1. Qui sommes-nous
Boordapp est proposé par Valinta Shipping vof, agissant sous le nom commercial Boordapp, Albert Schweitzerlaan 1, 4281 LT Andel, KvK 90025644, numéro de TVA NL865186479B01. Pour toute question relative à la vie privée, vous pouvez écrire à support@boordapp.nl.
2. Pourquoi cette politique existe
Le RGPD nous oblige à informer clairement les personnes concernées du traitement des données à caractère personnel. C'est pourquoi nous indiquons ici qui est responsable, quelles données nous traitons, pourquoi nous le faisons, quels fournisseurs sont utilisés, combien de temps nous conservons les données et de quels droits disposent les personnes concernées.
3. Notre rôle
Pour la gestion des comptes, le paiement, la sécurité, le support, la journalisation, l'amélioration du produit et notre propre administration, Valinta Shipping vof est responsable du traitement. Les données qu'un client saisit lui-même dans Boordapp, telles que les données relatives aux bateaux, à l'entretien, à l'équipage et aux documents, sont traitées par Boordapp pour le compte du client. Le client est alors responsable du traitement et le contrat de sous-traitance s'applique également.
4. Quelles données traitons-nous
- Les données de compte, telles que le nom, l'adresse e-mail, le rôle, le statut, l'organisation et les données de session.
- Les données d'inscription et de facturation, telles que le nom de l'entreprise, l'adresse e-mail du propriétaire, l'adresse de facturation, l'adresse e-mail de facturation, le numéro KvK, le numéro de TVA, la formule choisie, le statut de paiement, l'identifiant client Stripe, l'identifiant d'abonnement et les versions acceptées.
- Les données relatives aux bateaux, les données d'entretien, les relevés de compteurs, les ordres de travail, les certificats, les documents, le stock, les coûts, les escales et les rapports.
- Les données relatives à l'équipage, telles que les coordonnées, les rôles, les qualifications, les contacts d'urgence, les plannings et les heures.
- Les données de support et de retours, y compris les éventuelles pièces jointes et le contexte technique.
- Les données d'utilisation et d'erreur, telles que les routes, les actions, l'organisation, le rôle, les informations sur le navigateur, le message d'erreur, le contexte IP et de session.
- Après consentement : les données de visite des pages publiques, telles qu'un chemin nettoyé sans paramètres de recherche (seuls les libellés de campagne du lien sont conservés), le titre de la page, le site d'où vous venez, les boutons choisis et les étapes d'inscription, la vitesse de chargement, la taille de l'écran, le navigateur, l'appareil et la localisation approximative.
- Les données techniques historiques relatives aux appareils Garmin précédemment associés, telles que la plateforme, le nom de l'appareil, la date d'association, la date d'expiration, la dernière utilisation et le statut de révocation.
- Les données de localisation AIS lorsque la fonction AIS est activée.
Nous ne conservons nous-mêmes aucun mot de passe. La connexion et les sessions passent par WorkOS.
Boordapp n'est pas destiné aux catégories particulières de données à caractère personnel, telles que les données médicales, le numéro de service citoyen néerlandais (BSN), les données biométriques ou les données pénales. Si un client saisit malgré tout de telles données dans des documents, des notes ou des téléversements, le client reste responsable de la base juridique valable et de leur nécessité.
5. Pourquoi traitons-nous des données
- Pour créer des comptes, permettre aux utilisateurs de se connecter et fournir Boordapp.
- Pour gérer l'entretien, les certificats, le stock, les coûts, l'équipage et les rapports.
- Pour gérer l'inscription en libre-service, les paiements, les abonnements, la TVA et l'administration.
- Pour assurer la sécurité, la prévention des abus, la journalisation, la recherche d'erreurs et le support.
- Pour améliorer l'application sur la base de nos propres statistiques d'utilisation liées au compte.
- Après consentement : pour améliorer le site web public.
