Documents juridiques
Politique de confidentialité
Comment Cadvex traite les données à caractère personnel et le Contenu du Client
Cette traduction française est fournie pour faciliter la lecture. La version anglaise de ce document fait foi ; en cas de divergence entre les deux versions, la version anglaise prévaut.
La présente Politique de confidentialité explique comment CADVEX TECHNOLOGIES (OPC) PRIVATE LIMITED (« Cadvex », « nous » ou « notre ») collecte, utilise, partage, conserve et protège les données à caractère personnel dans le cadre de Cadvex Cloud, de Cadvex Desktop, du site web ainsi que des activités d’assistance et des activités commerciales qui s’y rattachent.
1. Champ d’application et rôles
Pour l’administration des comptes, la gestion des licences, la facturation, l’exploitation du site web, la sécurité, les communications et ses relations commerciales directes, Cadvex agit en règle générale en qualité de responsable du traitement ou d’entité responsable équivalente. Pour les données à caractère personnel qu’un Client soumet à Cadvex Cloud dans des fichiers techniques, des demandes de prix (RFQ), des devis ou tout autre Contenu du Client, Cadvex agit en règle générale en qualité de sous-traitant ou de prestataire de services pour le compte du Client.
Cadvex Desktop traite et stocke le contenu de fabrication uniquement sur l’appareil du Client. Cadvex ne reçoit jamais ce contenu et n’y a aucun accès. Cadvex n’agit donc pas en qualité de sous-traitant de ce contenu. Cadvex ne voit un contenu issu de Cadvex Desktop que si le Client choisit de le lui transmettre, par exemple un fichier, une sauvegarde, une capture d’écran ou un journal joint à une demande d’assistance, et ne l’utilise que pour fournir cette assistance.
Le Service est destiné aux utilisateurs professionnels et ne s’adresse ni aux enfants ni aux consommateurs.
2. Données à caractère personnel collectées
2.1 Informations relatives au compte et à l’entreprise
- Nom, adresse e-mail professionnelle, numéro de téléphone s’il est communiqué, société, pays et fonction au sein de l’organisation.
- Identifiants de compte, événements d’authentification, invitations, appartenance à une organisation et preuves d’acceptation des documents juridiques.
- Échanges, demandes d’assistance, retours d’expérience, demandes de remboursement et demandes relatives à la protection des données.
2.2 Contenu du Client dans Cadvex Cloud
Les Clients peuvent téléverser dans Cadvex Cloud des fichiers STEP/CAO, des plans, des RFQ, des références de pièces, des spécifications techniques, des devis, des coordonnées de clients et de fournisseurs, des commentaires et d’autres informations de fabrication. Les documents techniques peuvent contenir de manière incidente des données à caractère personnel, telles que des noms, des adresses e-mail, des signatures, des traces d’approbation ou des identifiants de salariés.
2.3 Contenu de fabrication local dans Cadvex Desktop
Cadvex Desktop fonctionne sur l’ordinateur du Client. Les fichiers STEP, plans, RFQ, devis, prix, coordonnées des clients et des fournisseurs, résultats d’analyse, résultats DFM et sauvegardes de Cadvex Desktop sont stockés sur cet appareil et nulle part ailleurs, sauf si le Client les copie ailleurs. Cadvex Desktop ne comporte aucune fonction qui transmette ce contenu à Cadvex ou à un tiers, et Cadvex n’y a aucun accès : Cadvex ne peut ni le consulter, ni le copier, ni le modifier, ni le supprimer, ni le restaurer, ni le récupérer. Les seules informations que Cadvex Desktop transmet à Cadvex sont les informations de compte, de licence et de sécurité décrites à la section 2.4, qui n’incluent jamais de fichiers de fabrication, de devis ni d’informations sur les clients ou les fournisseurs.
2.4 Métadonnées de compte, de licence, de mise à jour et de sécurité de Cadvex Desktop
Afin d’authentifier Cadvex Desktop et d’en gérer la licence, Cadvex peut traiter les identifiants de compte et d’organisation, la version de l’application, le nom et la plateforme de l’appareil, les empreintes (hachages) de l’installation et de l’appareil, les clés publiques et empreintes de clé de l’appareil, le statut des défis de preuve, les événements d’activation, de désactivation et de transfert, les métadonnées de droits d’utilisation et de bail de licence, les horodatages de validation, l’état d’essai, d’abonnement ou de licence perpétuelle ainsi que les événements de sécurité et d’audit. La clé privée de signature de l’appareil reste sur l’appareil du Client et n’est pas transmise à Cadvex. Cadvex Desktop vérifie le compte et la licence auprès de Cadvex au démarrage, puis toutes les 12 heures pendant son utilisation.
