Politique de confidentialité (2026-10-29)

1. Dispositions générales

La présente Politique de confidentialité explique comment Flowtly Prosta Spółka Akcyjna (« Flowtly », « nous ») collecte, traite et protège les données personnelles, ainsi que les droits dont disposent les utilisateurs à l’égard de leurs données.

La Politique est conforme au Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (Règlement général sur la protection des données, « RGPD ») et aux autres lois applicables en matière de protection des données. Elle s’applique à tous les utilisateurs de la plateforme Flowtly et aux personnes dont les données sont traitées dans le cadre de son fonctionnement.

2. Responsable du traitement

Le responsable du traitement est Flowtly Prosta Spółka Akcyjna (Flowtly PSA), dont le siège est à ul. Młynarska 8/12, 01-194 Varsovie, Pologne, immatriculée au registre des entrepreneurs sous KRS 0001188143, NIP 5273180297, REGON 542625051, avec un capital social de 15 800 PLN.

Vous pouvez nous contacter :

par courrier à l’adresse ci-dessus,
par e-mail : business.support@flowtly.eu,
ou via le formulaire de contact disponible sur la plateforme.

3. Catégories de données traitées

Nous traitons les catégories de données personnelles suivantes :

Données d’inscription et d’abonnement : nom, prénom, adresse e-mail, mot de passe, nom de l’organisation, poste, données de facturation (adresse, numéro fiscal) et étendue de l’abonnement choisi.
Données d’emploi et RH : noms, numéros d’identification nationaux, adresses e-mail, données relatives à l’emploi, rémunération, temps de travail, qualifications et dossiers de congés.
Données des contractants et de facturation : raison sociale, adresse, numéro fiscal, conditions de paiement, numéros de compte bancaire, identifiants de factures et informations fiscales.
Données sensibles : uniquement lorsque fournies volontairement et nécessaires à l’exécution du contrat (p. ex. données de santé dans le cadre d’arrêts maladie, affiliation syndicale pour les cotisations ou données démographiques pour les rapports d’égalité).
Données techniques et intégrations : données obtenues via Kontomatik (historique des comptes bancaires) utilisées pour la réconciliation et le reporting, journaux d’erreurs de Sentry (Functional Software Inc.), logs serveur, adresses IP et cookies.
Données disponibles publiquement : données provenant de KRS, REGON, CEIDG et d’autres registres publics, utilisées pour vérifier les contractants.
Autres données fournies par les utilisateurs : photos de profil, avatars, fichiers téléchargés (p. ex. factures ou confirmations de paiement) et contenu des échanges avec notre support.

4. Finalités et bases légales du traitement

Flowtly traite les données pour les finalités suivantes :

Fourniture de services et gestion des comptes : enregistrement des organisations, gestion des autorisations, suivi du temps de travail, gestion des congés, facturation, budgétisation de projets et reporting.
Exécution du contrat : émission de factures, perception des frais d’abonnement, support technique et garantie de disponibilité du service.
Communication avec les utilisateurs : réponse aux demandes, fourniture de mises à jour et notification des modifications du service.
Obligations légales : comptabilité, obligations fiscales et archivage des documents.
Intérêts légitimes de Flowtly : assurer la sécurité, prévenir la fraude, améliorer les services et exercer ou défendre des droits en justice.
Mesure de l’efficacité publicitaire : mesurer lesquelles de nos campagnes publicitaires amènent sur notre site web des visiteurs qui lancent la démo ou contactent notre équipe commerciale, uniquement avec votre consentement (voir la section 11).

Les données personnelles ne sont pas traitées à d’autres fins que celles énumérées ci-dessus sans information préalable et, le cas échéant, sans le consentement de l’utilisateur.

5. Traitement automatisé et profilage

À l’exception du contrôle automatisé des nouvelles organisations décrit ci-dessous, Flowtly ne prend pas de décisions produisant des effets juridiques ou affectant significativement les utilisateurs sur le seul fondement d’un traitement automatisé ou d’un profilage.

Certaines algorithmes peuvent soutenir des fonctionnalités internes comme l’analyse de charge, l’allocation des ressources ou la prévision budgétaire, mais les décisions finales sont toujours prises par des personnes autorisées. Nous pouvons utiliser des données agrégées et anonymisées à des fins analytiques et statistiques pour améliorer nos services.