Les données bancaires, iDEAL, SEPA ou de carte complètes sont traitées par Stripe. Boordapp conserve lui-même uniquement les données nécessaires à l'administration, à la facturation, au support et au lien avec le client Stripe et l'abonnement.
| Finalité | Base juridique |
|---|---|
| Créer un compte, se connecter et fournir Boordapp. | Exécution du contrat. |
| Gérer l'entretien, les certificats, les documents, le stock, les coûts et l'équipage. | Exécution du contrat ou traitement pour le compte du client. |
| Inscription en libre-service, paiement, abonnements, TVA et facturation. | Exécution du contrat et obligation légale de tenue de la comptabilité. |
| Sécurité, recherche d'erreurs, journalisation d'audit, surveillance et prévention des abus. | Intérêt légitime. |
| Support, retours et amélioration du produit à l'aide de statistiques d'utilisation liées au compte. | Intérêt légitime. |
| Notifications push lorsqu'un utilisateur les active. | Exécution du contrat et consentement via le navigateur ou l'appareil. |
| Google Analytics et Microsoft Clarity sur les pages publiques. | Consentement. Il peut être retiré à tout moment via les préférences en matière de cookies. |
6. Lieu de stockage
Le service Boordapp et le stockage standard des documents fonctionnent sur le VPS de Boordapp chez TransIP aux Pays-Bas. Les documents téléversés sont conservés par défaut sur le stockage serveur de Boordapp. Les sauvegardes sont créées et supprimées selon un système de rotation. Les e-mails de support passent par Cloud86/Plesk. Le paiement, la connexion, les notifications push du navigateur et la mesure Google autorisée peuvent traiter des données chez les fournisseurs mentionnés en dehors du VPS de Boordapp.
7. Prestataires de services
Nous faisons appel à des prestataires de services uniquement pour les éléments nécessaires au service. Selon le traitement, ils peuvent être sous-traitant, sous-traitant ultérieur ou responsable du traitement à titre autonome, par exemple pour leurs propres obligations légales en matière de paiement, de prévention de la fraude ou de sécurité.
| Fournisseur | Finalité | Données |
|---|---|---|
| TransIP, Pays-Bas | VPS de Boordapp, base de données, stockage serveur, DNS et infrastructure serveur. | Données de l'application, documents, sauvegardes, journaux serveur, adresses IP et métadonnées techniques. |
| WorkOS | Connexion, sessions, organisations, rôles, invitations et e-mails d'authentification. | Données de compte, données d'organisation, rôles et sessions. |
| Stripe | Paiement, abonnements, factures, TVA/taxes, statut de paiement et portail de paiement. | Données de facturation, statut de paiement, formule, identifiants client et d'abonnement. |
| Google Ireland, Google Analytics et Tag Manager | Statistiques de visite des pages publiques après consentement. | Chemin de page nettoyé ne contenant que les libellés de campagne, site de provenance, titre de la page, statut du consentement, événements génériques tels que les boutons choisis et les étapes d'inscription, vitesse de chargement, taille de l'écran, navigateur, appareil et localisation approximative basée sur l'adresse IP. Aucune donnée saisie, adresse e-mail ou numéro d'inscription. |
| Microsoft Ireland, Clarity | Cartes de clics et enregistrements de session masqués des pages publiques après consentement. | Chemin de page nettoyé, comportement de clic, de défilement et de souris, navigateur, appareil et localisation approximative basée sur l'adresse IP. Les champs remplis et le texte sont masqués. |
| Cloud86/Plesk | Boîtes aux lettres de support entrantes, IMAP et webmail. | E-mails de support, coordonnées et pièces jointes. |
| Mistral AI | Reconnaissance des certificats que vous téléversez vous-même et des nouvelles pièces jointes de la boîte de réception lorsque l'organisation active la reconnaissance automatique. | Le contenu complet du certificat transmis ou de la nouvelle pièce jointe de la boîte de réception, y compris les données à caractère personnel qu'il contient. |