Lorsqu’un utilisateur est connecté, Cadvex Desktop demande également à Cadvex si une mise à jour est disponible : peu après son démarrage, toutes les 6 heures pendant son utilisation, lorsque l’ordinateur sort de veille ou se reconnecte, et lorsque l’utilisateur choisit Rechercher des mises à jour. Chaque vérification transmet la version installée de l’application, la plateforme (Windows ou Mac) et le canal de publication, avec la connexion de l’utilisateur, afin que Cadvex puisse déterminer si la licence inclut la mise à jour. Lorsque l’utilisateur choisit d’installer une mise à jour, Cadvex Desktop télécharge le programme d’installation depuis le site web de Cadvex avec la même connexion, le vérifie sur l’ordinateur, puis l’installe. Comme pour toute requête adressée à Cadvex, les serveurs de Cadvex reçoivent l’heure et l’adresse IP de chaque vérification de licence, vérification de mise à jour et téléchargement. Les vérifications et les téléchargements de mises à jour ne comportent jamais de fichiers de fabrication, de plans, de devis ni d’autre contenu de Desktop.
2.5 Données du site web, données techniques et données d’utilisation
- Adresse IP, navigateur, système d’exploitation, identifiants de session et événements de sécurité.
- Lors de la création d’un compte sur le site web, nous conservons le pays approximatif fourni par notre hébergeur afin d’administrer les comptes et de savoir d’où proviennent les inscriptions. Cet enregistrement d’inscription ne conserve que le code pays, et non l’adresse IP brute ; l’utilisation d’un VPN ou les déplacements peuvent en affecter l’exactitude. Si le visiteur est arrivé par un lien comportant des paramètres de campagne (utm_source, utm_medium, utm_campaign), ceux-ci sont également enregistrés avec le nouveau compte.
- Pages et fonctionnalités utilisées, type et taille des fichiers téléversés dans Cloud, événements de traitement, codes d’erreur et informations de diagnostic.
- Informations relatives aux parrainages, aux actions de prospection et à l’engagement sur les vidéos de démonstration, lorsque ce suivi est activé.
- Les liens de nos e-mails peuvent contenir un code identifiant l’entreprise destinataire, utilisé pour mesurer si notre vidéo a été regardée ; aucun cookie n’est utilisé.
- Avec votre consentement à la mesure d’audience facultative : pages et écrans consultés, clics, défilement, saisies dans les formulaires (à l’exclusion des mots de passe, des champs de carte bancaire et des codes à usage unique), erreurs, données de performance et enregistrements de session du site web et de l’application Cadvex Cloud, rattachés après connexion à l’adresse e-mail, au nom, au rôle et à l’organisation du compte de l’utilisateur.
- Sans consentement à la mesure d’audience, sur les pages du site web public uniquement : pages vues comptées sans cookie par PostHog (adresse de la page sans paramètres personnels, page de provenance, paramètres de campagne, type de navigateur et d’appareil, pays approximatif). PostHog utilise l’adresse IP et les informations du navigateur uniquement pour calculer une empreinte à sens unique qui change chaque jour, afin de compter les visites sans rien stocker dans le navigateur ; les clics, le défilement, les saisies dans les formulaires et les enregistrements ne sont jamais collectés sans consentement.
- Événements d’utilisation du produit enregistrés par les propres serveurs de Cadvex et rattachés aux identifiants du compte et de l’organisation, jamais à l’adresse e-mail ni à l’adresse IP : création de compte finalisée (produit choisi et, le cas échéant, source de campagne de l’inscription), analyses Cloud effectuées (première et suivantes, avec leur statut et leur durée), téléchargement de Cadvex Desktop lancé depuis le site web (plateforme et version ; les mises à jour dans l’application ne sont pas comptées), évaluation Desktop ou appareil activé (type et plateforme) et passage d’une évaluation à une utilisation payante (produit et, pour Desktop, l’offre ; pour Cloud, la première analyse payante). Ils sont transmis à PostHog EU Cloud, que les cookies aient été acceptés ou non, et ne contiennent jamais de fichiers, de plans, de devis ni de contenu de fabrication Desktop.