Contrôle automatisé des nouvelles organisations. Lorsque vous vous inscrivez à un essai ou créez une nouvelle organisation, un contrôle automatisé examine l’inscription afin de prévenir les organisations frauduleuses ou abusives, par exemple des comptes fictifs ou de test, des organisations usurpant l’identité d’institutions connues et des inscriptions avec des adresses e-mail jetables. Ce contrôle utilise le nom d’organisation que vous saisissez, votre adresse e-mail, le pays et la langue de l’inscription, votre adresse IP, ainsi que l’information indiquant si une inscription portant le même nom d’organisation, la même adresse e-mail ou la même adresse IP a été refusée peu de temps auparavant. Une partie du contrôle est effectuée par un modèle d’IA fourni par Anthropic PBC (voir la section 6). Si le contrôle conclut que l’inscription est probablement frauduleuse ou abusive, l’organisation n’est pas créée et l’inscription est refusée. Cette décision est prise de manière automatisée, sans examen par une personne. Si le contrôle est temporairement indisponible, l’inscription ne peut pas être finalisée à ce moment-là et peut être retentée plus tard.

Ce contrôle est nécessaire à la conclusion du contrat avec vous, car il nous permet de créer votre organisation en toute sécurité (article 22, paragraphe 2, point a), du RGPD). Si votre inscription a été refusée, vous avez le droit d’obtenir un réexamen de la décision par une personne, d’exprimer votre point de vue et de contester la décision, en écrivant à business.support@flowtly.eu.

6. Destinataires des données

Les données personnelles peuvent être communiquées à :

des employés et collaborateurs autorisés de Flowtly soumis à une obligation de confidentialité,
Google Cloud (hébergement et infrastructure, y compris les bases de données, le stockage de fichiers et les services Firebase),
Anthropic PBC (fonctionnalités d’IA — le contenu des documents soumis à l’analyse, tels que factures et contrats, ainsi que les textes saisis dans les fonctionnalités utilisant l’IA, par exemple les descriptions de travail ; ainsi que les données du contrôle des inscriptions, à savoir le nom de l’organisation, l’adresse e-mail, le pays et la langue de l’inscription et l’adresse IP, utilisées pour contrôler les nouvelles organisations afin de prévenir la fraude et les abus, comme décrit à la section 5),
Stripe (traitement des paiements),
Kontomatik (intégration des données bancaires),
Functional Software Inc. (Sentry) pour la supervision des erreurs système,
Postmark (ActiveCampaign, Inc.), notre prestataire d’e-mails transactionnels, pour l’envoi des e-mails transactionnels de l’application Flowtly, qui contiennent des noms, des adresses e-mail et des données de factures,
des comptables, avocats et prestataires IT externes, dans la mesure nécessaire à la prestation des services, et
des autorités publiques lorsque la loi l’exige.

Tous les prestataires tiers traitent les données sur la base de contrats écrits et selon les instructions de Flowtly. Nous ne vendons pas de données personnelles. Nous pouvons publier uniquement des statistiques agrégées et anonymisées.

Politiques de confidentialité des partenaires :

7. Transfert de données en dehors de l’EEE

Les serveurs de Flowtly sont situés dans l’Espace économique européen. Dans certains cas, les données peuvent être transférées à des prestataires situés hors de l’EEE (p. ex. aux États-Unis pour Stripe, Sentry ou Postmark), ainsi qu’à Anthropic, qui traite les contenus transmis à nos fonctionnalités d’IA. Dans ces situations, nous appliquons des garanties appropriées, telles que des clauses contractuelles types ou des décisions d’adéquation conformément au RGPD.

8. Durées de conservation

Nous conservons les données personnelles uniquement le temps nécessaire pour atteindre les finalités pour lesquelles elles ont été collectées, y compris pour répondre à des obligations légales ou contractuelles. Après cette période, les données sont supprimées ou anonymisées, sauf si une conservation supplémentaire est requise par la loi ou pour protéger les intérêts légitimes de Flowtly.

9. Droits des utilisateurs

Conformément au RGPD, les utilisateurs disposent des droits suivants :

Accès à leurs données personnelles.
Rectification des données inexactes.
Effacement des données (« droit à l’oubli »).
Limitation du traitement.
Portabilité des données vers un autre responsable.
Opposition au traitement basé sur l’intérêt légitime.
Retrait du consentement (lorsque le traitement repose sur le consentement).
Réclamation auprès de l’autorité de contrôle compétente.

Pour exercer ces droits, veuillez nous contacter à business.support@flowtly.eu ou par écrit à l’adresse de notre siège.

