Aufmasstool

Politique de confidentialité

Seule la version allemande de cette page fait foi. Cette traduction est fournie à titre informatif ; en cas de divergence, le texte allemand prévaut.

Mise à jour :

La présente politique de confidentialité décrit quelles données à caractère personnel sont traitées lors de l’utilisation de ce site web, de l’application Aufmasstool pour iOS et Android et de la version navigateur accessible à l’adresse app.aufmasstool.de, à quelle fin, sur quel fondement juridique, qui les reçoit et combien de temps elles restent conservées (Art. 13 DSGVO, soit l’article 13 du RGPD). Elle décrit l’état actuel. Lorsqu’un traitement est préparé mais n’est pas encore en service, ou lorsqu’une question n’est pas encore tranchée, cela est indiqué expressément.

1. Responsable du traitement

Le responsable du traitement des données au sens de l’Art. 4 Nr. 7 DSGVO (article 4, point 7, du RGPD) est :

Tobias Bak
Im Oberdorf 13a
36399 Freiensteinau
Allemagne
E-mail : info@aufmasstool.de

Aucun délégué à la protection des données n’a été désigné ; les conditions du § 38 BDSG (loi fédérale allemande sur la protection des données) ne sont pas réunies. Veuillez adresser vos questions relatives à la présente politique et à l’exercice de vos droits à l’adresse indiquée ci-dessus.

2. Vue d’ensemble : où se trouvent les données

Les données de métré, de projet et de médias naissent sur votre appareil et y sont enregistrées dans une base de données. Pour la connexion au compte et, si vous utilisez le cloud, pour la synchronisation, nous exploitons notre propre serveur.

Ce serveur n’est pas un service cloud tiers. Il s’agit d’une installation que nous exploitons nous-mêmes sur un serveur loué auprès de la Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne. Le site d’hébergement se trouve en Allemagne. Hetzner met à notre disposition la machine, le stockage et l’accès au réseau et est, à ce titre, notre sous-traitant ; il n’existe aucun contrat avec l’éditeur du logiciel serveur que nous utilisons, et celui-ci ne reçoit aucune donnée.

Conformément à l’Art. 28 DSGVO, un contrat de sous-traitance est requis pour ce traitement. Nous l’avons conclu avec la Hetzner Online GmbH le 02/10/2026.

Envoi des e-mails

Nous envoyons les e-mails par l’intermédiaire d’un serveur de messagerie propre, que nous exploitons nous-mêmes chez Hetzner Online GmbH en Allemagne. Il n’y a pas d’autre prestataire pour l’envoi. Cela concerne les messages du service d’authentification – confirmation de l’adresse e-mail, réinitialisation du mot de passe, changement d’adresse –, le code de confirmation lors de l’inscription (section 4), l’invitation dans une équipe (section 5.3), notre réponse à une demande concernant un appareil de mesure, l’accusé de réception d’une résiliation et la confirmation du contrat après un achat dans la version navigateur et après chaque augmentation du nombre de licences Team (à chaque fois section 7). À cette occasion, notre serveur de messagerie remet l’adresse du destinataire, l’objet et le contenu du message au serveur de messagerie du destinataire. La base juridique est celle du traitement auquel appartient le message ; elle figure à chaque fois dans la section indiquée. Hetzner est également notre sous-traitant pour le serveur de messagerie ; pour le contrat de sous-traitance, ce qui est indiqué plus haut pour le serveur s’applique.

3. Accès à nos serveurs

Fichiers journaux du serveur lors de la consultation de ce site web

Lors de la consultation du site web, le logiciel serveur enregistre automatiquement des informations que votre navigateur transmet. Il s’agit notamment des données suivantes :

La base juridique est l’Art. 6 Abs. 1 lit. f DSGVO (article 6, paragraphe 1, point f, du RGPD). Notre intérêt légitime réside dans une diffusion techniquement irréprochable et dans la sécurité du site web. Ces données ne sont pas rapprochées d’autres sources de données, et elles ne font l’objet d’aucune analyse d’audience ni d’aucune exploitation publicitaire. Pour la durée de conservation, voir la section 13.

Accès de l’application et de la version navigateur

De telles entrées ne naissent pas uniquement lors de la consultation de ce site web. Chaque requête que l’application et la version navigateur adressent à notre serveur – connexion, synchronisation, téléversement de prises, interface de programmation – traverse la même chaîne de relais, de couche d’accès et d’environnement d’exécution, et y est également consignée avec l’adresse IP, l’horodatage, l’adresse appelée et le message d’état. La finalité et la base juridique correspondent à celles des fichiers journaux du serveur ci-dessus. Quelles entrées les différents éléments de cette chaîne tiennent dans le détail dépend de leur réglage par défaut. Nous supprimons les entrées de la couche d’accès, de l’environnement d’exécution et du service de connexion au bout de 30 jours ; ce que le logiciel serveur consigne en outre de lui-même, il l’écrase en continu (section 13).

Cookies, polices de caractères, services intégrés

Ce site web ne dépose aucun cookie. Il ne charge ni polices de caractères, ni scripts, ni images depuis des serveurs tiers ; tous les fichiers se trouvent sur notre propre serveur. Aucun service d’analyse, de mesure d’audience ou de publicité n’est intégré. Un consentement au titre du § 25 Abs. 1 TDDDG (loi allemande sur la protection des données dans les télécommunications et les médias numériques) n’est donc pas nécessaire, et il n’y a délibérément aucune bannière de consentement.

4. Compte et inscription

La création d’un compte est obligatoire

Sans compte, l’application n’est pas utilisable – ni hors ligne, ni dans la formule gratuite. Si l’application démarre sans compte, elle conduit à l’inscription et non à vos données. Un compte est donc tenu sur notre serveur pour chaque utilisatrice et chaque utilisateur, que la synchronisation cloud soit activée ou non.

Quelles données sont collectées lors de l’inscription

Sont collectés l’adresse e-mail, le mot de passe, un nom affiché et un identifiant de compte local que l’application génère sur votre appareil. Nous n’enregistrons pas le mot de passe en clair. Au compte est associé un profil comportant le nom affiché, l’adresse e-mail et une mention de l’équipe choisie en dernier (section 5.8). Notre serveur reprend automatiquement le nom affiché et l’adresse e-mail du profil depuis le service de connexion : si vous modifiez votre nom dans l’application ou confirmez une nouvelle adresse e-mail, le profil suit. Vous ne pouvez donc modifier votre nom qu’avec une connexion à notre serveur ; il vaut alors pour votre compte sur tous vos appareils. Le profil prévoit en outre des champs pour la raison sociale, l’adresse de facturation et le numéro d’identification à la TVA (USt-IdNr.) ; ces champs ne sont actuellement remplis par aucune partie de l’application.

Si un code d’invitation est utilisé lors de l’inscription, nous enregistrons quel code a été utilisé par quel compte et à quelle date. La finalité est la conclusion et l’exécution de la relation d’utilisation ; la base juridique est l’Art. 6 Abs. 1 lit. b DSGVO.

Langue du compte

Avec votre compte, nous enregistrons la langue réglée dans l’application sous forme de code (de, en, pl, es ou fr). L’application la transmet lors de l’inscription, à chaque changement de langue tant que vous êtes connecté, et une fois après le démarrage si aucune langue n’est encore enregistrée pour votre compte. Elle est conservée avec les autres données du compte dans le service de connexion de notre serveur. La finalité est de vous envoyer dans cette langue les e-mails de réinitialisation du mot de passe et de confirmation d’une nouvelle adresse e-mail ; nous ne l’utilisons à aucune autre fin. Elle est supprimée avec votre compte (section 13). La base juridique est l’Art. 6 Abs. 1 lit. b DSGVO.

Acceptation des conditions d’utilisation

Lors de l’inscription, vous confirmez en cochant une case que vous acceptez les conditions générales, que vous avez pris connaissance de la présente politique de confidentialité et que vous avez au moins 18 ans ; sans cette case cochée, nous ne créons aucun compte par l’inscription. Si cette preuve fait défaut pour un compte existant, l’application la demande après la connexion ; l’acceptation n’est alors possible qu’avec une connexion à notre serveur. Comme preuve de votre acceptation, nous enregistrons l’identifiant de votre compte, le type d’acceptation, la version des conditions (mois et année de leur mise à jour), l’horodatage et le fait que vous ayez accepté lors de l’inscription ou en réponse à la demande ultérieure. Nous n’y associons ni adresse IP ni adresse e-mail.

La finalité est de pouvoir établir que vous avez accepté les conditions, dans quelle version, et que vous avez confirmé votre âge minimal. La base juridique est l’Art. 6 Abs. 1 lit. f DSGVO ; notre intérêt légitime est cette preuve, y compris dans un litige. La preuve subsiste donc après la suppression de votre compte, à savoir jusqu’à la fin de la troisième année civile suivant l’année de la suppression – aussi longtemps qu’en règle générale des prétentions issues de la relation d’utilisation peuvent encore être invoquées (§§ 195, 199 BGB ; Art. 17 Abs. 3 lit. e DSGVO). Après une suppression en mars 2026, la preuve subsiste donc jusqu’à fin 2029. Ensuite, un processus de suppression quotidien l’efface.