- Avec le même consentement, sur les pages marketing du site web public uniquement : les informations collectées par la balise LinkedIn Insight Tag (adresse de la page consultée, page de provenance, informations sur le navigateur et l’appareil, adresse IP, heure de la visite, clics sur des boutons et identifiants de cookies LinkedIn tels que li_sugr, bcookie, lidc, UserMatchHistory et, après un clic sur une publicité LinkedIn, li_fat_id), qui sont transmises à LinkedIn à des fins de mesure publicitaire et de reciblage.
- Informations anti-abus liées à hCaptcha lors de l’inscription publique, lorsque le CAPTCHA est activé.
2.6 Données de facturation
Lorsque la facturation payante de Cloud ou de Desktop est activée, Paddle peut collecter des informations de paiement et des informations fiscales. Cadvex peut recevoir le nom et l’adresse de facturation, les informations fiscales, l’historique des factures, le statut des paiements, le type de moyen de paiement, la marque de la carte et ses quatre derniers chiffres lorsque Paddle les communique, les identifiants de transaction, l’état de l’abonnement ou de la licence ainsi que les informations relatives aux remboursements. Les données complètes de carte bancaire n’ont pas vocation à parvenir aux serveurs applicatifs de Cadvex.
3. Finalités du traitement
- Créer, authentifier et administrer les comptes et les organisations.
- Fournir les fonctionnalités d’analyse de fichiers, de lecture des plans, d’établissement de devis et de collaboration de Cadvex Cloud.
- Assurer, pour Cadvex Desktop, la gestion du compte, des licences, des droits d’utilisation, des transferts d’appareil et la validation de sécurité, et proposer et fournir les mises à jour de Cadvex Desktop. Ces opérations ne portent jamais sur les fichiers de fabrication, les devis ni les informations sur les clients ou les fournisseurs.
- Mesurer l’utilisation de Cloud et administrer, par l’intermédiaire de Paddle, la facturation de Cloud et de Desktop, les taxes, les remboursements et le statut des paiements.
- Fournir une assistance et répondre aux demandes.
- Sécuriser le Service, prévenir la fraude, faire respecter les conditions applicables et protéger l’intégrité des appareils et des licences.
- Diagnostiquer les erreurs et améliorer la fiabilité et l’ergonomie.
- Avec votre consentement, comprendre l’utilisation du site web et de Cadvex Cloud grâce à la mesure d’audience et aux enregistrements de session.
- Compter les visites du site web public sans cookie et comprendre comment les comptes sont créés, comment le Service est adopté et comment les évaluations deviennent des offres payantes (mesure d’audience et événements d’utilisation du produit).
- Avec votre consentement, mesurer les résultats des publicités de Cadvex sur LinkedIn et présenter des publicités de Cadvex sur LinkedIn aux personnes ayant visité le site web public (reciblage).
- Avec votre consentement, mesurer si les visites issues des publicités de Cadvex sur Google conduisent à la création d’un compte (mesure des conversions Google Ads par la balise Google, en mode consentement : aucun cookie ni aucune requête vers Google, hormis un signal de consentement sans cookie, avant votre consentement ; aucun nom, aucune adresse e-mail ni aucune autre donnée de compte n’est transmis à Google).
- Visiteurs aux États-Unis : ce site applique un modèle d’opposition (opt-out). Les cookies de mesure d’audience et de mesure de nos publicités (PostHog, LinkedIn et Google ; jamais de personnalisation publicitaire) sont déposés sauf si vous vous y opposez, via « Ne pas vendre ni partager mes informations personnelles » en pied de page, « Refuser » dans l’avis ou « Choix de confidentialité » sur la page de la Politique relative aux cookies. Visiteurs de l’EEE, du Royaume-Uni, de la Suisse et d’ailleurs : rien de facultatif avant votre acceptation. Partout, un navigateur qui envoie le signal Global Privacy Control est traité comme s’étant opposé, et une opposition ou un refus n’est jamais annulé.
- Respecter la loi et constater, exercer ou défendre des droits en justice.
- Envoyer des communications relatives au service, juridiques, de sécurité, relatives aux produits et des communications marketing autorisées.
4. Bases légales des traitements dans l’UE/EEE
Lorsque le RGPD ou une législation similaire exige une base légale, Cadvex se fonde sur l’exécution d’un contrat, sur ses intérêts légitimes, sur le respect d’obligations légales et, lorsque cela est requis, sur le consentement. Les intérêts légitimes comprennent l’exploitation et l’amélioration du Service, la sécurisation des systèmes, la prévention de la fraude et des abus de licence, l’assistance aux Clients, la tenue des registres de l’entreprise et la gestion des relations professionnelles. Le comptage sans cookie des visites du site web et les événements d’utilisation du produit envoyés par les serveurs reposent sur l’intérêt légitime de Cadvex à mesurer l’audience de son site web et l’adoption de son Service ; toute personne peut s’y opposer en écrivant à [email protected]. Lorsque le consentement constitue la base légale applicable, il peut être retiré, sans que cela ne remette en cause la licéité du traitement effectué avant ce retrait.