10. Sécurité des données

Nous mettons en œuvre des mesures organisationnelles et techniques pour protéger les données contre tout accès non autorisé, perte, altération ou divulgation. Nous utilisons des connexions chiffrées (HTTPS), des sauvegardes régulières, des mécanismes de contrôle d’accès et des procédures de sécurité à jour. Seuls les employés ou sous-traitants autorisés ont accès aux données, dans la limite nécessaire à l’exercice de leurs fonctions.

11. Cookies et notre site web

La plateforme utilise des cookies essentiels nécessaires à son bon fonctionnement. Les cookies analytiques ne sont déposés que si l’utilisateur y consent via la bannière de cookies ; ils nous aident à comprendre le comportement et à améliorer nos services. La plateforme n’utilise pas de cookies à des fins marketing ou publicitaires. Les utilisateurs peuvent gérer leurs choix à tout moment via la bannière de cookies ou bloquer les cookies dans leur navigateur ; la désactivation de certains cookies peut cependant limiter certaines fonctionnalités de la plateforme.

Notre site web. Notre site web (flowtly.eu et nos domaines nationaux, tels que flowtly.pl, flowtly.de et flowtly.fr) ne dépose pas de cookies et n’utilise pas de stockage similaire sur votre appareil à des fins d’analyse ou de protection contre le spam. Il ne dépose des cookies de mesure de l’efficacité publicitaire, et ne charge les scripts de Google et de Meta qui les déposent, que si vous les acceptez dans la bannière de cookies, et il ne charge une vidéo YouTube que lorsque vous appuyez sur lecture, comme décrit ci-dessous. En dehors de cela, il ne charge pas de scripts ni de polices provenant de tiers tels que Google.

Mesure d’audience du site web (Umami). Nous mesurons l’utilisation du site web avec Umami, un outil d’analyse open source que nous exploitons nous-mêmes à l’adresse stats.flowtly.eu, sur notre infrastructure Google Cloud dans l’Union européenne. Umami n’utilise pas de cookies et ne stocke rien sur votre appareil. Il enregistre l’adresse de la page que vous consultez, la page d’où vous venez, votre navigateur, votre système d’exploitation, le type d’appareil, la taille de l’écran et la langue, votre localisation approximative (pays, région et ville) déduite de votre adresse IP, ainsi que les clics sur certains boutons, tels que ceux menant au formulaire de contact. Pour compter les visites sans cookies, Umami calcule un identifiant pseudonyme à partir de votre adresse IP et des informations sur votre navigateur, combinées à une valeur qui change chaque mois ; votre adresse IP elle-même n’est pas stockée. Nous utilisons ces données uniquement pour comprendre quelles pages sont utiles et pour améliorer le site web, sur la base de notre intérêt légitime (article 6, paragraphe 1, point f), du RGPD), et nous ne les communiquons pas à des tiers pour leurs propres finalités.

Protection contre le spam sur nos formulaires. Le formulaire de contact commercial et le formulaire du programme startups sont protégés par notre propre contrôle au lieu d’un captcha tiers. Le formulaire contient un champ masqué aux personnes, que les programmes automatisés ont tendance à remplir, le formulaire indique combien de temps il est resté ouvert avant d’être envoyé, et notre serveur compte le nombre de formulaires envoyés depuis chaque adresse IP sur une période de 10 minutes, ainsi que le nombre total de formulaires qu’il reçoit, afin d’empêcher les envois répétés. Pour ce contrôle, l’adresse IP est conservée uniquement dans la mémoire vive du serveur et n’est enregistrée nulle part par ce contrôle : elle cesse d’être comptée au bout de 10 minutes et est supprimée lors du prochain traitement d’un formulaire par le serveur après ce délai, ou à l’arrêt du serveur. Comme toute requête adressée à nos serveurs, la requête du formulaire est également consignée dans les logs serveur de notre hébergeur (voir la section 3). Le champ masqué et la durée servent uniquement à accepter ou à refuser l’envoi et ne sont pas conservés. Rien n’est stocké sur votre appareil. La base légale est notre intérêt légitime à protéger les formulaires contre les abus (article 6, paragraphe 1, point f), du RGPD).

