valeurs numériques, dates et déclarations ;
• des signatures manuscrites ;
• des noms, prénoms et qualités déclarées ;
• des photographies de documents d’identité, lorsque cette fonctionnalité est utilisée ;
• des données concernant des biens, chantiers, logements, livraisons ou interventions ;
• toute autre information volontairement ajoutée par l’utilisateur.

Ces contenus peuvent comporter des données concernant des tiers. L’utilisateur ou l’organisation qui les collecte doit s’assurer qu’il dispose d’un fondement juridique approprié et qu’il informe les personnes concernées lorsque cela est requis.

4.4 Données de localisation

Avec l’autorisation de l’utilisateur et uniquement lorsque la fonctionnalité concernée est utilisée, Pliber peut traiter :

• la latitude et la longitude ;
• la précision estimée du signal ;
• la date et l’heure du relevé ;
• le fournisseur du signal de localisation ;
• les informations techniques permettant de qualifier le relevé.

La géolocalisation constitue un signal de contexte. Pliber ne garantit pas qu’un signal GPS soit exact ou impossible à manipuler.

Le GPS précis et son contexte complet ne sont pas publiés sur la page publique de vérification.

4.5 Données relatives à l’appareil et à l’application

Pliber peut enregistrer un contexte technique comprenant notamment :

• le type d’appareil ;
• le système d’exploitation et sa version ;
• le modèle de l’appareil ;
• la version et le numéro de build de l’application ;
• l’identifiant technique de l’application ;
• le caractère déclaré physique ou émulé de l’appareil ;
• la date et l’heure de la capture.

Sauf indication contraire dans l’application, ces informations constituent un contexte technique déclaré et non une vérification cryptographique absolue de l’appareil.

4.6 Données cryptographiques et probatoires

Pliber traite notamment :

• les empreintes cryptographiques SHA-256 des fichiers ;
• les empreintes des fichiers chiffrés ;
• l’empreinte globale de la preuve ;
• les manifestes techniques ;
• les horodatages ;
• les reçus OpenTimestamps ;
• le statut de l’ancrage ;
• les identifiants publics de vérification ;
• les informations nécessaires au chiffrement et au déchiffrement des contenus.

Pliber ne publie pas le contenu des fichiers sur Bitcoin. Seule une empreinte cryptographique ou un engagement cryptographique dérivé de la preuve est utilisé pour l’horodatage.

4.7 Données techniques et de sécurité

Lors de l’utilisation des services, Pliber ou ses prestataires peuvent traiter :

• l’adresse IP ;
• les dates et heures de connexion ;
• les informations relatives au navigateur, au terminal et au système d’exploitation ;
• les journaux d’authentification ;
• les événements de sécurité ;
• les erreurs techniques ;
• les pages ou fonctionnalités utilisées ;
• les identifiants de session ;
• les données nécessaires à la prévention des abus et des tentatives d’accès non autorisé.

4.8 Données commerciales, d’assistance et de facturation

Pliber peut traiter :

• les demandes adressées à l’assistance ;
• les échanges par courrier électronique ;
• les coordonnées professionnelles ;
• les demandes de démonstration ou de devis ;
• les contrats et commandes ;
• les factures et références de transaction ;
• l’historique de la relation commerciale.

Lorsqu’un prestataire de paiement est utilisé, les données de carte bancaire sont collectées directement par celui-ci. Pliber ne conserve pas les numéros complets de carte bancaire.

Les données peuvent être obtenues :

• directement auprès de l’utilisateur ;
• auprès de son employeur, de son organisation ou d’un membre l’ayant invité ;
• à partir du terminal et de ses capteurs, avec les autorisations nécessaires ;
• lors de la création ou de l’exécution d’une preuve ;
• à partir des journaux techniques générés par l’utilisation du service ;
• lors d’un échange avec Pliber ;
• auprès d’un client ayant intégré des informations concernant une autre personne dans une preuve.

Lorsque les contenus sont chiffrés, Pliber ne dispose pas nécessairement des moyens permettant d’identifier les personnes qui y apparaissent.