Confirmation de l’adresse e-mail

Si le formulaire d’inscription demande un code de confirmation, nous envoyons un code à six chiffres à l’adresse e-mail indiquée ; ce n’est qu’avec ce code que nous créons le compte. À cette fin, nous enregistrons l’adresse e-mail, le code uniquement sous forme d’empreinte (pas en clair), le nombre de saisies erronées, les dates de la demande, de l’expiration et de l’utilisation, la langue du message et, en clair, l’adresse IP d’où provient la demande. Un code est valable 15 minutes. Nous n’acceptons pas les adresses de certains fournisseurs de boîtes aux lettres jetables ; pour cela, nous comparons à une liste la partie de l’adresse qui suit le signe @.

La finalité est de prouver que l’adresse e-mail vous appartient et ainsi la conclusion de la relation d’utilisation ; la base juridique est l’Art. 6 Abs. 1 lit. b DSGVO. L’adresse IP sert uniquement à la défense contre un usage abusif automatisé du parcours d’inscription ; dans cette mesure, la base juridique est l’Art. 6 Abs. 1 lit. f DSGVO, notre intérêt légitime est la protection du parcours d’inscription. Un processus de suppression horaire efface chaque entrée 24 heures après la demande ; une entrée reste donc au plus environ 25 heures. La suppression d’un compte n’efface pas ces entrées séparément ; elles disparaissent avec ce même processus.

Protection contre les inscriptions en masse. Avant que nous n’envoyions un code, l’application ou la version navigateur peut résoudre sur votre appareil un court calcul que notre propre serveur pose et vérifie. Aucun service tiers n’intervient et aucun cookie n’est déposé. Afin qu’un calcul résolu ne compte pas une seconde fois, nous enregistrons une empreinte du calcul qui ne contient aucune information sur votre personne ; le nombre de calculs et de codes demandés est compté par adresse e-mail et par adresse IP uniquement sous forme d’empreinte (limitation des tentatives d’inscription, ci-dessous). La base juridique est l’Art. 6 Abs. 1 lit. f DSGVO ; notre intérêt légitime est la protection du parcours d’inscription.

Limitation des tentatives d’inscription

Afin de protéger le parcours d’inscription contre un usage abusif automatisé, nous limitons le nombre de tentatives d’inscription, de demandes ou de vérifications d’un code de confirmation et de calculs obtenus possibles dans un intervalle de temps – comptés par adresse e-mail, par adresse IP d’où provient la requête et par compte – ainsi que le nombre de saisies d’un code de récupération du second facteur. À cette fin, nous n’enregistrons pas l’adresse ou l’identifiant lui-même, mais uniquement une empreinte calculée à partir de celui-ci (SHA-256), ainsi que le début de l’intervalle de temps et le nombre de tentatives. Comme l’empreinte d’une adresse IP peut être recalculée moyennant un effort raisonnable, nous la traitons comme l’adresse elle-même et ne la conservons que brièvement : un processus de suppression quotidien efface chaque compteur dont l’intervalle de temps remonte à plus de 48 heures.

La base juridique est l’Art. 6 Abs. 1 lit. f DSGVO ; notre intérêt légitime est la protection du parcours d’inscription et des comptes. Il faut en distinguer les journaux d’accès de nos serveurs, par lesquels ces requêtes passent elles aussi (section 3), ainsi que les données de session propres au service d’authentification.

Second facteur

Vous pouvez configurer librement un second facteur pour votre compte : une application sur l’un de vos appareils qui génère des codes à usage unique dépendant du temps. La clé secrète nécessaire à cet effet est gérée par le service d’authentification sur notre serveur. Vous recevez en outre dix codes de récupération pour le cas où vous n’auriez plus accès à cette application. Nous n’enregistrons les codes de récupération que sous forme d’empreinte, et non en clair ; c’est pourquoi nous ne pouvons pas non plus vous les afficher à nouveau. Si un second facteur est configuré, l’application l’exige lors de la connexion. Si vous désactivez le second facteur ou utilisez un code de récupération, nous supprimons le facteur et tous les codes de récupération ; ils disparaissent également avec la suppression du compte. La base juridique est l’Art. 6 Abs. 1 lit. b DSGVO.

Demande d’invitation – c’est ici que l’adresse IP est enregistrée en clair

Tant que l’inscription n’est possible qu’avec un code d’invitation, vous pouvez demander un code depuis l’application. Nous enregistrons alors votre nom, votre adresse e-mail, votre texte libre et l’adresse IP depuis laquelle la demande est émise. L’adresse IP est enregistrée en clair ; pour des adresses IPv4, une empreinte se laisserait recalculer en peu de temps et n’offrirait donc aucune protection.

La finalité de l’adresse IP est uniquement de limiter le nombre de demandes par origine et, partant, d’écarter un usage abusif automatisé du formulaire de demande. La base juridique est l’Art. 6 Abs. 1 lit. f DSGVO ; notre intérêt légitime est la protection du parcours d’inscription. Aucun rapprochement avec d’autres données n’a lieu, et l’adresse n’est pas utilisée pour déterminer une localisation.

Nous supprimons une demande traitée – nous avons émis un code ou refusé la demande, ou un compte a été créé avec le code – avec l’adresse IP 90 jours après son traitement, et une demande jamais traitée 180 jours après sa réception. Si nous émettons un code, nous ne le conservons en clair avec la demande que jusqu’à l’expiration de son délai de retrait. Un processus de suppression quotidien se charge de l’un comme de l’autre. Les demandes d’invitation portant l’adresse e-mail sous laquelle un compte a été tenu en dernier lieu sont supprimées avec la suppression de ce compte. Sur demande, nous supprimons une demande également plus tôt (section 14).

Connexion et session

Après la connexion, l’application conserve un élément de session (clé d’accès et clé de renouvellement) afin qu’un redémarrage n’exige pas une nouvelle connexion. Sur iOS et Android, il se trouve dans la base de données de l’application ; dans le navigateur, dans le stockage local du navigateur (voir la section 5.2). Le service d’authentification tient à cet effet ses propres données de session sur notre serveur.

Verrouillage de l’application et connexion avec Face ID ou empreinte

Dans les applications pour iOS et Android, vous pouvez verrouiller l’application avec Face ID, Touch ID, l’empreinte digitale ou la reconnaissance faciale et faire mémoriser votre connexion. La vérification biométrique est effectuée uniquement par le système d’exploitation de votre appareil ; l’application ne reçoit que le résultat « reconnu » ou « non reconnu ». Ni l’application ni nous ne recevons de caractéristiques biométriques.

Si vous faites mémoriser la connexion, l’application enregistre votre adresse e-mail et votre mot de passe dans une entrée du trousseau de l’appareil que le système ne délivre qu’après une vérification biométrique réussie – sur iOS uniquement tant qu’un code de l’appareil est défini, et sans transfert vers un autre appareil. La base de données de l’application ne contient que votre adresse e-mail, comme indication qu’une telle entrée existe. Lorsque vous vous connectez avec Face ID ou l’empreinte, l’application envoie l’adresse e-mail et le mot de passe au service d’authentification de notre serveur, comme lors de toute connexion ; rien d’autre ne nous est transmis. La déconnexion laisse l’entrée en place afin que vous puissiez vous reconnecter. Elle est supprimée lorsque vous désactivez la fonction, détachez l’appareil du compte ou supprimez le compte, et lorsque le serveur n’accepte plus le mot de passe mémorisé ; si la biométrie de l’appareil change, par exemple avec une nouvelle empreinte, le système rend l’entrée inutilisable.

Le système peut insérer lors de la connexion les mots de passe enregistrés dans votre gestionnaire de mots de passe. Le lien entre l’application et l’adresse web est établi par un fichier public sur notre serveur qui ne contient aucune donnée personnelle. La version pour navigateur ne propose ni verrouillage de l’application ni connexion biométrique. La base juridique est l’article 6, paragraphe 1, point b, du RGPD.

Connexion avec Apple, Google ou Microsoft

Au lieu d’une adresse e-mail et d’un mot de passe, vous pouvez vous connecter via « Continuer avec Apple », « Continuer avec Google » ou « Continuer avec Microsoft ». Vous vous connectez alors auprès du fournisseur concerné – Apple Distribution International Ltd. (Irlande), Google Ireland Limited ou Microsoft Ireland Operations Limited –, qui nous transmet une confirmation contenant votre adresse e-mail, un identifiant de votre compte chez lui et, le cas échéant, votre nom. S’il n’existe pas encore de compte pour cette adresse, nous en créons un ; sinon, nous associons la connexion à votre compte existant. Avec Apple, vous pouvez masquer votre adresse ; nous recevons alors une adresse de relais d’Apple. Ce que le fournisseur traite lors de votre connexion chez lui relève de sa politique de confidentialité ; les fournisseurs traitent les données en tant que responsables distincts, ce qui peut impliquer un transfert vers les États-Unis d’Amérique.

