Politique de confidentialité

1. Introduction

Toutatis Limited (« Toutatis », « nous ») respecte votre vie privée. Cette politique explique quelles données nous traitons, pourquoi, combien de temps nous les conservons, et quels droits vous pouvez exercer au titre du Règlement général sur la protection des données (RGPD) et du droit national applicable.

Elle s’applique au site marketing toutatis.eu, aux formulaires de contact et d’inscription à la newsletter, au chat d’assistance, au portail client (abonnements et facturation), aux instances Toutatis ERP / Dolibarr hébergées, à l’application mobile Toutatis Connect, et à nos modules propriétaires (Peppol, pointage RH, connecteurs e-commerce, caisse, etc.).

2. Responsable du traitement

Responsable du traitement pour les activités décrites : Toutatis Limited — IT Solutions & Services

Contact : info@toutatis.eu · +32 485 12 36 33

Toutatis Limited (ТУТАТИС ООД)

OOD (société à responsabilité limitée bulgare)

Siège social : к-с Pine Tree, ul. Kosherinata 4/19, 2770 Bansko, Bulgarie

N° d'identification (EIK) : 207559601

TVA intracommunautaire : BG207559601

Lorsque nous hébergeons une instance ERP pour votre organisation, nous agissons en principe en qualité de sous-traitant pour les données métier que vous y stockez. La relation contractuelle et les conditions de traitement sont définies dans votre abonnement ou contrat de service et, le cas échéant, dans un accord de sous-traitance (DPA).

3. Périmètre des services couverts

Cette politique couvre les données personnelles traitées dans le cadre de :

• Site marketing et génération de leads (toutatis.eu).
• Portail client — création de compte, paiement Stripe, suivi de déploiement, authentification par lien magique.
• Toutatis ERP — instances Dolibarr managées hébergées dans l’UE/EEE.
• Toutatis Connect — application mobile native (iOS / Android) pour ventes, entrepôt, devis, intervention terrain et synchronisation hors ligne.
• Toutatis Pointage RH — pointage, mode kiosque, contrôle d’accès et workflows conformes au droit du travail européen.
• Facturation électronique Peppol — intégration Storecove pour l’envoi et la réception de factures.
• Modules et connecteurs — Totatus Bridge, TakePOS Hub, BankMatch AI, TotBookCal, VIES Export, Fiscal Control, TotLeadHub, TotDashboard, Email Builder et extensions associées.
• Conseil, migration, développement sur mesure et hébergement managé.

4. Données collectées

Selon votre interaction avec nous, nous pouvons traiter :

• Identité et coordonnées : nom, e-mail, téléphone, société, fonction, adresse de facturation, numéro de TVA.
• Compte et authentification : e-mail de connexion portail, jetons de lien magique, identifiants de session, rôles et permissions.
• Contenu des messages : demandes via formulaires contact, rappel ou support.
• Newsletter : adresse e-mail et préférences d’abonnement.
• Données techniques : adresse IP, navigateur ou version de l’app, type d’appareil, système d’exploitation, pages ou écrans consultés, horodatages, journaux serveur et application.
• Chat d’assistance : échanges via notre widget de support, si activé.
• Abonnement et facturation : formule choisie, statut de paiement, références client Stripe, factures (traitées par Stripe ; nous ne stockons pas les numéros complets de carte).
• Données ERP et modules : comptes utilisateurs créés dans votre instance, journaux d’audit, configuration — en qualité de sous-traitant selon vos instructions.
• Données application mobile : identifiants d’appareil nécessaires à la sync, métadonnées de cache hors ligne, jetons API, déverrouillage biométrique optionnel sur l’appareil (stocké localement par l’OS, pas sur nos serveurs sauf configuration explicite).
• Données de pointage RH : événements de pointage, plannings, identifiants site/kiosque, événements de contrôle d’accès — si vous activez Toutatis Pointage RH.
• Données Peppol et fiscales : métadonnées de factures, identifiants participants Peppol, journaux de transmission — si vous utilisez les modules Storecove / Peppol.

