Politique de confidentialité de DutyTask

DutyTask est un service proposé par :

GR SOLUZIONI DI GIUSEPPE RICCIO Entreprise individuelle TVA IT: 11121011214 REA: NA-1156478 Email: hello@dutytask.com

Ci-après, « DutyTask », « nous » ou le « responsable du traitement » désignent GR SOLUZIONI DI GIUSEPPE RICCIO.

La présente politique de confidentialité décrit le traitement des données personnelles effectué par l’intermédiaire du site web et de l’application DutyTask.

Elle s’applique aux visiteurs du site, aux titulaires et administrateurs des entreprises enregistrées, aux salariés et aux autres utilisateurs autorisés à utiliser le service, ainsi qu’aux personnes qui contactent DutyTask pour une assistance, des informations commerciales ou d’autres demandes.

DutyTask est conçu principalement pour un usage professionnel et entrepreneurial.

Pour les données relatives à l’inscription des comptes, à la relation commerciale, à la facturation, à la sécurité du service, à l’assistance et à l’administration de la plateforme, GR SOLUZIONI DI GIUSEPPE RICCIO agit généralement en qualité de responsable du traitement.

Lorsqu’une entreprise utilise DutyTask pour gérer des données relatives à ses salariés, collaborateurs, activités opérationnelles, pièces jointes et historique associé, l’entreprise cliente détermine généralement les finalités du traitement et agit en qualité de responsable du traitement, tandis que DutyTask traite ces informations pour son compte en qualité de sous-traitant.

Le traitement effectué par DutyTask pour le compte des entreprises clientes doit être régi par un accord au titre de l’art. 28 GDPR.

L’entreprise cliente demeure responsable de la licéité des données saisies dans DutyTask et de l’information de ses propres salariés et collaborateurs.

DutyTask peut traiter les catégories de données suivantes.

Compte et identifiants : prénom, nom, adresse e-mail, rôle, organisation et identifiants techniques d’authentification.

Données d’entreprise : dénomination de l’organisation, secteur, pays, paramètres, plan souscrit, zones opérationnelles et utilisateurs invités.

Données opérationnelles : titres et contenus des tâches, échéances, attributions, récurrences, priorités, statuts, problèmes signalés et solutions, notes, implications, date et heure des opérations.

Pièces jointes : fichiers, images ou photographies téléversés par les utilisateurs dans le cadre des tâches.

Historique opérationnel : informations sur l’auteur d’une action et le moment où elle a été effectuée.

Données techniques : adresse IP, données de session, informations relatives au navigateur ou à l’appareil, journaux techniques et informations nécessaires à la sécurité et au fonctionnement du service.

Données relatives aux notifications : identifiants techniques nécessaires à l’envoi des notifications push lorsque l’utilisateur active cette fonction.

Données commerciales et de paiement : plan souscrit, état de l’abonnement, identifiants Stripe, données de facturation et éventuelles informations fiscales requises.

Communications : données figurant dans les demandes d’assistance ou les autres prises de contact.

DutyTask est conçu pour conserver un historique du travail effectué au sein de l’organisation.

Les utilisateurs ordinaires ne peuvent pas réécrire ni supprimer arbitrairement les événements de l’historique par les fonctions normales du produit. Cela permet au client de reconstituer ce qui s’est passé.

La tenue d’un historique ne signifie pas que les données sont conservées indéfiniment. La conservation suit la section dédiée de la présente notice.

Les managers peuvent utiliser la dictée pour créer des tâches à la voix.

Lorsque cette fonction est utilisée, l’audio est transmis au service d’intelligence artificielle utilisé par DutyTask afin de transcrire et d’interpréter la demande.

L’intelligence artificielle peut proposer, par exemple, un titre, un destinataire, une échéance, une récurrence ou une exigence de pièce jointe.

DutyTask ne conserve pas l’enregistrement audio après traitement.

La proposition générée par l’intelligence artificielle est présentée au manager, qui peut la vérifier avant la création de la tâche.

DutyTask peut utiliser des systèmes d’intelligence artificielle pour générer un résumé opérationnel destiné aux managers.

Pour générer le Daily AI Brief, des informations relatives aux tâches et à leurs statuts sont transmises au fournisseur d’IA dans la mesure nécessaire à l’établissement du résumé.

Le service actuellement utilisé pour ces fonctions est OpenAI.

