Cette politique décrit les traitements de données à caractère personnel mis en œuvre dans le cadre du service de revue vidéo et audio collaborative Workflaws (ci-après le « Service »), conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi Informatique et Libertés. Elle complète les conditions générales de vente.

1. Responsable de traitement

Le responsable de traitement est Vincent Galard (EI), entrepreneur individuel exerçant sous le nom commercial Powerloop, immatriculé au RCS de Poitiers sous le numéro 881 670 657, dont l'établissement est situé 30 avenue de l'Europe, 86000 Poitiers, France, joignable à l'adresse contact@workflaws.com.

Aucun délégué à la protection des données (DPO) n'est désigné, cette désignation n'étant pas obligatoire au regard de la nature des traitements ; toute question relative aux données personnelles peut être adressée au contact ci-dessus.

2. Données traitées

Dans le cadre du Service sont traitées les données suivantes :

• Données de compte : identifiant, nom ou pseudonyme, adresse électronique, mot de passe (stocké exclusivement sous forme de condensat chiffré bcrypt, jamais en clair) ;
• Données d'abonnement et de facturation : formule souscrite, périodicité, historique de facturation, statut des paiements. Aucune donnée bancaire n'est collectée ni stockée par l'éditeur : les données de carte sont saisies directement auprès de Stripe ;
• Contenus : médias déposés (vidéo, audio), commentaires, annotations et métadonnées associées, dans la mesure où ils comportent des données personnelles ;
• Données techniques : journaux d'activité et de connexion, adresses IP, cookie de session.

Les données de compte sont nécessaires à la conclusion et à l'exécution du contrat ; à défaut, la souscription au Service n'est pas possible.

Le formulaire de contact du site vitrine, indépendamment de toute souscription, collecte en outre :

• Données de la demande : nom, adresse électronique, et le cas échéant structure, numéro de téléphone, sujet et formule concernée ;
• Contenu du message : le texte que vous rédigez, dont vous restez maître — n'y faites pas figurer d'informations sensibles ;
• Adresse IP de l'expéditeur, jointe au message : elle sert à faire respecter la limite d'envois du formulaire et à écarter les envois automatisés.

Seuls le nom, l'adresse électronique et le message sont obligatoires ; les autres champs sont facultatifs et n'ont d'autre objet que de nous permettre de répondre plus précisément.

3. Finalités et bases légales

Les données sont traitées pour les finalités suivantes :

• Fourniture du Service et gestion du compte (création de l'espace de travail, authentification, fonctionnalités de revue collaborative) — base légale : exécution du contrat ;
• Facturation et gestion des abonnements — base légale : exécution du contrat et obligations légales (comptables et fiscales) ;
• Sécurité du Service (journalisation, prévention des accès non autorisés, lutte contre la fraude et les abus) — base légale : intérêt légitime de l'éditeur à protéger son infrastructure et ses utilisateurs, et obligations légales de conservation des données de connexion ;
• Notifications liées au Service (courriers électroniques transactionnels : identifiants, confirmations, alertes de facturation, informations contractuelles) — base légale : exécution du contrat ;
• Réponse aux demandes adressées par le formulaire de contact — base légale : votre consentement, recueilli par la case à cocher du formulaire (article 6.1.a du RGPD). Ce consentement est retirable à tout moment en écrivant à l'adresse ci-dessous, sans que ce retrait remette en cause les échanges déjà intervenus ;
• Prévention des envois automatisés par le formulaire (limite d'envois par adresse IP, vérification anti-robot) — base légale : intérêt légitime de l'éditeur à protéger sa boîte de réception de l'usage abusif.

Aucune donnée n'est utilisée à des fins de publicité ou de profilage, ni revendue. Aucune décision produisant des effets juridiques n'est prise sur le fondement d'un traitement automatisé.

4. Données des invités

Le titulaire du compte peut inviter des collaborateurs ou des tiers à consulter et commenter ses projets. Les données de ces invités (adresse électronique, nom ou pseudonyme, commentaires, journaux) sont traitées pour les mêmes finalités et durées que celles du titulaire. Il appartient au titulaire d'informer ses invités de la présente politique.