Fourniture du service Pliber

Les données sont utilisées pour :

• créer et administrer les comptes ;
• authentifier les utilisateurs ;
• constituer, chiffrer, stocker, organiser et partager les preuves ;
• générer les empreintes et rapports ;
• horodater et ancrer les preuves ;
• permettre leur vérification ;
• gérer les organisations, projets, dossiers, invitations et demandes de preuve.

Base légale : exécution du contrat ou mesures précontractuelles.

Gestion des pages publiques de vérification

Les données sont utilisées pour permettre à un tiers de vérifier l’existence, l’intégrité et le statut d’une preuve à partir de son lien public.

Base légale : exécution du contrat et intérêt légitime de Pliber et de l’utilisateur à permettre la vérification de la preuve.

Sécurité et prévention des abus

Les données sont utilisées pour :

• sécuriser les comptes et les infrastructures ;
• prévenir les fraudes et utilisations abusives ;
• détecter les accès non autorisés ;
• assurer la disponibilité et l’intégrité du service ;
• analyser et résoudre les incidents.

Base légale : intérêt légitime de Pliber à protéger son service, ses utilisateurs et leurs données, ainsi que respect de ses obligations légales.

Assistance et relation avec les utilisateurs

Les données sont utilisées pour répondre aux demandes, résoudre les difficultés techniques et accompagner les utilisateurs.

Base légale : exécution du contrat ou intérêt légitime de Pliber à assurer le suivi de ses utilisateurs et prospects.

Gestion commerciale et facturation

Les données sont utilisées pour établir les contrats, gérer les abonnements, commandes, paiements, factures et obligations comptables.

Base légale : exécution du contrat et respect des obligations légales de Pliber.

Amélioration du service

Pliber peut analyser des informations d’utilisation agrégées ou limitées afin d’améliorer l’ergonomie, la fiabilité et les performances du service.

Base légale : intérêt légitime de Pliber, sous réserve de ne pas porter une atteinte disproportionnée aux droits des utilisateurs.

Lorsque l’analyse nécessite l’utilisation de traceurs non essentiels, elle repose sur le consentement.

Communications commerciales

Pliber peut adresser des informations relatives à ses produits et services :

• sur la base du consentement, lorsque celui-ci est requis ;
• sur la base de son intérêt légitime dans les situations où la réglementation l’autorise, notamment dans certaines relations professionnelles ou avec des clients existants.

Chaque communication commerciale permet de se désinscrire facilement.

Gestion des demandes d’exercice de droits et des contentieux

Les données sont utilisées pour traiter les demandes liées à la protection des données, conserver la preuve des réponses apportées et défendre les droits de Pliber.

Base légale : respect d’une obligation légale et intérêt légitime à établir, exercer ou défendre des droits en justice.

Les informations identifiées comme obligatoires sont nécessaires à la création du compte, à l’exécution du service ou à la constitution de la preuve choisie.

À défaut de communication de ces informations, Pliber peut ne pas être en mesure :

• de créer ou sécuriser le compte ;
• de fournir la fonctionnalité demandée ;
• de constituer ou finaliser une preuve ;
• de traiter une demande d’assistance ou une commande.

Les autorisations relatives à la caméra, au microphone, aux fichiers ou à la géolocalisation ne sont demandées que lorsqu’une fonctionnalité les nécessite. Un refus peut empêcher l’utilisation de cette fonctionnalité sans nécessairement empêcher l’accès aux autres services.

Lorsqu’une preuve est ancrée, une page de vérification accessible au moyen d’un lien public unique peut être créée.

Selon le type de preuve, cette page peut notamment afficher :

• le titre de la preuve ;
• son niveau et son statut ;
• ses dates de création, de finalisation ou d’ancrage ;
• son identifiant public ;
• son empreinte SHA-256 globale ;
• le statut de l’horodatage ;
• le nom, le format, la taille et l’empreinte de fichiers existants ;
• le type, l’instruction et l’heure de certaines étapes ;
• les empreintes des pièces chiffrées.