5. Traitement des plans assisté par IA dans Cloud
Lorsqu’un plan est joint dans Cadvex Cloud, Cadvex le lit avec l’IA d’Anthropic (Claude) : le plan est transmis dans son intégralité à l’API commerciale d’Anthropic afin d’en extraire des informations techniques telles que les matériaux, les tolérances, les finitions, les traitements, les filetages, les marquages et les annotations. La géométrie STEP/STL n’est pas transmise à Anthropic dans le cadre de ce processus.
Cadvex ne revendique pas de conservation zéro des données (Zero Data Retention) pour la configuration actuelle d’Anthropic. La conservation est régie par les conditions commerciales d’Anthropic alors en vigueur, par ses politiques de sécurité propres à chaque modèle et par les exigences légales, et peut inclure une durée de conservation limitée, par exemple jusqu’à 30 jours environ pour le trafic concerné. Anthropic indique que, en vertu des conditions commerciales applicables, le contenu des clients commerciaux et API n’est pas utilisé par défaut pour entraîner ses modèles. Aucun réglage ne permet de désactiver la lecture des plans : pour qu’un plan ne soit pas transmis à Anthropic, il suffit de ne pas le joindre dans Cadvex Cloud et de saisir les informations du plan manuellement.
Cadvex Desktop lit les plans en local, sur l’ordinateur du Client, et ne transmet aucun plan à Anthropic ni à aucun autre fournisseur d’IA. Les plans joints dans Desktop restent sur l’appareil du Client.
7. Transferts internationaux
Cadvex est établie en Inde et fait appel à des prestataires susceptibles de traiter des données dans l’Espace économique européen, en Inde, aux États-Unis et dans d’autres pays. Cadvex met en œuvre les garanties contractuelles et autres exigées par la législation applicable, qui peuvent comprendre des accords de traitement des données, des clauses contractuelles types et des analyses d’impact des transferts. Cadvex ne garantit pas que l’ensemble des traitements liés à Cloud ou aux comptes soit effectué exclusivement au sein de l’Union européenne.
Le contenu de fabrication de Desktop qui demeure exclusivement sur l’appareil local du Client n’est transféré que selon les instructions du Client, au moyen de ses propres appareils, réseaux et pratiques de sauvegarde.
8. Durée de conservation des données
8.1 Comptes Cloud actifs
Les fichiers téléversés, analyses, rapports et devis dans Cloud sont conservés tant que le compte reste actif, sauf si le Client les supprime plus tôt, sous réserve de la rotation opérationnelle des sauvegardes et des obligations de conservation légales et de sécurité.
8.2 Données locales de Desktop
Cadvex ne maîtrise pas la durée de conservation du contenu de fabrication stocké localement par Cadvex Desktop. Le Client décide de la suppression et de la sauvegarde de ce contenu local. L’expiration de la licence, le passage au statut READ_ONLY, la désactivation d’un appareil ou toute modification des droits d’utilisation côté compte n’entraînent pas la suppression à distance des données de fabrication locales du Client.
8.3 Données relatives aux comptes et aux licences
Cadvex conserve les données relatives aux comptes, aux acceptations des documents juridiques, aux licences, aux paiements, aux appareils, aux transferts, aux droits d’utilisation, à la sécurité et à l’audit aussi longtemps que raisonnablement nécessaire pour fournir le Service, faire respecter les droits de licence, prévenir la fraude, assister les Clients, respecter la loi et constater ou défendre des droits en justice. Certains historiques de sécurité et de licence non modifiables peuvent être conservés après qu’un appareil ou une licence a cessé d’être actif.
8.4 Clôture d’un compte Cloud
À la suite de la clôture ordinaire d’un compte Cloud, Cadvex peut accorder une période d’export limitée, puis programmer la suppression du Contenu du Client actif dans Cloud, normalement dans un délai de 30 jours après la fin de la période d’export. Des copies résiduelles peuvent subsister temporairement dans les sauvegardes et les caches jusqu’à leur rotation normale.