Par ailleurs, lorsque le client dépose sur le Service des Contenus comportant des données personnelles de tiers (rushes, enregistrements, interviews…), il agit en qualité de responsable de traitement de ces données ; l'éditeur intervient alors comme sous-traitant au sens de l'article 28 du RGPD, dans les conditions prévues à l'article 15 des CGV.

5. Destinataires et sous-traitants

Les données ne sont accessibles qu'à l'éditeur et aux sous-traitants suivants, dans la stricte mesure nécessaire à leurs missions :

• Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Allemagne) : hébergement des serveurs et des données du Service, au sein de l'Union européenne ;
• Stripe (Stripe Payments Europe Ltd, Irlande) : traitement des paiements et gestion des abonnements ;
• L'envoi des courriers électroniques transactionnels est assuré par l'infrastructure propre de l'éditeur, hébergée chez Hetzner.

Les données peuvent en outre être communiquées aux autorités légalement habilitées à en connaître, sur réquisition.

6. Transferts hors de l'Union européenne

Les données du Service sont hébergées dans l'Union européenne et n'y font l'objet d'aucun transfert hors UE à l'initiative de l'éditeur. Le traitement des paiements par Stripe peut impliquer un transfert de certaines données de transaction vers les États-Unis (Stripe, Inc.), encadré par les garanties prévues au chapitre V du RGPD (décision d'adéquation EU–US Data Privacy Framework et/ou clauses contractuelles types).

7. Durées de conservation

• Compte et Contenus : pendant toute la durée de l'abonnement, puis soixante (60) jours après sa résiliation ou son expiration (délai de restitution prévu à l'article 8.6 des CGV), après quoi ils sont effacés définitivement ;
• Pièces comptables et factures : dix (10) ans, conformément aux obligations légales ;
• Journaux d'activité et de connexion, adresses IP : douze (12) mois ;
• Cookie de session : trente (30) jours au maximum ;
• Demandes adressées par le formulaire de contact : trois (3) ans à compter du dernier échange, durée usuelle de conservation d'un contact commercial, puis suppression. Une demande sans suite est supprimée dès qu'il est établi qu'elle n'appelle pas de réponse ;
• Compteurs anti-abus du formulaire (adresse IP condensée, jetons du dispositif anti-robot) : une (1) heure au maximum, le temps de la fenêtre de comptage.

À l'issue de ces durées, les données sont supprimées ou anonymisées de manière irréversible, y compris des sauvegardes techniques à l'expiration de leur cycle de rotation.

8. Cookies

Le site vitrine ne dépose aucun cookie publicitaire, de mesure d'audience ou de traçage. L'application utilise un unique cookie de session, strictement nécessaire à l'authentification et au fonctionnement du Service, exempté de consentement au sens des lignes directrices de la CNIL. Sa durée de vie n'excède pas trente jours. Si des cookies soumis à consentement venaient à être introduits, un dispositif de recueil du consentement serait mis en place préalablement.

9. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de définir des directives relatives à leur sort après votre décès (article 85 de la loi Informatique et Libertés).

Ces droits s'exercent par courrier électronique à contact@workflaws.com, en justifiant de votre identité en cas de doute raisonnable. Une réponse vous est apportée dans un délai d'un mois, prorogeable de deux mois pour les demandes complexes, conformément à l'article 12 du RGPD.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr).

10. Sécurité

L'éditeur met en œuvre des mesures techniques et organisationnelles adaptées à la nature des données : chiffrement des échanges (HTTPS/TLS), stockage des mots de passe exclusivement sous forme de condensats bcrypt, cloisonnement des espaces de travail entre clients, contrôle d'accès, journalisation, et sauvegardes techniques régulières de l'infrastructure. En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, la CNIL et, le cas échéant, les personnes concernées en seront informées dans les conditions des articles 33 et 34 du RGPD.

11. Modification de la présente politique

La présente politique peut être modifiée pour tenir compte des évolutions du Service ou de la réglementation. Toute modification substantielle est portée à votre connaissance par courrier électronique ou par une information visible à la connexion, avant son entrée en vigueur. La version applicable est celle publiée sur le Site, datée en tête de document.

Dernière mise à jour : 29 juillet 2026.