Nous conservons l’identifiant chez le fournisseur et les données qu’il transmet lors de la connexion (par exemple l’adresse et le nom) avec votre compte. Pour la connexion avec Apple, nous conservons en outre une clé avec laquelle nous révoquons l’accès chez Apple lors de la suppression de votre compte ; elle est alors supprimée. Si votre compte n’a pas de mot de passe, vous confirmez les modifications sensibles (définir un mot de passe, changer d’adresse, déverrouiller) en vous reconnectant auprès du fournisseur ou avec un code de sécurité que nous envoyons à votre adresse ; du code, nous ne conservons qu’une valeur de contrôle, il est valable 15 minutes et est supprimé avec le code suivant ou avec le compte. La base juridique est l’article 6, paragraphe 1, point b, du RGPD.

5. Données dans l’application

5.1 Sur votre appareil

Les projets, bâtiments, étages, logements, pièces, objets, éléments de construction, valeurs mesurées, feuilles de métré, documents de facturation, signatures, intervenants et médias sont enregistrés dans une base de données sur votre appareil. Les photos, vidéos, enregistrements sonores et scans 3D y sont conservés sous forme de fichiers dans le répertoire de données de l’application. Tant que la synchronisation cloud est désactivée, ces données métier ne quittent pas votre appareil – les données de compte visées à la section 4 sont, elles, tenues sur notre serveur indépendamment de ce réglage.

5.2 Version navigateur et stockage sur l’équipement terminal (§ 25 TDDDG)

Dans la version navigateur accessible à l’adresse app.aufmasstool.de, la base de données travaille en mémoire vive. Afin que vos données survivent à un rechargement de la page, l’application dépose en outre une copie de cette base dans la mémoire de base de données du navigateur (IndexedDB). Le stockage local du navigateur (localStorage) contient l’élément de session de la connexion ainsi que deux marqueurs techniques au moyen desquels plusieurs fenêtres de navigateur ouvertes s’accordent sur celle qui est autorisée à écrire à un instant donné ; pendant une inscription, en outre, l’adresse e-mail saisie et l’état de sa confirmation, sans le code lui-même.

Il s’agit là d’un stockage d’informations sur l’équipement terminal et d’un accès à celles-ci au sens du § 25 Abs. 1 TDDDG. Nous nous fondons à cet égard expressément sur l’exception du § 25 Abs. 2 Nr. 2 TDDDG : l’un comme l’autre sont strictement nécessaires pour que le service que vous avez expressément demandé puisse être fourni. Sans l’élément de session, vous seriez déconnecté après chaque rechargement ; sans la copie, vos métrés seraient perdus après chaque rechargement. Nous ne recueillons pas de consentement à cette fin, parce que la loi ne l’exige pas dans ce cas. Rien n’est stocké sur l’équipement terminal à des fins d’analyse, de mesure d’audience ou de publicité.

Vous pouvez supprimer ces dépôts à tout moment via les réglages de votre navigateur pour cette adresse. Les métrés conservés dans le navigateur sont alors perdus, sauf s’ils avaient été synchronisés vers le cloud.

5.3 Synchronisation cloud

Si le cloud est activé pour votre compte, les données métier sont synchronisées avec notre serveur. Sont alors transmis les projets avec le nom du maître d’ouvrage et l’adresse du chantier, les cages d’escalier avec leur propre adresse, les étages, logements, pièces, objets et éléments de construction, les postes du descriptif quantitatif, les feuilles de métré, les documents de facturation, les signatures (section 5.9), les intervenants au projet, l’historique des modifications des valeurs mesurées et des éléments de construction, les opérations de suppression de la corbeille (section 13), les données de base de votre entreprise (entre autres adresse, interlocuteur, téléphone, e-mail, numéro fiscal, coordonnées bancaires, logo) ainsi que les données de gestion relatives à vos médias.

Logo de l’entreprise. Si les titulaires ou les administrateurs d’une équipe enregistrent un logo dans le profil de l’entreprise, l’application le téléverse sous forme de fichier image dans l’espace de fichiers non public de notre serveur, dans le dossier contenant les données d’entreprise de cette équipe ; les données de base de l’entreprise renvoient à ce fichier. Tous les membres de l’équipe peuvent le lire, y compris les membres qui ne font que lire, indépendamment de l’interrupteur « Photos et médias ». Les appareils de l’équipe reprennent un logo modifié lors de la synchronisation suivante, et notre service chargé des tâches de l’interface de programmation l’insère dans un PDF demandé par ce biais (section 8). Si vous remplacez ou supprimez le logo, les données de base de l’entreprise ne renvoient plus à l’ancien fichier ; l’ancien fichier lui-même reste dans l’espace de fichiers jusqu’à la suppression de l’équipe (section 13). La base juridique est l’Art. 6 Abs. 1 lit. b DSGVO.

L’accès d’autres comptes clients à ces données est limité côté serveur aux membres de votre équipe. Dans la liste des membres de l’équipe, chaque membre autorisé à modifier des données voit le rôle et le nom affiché des autres membres ainsi que les projets qui leur sont attribués ; seuls les propriétaires et les administrateurs de l’équipe voient les adresses e-mail des autres membres, tous les autres ne voient que la leur. Les membres au rôle « Lecture seule » ne voient dans la liste des membres que leur propre ligne, ainsi que les noms affichés des propriétaires de l’équipe ; il en va de même s’ils consultent les appartenances directement par notre interface de données. Notre propre accès par le portail d’administration n’en est pas affecté ; il est décrit à la section 9. La base juridique est l’Art. 6 Abs. 1 lit. b DSGVO (exécution du contrat d’utilisation).

Afin que les numéros des documents de facturation ne soient pas attribués deux fois, y compris entre plusieurs appareils d’une même entreprise, l’application réserve en mode cloud, pour les propriétaires et les administrateurs, des blocs de numéros sur notre serveur lors de la synchronisation. Nous enregistrons à cet effet l’équipe, la série de numérotation, l’année, la plage de numéros réservée, l’horodatage et un identifiant de cette installation que l’application génère une fois de manière aléatoire. Aucun lien avec votre compte n’est enregistré à cette occasion. La base juridique est l’Art. 6 Abs. 1 lit. b DSGVO.

Le même identifiant d’installation figure sur les opérations de suppression de la corbeille, qui sont elles aussi synchronisées. La corbeille peut ainsi indiquer si une entrée a été supprimée sur cet appareil ou sur un autre. La base juridique est l’Art. 6 Abs. 1 lit. b DSGVO.

Lorsque plusieurs personnes travaillent au sein d’une même équipe, nous consignons en outre les événements de cette collaboration : qu’un projet vous a été attribué ou retiré, que votre rôle a changé ou que votre appartenance a pris fin – chacun avec l’horodatage, l’équipe, le nom du projet et la personne à l’origine de l’action. La finalité est que votre appareil en soit informé même s’il n’était pas connecté à ce moment-là ; la base juridique est l’Art. 6 Abs. 1 lit. b DSGVO. Pour la durée de conservation, voir la section 13.

Droits des membres qui ne font que lire. Pour chaque membre au rôle « Lecture seule », les propriétaires et administrateurs de l’équipe déterminent au moyen de quatre interrupteurs s’il peut voir les prix et pièces, les photos et médias ainsi que les feuilles de métré des projets qu’il voit dans l’équipe, et si l’application lui permet d’exporter. Nous enregistrons à cette fin, pour chaque appartenance, l’état des quatre interrupteurs ; il reste inchangé en cas de changement de rôle. Si un interrupteur change, nous le consignons, comme un changement de rôle, en tant qu’événement de la collaboration, afin que l’appareil de la personne soit informé des nouveaux droits. Par défaut, « Prix et pièces » est désactivé et les trois autres interrupteurs sont activés. Ce qu’un interrupteur exclut, notre serveur ne le communique pas à la personne : sans « Prix et pièces », aucun document de facturation, aucun prix des postes du descriptif quantitatif, aucune signature sous des documents de facturation et aucune entrée de la corbeille contenant des documents de facturation ; sans « Photos et médias », aucune photo, vidéo ni enregistrement audio et aucun fichier du stockage de fichiers en dehors des données de l’entreprise, par exemple le logo, ainsi qu’aucune entrée de la corbeille contenant des médias ; sans « Feuilles de métré », aucune feuille de métré, aucune signature sous celles-ci et aucune entrée de la corbeille contenant des feuilles de métré. « Export autorisé » n’agit que dans l’application. Ce qu’un appareil avait déjà chargé avant qu’un interrupteur soit désactivé n’est supprimé que par une version de l’application qui connaît les interrupteurs ; les versions antérieures de l’application ne le suppriment pas. Indépendamment des interrupteurs, les membres au rôle « Lecture seule » ne voient ni les destinations des webhooks ni les séries de numérotation des documents de facturation, et ne peuvent pas formuler de demandes concernant des appareils de mesure. La base juridique est l’Art. 6 Abs. 1 lit. b DSGVO.