8.5 Documents commerciaux après la clôture
- Factures, données de paiement, documents fiscaux et comptables : pendant la durée légalement requise.
- Correspondance d’assistance et correspondance contractuelle : en principe jusqu’à trois ans après la clôture, sauf si une conservation plus longue est justifiée.
- Journaux de sécurité, de licence et d’audit : en principe jusqu’à 12 mois, ou plus longtemps lorsque cela est nécessaire au titre de la fraude, de la sécurité, de l’historique des droits d’utilisation, d’une enquête ou d’un contentieux.
- Listes d’opposition : aussi longtemps que nécessaire pour respecter une opposition à la prospection commerciale.
- Données relatives à la fraude, aux mesures de conservation à des fins judiciaires, aux litiges et aux réclamations : jusqu’au règlement de l’affaire et à l’expiration des délais de prescription applicables.
9. Sécurité
Cadvex met en œuvre des mesures de protection administratives, techniques et organisationnelles destinées à protéger les données à caractère personnel et le Contenu du Client dans Cloud, notamment des contrôles d’accès, le chiffrement pris en charge par les prestataires, des identifiants à privilèges restreints, l’authentification, un stockage privé, la journalisation, des sauvegardes et des procédures de réponse aux incidents.
Cadvex Desktop utilise des mécanismes de sécurité applicatifs locaux et la protection des clés prise en charge par la plateforme (protection des clés Windows ou trousseau macOS [Keychain]) pour les secrets du compte et de l’appareil ainsi que pour la preuve d’identité de l’appareil. Le Client demeure responsable de la sécurisation de son poste Windows ou Mac, de ses comptes utilisateurs, de son stockage, de ses sauvegardes, de son réseau et de l’accès de son personnel.
11. Prospection commerciale
Cadvex peut envoyer les communications nécessaires relatives au compte, à la facturation, aux questions juridiques, à l’assistance et à la sécurité. Les messages relatifs aux produits ou de prospection commerciale comporteront un moyen de désinscription lorsque la loi l’exige. Les contacts potentiels sollicités individuellement ne sont pas automatiquement ajoutés à une liste de diffusion générale. Cadvex peut conserver une liste d’opposition minimale afin d’éviter tout envoi ultérieur de prospection non souhaitée.
12. Droits relatifs à la protection des données
Selon la législation applicable, les personnes concernées peuvent demander l’accès à leurs données, leur rectification, leur effacement, la limitation du traitement, s’opposer au traitement, demander la portabilité de leurs données, retirer leur consentement, obtenir des informations sur les destinataires et demander le réexamen de certaines décisions automatisées. Les personnes situées dans l’UE/EEE peuvent introduire une réclamation auprès d’une autorité de contrôle compétente. Les demandes doivent être adressées à [email protected]. Lorsque Cadvex traite des données uniquement pour le compte d’un Client, la demande peut être transmise à ce Client.
13. Enfants et informations sensibles
Le Service ne s’adresse pas aux personnes âgées de moins de 18 ans. Cadvex Cloud ne doit pas être utilisé pour des données de santé protégées, des informations classifiées, des informations nucléaires contrôlées, des données ITAR/CUI ou des données techniques contrôlées similaires nécessitant un environnement que Cadvex n’a pas expressément accepté de fournir, des données de carte de paiement en dehors du processus de paiement approuvé, des identifiants biométriques aux fins d’identification unique, des mots de passe de tiers, ou des données à caractère personnel hautement sensibles sans rapport avec la finalité de fabrication.
Cadvex Desktop ne peut être utilisé avec des données techniques soumises au contrôle des exportations que si l’environnement propre au Client et l’utilisation qu’il en fait satisfont aux obligations applicables en matière de contrôle des exportations. Cadvex ne certifie pas de manière indépendante la conformité globale du Client aux règles ITAR ou CUI.
14. Traitements automatisés
Cadvex utilise des systèmes automatisés pour analyser des fichiers techniques et produire des estimations, des constats DFM et des recommandations. Ces résultats ne constituent pas, à eux seuls, des décisions produisant des effets juridiques à l’égard des personnes. Le Client demeure responsable du contrôle humain et des décisions finales d’ordre commercial et de fabrication.
15. Modifications
Cadvex peut mettre à jour la présente Politique afin de tenir compte de l’évolution du Service, des prestataires, de la législation, de la sécurité ou des traitements. Les modifications substantielles seront communiquées au moyen d’une notification appropriée et, lorsque la loi l’exige, un nouveau consentement pourra être demandé.