OpenAI met à disposition un Data Processing Addendum pour les services destinés aux entreprises et aux développeurs et indique qu’il agit en qualité de sous-traitant des Customer Data traités pour le compte du client ; les données d’entreprise/API ne sont pas utilisées pour entraîner les modèles par défaut.

Lorsque le cabinet archive un fichier du module Clients, DutyTask peut transmettre à OpenAI le document (fichier PDF ou image, et un extrait textuel lorsqu’il est disponible) afin de générer un titre, un résumé et des mots-clés de recherche. Les fichiers laissés uniquement dans la conversation ne sont pas transmis. DutyTask n’utilise pas d’assistant conversationnel sur les messages de la conversation Clients.

DutyTask n’utilise pas les fonctions d’intelligence artificielle pour prendre des décisions exclusivement automatisées produisant des effets juridiques ou analogiquement significatifs à l’égard des utilisateurs.

Les données sont traitées afin de :

• créer et gérer les comptes et les organisations ;
• authentifier les utilisateurs ;
• fournir les fonctions opérationnelles de DutyTask ;
• gérer les tâches, récurrences, pièces jointes, notifications, rapports et l’historique ;
• fournir les fonctions de dictée et d’intelligence artificielle demandées ;
• gérer l’essai gratuit, les abonnements et les paiements ;
• fournir une assistance ;
• protéger les comptes, les données et l’infrastructure ;
• prévenir les abus, la fraude et les accès non autorisés ;
• satisfaire aux obligations administratives, fiscales, comptables et légales ;
• constater, exercer ou défendre des droits.

Selon les cas, le traitement repose sur l’exécution d’un contrat ou de mesures précontractuelles, sur le respect d’obligations légales, ou sur l’intérêt légitime à la sécurité et au bon fonctionnement du service.

Les données nécessaires à la création du compte et à la fourniture de DutyTask sont requises pour utiliser le service.

Le défaut de les fournir peut empêcher l’inscription ou l’utilisation de certaines fonctions.

Les fonctions qui nécessitent des autorisations de l’appareil, telles que le microphone ou les notifications push, restent facultatives.

DutyTask utilise actuellement les principaux fournisseurs techniques suivants :

Supabase

Authentification, base de données et stockage des fichiers.

Le projet principal DutyTask est configuré dans la région West EU (Ireland), eu-west-1. Supabase confirme que la région choisie détermine la localisation primaire des données du projet.

Vercel

Hébergement et diffusion de l’application.

Resend

E-mail transactionnel : confirmation d’inscription, identifiants d’accès et récupération du mot de passe, depuis noreply@dutytask.com. L’envoi est configuré en Ireland (eu-west-1). Resend est un fournisseur extra-EEE et met à disposition son propre DPA. La connexion et les jetons restent sur Supabase Auth.

Notifications push

Les notifications sur l’appareil utilisent le protocole Web Push (VAPID) vers le navigateur de l’utilisateur. Il ne s’agit pas d’un service d’e-mail.

OpenAI

Transcription de la dictée, génération du Daily AI Brief et indexation des fichiers Clients archivés par le cabinet.

Stripe

Paiements et abonnements.

Stripe peut agir, selon le traitement, en qualité de sous-traitant ou de responsable du traitement autonome et met à disposition son propre Data Processing Agreement.

La liste des fournisseurs peut être mise à jour si l’architecture technique du service évolue.

Les paiements des abonnements DutyTask sont gérés par l’intermédiaire de Stripe.

DutyTask ne collecte ni ne conserve les données complètes des cartes de paiement.

Stripe peut traiter, parmi d’autres informations, le nom, l’adresse e-mail, l’adresse de facturation, les identifiants fiscaux, les données de paiement et les données du moyen de paiement nécessaires à la transaction.

DutyTask conserve les informations nécessaires pour connaître le plan souscrit, l’état de l’abonnement et les identifiants techniques requis pour l’intégration avec Stripe.

La base de données primaire de DutyTask est hébergée en Ireland, dans l’Union européenne.

Certains fournisseurs utilisés par DutyTask sont toutefois des organisations internationales et peuvent traiter des données en dehors de l’Espace économique européen.

Lorsque cela est requis, ces transferts sont régis par les mécanismes prévus par le droit applicable, y compris le Data Privacy Framework, les décisions d’adéquation et les clauses contractuelles types.

Vercel, par exemple, prévoit dans son DPA l’utilisation des SCC 2021 pour les transferts soumis à ces clauses. Stripe utilise le DPF et les SCC selon les conditions applicables. Supabase utilise les SCC et d’autres mécanismes prévus par son DPA pour les transferts extra-EEE. Resend met à disposition un DPA et des garanties de transfert pour son compte et ses journaux, tandis que l’envoi transactionnel DutyTask est configuré en Ireland.