Licence Team dans la liste des membres. Aux propriétaires et administrateurs d’une équipe, nous indiquons dans la liste des membres, pour chaque membre, s’il dispose d’une licence Team et de quel type – la sienne propre, une licence qui lui a été attribuée, une licence suspendue ou aucune –, et pour les membres au rôle « Lecture seule » l’état de leurs quatre interrupteurs. Nous n’affichons le nom de l’acheteur d’une licence attribuée que si l’acheteur est lui-même propriétaire ou administrateur de cette équipe. La finalité est que la direction de l’équipe voie qui peut modifier des données dans l’équipe ; la base juridique est l’Art. 6 Abs. 1 lit. b DSGVO.

Invitation dans une équipe par e-mail. Si, en tant que propriétaire ou administrateur d’une équipe, vous invitez une personne, nous enregistrons l’adresse e-mail invitée, le rôle prévu, le code d’invitation, sa date d’expiration, votre compte en tant que compte invitant, la langue de l’invitation ainsi que si et quand l’envoi a réussi. Nous envoyons l’invitation par notre service d’envoi d’e-mails (section 2) à l’adresse invitée – même si la personne n’a pas encore de compte chez nous. L’e-mail indique l’équipe, le rôle, le code d’invitation, sa date d’expiration et votre adresse e-mail en tant que celle de la personne qui invite ; les réponses à l’e-mail parviennent à votre adresse. La base juridique est, pour l’équipe qui invite, l’Art. 6 Abs. 1 lit. b DSGVO et, à l’égard de la personne invitée, l’Art. 6 Abs. 1 lit. f DSGVO : l’intérêt légitime de l’entreprise qui invite et le nôtre consiste à inviter la personne à collaborer à la demande de l’entreprise. Pour la durée de conservation, voir la section 13.

Lorsqu’un Leica DISTO est connecté par Bluetooth, l’application enregistre, avec la valeur mesurée reprise, l’identifiant Bluetooth de ce télémètre laser et le transmet également vers le cloud. Il s’agit de l’identifiant de l’appareil de mesure, et non d’un identifiant de votre téléphone ni d’un identifiant publicitaire.

5.4 Données de tiers dans vos projets – notre rôle

Dans vos projets, vous traitez régulièrement des données d’autres personnes : maîtres d’ouvrage, destinataires de factures, interlocuteurs sur le chantier. En font partie le nom, la société, l’adresse, le pays, l’adresse e-mail, le numéro de téléphone, le numéro d’identification à la TVA, la Leitweg-ID, le numéro de client et vos notes ; dans les documents de facturation s’y ajoutent le nom et l’adresse du destinataire de la facture.

Pour ces données, c’est vous qui êtes le responsable du traitement, et nous sommes votre sous-traitant au sens de l’Art. 28 DSGVO. Pour vos propres données de compte, de formule et de facturation, c’est en revanche nous qui sommes le responsable du traitement. Un contrat de sous-traitance est requis à cet effet. Pour les clients équipe et cloud, il est en préparation et n’est pas encore disponible. Dans cette relation, la Hetzner Online GmbH est notre sous-traitant ultérieur.

5.5 Caméra, microphone, photos, vidéos et enregistrements sonores

Pour la mesure des murs et des pièces (sur iOS avec LiDAR, ARKit et RoomPlan, sur Android avec ARCore), pour les photos de référence et pour la documentation de chantier, l’application accède à la caméra. Pour les notes vocales et pour le son des enregistrements vidéo, elle accède au microphone ; les autorisations correspondantes sont demandées sur iOS et sur Android et vous pouvez les refuser. Dans la version navigateur, votre navigateur vous demande votre autorisation lorsque vous prenez une photo ou une vidéo avec la caméra – le microphone seulement au démarrage d’un enregistrement vidéo – ou lancez un enregistrement sonore ; là aussi, vous pouvez refuser l’accès, et la vidéo est alors enregistrée sans son. La version navigateur ne mesure pas avec la caméra : vous y choisissez une photo pour la mesure avec référence via la boîte de dialogue de fichiers de votre navigateur. Les enregistrements sonores constituent un type de média à part entière, à côté de la photo et de la vidéo. Vous pouvez, en option, joindre des photos et des vidéos existantes depuis la photothèque de votre appareil.

Sur Android, les modes de mesure en réalité augmentée – distance, hauteur du sol au plafond, surface, objet, volume et contour guidé de la pièce – ainsi que la photo avec carte de profondeur de la documentation photo utilisent les Services Google Play pour la RA (ARCore) de Google LLC, dans la mesure où ils sont installés sur votre appareil. Pour que l’application puisse indiquer lesquels de ces modes votre appareil prend en charge, elle vérifie en outre, à l’ouverture de la liste des objets, si ARCore est disponible sur votre appareil et – si vous avez déjà autorisé l’application à utiliser la caméra – s’il fournit des images de profondeur ; cette vérification passe par les Services Google Play. La mesure sur une photo avec référence fonctionne sans ARCore. Google est responsable de ces services ; les conditions et la politique de confidentialité de Google s’appliquent.

Si le cloud est activé pour votre compte, chaque prise est téléversée d’elle-même – photos, vidéos et enregistrements sonores. Cela se produit automatiquement en arrière-plan et non seulement sur pression d’un bouton. Les fichiers se trouvent alors dans un espace de fichiers non public sur notre serveur, sous un chemin comportant l’identifiant de votre équipe, et ils sont lisibles par les membres de cette équipe. L’ancienne phrase selon laquelle les prises de vue ne nous seraient « pas transmises automatiquement » décrivait la situation antérieure à la synchronisation cloud ; elle a été supprimée sans remplacement.

Avec le fichier, nous enregistrons le nom de fichier, le type de fichier, la taille, la date et l’heure de la prise, la durée, les dimensions, le titre, la note, l’ordre de tri, une petite image d’aperçu et les éventuels tracés apposés sur l’image. À une photo avec carte de profondeur appartient la carte de profondeur sous forme de fichier distinct ; elle est enregistrée et téléversée avec la photo.

Limites des enregistrements. L’application n’accepte pas les photos de plus de 25 MB, les vidéos de plus de 3 minutes ou de plus de 250 MB ni les enregistrements audio de plus de 60 minutes : elle les refuse lors de l’ajout, en indique la raison et ne les enregistre pas. Si l’appareil ou le navigateur ne peut pas lire la durée d’une vidéo, l’application ne vérifie que sa taille. Un enregistrement personnel qui dépasse une limite est donc perdu. L’application arrête d’elle-même un enregistrement audio à 60 minutes et l’enregistre. Un fichier média de plus de 250 MB qui se trouve déjà sur l’appareil n’est pas envoyé par l’application ; il reste uniquement sur cet appareil. L’application calcule sur l’appareil la place occupée par les enregistrements à partir de la taille des fichiers et de leurs entrées ; rien n’est envoyé à notre serveur à cette fin.

Les fichiers sont envoyés au moyen d’une adresse à durée limitée de notre espace de stockage de fichiers, que l’application demande avec votre connexion ; dans certains cas, par exemple avec une version plus ancienne de l’espace de stockage, l’application envoie le fichier directement avec votre connexion. Les fichiers sont téléchargés au moyen d’une adresse à durée limitée que l’application demande de la même manière et qui est valable 60 secondes. Lors du téléchargement, les mêmes droits de lecture s’appliquent que pour les autres données de votre équipe, y compris l’interrupteur « Photos et médias » pour les membres qui ne font que lire (section 5.3).

5.6 Données de localisation et informations EXIF dans les photos

L’application ne lit pas la position de votre appareil. Sur Android 11 et les versions antérieures, le système d’exploitation exige toutefois, pour rechercher des appareils Bluetooth, l’autorisation de localisation précise ; l’application la demande donc sur ces versions lorsque vous recherchez un appareil de mesure et ne l’utilise que pour cette recherche. À partir d’Android 12, l’application ne demande que les autorisations Bluetooth, expressément sans déduction de localisation. Sur iOS et dans la version navigateur, l’application ne demande pas la position.

Les photos contiennent toutefois souvent des informations EXIF que l’appareil y inscrit lui-même. Seuls la date et l’heure de la prise et, indirectement, l’orientation de l’image en sont exploitées. Lors de l’enregistrement, le fichier image est copié octet par octet et non réencodé, et l’application ne supprime aucune information EXIF. Si une photo contient un bloc GPS – parce que votre appareil est réglé ainsi –, celui-ci est donc conservé et téléversé avec le fichier lorsque le cloud est activé. La décision d’inscrire ou non des coordonnées dans les photos appartient au système d’exploitation et à vos réglages d’appareil ; vous pouvez le vérifier dans les réglages de caméra et de confidentialité de votre appareil.

5.7 Rapports d’erreur

Depuis l’application et la version navigateur, uniquement avec votre consentement. Sous Réglages › Rapports d’erreur, vous pouvez activer l’envoi, par l’application, d’un rapport technique à notre serveur en cas d’erreur inattendue ; par défaut, cette option est désactivée. Le rapport contient le type et le texte du message d’erreur, la trace technique des appels avec les noms de fonctions et d’écrans, l’horodatage, la version de l’application et de la base de données locale, le système d’exploitation et sa version, le type d’appareil (téléphone, tablette ou ordinateur), le nom du dernier écran ouvert et l’existence ou non d’une connexion cloud (uniquement oui ou non). Il ne contient aucun identifiant de votre compte, de votre équipe ou de votre appareil, et notre serveur ne lit pas votre adresse IP lors de la réception – en dehors des journaux d’accès visés à la section 3. Avant l’envoi, l’application retire du texte du message d’erreur ce qui est reconnaissable comme un motif, par exemple les adresses e-mail, les montants, les valeurs mesurées, les coordonnées bancaires, les identifiants, les chemins de fichiers et les codes postaux suivis d’une ville. Il ne peut être entièrement exclu qu’un nom figurant au milieu d’une phrase sans un tel motif subsiste.