Ne sont pas destinés à être publiés sur cette page :

• les fichiers et médias en clair ;
• les clés de chiffrement et vecteurs d’initialisation ;
• les chemins de stockage internes ;
• la position GPS précise ;
• le contexte complet de capture ;
• les informations techniques détaillées concernant l’appareil ;
• les signatures ou déclarations d’identité en clair.

Toute personne disposant du lien peut consulter et transmettre la page de vérification. L’utilisateur doit donc éviter d’utiliser des données personnelles ou confidentielles dans les titres, noms de fichiers ou autres champs susceptibles d’être rendus publics.

Pliber ne peut pas empêcher un tiers de copier ou de conserver des informations qu’il a légitimement consultées sur une page publique.

Les fichiers de preuve sont chiffrés sur le terminal de l’utilisateur avant leur transmission vers l’espace de stockage, au moyen d’un mécanisme de chiffrement client.

Les fichiers sont stockés sous une forme chiffrée et leur déchiffrement est normalement réalisé dans l’application ou le navigateur de l’utilisateur autorisé.

Les preuves peuvent être horodatées par OpenTimestamps et ancrées sur le réseau Bitcoin. Seule une empreinte cryptographique est destinée à être utilisée dans ce processus : les documents, photographies, vidéos, données GPS ou identités ne sont pas directement inscrits sur Bitcoin.

Une fois une empreinte ancrée dans un registre public distribué, Pliber ne peut pas modifier ou supprimer les données enregistrées par ce réseau. L’effacement d’un fichier conservé par Pliber n’entraîne donc pas la suppression de l’empreinte cryptographique déjà ancrée.

Dans la limite de leurs attributions et du besoin d’en connaître, les données peuvent être accessibles :

• aux membres autorisés de Pliber ;
• aux utilisateurs et membres autorisés de l’organisation concernée ;
• aux personnes auxquelles un projet ou une preuve a été partagé ;
• aux destinataires d’un lien public de vérification ;
• aux prestataires techniques et sous-traitants de Pliber ;
• aux conseils, assureurs, auditeurs et professionnels tenus à une obligation de confidentialité ;
• aux autorités administratives ou judiciaires lorsqu’une transmission est légalement requise.

Pliber ne vend pas les données personnelles de ses utilisateurs à des annonceurs.

Pliber peut notamment recourir aux catégories de prestataires suivantes :

• hébergement de bases de données, authentification et stockage ;
• hébergement du site et de l’application web ;
• réseau de diffusion, sécurité et protection contre les attaques ;
• services de construction, distribution et mise à jour de l’application mobile ;
• envoi de courriers électroniques ;
• assistance et gestion des demandes ;
• paiement et facturation, lorsque ces services sont activés ;
• suivi d’erreurs et mesure d’audience, lorsqu’ils sont activés.

Les principaux prestataires techniques de Pliber comprennent actuellement notamment :

• Supabase, pour l’authentification, la base de données, le stockage et certaines fonctions serveur ;
• Vercel, pour l’hébergement de l’application web ;
• Cloudflare, pour le site, le réseau et certains services de sécurité ;
• Apple, Google et Expo, pour la construction, la distribution ou le fonctionnement technique de l’application mobile, selon les services utilisés.

La liste des prestataires peut évoluer. Pliber veille à sélectionner des prestataires présentant des garanties appropriées en matière de sécurité et de protection des données.

Pliber privilégie, lorsque cela est possible, le stockage principal des bases de données et fichiers dans l’Union européenne.

Certains prestataires ou sous-traitants peuvent néanmoins être établis ou intervenir depuis des pays situés hors de l’Espace économique européen.

Lorsque des données font l’objet d’un tel transfert, Pliber s’appuie, selon la situation, sur :

• une décision d’adéquation adoptée par la Commission européenne ;
• les clauses contractuelles types de la Commission européenne ;
• des mesures techniques, contractuelles et organisationnelles complémentaires ;
• tout autre mécanisme reconnu par la réglementation applicable.

Des informations complémentaires concernant les garanties applicables peuvent être demandées à hello@pliber.com.

Les données sont conservées pendant une durée proportionnée à leur finalité.

Comptes utilisateurs

Les données de compte sont conservées pendant la durée de la relation contractuelle.