Tant qu’un abonnement est actif, les données de l’organisation sont conservées afin de fournir DutyTask.

Après résiliation

Lorsque le Client résilie l’abonnement, DutyTask conserve les données opérationnelles de l’organisation pendant une durée maximale de 6 mois après la fin du service.

Cette conservation vise à permettre au Client de réactiver DutyTask dans ce délai et de retrouver les tâches, utilisateurs et historique précédemment présents.

Au-delà de 6 mois, les données opérationnelles de l’organisation sont supprimées, à l’exception des informations que DutyTask doit conserver plus longtemps au titre d’obligations légales, administratives, fiscales, comptables ou pour la protection de ses droits.

Suppression anticipée sur demande

Le titulaire de l’organisation ou une personne dûment autorisée peut demander une suppression anticipée sans attendre les 6 mois en écrivant à :

hello@dutytask.com

DutyTask peut procéder à des vérifications raisonnables de l’identité et des pouvoirs du demandeur avant d’agir.

Une fois la suppression définitive effectuée, l’organisation et son historique opérationnel ne sont pas récupérables.

Les données qui doivent être conservées en vertu de la loi ou pour la protection de droits en justice sont exclues de la suppression.

Le GDPR reconnaît le droit à l’effacement lorsque les conditions sont réunies et régit spécifiquement la restitution ou la suppression des données dans les relations avec les sous-traitants.

Les éventuelles copies techniques présentes dans les systèmes de sauvegarde peuvent être éliminées selon les cycles normaux de sauvegarde et de reprise après sinistre des fournisseurs.

L’enregistrement audio utilisé pour la dictée n’est pas conservé par DutyTask après traitement.

DutyTask n’utilise actuellement ni Google Analytics, ni Meta Pixel, ni d’autres systèmes publicitaires ou de profilage.

DutyTask enregistre en interne des événements produit de première partie (par exemple première tâche créée, première invitation, conversion de l’essai vers un plan payant) afin de constater si le service est utilisé. Ces événements restent dans la base de données de DutyTask, ne sont pas partagés avec des plateformes publicitaires et ne profilent pas les personnes en dehors de l’entreprise.

Seules les technologies nécessaires au fonctionnement du service sont utilisées, y compris des outils pour maintenir la session authentifiée et les préférences de langue et de localisation.

Les cookies et outils strictement techniques ne requièrent pas de consentement préalable lorsqu’ils sont utilisés exclusivement pour des finalités nécessaires au service ; le Garante distingue ces outils de ceux de profilage ou de suivi.

Si DutyTask introduisait ultérieurement des outils d’analyse ou de marketing nécessitant un consentement, les modalités de recueil du consentement et la présente notice seraient mises à jour avant leur activation.

DutyTask adopte des mesures techniques et organisationnelles destinées à protéger les données traitées.

Parmi celles-ci figurent l’authentification des utilisateurs, le HTTPS, la séparation logique des données entre organisations, les contrôles d’accès fondés sur le rôle et le stockage privé des pièces jointes.

Supabase met également à disposition un DPA et des outils pour les projets soumis aux exigences du GDPR.

Aucun système informatique ne peut toutefois garantir une sécurité absolue.

Lorsque le droit applicable le prévoit, la personne concernée peut exercer les droits :

• d’accès ;
• de rectification ;
• d’effacement ;
• de limitation du traitement ;
• de portabilité ;
• d’opposition.

Lorsque le traitement est fondé sur le consentement, celui-ci peut être retiré à tout moment.

Les demandes peuvent être adressées à :

hello@dutytask.com

Lorsque la demande concerne des données traitées par DutyTask pour le compte d’une entreprise cliente, DutyTask peut transmettre la demande à l’entreprise agissant en qualité de responsable du traitement ou collaborer avec elle afin qu’elle puisse y répondre.

La personne concernée peut également introduire une réclamation auprès du Garante per la protezione dei dati personali.

DutyTask peut mettre à jour la présente politique de confidentialité à la suite de modifications juridiques, techniques, organisationnelles ou de fournisseurs.

La version mise à jour sera mise à disposition sur le site, avec la date de mise à jour.

En cas de modifications substantielles, DutyTask peut également informer les utilisateurs par e-mail ou par une communication dans l’application.