La base juridique est votre consentement au titre de l’Art. 6 Abs. 1 lit. a DSGVO et du § 25 Abs. 1 TDDDG. Vous pouvez le retirer à tout moment, avec effet pour l’avenir, au moyen du même interrupteur ; les rapports non encore transmis sont alors abandonnés. L’application enregistre le consentement sur l’appareil ou dans le navigateur, et non sur votre compte.

Depuis nos services serveur, sans consentement. Si l’un des services de notre serveur avec lesquels l’application et la version navigateur fonctionnent échoue en raison d’une erreur interne, il crée lui-même un rapport d’erreur : horodatage, type d’erreur, nom du service, message d’erreur et trace technique des appels. Ce rapport ne contient lui non plus aucun identifiant de votre compte, de votre équipe ou de votre appareil. Avant l’enregistrement, le message d’erreur est nettoyé selon les mêmes règles et, en outre, des données d’accès et des adresses IPv4 ; un reste de référence personnelle ne peut pas non plus être entièrement exclu ici. La base juridique est l’Art. 6 Abs. 1 lit. f DSGVO ; notre intérêt légitime consiste à détecter et à corriger les perturbations du service.

Les deux types de rapports se trouvent sur notre serveur, ne sont accessibles qu’à nous dans le portail d’administration et sont supprimés 90 jours après leur réception (section 13). Indépendamment de cela, le module de mise à jour d’Expo transmet à Expo, après une erreur grave au démarrage, le message de cette erreur (section 6).

5.8 Changement d’équipe, transfert de projets et limites de formule dans l’équipe

Dans quelle équipe travaille un appareil. Si votre compte appartient à plusieurs équipes, un appareil sur lequel le cloud est activé travaille toujours dans l’une d’elles. Pour vous montrer le choix, l’application lit sur notre serveur vos propres adhésions avec le rôle et les noms de ces équipes. Dans le profil de votre compte, nous notons quelle équipe a été choisie en dernier ; notre serveur pose la même mention lorsque vous rejoignez une équipe ou en créez une, et nous pouvons la fixer en tant qu’exploitant (section 9). Elle sert à ce qu’une activation ultérieure du cloud aboutisse en règle générale dans cette équipe. « Créer une autre équipe » crée sur notre serveur une équipe portant le nom saisi, dont votre compte est propriétaire ; « Rejoindre avec un code » utilise une invitation (section 5.3).

Changement d’équipe. Changer d’équipe n’est possible qu’avec une connexion à notre serveur. Auparavant, l’application synchronise l’appareil avec l’équipe précédente. Elle supprime ensuite les données de l’équipe précédente de la base de données de l’appareil – les projets avec tout ce qui en dépend et les données de base de l’entreprise de cette équipe – ; sur notre serveur, elles sont conservées. Les projets que vous avez créés vous-même en tant que membre au rôle « Lecture seule » restent sur l’appareil. Si quelque chose devait être perdu – modifications pas encore envoyées, photos, vidéos et enregistrements audio, entrées mises de côté lors du passage au rôle « Mesure », entrées ouvertes de la liste des conflits ou scans de pièces présents uniquement sur l’appareil –, l’application le demande au préalable et en indique le nombre ; si celui-ci ne peut pas être entièrement compté, elle le demande également. La suppression n’a lieu qu’après votre confirmation. Sur téléphone et tablette, l’application crée avant la suppression une sauvegarde de toute la base de données sur l’appareil, sans photos, vidéos ni enregistrements audio ; si elle ne peut pas être créée, l’application ne change pas d’équipe. De ses sauvegardes, l’application conserve sur l’appareil les sept plus récentes. La version navigateur n’a pas cette sauvegarde.

Tant qu’un changement n’est pas terminé, l’appareil conserve une mention comportant l’identifiant de votre compte, les identifiants des deux équipes, la date et l’état du changement ; jusque-là, l’appareil ne se synchronise pas. Un changement interrompu est poursuivi par l’application au prochain démarrage avec une connexion, ou abandonné. Si l’application a besoin pour cela de votre accord ou ne peut pas lire la mention, elle l’indique en haut de l’écran « Équipe » ; une mention illisible n’est abandonnée que sur votre décision. Si vous y abandonnez une mention illisible, l’application récupère à nouveau l’ensemble des données de votre équipe sur notre serveur lors de la synchronisation suivante. Les demandes concernant un appareil de mesure qui attendent une connexion sur l’appareil (section 7) portent l’identifiant de l’équipe dans laquelle vous les avez formulées et ne sont envoyées qu’à cette équipe ; les demandes d’une version antérieure de l’application sans cet identifiant sont envoyées à l’équipe dans laquelle l’appareil les envoie ensuite.

Données de l’entreprise par équipe. Les données de l’entreprise que l’application conserve sur l’appareil – nom, adresse, données fiscales et bancaires, logo et autres – sont mises de côté sur l’appareil lors d’un changement, sous l’identifiant de l’équipe précédente, et restituées lors d’un retour dans cette équipe ; dans la nouvelle équipe, ses propres données d’entreprise s’appliquent. Elles ne sont mises de côté que sur l’appareil. Elles sont supprimées lorsque vous supprimez votre compte sans conserver les données sur l’appareil (section 13).

Activation du cloud. Si, lors de l’activation du cloud, vous choisissez une équipe à laquelle votre compte appartient déjà, en créez une nouvelle ou rejoignez une équipe avec un code, et que des données d’une autre de vos équipes se trouvent sur l’appareil, l’application les supprime de la base de données de l’appareil comme lors d’un changement et met de côté les données de l’entreprise de la même manière ; sur notre serveur, les données sont conservées. Si quelque chose devait être perdu, elle le demande au préalable en indiquant le nombre, sinon non. Sur téléphone et tablette, elle ne supprime que si la sauvegarde que l’application crée avant chaque activation du cloud a réussi ; si elle échoue, l’activation est interrompue sans rien supprimer. Dans la version navigateur, l’application supprime sans sauvegarde.

Transfert d’un projet vers une autre équipe. En tant qu’exploitant, nous pouvons, via notre portail d’administration (section 9), attribuer à une autre équipe un projet avec tout ce qui en dépend, y compris les intervenants du projet. Les membres de cette équipe le voient ensuite selon leurs rôles, et l’équipe cédante ne le voit plus. Pour que les appareils de l’équipe cédante en soient informés, nous enregistrons un avis de départ – identifiant du projet, nom du projet, équipe cédante, type et date, sans la nouvelle équipe – que seuls les membres de l’équipe cédante peuvent lire. Un appareil doté d’une version actuelle de l’application le lit lors de la synchronisation, l’enregistre dans sa base de données avec le nombre de modifications et d’enregistrements non encore envoyés à ce moment et supprime de sa base de données le projet avec tout ce qui en dépend ; rien n’est envoyé à notre serveur à cette occasion. Sur téléphone et tablette, l’application crée d’abord une sauvegarde de toute la base de données sur l’appareil, sans photos, vidéos ni enregistrements audio. Dans la version navigateur, elle ne supprime le projet qu’une fois que vous avez lancé, via l’avis dans la liste des bâtiments, le téléchargement d’une sauvegarde ; il en va de même sur téléphone et tablette si la sauvegarde n’a pas pu y être créée. Si vous n’avez que des droits de lecture dans l’équipe cédante, la version navigateur supprime le projet sans sauvegarde dès que vous choisissez « Supprimer le projet » dans l’avis. L’application supprime les fichiers médias du projet sur téléphone et tablette plus tard, lors du rangement de son espace de stockage ; dans la version navigateur, ils restent dans l’espace de stockage du navigateur jusqu’à ce que vous le vidiez (section 5.2). Une version antérieure de l’application ne lit pas l’avis et conserve le projet. La base juridique est l’Art. 6 Abs. 1 lit. b DSGVO.

Limites de formule dans l’équipe. Lors de l’envoi de données et pour certaines fonctions d’équipe – inviter, demandes concernant des appareils de mesure, un rôle en écriture pour un membre qui jusqu’ici ne fait que lire, créer une autre équipe à vous et partager un projet avec un membre –, notre serveur vérifie si la formule les couvre. Tant qu’il se contente de compter sans refuser, nous enregistrons par équipe, compte, motif et domaine quand une telle action a dépassé la formule pour la première et pour la dernière fois, et combien de fois. Le but est d’estimer qui serait concerné par l’application des limites de formule ; la base juridique est l’Art. 6 Abs. 1 lit. f DSGVO. Ce décompte n’est visible que par nous, dans le portail d’administration ; il est supprimé avec votre compte ou avec l’équipe (section 13).