Mesure de l’efficacité publicitaire (Google Ads et pixel Meta). Avec votre consentement, nous chargeons le suivi des conversions Google Ads (la balise Google), fourni par Google Ireland Limited, et le pixel Meta, fourni par Meta Platforms Ireland Limited, afin de mesurer lesquelles de nos campagnes publicitaires amènent des visiteurs qui lancent la démo ou envoient une demande via le formulaire de contact commercial. Nous les utilisons uniquement pour mesurer l’efficacité publicitaire : ni pour le remarketing, ni pour constituer des audiences, ni pour vous montrer des publicités personnalisées. Une fois les balises chargées, votre navigateur transmet à Google et à Meta votre adresse IP, des informations sur votre navigateur et votre appareil, l’adresse de la page consultée, les identifiants stockés dans leurs cookies et, si vous êtes arrivé par l’une de nos annonces, l’identifiant de ce clic. Lorsque vous lancez la démo ou que votre demande de contact commercial est acceptée, les balises signalent uniquement que cela s’est produit : aucun contenu du formulaire, aucun nom ni aucune adresse e-mail n’est envoyé à Google ou à Meta. Dans le mode de consentement de Google (Consent Mode), la personnalisation des annonces et l’utilisation de vos données à des fins publicitaires (ad_personalization et ad_user_data) restent refusées même après votre acceptation, et Google Signals est désactivé. Pour le pixel Meta, la configuration automatique et la correspondance avancée sont désactivées, et nous ne créons pas d’audiences personnalisées à partir des visiteurs de notre site web. La mesure des conversions sur les appareils des utilisateurs par Meta est activée et sert uniquement à cette même mesure. Nous sommes, avec Meta Platforms Ireland Limited, responsables conjoints de la collecte de ces données sur notre site web et de leur transmission à Meta (article 26 du RGPD). Google et Meta traitent les données reçues sous leur propre responsabilité, comme décrit dans les Règles de confidentialité de Google et la Politique de confidentialité de Meta, et peuvent les transférer à Google LLC et à Meta Platforms, Inc. aux États-Unis ; ces transferts reposent sur le cadre de protection des données UE–États-Unis (Data Privacy Framework), auquel les deux sociétés sont certifiées, et sur les clauses contractuelles types. Les balises déposent les cookies suivants sur notre domaine : _gcl_au et, après un clic sur une annonce Google, _gcl_aw, pour 90 jours au maximum ; _fbp et, après un clic sur une annonce Meta, _fbc, pour 90 jours au maximum. La base juridique est votre consentement (article 6, paragraphe 1, point a) du RGPD, en lien avec les dispositions nationales transposant l’article 5, paragraphe 3, de la directive 2002/58/CE sur le stockage d’informations sur votre appareil).

Votre consentement et son retrait. Sur chaque page de flowtly.eu et de nos domaines nationaux, une bannière de cookies vous demande votre choix, avec des boutons « Accepter » et « Refuser » de même taille. Tant que vous n’avez pas accepté, les balises de mesure publicitaire ne sont pas chargées et rien n’est envoyé à Google ni à Meta ; dans le mode de consentement de Google, chaque type de consentement est refusé par défaut. Si vous refusez, rien n’est chargé. Vous pouvez à tout moment modifier votre choix ou retirer votre consentement avec le bouton « Paramètres des cookies » dans le pied de page de chaque page. Après le retrait, les balises cessent d’envoyer des données, les cookies énumérés ci-dessus sont supprimés de notre domaine et aucune page suivante ne charge les balises ; les cookies que Google ou Meta ont déposés sur leurs propres domaines peuvent être supprimés dans votre navigateur. Votre choix est conservé dans le stockage local (local storage) de votre navigateur sous le nom flowtly-marketing-consent afin que nous puissions le respecter, et seulement une fois que vous avez choisi. Le retrait du consentement ne porte pas atteinte à la licéité du traitement effectué avant ce retrait.

Vidéos YouTube. Nos pages de tutoriels peuvent afficher des vidéos YouTube en mode de confidentialité renforcée (youtube-nocookie.com). Rien n’est chargé depuis YouTube tant que vous n’avez pas appuyé sur lecture. Lorsque vous appuyez sur lecture, la vidéo est chargée depuis YouTube, un service de Google Ireland Limited, qui reçoit votre adresse IP, des informations sur votre navigateur et votre appareil ainsi que l’adresse de la page, et peut stocker des informations sur votre appareil. YouTube traite ces données sous sa propre responsabilité, comme décrit dans les Règles de confidentialité de Google, et peut les transférer à Google LLC aux États-Unis dans le cadre de protection des données UE–États-Unis. La base juridique est votre consentement, que vous donnez en appuyant sur lecture (article 6, paragraphe 1, point a) du RGPD).

12. Dispositions finales

La présente Politique de confidentialité fait partie intégrante des Conditions générales de Flowtly. Elle peut être mise à jour périodiquement ; les utilisateurs seront informés à l’avance des modifications importantes. En cas de divergence entre les versions linguistiques, la version polonaise prévaut. Cette Politique est en vigueur à compter du 29 octobre 2026.

Flowtly – Politique de confidentialité