| OpenAI | Reconnaissance des factures, et comme solution de repli pour la reconnaissance des certificats. | Le contenu complet du document transmis, y compris les données à caractère personnel qu'il contient, et pour les factures, les noms des catégories de stock existantes. |
| TypeSafe | Propositions de correspondances et de types de documents lors de l'import. Après un accord distinct : choix des bons champs de certificat parmi les candidats reconnus par Mistral, et recherche intelligente au sein d'un bateau. | Lors de l'import : en-têtes de colonnes et noms de pièces, d'interventions, de dossiers et de fichiers. Pour les certificats : valeurs candidates reconnues avec le texte environnant. Pour la recherche intelligente : la recherche et les noms des moteurs, interventions, articles en stock, certificats, documents, listes et lignes de soutage de ce bateau, avec leur type, catégorie ou composant. Nous retirons au préalable les adresses e-mail, numéros de téléphone et noms de membres d'équipage reconnus. Ces entrées peuvent contenir des données à caractère personnel. |
| Services de notifications push et prestataires AIS | Notifications push et fonctions AIS lorsqu'elles sont utilisées. | Points de terminaison push, métadonnées techniques, identification AIS et données de position. |
La reconnaissance de documents s'applique aux documents qu'un utilisateur transmet lui-même et, lorsqu'une organisation active ce paramètre, aux nouvelles pièces jointes qui arrivent dans la boîte de réception via l'adresse e-mail du bateau. Les certificats et la reconnaissance automatique des nouvelles pièces jointes de la boîte de réception sont traités via l'API de Mistral AI ; les factures via l'API d'OpenAI. OpenAI reste en outre disponible comme solution de repli pour la reconnaissance des certificats. Le résultat est utilisé exclusivement pour préremplir des champs que l'utilisateur vérifie avant l'enregistrement. Conformément à leurs conditions, aucun des deux fournisseurs n'utilise le contenu transmis via l'API pour entraîner des modèles.
Avant le premier scan IA ou la première recherche intelligente, Boordapp explique quelles données sont envoyées à quel service d'IA et dans quel but. L'utilisateur donne un accord distinct pour la reconnaissance des certificats, la reconnaissance des factures, la sélection des champs de certificat par TypeSafe et la recherche intelligente avec TypeSafe. L'organisation active séparément la reconnaissance automatique des nouvelles pièces jointes de la boîte de réception via Paramètres. Cet accord vaut pour l'utilisateur connecté et l'organisation et est demandé à nouveau en cas d'autre service d'IA, d'autre finalité ou d'explication modifiée. L'utilisateur peut retirer l'accord via Paramètres > Scans IA. Après le retrait, nous ne partageons aucun nouveau document ni aucune nouvelle recherche à cette fin tant qu'un nouvel accord n'a pas été donné. Un téléversement ordinaire dans la boîte de réception sans lecture par IA n'est pas concerné.
Mistral AI, OpenAI et TypeSafe ne peuvent traiter les données transmises que pour la reconnaissance ou la fonction de recherche convenue et doivent appliquer à cet effet une protection des données appropriée et équivalente. Boordapp reste responsable du choix et de la direction de ces sous-traitants ultérieurs.
WorkOS, Stripe, Google, OpenAI, TypeSafe et les services de notifications push peuvent traiter des données à caractère personnel en dehors de l'Espace économique européen. Dans ce cas, nous utilisons des garanties appropriées, telles que les clauses contractuelles types, l'EU-US Data Privacy Framework le cas échéant, ou une décision d'adéquation valable. TypeSafe héberge son service aux États-Unis et propose des clauses contractuelles types pour les transferts depuis l'EEE. Selon les conditions actuelles de TypeSafe, TypeSafe n'utilise pas les entrées transmises pour entraîner ou affiner des modèles d'IA.
8. Durées de conservation
- Nous conservons les données de compte et de client tant que le compte ou l'abonnement est actif, puis dans la mesure nécessaire à l'administration, à la sécurité ou aux obligations légales.