Après la fermeture du compte, les données nécessaires à la gestion d’une réclamation ou à la défense des droits de Pliber peuvent être conservées en archivage intermédiaire pendant 5 ans.

Brouillons de preuve

Les brouillons qui n’ont fait l’objet d’aucune activité pendant 90 jours peuvent être supprimés, après information préalable de l’utilisateur lorsque cela est possible.

Preuves finalisées ou ancrées

Sauf durée différente prévue dans l’offre ou le contrat applicable, les données relatives aux preuves finalisées ou ancrées sont conservées pendant une durée de 10 ans à compter de leur ancrage.

Cette durée vise à préserver l’utilité probatoire de la preuve et à permettre sa consultation pendant une période adaptée aux usages professionnels et contentieux.

À l’expiration de cette durée, les contenus conservés par Pliber ont vocation à être supprimés ou anonymisés, sous réserve :

• d’une demande de prolongation ;
• d’une obligation légale ;
• d’un contentieux en cours ;
• de la nécessité de protéger les droits d’une personne ;
• des engagements contractuels applicables.

L’empreinte déjà inscrite ou ancrée sur un réseau public ne peut pas être supprimée par Pliber.

Pages publiques de vérification

La page publique est maintenue pendant la durée de conservation de la preuve, sauf désactivation, restriction ou anonymisation anticipée légalement possible.

Données d’assistance

Les échanges avec l’assistance sont conservés pendant 3 ans à compter de la clôture de la demande, sauf nécessité de les conserver jusqu’à 5 ans pour gérer une réclamation ou un contentieux.

Données commerciales et prospects

Les données relatives à un prospect sont conservées pendant 3 ans à compter de leur collecte ou du dernier contact émanant du prospect.

Les données utilisées pour adresser des communications à un client peuvent être conservées pendant la relation commerciale puis pendant 3 ans après sa fin.

Données comptables

Les factures et pièces justificatives comptables sont conservées pendant 10 ans.

Journaux techniques et de sécurité

Les journaux de connexion et de sécurité sont en principe conservés pendant 12 mois, sauf incident ou obligation justifiant une durée plus longue.

Choix relatifs aux cookies

Le choix exprimé concernant les cookies et traceurs peut être conservé pendant 6 mois avant qu’un nouveau choix ne soit demandé.

Demandes d’exercice de droits

Les informations nécessaires à la gestion et à la preuve du traitement d’une demande peuvent être conservées pendant 5 ans à compter de sa clôture.

Pliber met en œuvre des mesures techniques et organisationnelles destinées à protéger les données contre :

• l’accès non autorisé ;
• la divulgation ;
• la perte ;
• l’altération ;
• la destruction ;
• l’utilisation abusive.

Ces mesures comprennent notamment, selon les données et fonctionnalités concernées :

• le chiffrement des fichiers avant leur transmission ;
• le chiffrement des communications ;
• des espaces de stockage privés ;
• des contrôles d’accès liés au compte, à l’organisation et au projet ;
• la séparation des données publiques et privées ;
• la journalisation de certains événements de sécurité ;
• des mécanismes de sauvegarde et de reprise ;
• des restrictions d’accès pour les membres et prestataires autorisés.

Aucun système informatique ne pouvant être garanti comme totalement invulnérable, Pliber ne peut exclure tout risque de sécurité.

En cas de violation de données personnelles, Pliber prend les mesures nécessaires pour limiter les conséquences de l’incident et procède aux notifications requises par la réglementation.

Une preuve peut contenir des informations concernant une personne autre que l’utilisateur qui la crée.

L’utilisateur ou l’organisation à l’origine de la preuve doit notamment :

• ne collecter que les données nécessaires ;
• disposer d’un fondement juridique approprié ;
• informer les personnes concernées lorsque cela est requis ;
• limiter l’accès aux seules personnes habilitées ;
• éviter de collecter des données particulièrement sensibles sans nécessité réelle.