5. ERP, hébergement cloud et données métier

Lorsque vous souscrivez à une instance Toutatis ERP hébergée, vous et vos utilisateurs autorisés saisissez des données métier (clients, fournisseurs, employés, factures, stocks, projets, etc.). Vous déterminez les finalités et moyens de ce traitement ; nous fournissons l’infrastructure, la pile applicative, les sauvegardes et les contrôles de sécurité prévus au contrat.

Nous accédons aux données métier uniquement pour fournir le service (hébergement, mises à jour, support, dépannage, facturation), respecter la loi, ou conformément à un DPA. Nous n’utilisons pas le contenu de votre ERP à des fins publicitaires ou d’analyse non liée au service.

Les sauvegardes sont conservées selon votre formule et notre calendrier de rétention. À la résiliation, des options d’export sont proposées lorsque prévu contractuellement ; des copies résiduelles peuvent subsister dans des sauvegardes chiffrées avant suppression.

6. Application mobile — Toutatis Connect

L’application Toutatis Connect se connecte à votre instance Dolibarr / Toutatis ERP via API. Les données affichées proviennent de votre ERP ; le trafic de synchronisation est chiffré en transit (HTTPS/TLS).

L’application peut stocker un cache hors ligne sur l’appareil pour le travail terrain sans connexion. Les données en cache restent sur l’appareil jusqu’à synchronisation ou effacement du cache. Vous êtes responsable de la sécurité des appareils utilisés par votre personnel.

Si vous connectez l’app à une URL ERP tierce, l’administrateur de cette instance contrôle les données exposées via l’API. Les comptes App Store (Apple) et Google Play sont soumis aux politiques de confidentialité de ces plateformes.

7. Pointage RH — Toutatis Pointage RH

Si vous activez les fonctionnalités de pointage RH, nous traitons les événements d’entrée/sortie, les identifiants employés liés aux comptes ERP, les données optionnelles de kiosque ou QR, et les pistes d’audit requises pour les workflows de conformité (Belgique, France, Luxembourg, Pays-Bas, Allemagne — selon modules activés).

Vous restez responsable d’informer les salariés, d’établir une base légale valable (droit du travail / intérêt légitime / consentement si requis) et de configurer la conservation conformément à la réglementation nationale. Nous fournissons l’outil ; vous définissez les politiques et rôles dans votre instance.

Les intégrations Dimona, Checkin@Work ou similaires transmettent des données à des plateformes publiques ou sectorielles selon votre configuration ; ces transferts relèvent du prestataire concerné et de vos obligations d’employeur.

8. Peppol et facturation électronique

Les services Peppol impliquent la transmission de données de facturation et de parties à Storecove et au réseau Peppol. Nous traitons identifiants émetteur/destinataire, contenus de factures (UBL), statuts de livraison et journaux d’erreur nécessaires au fonctionnement de l’intégration.

Vous devez garantir l’exactitude des factures et disposer d’une base légale pour traiter les données des destinataires. L’enregistrement participant Peppol peut impliquer la publication d’identifiants dans les annuaires du réseau, conformément au schéma.

9. Finalités et bases légales

Nous traitons les données uniquement sur une base légale valable :

• Réponse aux demandes — intérêt légitime et mesures précontractuelles (art. 6(1)(b) et (f) RGPD).
• Newsletter — consentement (art. 6(1)(a) RGPD), désinscription possible à tout moment.
• Demande de rappel — intérêt légitime / mesures précontractuelles.
• Sécurité du site — intérêt légitime (art. 6(1)(f) RGPD), incluant honeypot et limitation du débit sur les formulaires.
• Portail client, ERP cloud, application mobile et modules — exécution du contrat (art. 6(1)(b) RGPD) et, pour les données métier de votre instance, traitement selon vos instructions documentées en qualité de sous-traitant (art. 28 RGPD).
• Facturation et fiscalité — obligations légales (art. 6(1)(c) RGPD).
• Conformité légale — lorsque la loi l’exige.