- Nous conservons les données d'application saisies par le client tant que le client laisse ces données dans Boordapp ou tant que le contrat est en cours.
- Nous conservons les données de facturation et de paiement conformément à l'obligation fiscale de conservation, généralement 7 ans.
- Nous conservons les inscriptions en libre-service, les versions acceptées et les références Stripe aussi longtemps que nécessaire pour le contrat, la facturation, l'audit et le support.
- Nous conservons les journaux d'audit pendant 365 jours. Un nettoyage quotidien supprime automatiquement les entrées plus anciennes.
- Nous conservons les statistiques d'utilisation liées au compte pendant 30 jours au maximum. Avant l'enregistrement, les routes et les actions sont limitées à des catégories fixes ; le texte libre, les termes de recherche et les valeurs d'URL complètes n'en font pas partie.
- Nous conservons les données d'événements de Google Analytics pendant 14 mois au maximum. Nous conservons les cookies d'analyse pendant 13 mois au maximum, sauf si le navigateur les supprime plus tôt.
- Microsoft Clarity conserve les enregistrements de session pendant 30 jours et les cartes de clics pendant 13 mois au maximum. Les cookies Clarity sont valables 12 mois au maximum.
- Les exemples associés aux messages d'erreur regroupés sont automatiquement supprimés après 30 jours. Nous conservons les autres journaux d'erreurs, événements de webhook et journaux techniques de manière limitée à des fins de diagnostic et de stabilité.
- Le contenu des retours archivés est automatiquement supprimé après 365 jours. Les pièces jointes des retours sont supprimées après 180 jours.
- Nous conservons les données techniques historiques de l'intégration Garmin, désormais arrêtée, uniquement aussi longtemps que nécessaire pour la sécurité, le support, l'audit ou une obligation légale.
- Les sauvegardes sont écrasées ou supprimées selon un calendrier de rotation. Dans la configuration actuelle, nous conservons les sauvegardes pendant 30 jours au maximum ; les données supprimées peuvent donc encore figurer dans une sauvegarde pendant 30 jours au plus.
9. Sécurité
Boordapp prend des mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel contre la perte, l'utilisation abusive, l'accès non autorisé et la modification indésirable. Nous limitons l'accès à ce qui est nécessaire pour la gestion, le support et la sécurité et améliorons ces mesures lorsque le service ou les risques évoluent.
Pour l'hébergement chez TransIP s'appliquent en outre des mesures telles que le contrôle d'accès, la journalisation, la sécurité physique, le chiffrement, la surveillance, l'accès limité à la finalité et le contrôle des habilitations accordées.
10. Droits
Vous pouvez demander l'accès, la rectification, l'effacement, la limitation, la portabilité ou vous opposer au traitement. S'il s'agit de données relevant du compte d'un client, Boordapp peut traiter la demande conjointement avec ce client. Écrivez à support@boordapp.nl. Vous pouvez également introduire une réclamation auprès de l'Autoriteit Persoonsgegevens (autorité néerlandaise de protection des données).
11. Cookies et modifications
Boordapp utilise des cookies nécessaires et fonctionnels et des moyens de stockage similaires. Google Analytics, Tag Manager et Microsoft Clarity ne se chargent que sur les pages publiques et uniquement après consentement. L'application web connectée et les applications natives ne font l'objet d'aucun suivi par ces services. Nous pouvons modifier la présente politique. En cas de modifications importantes, nous informons activement les clients.
Boordapp ne prend aucune décision entièrement automatisée produisant des effets juridiques à l'égard des utilisateurs ou des clients ou les affectant de manière significative de façon similaire.
12. Base juridique
La présente politique vise à satisfaire aux obligations d'information prévues par le RGPD, en particulier les articles 12 à 14 inclus. Les bases juridiques découlent de l'article 6 du RGPD. Les mesures de sécurité s'inscrivent dans le cadre de l'article 32 du RGPD. Les transferts en dehors de l'EEE relèvent du chapitre V du RGPD.