Pliber ne doit pas être utilisé pour collecter de manière illicite des données de santé, opinions politiques, convictions religieuses, données biométriques, informations concernant la vie sexuelle ou l’orientation sexuelle, origines raciales ou ethniques, condamnations pénales ou autres données bénéficiant d’une protection particulière.

Lorsque de telles données sont nécessaires à une finalité licite, leur collecte relève de la responsabilité de l’utilisateur ou de l’organisation qui en détermine les finalités.

Pliber utilise des cookies ou technologies similaires nécessaires :

• à l’authentification ;
• à la sécurité ;
• au maintien de la session ;
• à l’équilibrage de charge ;
• à la conservation des préférences ;
• au fonctionnement technique du service.

Ces traceurs strictement nécessaires peuvent être utilisés sans consentement lorsque la réglementation le permet.

Les outils de mesure d’audience, de personnalisation ou de publicité qui ne sont pas strictement nécessaires ne sont activés qu’après recueil du consentement lorsque celui-ci est requis.

L’utilisateur peut retirer son consentement aussi facilement qu’il l’a donné.

Selon les conditions prévues par la réglementation, toute personne concernée peut demander :

• l’accès aux données la concernant ;
• la rectification des données inexactes ou incomplètes ;
• l’effacement de ses données ;
• la limitation temporaire d’un traitement ;
• la portabilité des données qu’elle a fournies ;
• l’opposition à un traitement fondé sur l’intérêt légitime ;
• le retrait de son consentement pour l’avenir ;
• de ne pas faire l’objet d’une décision reposant exclusivement sur un traitement automatisé produisant des effets juridiques ou similaires ;
• la définition de directives relatives au sort de ses données après son décès, dans les conditions prévues par la loi française.

Ces droits ne sont pas absolus. Une demande peut notamment être limitée lorsqu’un traitement est nécessaire :

• au respect d’une obligation légale ;
• à l’établissement, à l’exercice ou à la défense de droits en justice ;
• à la protection des droits d’un tiers ;
• au maintien de l’intégrité d’une preuve ;
• à l’exécution d’un contrat ;
• à la conservation d’une empreinte déjà inscrite dans un registre public immuable.

L’impossibilité de supprimer une empreinte ancrée sur Bitcoin n’empêche pas Pliber d’examiner la suppression, la restriction ou l’anonymisation des données conservées dans ses propres systèmes lorsque cela est juridiquement et techniquement possible.

Les demandes peuvent être adressées à :

hello@pliber.com

ou par courrier à :

La demande doit permettre d’identifier suffisamment la personne et les données concernées.

Une pièce d’identité peut être demandée lorsqu’elle est nécessaire pour éviter la communication de données à une personne non autorisée. Elle ne sera conservée que pendant la durée nécessaire à la vérification.

Pliber répond dans les meilleurs délais et, en principe, dans un délai d’un mois. Ce délai peut être prolongé de deux mois en cas de demande complexe ou de demandes nombreuses. La personne concernée en est alors informée dans le délai initial.

Lorsqu’une demande concerne une preuve créée sous la responsabilité d’une organisation cliente, Pliber peut transmettre la demande à cette organisation ou inviter la personne à s’adresser directement à elle.

Toute personne estimant que ses droits ne sont pas respectés peut adresser une réclamation à la :

Commission nationale de l’informatique et des libertés — CNIL

La personne est invitée à contacter préalablement Pliber afin de permettre l’examen de sa demande.

Pliber ne prend pas, à partir des données personnelles, de décision reposant exclusivement sur un traitement automatisé et produisant des effets juridiques ou affectant significativement une personne.

Les contrôles techniques de cohérence, de sécurité ou de complétude d’une preuve ne constituent pas une appréciation juridique de la personne ou du contenu capturé.

La présente politique peut être modifiée afin de tenir compte :

• de l’évolution des services Pliber ;
• d’une modification légale ou réglementaire ;
• d’une évolution des prestataires ;
• de nouvelles mesures de sécurité ;
• de nouvelles fonctionnalités.

La date de la dernière mise à jour figure au début du document.

Lorsqu’une modification affecte substantiellement les droits des utilisateurs ou la manière dont leurs données sont traitées, Pliber les en informe par un moyen approprié.