Politique de confidentialité
Dernière mise à jour : 14 octobre 2026
Ce document décrit les données personnelles traitées par le site tolus.app et par le service Tolus, les finalités de ces traitements, leurs durées de conservation et les droits des personnes concernées.
1. Responsable du traitement
Identité de l’entité qui détermine les finalités et les moyens.
- Responsable : Digitz, EURL au capital de 1 500 €, siège social 73 Cours Albert Thomas, 69003 Lyon, France, immatriculée au RCS de Lyon sous le numéro 524 498 672, TVA intracommunautaire FR52524498672. Directeur de la publication : Abdeslam Aourik.
- Contact pour les questions relatives aux données : hello@tolus.app, en indiquant RGPD en objet.
- Délégué à la protection des données : aucun délégué n’est désigné, l’éditeur étant une petite structure ; les demandes sont traitées à l’adresse ci-dessus.
- Rappel des rôles : pour les données des utilisateurs invités par une agence, l’agence est responsable de traitement et l’éditeur sous-traitant (voir le DPA) ; la présente politique couvre les traitements dont l’éditeur est responsable.
2. Données collectées
Catégories de données traitées, par source.
- Données de compte : adresse email, nom affiché et rôle dans l’organisation.
- Données d’organisation : nom de l’agence, paramètres (heures par jour, postes, locale), projets et enveloppes.
- Contenus d’usage : tickets, commentaires, notes internes, pièces jointes, temps saisi, notifications.
- Données de facturation : identifiant client et abonnement chez Stripe, historique de paiement ; les données de carte sont collectées et conservées par Stripe uniquement.
- Données techniques : adresse IP, journaux de connexion et d’erreurs, agent utilisateur, conservés 12 mois.
- Site public tolus.app : pages statiques, sans cookie ni traceur. Si vous envoyez le formulaire commercial, votre nom, adresse email, société facultative, objet et message sont enregistrés par Tolus pour vous répondre. Les journaux serveur de l’hébergeur restent distincts.
- Formulaire de support connecté : catégorie, objet et message, avec le nom, l’email et l’organisation associés à votre compte. Les demandes sont personnelles : elles ne sont pas partagées automatiquement avec vos collègues. Une empreinte non réversible de l’adresse IP aide à limiter les envois abusifs ; aucune IP brute n’est enregistrée dans la demande.
3. Finalités
Pourquoi les données sont traitées.
- Fourniture du service : authentification par lien magique, gestion des organisations, tickets, enveloppes et récaps.
- Aide à la rédaction facultative : correction, clarification ou raccourcissement du texte demandé par l’utilisateur, avec Mistral AI. Aide à l’import facultative : proposition de correspondance entre une feuille de suivi de forfait importée par l’agence et Tolus, avec Mistral AI.
- Envoi d’emails transactionnels : connexion, invitations, notifications de tickets, emails de cycle de vie (bienvenue, fin d’essai, échec de paiement, résiliation).
- Facturation et gestion de l’abonnement.
- Sécurité, prévention des abus et journalisation.
- Support et relation client : réponse aux questions commerciales et aux demandes envoyées depuis l’espace connecté ou par email à hello@tolus.app. Les demandes sont accessibles aux administrateurs Tolus habilités. Leur notification email contient uniquement une référence et un lien protégé vers le back-office, pas le message saisi. Aucun abonnement à une liste de prospection n’en découle.
- Respect des obligations légales (comptabilité, réquisitions).
- Aucune mesure d’audience n’est réalisée : ni traceur publicitaire, ni outil de statistiques. Aucune prospection commerciale n’est réalisée à partir des données du service.
4. Textes confiés à l’aide à la rédaction
La fonction reste facultative et ne se lance pas pendant la simple saisie.
- Seuls le texte sélectionné, ou le texte du brouillon si rien n’est sélectionné, sont envoyés avec la langue et la consigne de rédaction. Aucun historique de projet ni contenu de pièce jointe n’est chargé automatiquement.
- Le texte peut contenir les données personnelles que vous y avez saisies, y compris dans un brouillon de note interne. Choisissez uniquement le passage utile et évitez les secrets, identifiants d’accès et données sensibles. Le résultat revient dans une proposition à relire, sans publication automatique.
- Un journal technique suit les appels par organisation et par utilisateur : date, modèle, commande, résultat de l’appel, durée, nombre de jetons et coût estimé. Il ne conserve ni le texte demandé ni la proposition. L’identifiant du compte permet aux administrateurs habilités de retrouver la personne à l’origine de l’appel ; ce lien est supprimé lors de la suppression du compte ou de l’organisation. Ce journal sert au suivi de fonctionnement et des coûts, pas à la mesure d’audience ou à la publicité.