10. Durée de conservation

Messages contact et rappel : jusqu’à 24 mois, sauf besoin prolongé pour un projet ou une réclamation.

Newsletter : jusqu’à désinscription, puis suppression des listes actives.

Journaux serveur et application : en général jusqu’à 90 jours, sauf investigation d’incident nécessitant une durée plus longue.

Données contractuelles, abonnement et facturation : selon obligations fiscales et commerciales (jusqu’à 10 ans le cas échéant).

Données métier ERP : durée de l’abonnement plus fenêtres d’export/sauvegarde définies au contrat ; suppression ou anonymisation après résiliation sauf obligation légale.

Événements de pointage et pistes d’audit RH : selon votre configuration et les minima légaux applicables ; nous recommandons d’aligner sur la réglementation nationale du travail.

11. Destinataires et sous-traitants

Nous ne vendons pas de données personnelles. Nous partageons des données uniquement avec des prestataires de confiance, sous contrats de sous-traitance lorsque requis :

• European hosting infrastructure (EU/EEA data centres) — site, instances ERP, bases de données et stockage objet dans l’UE/EEE.
• CapRover / orchestration de conteneurs — déploiement applicatif pour les instances cloud.
• Infrastructure e-mail — messages transactionnels, liens magiques et notifications de service.
• Stripe — paiement et facturation d’abonnements via le portail client.
• Storecove — point d’accès Peppol et connectivité réseau de facturation électronique.
• Chatwoot (si le chat est activé) — conversations d’assistance, hébergement UE/EEE lorsque possible.
• Apple App Store / Google Play — distribution de l’application (données appareil régies par les plateformes).
• Prestataires paiement, bancaire et calendrier que vous connectez (Stripe, Mollie, GoCardless, OAuth Google/Microsoft pour TotBookCal, Ponto pour BankMatch, etc.) — uniquement si vous activez ces intégrations.
• Conseils professionnels — avocats ou comptables si strictement nécessaire.

12. Transferts internationaux

Nous privilégions l’hébergement et les sous-traitants dans l’Union européenne / l’Espace économique européen. Certains services (support, app stores) peuvent impliquer des transferts hors EEE ; le cas échéant, nous mettons en place des garanties appropriées (clauses contractuelles types, décisions d’adéquation ou mécanismes équivalents).

13. Vos droits

Vous pouvez demander l’accès, la rectification, l’effacement, la limitation, la portabilité, ou vous opposer à certains traitements. Pour les traitements fondés sur le consentement, vous pouvez le retirer à tout moment.

Si nous traitons des données dans votre instance ERP en qualité de sous-traitant, adressez d’abord votre demande à l’administrateur de votre organisation ; nous assistons le responsable du traitement conformément à l’art. 28 RGPD.

Pour exercer vos droits relatifs à nos activités en tant que responsable : info@toutatis.eu. Réponse sous un mois en principe.

Vous pouvez aussi saisir Commission for Personal Data Protection de la République de Bulgarie (CPDP), ou votre autorité locale dans l’UE/EEE.

14. Cookies

Nous utilisons des cookies essentiels et, le cas échéant avec votre consentement, des cookies de préférence. L’application mobile n’utilise pas le bandeau cookies du site ; voir notre Politique cookies pour le web.

15. Sécurité

Mesures techniques et organisationnelles adaptées au risque : HTTPS/TLS, contrôles d’accès, permissions par rôle dans les instances ERP, sauvegardes chiffrées, limitation des formulaires publics, hébergement européen. Vous devez protéger les identifiants de compte et configurer correctement les rôles utilisateurs.

16. Mineurs

Nos services B2B s’adressent aux professionnels et aux entreprises. Nous ne collectons pas sciemment de données de mineurs de moins de 16 ans via nos canaux marketing.

17. Modifications

Cette politique peut être mise à jour. La date en tête de page indique la dernière révision. Les changements importants seront signalés sur ce site ou notifiés aux abonnés actifs le cas échéant.

18. Contact

Questions : info@toutatis.eu