5.9 Signatures sur les feuilles de métré et les documents de facturation

Une feuille de métré approuvée et un document de facturation émis peuvent être signés dans l’application – par exemple par votre maître d’ouvrage ou sa direction de chantier, au doigt, au stylet ou à la souris. Nous enregistrons à cet effet l’image des tracés de la signature, le nom, la fonction et le lieu de la personne signataire tels qu’ils sont saisis, le moment, le type et l’identifiant de la feuille de métré ou du document de facturation signé, une somme de contrôle (SHA-256) de son contenu au moment de la signature et l’identifiant de l’installation sur laquelle la signature a été apposée (section 5.3). La somme de contrôle permet de reconnaître plus tard si le document a été modifié après la signature. Il s’agit d’une signature électronique simple.

Les signatures se trouvent dans la base de données de l’appareil sur lequel elles ont été apposées. Si le cloud est activé, elles sont synchronisées avec notre serveur et parviennent aux appareils des membres de votre équipe autorisés à voir la feuille de métré ou le document de facturation signé – avec les mêmes droits de lecture que le document lui-même (section 5.3). Dans le PDF d’un document de facturation et dans le rapport PDF sur un projet, les signatures figurent avec l’image des tracés, le nom, la fonction, le lieu, le moment et la somme de contrôle ; l’application joint en outre au fichier PDF l’extrait de contrôle du document signé avec sa somme de contrôle. Un PDF créé via l’interface de programmation ne contient pas de signatures.

La finalité est de prouver que la personne signataire a confirmé l’état de la feuille de métré ou du document de facturation. Si une autre personne que vous signe, ses données sont des données de tiers dans vos projets : le responsable du traitement, c’est vous, nous les traitons pour votre compte (section 5.4), et c’est vous qui déterminez la base juridique à l’égard de cette personne – par exemple l’exécution de votre contrat avec elle (Art. 6 Abs. 1 lit. b DSGVO) ou votre intérêt légitime à la preuve (Art. 6 Abs. 1 lit. f DSGVO). Pour votre propre signature, la base juridique est l’Art. 6 Abs. 1 lit. b DSGVO. Pour la durée de conservation, voir la section 13.

5.10 Dépôt d’exports sur un serveur WebDAV

Dans les applications pour iOS et Android, à partir de la formule Pro, vous pouvez déposer un fichier d’export généré directement sur un serveur WebDAV, par exemple une Nextcloud, au lieu de le partager. C’est vous qui choisissez le serveur : l’application envoie le fichier – selon le format, avec des données de projet, de métré, de facturation ou des photos – par une connexion chiffrée à l’adresse que vous saisissez et s’y identifie à chaque requête avec votre nom d’utilisateur et votre mot de passe ; pour vérifier l’accès et choisir un dossier, elle y consulte la liste des dossiers. Rien ne transite par notre serveur. Le destinataire est l’exploitant du serveur que vous avez choisi ; la transmission a lieu sur vos instructions, et vous êtes responsable du choix et de la sécurité du serveur.

L’application enregistre l’adresse et le nom d’utilisateur dans sa base de données sur l’appareil, et le mot de passe dans le trousseau de l’appareil. Ni l’un ni l’autre ne figure dans les sauvegardes ni dans l’export de données de l’application, et ils ne sont pas synchronisés avec notre serveur. « Supprimer l’accès » supprime les deux, de même que la suppression de votre compte si vous ne conservez pas les données sur l’appareil (section 13). Cette destination n’existe pas dans la version navigateur. La base juridique est l’Art. 6 Abs. 1 lit. b DSGVO.

6. Requêtes auprès de tiers au démarrage de l’application

L’application déclenche deux requêtes au démarrage, sans que vous en preniez l’initiative. Elles sont mentionnées ici parce qu’à cette occasion l’adresse IP de votre appareil est transmise à un tiers.

La base juridique des deux requêtes est l’Art. 6 Abs. 1 lit. f DSGVO ; notre intérêt légitime consiste à pouvoir diffuser des corrections d’erreurs et des mises à jour de sécurité. Les deux services sont fournis par des prestataires établis aux États-Unis d’Amérique, de sorte qu’il y a lieu de présumer un transfert vers un pays tiers au sens des Art. 44 ff. DSGVO. Apple est un responsable du traitement distinct pour son service de consultation. Pour le service de mises à jour d’Expo, nous n’avons pas encore définitivement clarifié si Expo agit à cette occasion pour notre compte ou sous sa propre responsabilité, ni sur quelle garantie au titre des Art. 44 ff. DSGVO le transfert repose. Nous ne pouvons donc vous indiquer ici ni contrat avec Expo à ce sujet, ni clauses contractuelles types, ni certification ; nous le compléterons dès que ce sera clarifié. Si vous souhaitez éviter ces requêtes, vous pouvez utiliser la version navigateur à l’adresse app.aufmasstool.de – aucune des deux requêtes n’y a lieu.

7. Achat, formules et déblocage

Nous débloquons les formules payantes sur votre compte, côté serveur. Nous enregistrons à cette fin, pour votre compte, la formule, la période de validité, l’origine du droit et les identifiants de l’opération sous-jacente. Pour une période d’essai, nous consignons en outre la date à laquelle elle a commencé, la formule à laquelle elle s’applique et si, selon l’indication de l’application, elle a été démarrée dans la version navigateur ou dans la version bureau ; ces indications ne sont délibérément pas réinitialisées, afin qu’une période d’essai ne puisse pas être utilisée plusieurs fois. La période d’essai peut être démarrée dans la version navigateur ; les applications pour iOS et Android ne la proposent pas.

Dans la formule Team, vous pouvez en outre demander depuis l’application la prise en charge de nouveaux appareils de mesure. Sont alors enregistrés la désignation de l’appareil, votre note, l’équipe, la date, la langue de l’application et votre compte en tant que compte demandeur. Si nous y répondons, nous consignons en outre la réponse, sa date et la personne qui répond, et nous envoyons en règle générale la réponse également par e-mail à l’adresse de votre compte, dans la langue dans laquelle vous avez formulé la demande (section 2). Si une demande ne peut pas être envoyée – sans connexion, par exemple –, elle reste enregistrée sur votre appareil et ne nous parvient pas. La base juridique est l’Art. 6 Abs. 1 lit. b DSGVO.

Dans l’application pour iOS, l’achat via l’App Store d’Apple est développé. Apple assure alors le traitement du paiement ; nous ne recevons aucune donnée de paiement telle que des numéros de carte. Pour l’achat, l’application transmet à Apple un identifiant généré aléatoirement pour chaque installation – expressément pas l’identifiant de votre compte et aucune donnée personnelle. Apple nous transmet des indications sur l’achat et sur son évolution ultérieure, par exemple en cas de renouvellement ou de résiliation ; nous vérifions sur notre propre serveur le justificatif d’achat signé par Apple. Les dispositions d’Apple relatives à la protection des données s’appliquent en complément.

Dans l’application pour Android, l’achat via Google Play est développé. Google assure alors le traitement du paiement via Google Play ; nous ne recevons aucune donnée de paiement. Lors de l’achat, l’application transmet à Google, en tant qu’identifiant de compte masqué, la valeur de hachage SHA-256 de votre identifiant d’utilisateur – ni l’identifiant lui-même, ni votre adresse e-mail, ni votre nom. Après l’achat, l’application envoie à notre serveur le jeton d’achat, l’identifiant du produit et le nom de paquet de l’application. Notre serveur interroge avec ces éléments l’API Google Play Developer sur l’état de l’achat et reçoit en retour le produit, la durée, l’état de l’abonnement, l’indication s’il s’agit d’un achat test et l’identifiant de compte masqué ; nous n’attribuons l’achat à votre compte que si cet identifiant correspond à votre compte. En outre, Google envoie à notre serveur, via Google Cloud Pub/Sub, des notifications en temps réel concernant votre abonnement, par exemple sur un renouvellement, une résiliation ou un remboursement ; nous interrogeons alors de nouveau l’état. Pour l’abonnement, nous enregistrons le produit, la formule, la date d’expiration, l’environnement (test ou production), le jeton d’achat d’origine comme identifiant de l’opération et le type de la dernière notification. Les dispositions de Google relatives à la protection des données s’appliquent en complément.

Notre système connaît par ailleurs des voies qui se passent d’un achat : nous pouvons débloquer une formule à la main (nous enregistrons alors le motif du déblocage), et vous pouvez utiliser un code de bon d’accès dans la version navigateur (ci-dessous, « Bons d’accès »). Vous pouvez en outre acheter dans la version navigateur via Stripe (ci-dessous).

La base juridique est l’Art. 6 Abs. 1 lit. b DSGVO, sauf indication contraire ci-dessous. La distribution de l’application elle-même se fait via l’App Store d’Apple Inc. ou via Google Play de Google Ireland Limited ; ces entreprises sont des responsables du traitement distincts pour les traitements effectués dans leurs boutiques, et nous n’apprenons pas de nous-mêmes qui a téléchargé l’application.