- La région d’inférence ne garantit pas l’absence de conservation chez Mistral AI. La conservation des requêtes et réponses dépend des conditions et réglages du service API utilisé, notamment de ses contrôles anti-abus. Tolus ne promet pas une suppression immédiate ni un régime « zéro conservation ».
- L’utilisation de cette aide n’accorde aucune autorisation d’utiliser les tickets, brouillons ou réponses pour entraîner un modèle. Une autorisation portant sur le site public ne vaut pas autorisation pour les contenus privés.
5. Bases légales
Fondement de chaque finalité (article 6 du RGPD).
- Exécution du contrat : fourniture du service, emails transactionnels, facturation.
- Intérêt légitime : sécurité du service, prévention des abus et supervision technique.
- Obligation légale : conservation des factures et documents comptables.
- Consentement : aucun traitement ne repose sur le consentement, le service ne déposant que des cookies strictement nécessaires.
6. Durées de conservation
Une durée par catégorie de données.
- Données de compte et d’organisation : pendant la durée de l’abonnement, puis 90 jours après la résiliation avant suppression définitive, avec des emails d’avertissement 30 jours et 7 jours avant la suppression.
- Contenus d’usage : mêmes règles que l’organisation ; la durée de conservation ne dépend pas du plan.
- Données de facturation : 10 ans, conformément aux obligations comptables.
- Journaux techniques : 12 mois.
- Sauvegardes : 30 jours ; les données supprimées disparaissent des sauvegardes au terme de cette rotation.
7. Vos droits
Droits des personnes concernées et modalités d’exercice.
- Droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition ; droit de définir des directives relatives au sort des données après décès.
- Exercice : par email à hello@tolus.app, en indiquant RGPD en objet, réponse dans un délai d’un mois (article 12 du RGPD).
- Utilisateurs invités par une agence : les demandes peuvent être adressées à l’agence responsable ; l’éditeur y apporte son assistance selon le DPA.
- Réclamation auprès de l’autorité de contrôle : la CNIL (cnil.fr).
8. Destinataires et sous-traitants
Qui a accès aux données.
- Personnel de l’éditeur habilité : les seules personnes qui ont besoin d’accéder aux données pour exploiter et maintenir le service.
- Hébergement : Contabo GmbH, Aschauer Straße 32a, 81549 Munich, Allemagne, téléphone +49 89 3564717 70 (contabo.com), serveurs situés en Allemagne (Union européenne).
- Paiement : Stripe, Stripe Payments Europe Ltd, Irlande.
- Emails : Resend.
- Aide à la rédaction et aide à l’import facultatives : Mistral AI, société établie en France, sollicitée uniquement lorsque l’utilisateur choisit une commande de rédaction ou demande l’aide à l’import d’une feuille de suivi.
- Supervision d’erreurs : Sentry, uniquement si l’outil est activé sur le service.
- Outils tiers et agents connectés par une agence cliente : lorsque l’agence connecte un tel outil, les données de ses projets lui sont transmises à son initiative et sous sa responsabilité ; ce tiers n’est pas un sous-traitant de l’éditeur.
- Autorités : sur demande légalement fondée uniquement.
9. Transferts hors Union européenne
Localisation et garanties.
- Hébergement principal : Allemagne (Union européenne), chez Contabo GmbH.
- Resend peut traiter des données hors Union européenne ; ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne. L’aide à la rédaction utilise le point d’accès européen de Mistral AI (api.eu.mistral.ai), avec une inférence dans l’Union européenne ou l’AELE. Ce choix ne garantit pas la localisation des données de compte, de facturation et des autres métadonnées techniques du fournisseur. Les éventuels transferts de Mistral AI hors des pays reconnus adéquats relèvent des garanties prévues par son accord de traitement des données, notamment les clauses contractuelles types.
11. Sécurité
Mesures de protection, en cohérence avec l’annexe du DPA.
- Chiffrement des échanges (HTTPS), authentification par mot de passe ou par lien à usage unique et à durée limitée, isolation par organisation, contrôle d’accès par rôles, limitation de débit sur les envois sensibles.
- Sauvegardes : un instantané quotidien de la base de données est conservé 30 jours sur le volume persistant du service. Il n’est pas chiffré au repos et aucune copie hors serveur n’est actuellement annoncée.
- Notification en cas de violation de données : sans délai injustifié et au plus tard 72 heures après en avoir eu connaissance, par email au propriétaire du compte concerné ; voir le DPA pour les agences.
12. Modification de la politique
Évolution du document.
- Information des utilisateurs en cas de modification substantielle : email au propriétaire au moins 30 jours avant l’entrée en vigueur ; la poursuite de l’utilisation du service vaut acceptation.
- Date de version indiquée en tête de page.
13. Contact
Pour toute question relative à cette politique.
- hello@tolus.app, en indiquant RGPD en objet, Digitz, 73 Cours Albert Thomas, 69003 Lyon, France.