Licences Team pour les collaborateurs

Un acheteur peut acquérir des licences Team pour les collaborateurs et les répartir entre d’autres personnes. Pour la personne qui la détient, une telle licence fonctionne comme une formule Team propre. Elles s’achètent dans la version navigateur via Stripe (ci-dessous). Pour chaque licence, nous enregistrons le compte de l’acheteur, le compte de la personne qui la détient, la date de l’attribution et qui y a procédé, ainsi que la date d’une libération et qui y a procédé. Si l’acheteur émet une licence sous forme de code, nous ne conservons le code que sous forme d’empreinte, pas en clair ; en clair, nous ne le montrons qu’à l’acheteur, une seule fois, lors de l’émission. Un tel code s’utilise dans le même champ qu’un bon d’accès (ci-dessous). Nous ne supprimons pas une licence libérée ; son entrée subsiste comme preuve de qui a travaillé sur quelle période et aux frais de qui. Si la personne qui détient ou a détenu une licence supprime son compte, nous supprimons ces entrées avec lui.

Attribution par adresse e-mail. Si l’acheteur attribue une licence à une adresse e-mail, nous enregistrons l’adresse telle qu’il l’a saisie, en minuscules. L’attribution est d’abord une réservation. Lorsqu’un compte doté de cette adresse confirmée interroge la prochaine fois notre serveur sur sa formule – par exemple au démarrage de l’application ou lors de la connexion – et ne détient pas d’autre licence, l’application lui demande s’il accepte la licence ; nous affichons pour cela le nom de l’entreprise de l’acheteur ou, à défaut, son nom affiché. La licence ne prend effet qu’après l’acceptation. Nous n’envoyons aucun message à cette adresse. La réponse à une attribution est la même, qu’un compte existe ou non pour l’adresse, et jusqu’à la réponse de la personne, l’acheteur ne voit que la réservation. Si la personne accepte, l’acheteur voit son nom affiché dans sa vue d’ensemble (ci-dessous) et en déduit qu’un compte existe pour cette adresse ; si elle refuse, la licence redevient libre. Nous supprimons l’adresse saisie dès que la réservation a été acceptée, refusée ou libérée. Si elle n’a pas été acceptée 90 jours après l’attribution, un traitement quotidien de suppression libère la licence et supprime l’adresse, lors du premier passage après l’expiration des 90 jours (section 13).

Qui voit quoi. Pour chacune de ses licences ouvertes, l’acheteur voit si elle est attribuée à un compte, à une adresse ou à un code, l’adresse qu’il a saisie (uniquement tant qu’une réservation est ouverte), le nom affiché de la personne qui détient la licence (uniquement si un compte la détient, donc pour une réservation seulement après l’acceptation), la date et si la licence est en vigueur ou suspendue. Il ne voit pas l’adresse de connexion d’une personne qui a utilisé un code. Qui détient une licence ne voit que sa propre attribution, sans indications sur l’acheteur, et peut la libérer lui-même. Dans notre portail d’administration, nous voyons pour chaque acheteur son adresse e-mail et les chiffres de ses licences, aucun code.

Suspension. Si plus de licences ont été distribuées que l’acheteur n’en paie – après un défaut de paiement, par exemple, ou après qu’il a réduit leur nombre –, les licences distribuées en dernier sont suspendues ; les codes non encore utilisés et les réservations comptent également. Une licence suspendue ne donne aucune formule ; si le nombre payé augmente de nouveau, elle reprend effet d’elle-même. Aucune donnée n’est alors supprimée. Si le compte de l’acheteur est supprimé, toutes les licences qu’il a distribuées sont suspendues, et le traitement quotidien de suppression libère les réservations non encore acceptées, avec l’adresse ; si le compte d’une personne qui détient une licence est supprimé, son entrée disparaît et la licence devient libre.

Afin que des adresses ne puissent pas être testées en masse par l’attribution, nous acceptons au plus 100 attributions et codes par compte d’acheteur et par heure. Pour cela, nous n’enregistrons pas l’identifiant du compte lui-même, mais seulement une empreinte (SHA-256) calculée à partir de celui-ci, ainsi que le début de l’intervalle de temps et le nombre de tentatives ; un processus de suppression quotidien efface chaque compteur dont l’intervalle de temps remonte à plus de 48 heures.

La base juridique est l’Art. 6 Abs. 1 lit. b DSGVO – envers l’acheteur, le contrat portant sur les licences ; envers la personne qui détient une licence, le contrat d’utilisation. Pour l’adresse saisie d’une personne qui ne détient pas encore la licence et pour la limitation des attributions, la base juridique est l’Art. 6 Abs. 1 lit. f DSGVO : l’intérêt légitime de l’acheteur et le nôtre consistent à faire parvenir la licence à cette personne à la demande de l’acheteur et à protéger l’attribution contre les abus. Pour la durée de conservation, voir la section 13.

Achat dans la version navigateur via Stripe

Dans la version navigateur, vous pouvez acheter une formule ou des licences Team via le prestataire de services de paiement Stripe. Les règles suivantes s’appliquent :

Bons d’accès

Dans la version navigateur, vous pouvez utiliser un code de bon d’accès dans votre profil, sous « Utiliser un bon d’accès » ; les applications pour iOS et Android n’ont pas ce champ. Nous ne conservons les codes émis que sous forme d’empreinte, pas en clair ; nous n’enregistrons pas le code que vous saisissez. Si l’utilisation réussit, nous enregistrons quel bon a été utilisé par quel compte et quand, avec la formule débloquée et la fin du déblocage. Le code d’une licence Team s’utilise dans le même champ ; si cela réussit, nous attribuons la licence à votre compte (ci-dessus). La base juridique est l’Art. 6 Abs. 1 lit. b DSGVO.

Afin que les codes ne puissent pas être devinés par essais successifs, nous acceptons au plus dix tentatives par compte et par heure. Pour cela, nous n’enregistrons pas l’identifiant du compte lui-même, mais seulement une empreinte (SHA-256) calculée à partir de celui-ci, ainsi que le début de l’intervalle de temps et le nombre de tentatives ; un processus de suppression quotidien efface chaque compteur dont l’intervalle de temps remonte à plus de 48 heures. La base juridique est l’Art. 6 Abs. 1 lit. f DSGVO ; notre intérêt légitime est la protection des bons contre les abus.

Voie de résiliation

Les contrats que vous avez conclus directement avec nous, vous pouvez les résilier via la page Résilier des contrats ; elle mène à un formulaire de la version navigateur que vous pouvez utiliser sans vous connecter. La finalité est de recevoir, de confirmer et d’exécuter votre résiliation conformément au § 312k BGB. Nous enregistrons à cet effet votre nom, votre adresse e-mail, vos indications facultatives sur le contrat, le type de résiliation (ordinaire ou extraordinaire), pour une résiliation extraordinaire le motif, la date souhaitée, la langue, la date et l’heure de réception et l’état du traitement. Si vous êtes alors connecté, nous enregistrons en outre l’identifiant de votre compte.

Si vous résiliez en étant connecté, de manière ordinaire, pour la date la plus proche possible, et que vous avez exactement un abonnement en cours via Stripe, nous le résilions automatiquement chez Stripe pour la fin de la durée et enregistrons l’identifiant de l’abonnement et la date de fin. Toute autre résiliation, nous la traitons nous-mêmes ; nous enregistrons alors quand et par qui elle a été traitée, avec une note. Nous envoyons immédiatement un accusé de réception avec le contenu de votre déclaration à l’adresse e-mail indiquée (section 2) et enregistrons s’il est parti.

Afin de protéger la voie de résiliation contre les envois massifs, nous acceptons au plus trois résiliations par heure par adresse e-mail et au plus cinq par heure par adresse IP d’où provient la demande. Pour cela, nous n’enregistrons pas les adresses elles-mêmes, mais seulement une empreinte (SHA-256) calculée à partir d’elles, ainsi que le début de l’intervalle de temps et le nombre d’envois ; un processus de suppression quotidien efface chaque compteur dont l’intervalle de temps remonte à plus de 48 heures.

La base juridique est l’Art. 6 Abs. 1 lit. c DSGVO en liaison avec le § 312k BGB et, dans la mesure où il s’agit de mettre fin à votre contrat, l’Art. 6 Abs. 1 lit. b DSGVO ; pour la limitation des envois, l’Art. 6 Abs. 1 lit. f DSGVO, notre intérêt légitime étant la protection de la voie de résiliation contre les abus. Nous conservons les résiliations reçues comme justificatif, y compris au-delà de la suppression de votre compte (section 13).

8. Interface de programmation et webhooks

Dans les formules payantes, vous pouvez utiliser une interface de programmation et configurer des webhooks afin de transmettre vos données à un système qui vous est propre – par exemple votre logiciel de gestion commerciale. Les règles suivantes s’appliquent :

Tâches d’export via l’interface

Via l’interface de programmation, votre propre système peut lancer l’export d’un projet sous forme de fichier – en fichier CSV, JSON, XML, Excel ou PDF ou aux formats GAEB X31 et REB DA11. Nous enregistrons à cette fin une tâche avec l’équipe, le projet, le format demandé et ses réglages (type de lignes, langue), l’état de la tâche, le cas échéant le code et le texte d’erreur, le nom du fichier, que nous formons à partir du nom du projet et du jour, l’emplacement et la taille du fichier, des remarques sur le fichier, les dates et l’identifiant de la clé utilisée. Le fichier est produit par un service propre sur notre serveur chez Hetzner Online GmbH (section 2) : il lit pour cela les données du projet – structure, objets, éléments de construction, postes du descriptif et historique des modifications des valeurs mesurées – et dépose le fichier dans une zone non publique de notre espace de stockage de fichiers. Pour un fichier PDF, il lit en outre les données d’entreprise de votre équipe – entre autres le nom, l’adresse, les coordonnées de contact, les données fiscales et bancaires et la couleur d’accentuation – ainsi que le logo de l’entreprise dans l’espace de fichiers (section 5.3) ; il n’inclut dans le PDF ni les intervenants au projet, ni les photos, ni les signatures. Nous ne créons une adresse de téléchargement que lorsque votre système interroge la tâche terminée, et seulement tant que le projet se trouve dans l’équipe qui a passé la tâche. Elle est valable 24 heures au plus, jamais au-delà de la conservation du fichier ; une adresse déjà délivrée reste valable jusqu’à son expiration, même si le projet a entre-temps été attribué à une autre équipe. Nous n’enregistrons pas l’adresse. Lorsqu’une tâche est terminée, nous le signalons si vous le souhaitez par un webhook – avec la tâche, le projet et le format, sans le fichier et sans adresse.

Les erreurs de ce service ne vont pas dans les rapports d’erreurs de la section 5.7, mais uniquement dans le journal du service sur notre serveur. Il contient des identifiants, le format, la durée, la taille et le code d’erreur, mais aucun contenu tel que des noms de projet, des adresses ou des prix ; sa durée de conservation dépend du réglage par défaut du logiciel serveur, et nous n’avons pas encore fixé de délai propre. La base juridique est l’Art. 6 Abs. 1 lit. b DSGVO ; pour les données de tiers dans vos projets, la section 5.4 s’applique. La durée de conservation de la tâche et du fichier figure à la section 13.

Tâches d’import via l’interface

Via l’interface de programmation, votre propre système peut également faire lire un descriptif quantitatif – sous forme de fichier GAEB, Excel ou CSV –, comme nouveau projet ou en complément d’un projet existant de votre équipe. Nous enregistrons à cette fin une tâche comme pour un export : l’équipe, le projet, le type d’import, le nom de fichier indiqué par votre système, l’indication relative au séparateur décimal, l’état de la tâche, le cas échéant le code d’erreur et des remarques, les dates et l’identifiant de la clé utilisée. Nous déposons le fichier téléversé – il peut contenir des noms de projet, des adresses et des prix – jusqu’à l’achèvement de la tâche dans une zone non publique de notre espace de stockage de fichiers. Notre service sur notre serveur (ci-dessus) le lit, crée dans votre équipe les postes du descriptif – pour un nouveau projet, également le projet – et supprime le fichier dès que la tâche est définitivement achevée ou a définitivement échoué. Les postes créés font ensuite partie des données de votre équipe et parviennent à ses appareils lors de la synchronisation (section 5.3). Lorsque la tâche est terminée, nous le signalons si vous le souhaitez par un webhook. La base juridique est l’Art. 6 Abs. 1 lit. b DSGVO ; pour les données de tiers, la section 5.4 s’applique. La durée de conservation de la tâche et du fichier figure à la section 13.

9. Accès de l’exploitant

Pour l’exploitation et l’assistance, nous tenons notre propre portail d’administration, accessible à nous seuls. Il exige une connexion avec second facteur et peut en outre être restreint à certaines adresses réseau.

Dans le rôle doté des droits les plus étendus, il y est possible d’administrer les comptes, les équipes, les formules et les déblocages, ainsi que de consulter les données de projet, d’objet et de facturation – y compris les indications complètes relatives à vos intervenants au projet (nom, société, adresse, adresse e-mail, numéro de téléphone, numéro d’identification à la TVA, Leitweg-ID, note). Le rôle restreint, destiné à la seule assistance, n’a aucun accès à cette vue des données : tout appel y est rejeté, et pas seulement celui portant sur les données de facturation.

Ce n’est pas chaque regard qui est journalisé, mais l’ouverture d’un enregistrement isolé – d’un projet, d’un objet et d’un document de facturation. Ne sont pas journalisés le parcours des listes ni la consultation des autres vues ; en font partie les pièces, les feuilles de métré, les postes du descriptif quantitatif, les données de base de l’entreprise, la liste des fichiers ainsi que la liste de vos intervenants au projet. La raison en est qu’un journal consignant chaque changement de page ne serait plus exploitable au bout de peu de temps ; nous le mentionnons néanmoins ici, afin que personne ne déduise du journal davantage que ce qui y figure.

Est journalisée en outre toute tentative d’accès rejetée ; l’adresse IP est alors également enregistrée. Ce journal d’audit est techniquement inaltérable. La base juridique de l’accès est l’Art. 6 Abs. 1 lit. b et lit. f DSGVO (fourniture et assistance du service, recherche d’abus et d’erreurs), celle du journal l’Art. 6 Abs. 1 lit. f en liaison avec l’Art. 5 Abs. 2 DSGVO (obligation de rendre compte).

Sur le serveur interviennent en outre des personnes disposant d’un accès d’administration, pour la maintenance et la recherche d’erreurs ; à cette occasion, des sorties du serveur et de la base de données peuvent être consultées, lesquelles peuvent contenir des adresses e-mail et des adresses IP. Ces accès sont limités au cercle nécessaire et liés à nos instructions.

10. Copies de sauvegarde

Nous sauvegardons régulièrement la base de données et l’espace de fichiers. Chaque sauvegarde est chiffrée avant de quitter le serveur et externalisée vers un espace de sauvegarde de la Hetzner Online GmbH situé dans son centre de données de Falkenstein, en Allemagne. Sont conservés les 14 états les plus récents sur le serveur et les 30 plus récents dans l’espace de sauvegarde, comptés séparément pour la base de données et l’espace de fichiers ; les états plus anciens sont supprimés après chaque exécution réussie. Si la sauvegarde s’exécute comme prévu une fois par jour, cela correspond à environ 14 et 30 jours respectivement. La base juridique est l’Art. 6 Abs. 1 lit. f DSGVO en liaison avec l’Art. 32 DSGVO (disponibilité et capacité de rétablissement). Ce que cela signifie pour une suppression est exposé à la section 13.

11. Vue d’ensemble des destinataires

Au-delà des cas mentionnés dans les sections qui précèdent, nous ne communiquons aucune donnée à caractère personnel – en particulier pas à des fins publicitaires et pas à des courtiers en données. Les destinataires sont aujourd’hui exclusivement :

Nous communiquons en outre des données lorsque nous y sommes légalement tenus ou lorsque vous y avez consenti. Lorsque des données quittent votre appareil par l’exportation – par exemple sous forme de fichier PDF, Excel ou GAEB que vous transmettez vous-même ou envoyez avec le logiciel de messagerie de votre appareil –, c’est vous seul qui déterminez le destinataire ; nous n’en avons pas connaissance.

12. Ce qui n’a pas lieu

Les affirmations suivantes sont vérifiables sur la version du programme effectivement livrée et valent de la même manière pour le site web, l’application et la version navigateur :

13. Durée de conservation

La durée dépend de la catégorie de données. Lorsqu’il est question ci-dessous d’« un processus de suppression quotidien », un processus automatique sur notre serveur efface les entrées une fois par jour dès que leur délai a expiré ; une entrée peut donc subsister jusqu’à un jour de plus qu’indiqué.

14. Vos droits

En vertu du DSGVO (RGPD), vous disposez des droits suivants :

Pour l’exercice du droit d’accès au titre de l’Art. 15 DSGVO, une communication sans forme particulière adressée à l’adresse indiquée à la section 1 suffit. Nous répondons dans les meilleurs délais, au plus tard dans un délai d’un mois (Art. 12 Abs. 3 DSGVO). En cas de doutes raisonnables sur votre identité, nous demandons des précisions (Art. 12 Abs. 6 DSGVO).

Vous pouvez en outre exercer deux droits directement dans l’application :

15. Droit de réclamation auprès de l’autorité de contrôle

Vous avez le droit d’introduire une réclamation auprès d’une autorité de contrôle de la protection des données au sujet du traitement de vos données à caractère personnel (Art. 77 DSGVO). L’autorité compétente à notre égard est :

Hessische Beauftragte für Datenschutz und Informationsfreiheit, Wiesbaden (l’autorité de contrôle du Land de Hesse pour la protection des données et la liberté d’information).

Les coordonnées actuelles sont publiées par l’autorité elle-même. Indépendamment de cela, vous pouvez également vous adresser à l’autorité de contrôle de votre lieu de séjour.

16. Modifications de la présente politique de confidentialité

Nous adaptons la présente politique lorsque les traitements décrits changent ou lorsque des exigences juridiques l’imposent. Fait foi la version publiée ici, portant la date de mise à jour indiquée plus haut. Les versions dans d’autres langues sont des traductions ; en cas de divergence, la version allemande prévaut.