Politique de Confidentialité

Le responsable du traitement est Nexus System, projet étudiant développé dans le cadre du cursus Epitech. Vous pouvez nous joindre par courriel à info@nexus-system.fr ou via la page de contact du site.

Le site public nexus-system.fr est librement consultable : aucune inscription ni connexion n'est nécessaire pour découvrir nos produits, lire nos articles ou nous écrire. Un compte n'est requis que pour piloter un boîtier depuis l'application Nexus System.

Ce document couvre l'ensemble de nos services :

• le site vitrine nexus-system.fr ;
• l'application mobile Nexus System (iOS et Android) ;
• l'espace compte account.nexus-system.fr ;
• l'espace professionnel pro.nexus-system.fr ;
• les API et services qui les alimentent.

Nous collectons le minimum nécessaire au fonctionnement du service. Aucune donnée n'est achetée à des courtiers en données.

Nous ne collectons aucune donnée sensible au sens de l'article 9 du RGPD : ni origine, ni opinions, ni données de santé, ni données biométriques.

Nexus System propose la connexion via Google (OAuth 2.0 / OpenID Connect) pour vous éviter de créer et retenir un mot de passe de plus. Nous demandons uniquement les trois autorisations minimales suivantes :

Nous ne demandons aucune autorisation sensible ou à portée restreinte (« sensitive » ou « restricted scope »). Nous n'avons accès ni à Gmail, ni à vos contacts, ni à votre agenda, ni à Google Drive, ni à aucun autre service Google. Nous ne recevons jamais votre mot de passe Google.

Le jeton délivré par Google est traité par notre service d'authentification interne pour ouvrir votre session Nexus System. Il n'est transmis à aucun tiers et n'est pas conservé au-delà de ce qui est nécessaire à la session.

Chaque traitement répond à une finalité précise et repose sur une base légale identifiée :

Nous ne vendons, ne louons et n'échangeons aucune donnée personnelle. Nous ne faisons pas de publicité ciblée et ne prenons aucune décision entièrement automatisée produisant des effets juridiques à votre égard.

L'utilisation et le transfert par Nexus System des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d'usage limité (« Limited Use »).

Concrètement, les données obtenues via votre compte Google :

• servent uniquement à fournir et améliorer les fonctionnalités visibles de Nexus System décrites dans ce document ;
• ne sont transférées à des tiers que si c'est nécessaire pour fournir ces fonctionnalités, pour nous conformer à la loi applicable, ou dans le cadre d'une fusion ou acquisition réalisée avec votre consentement ;
• ne sont jamais utilisées à des fins de publicité, de profilage, de revente ou de courtage de données ;
• ne sont jamais lues par un humain, sauf si vous nous y autorisez expressément pour résoudre un incident, si la loi l'exige, ou après agrégation et anonymisation à des fins de sécurité ou de statistique ;
• ne servent pas à entraîner de modèles d'intelligence artificielle, généralisés ou spécialisés.

Vos données restent chez nous et chez un nombre restreint de prestataires techniques qui agissent comme sous-traitants : ils sont liés par contrat, n'accèdent qu'au strict nécessaire et ne peuvent pas réutiliser vos données à leurs propres fins.

Vos comptes, vos relevés et nos sauvegardes sont hébergés en France, chez OVHcloud. Les prestataires complémentaires (Cloudflare, Resend, Google) opèrent des réseaux qui peuvent traiter certaines données hors de l'Union européenne : ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le Data Privacy Framework.

Nous pouvons aussi communiquer des données lorsque la loi nous y oblige (réquisition judiciaire, obligation légale) ou pour faire valoir nos droits. Nous vous en informons, sauf interdiction légale.

Nous ne gardons vos données que le temps nécessaire aux finalités décrites ci-dessus :

À l'expiration de ces durées, les données sont supprimées ou anonymisées de façon irréversible.

Les échanges avec nos services sont chiffrés en transit (HTTPS et TLS, MQTT sur TLS pour les boîtiers). Les bases de données et les sauvegardes sont chiffrées au repos.

L'accès aux systèmes de production est restreint aux membres de l'équipe qui en ont besoin, protégé par authentification forte et journalisé. Les services sont isolés en conteneurs sur des réseaux séparés, derrière une passerelle d'API qui applique l'authentification et les politiques d'origine.

La connexion via Google renforce la sécurité de votre compte : aucun mot de passe propre à notre plateforme n'est créé ni stocké chez nous, donc aucun ne peut y être compromis.

En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous en informons la CNIL dans les 72 heures et, lorsque le risque est élevé, nous vous prévenons directement.

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de retirer votre consentement à tout moment et de définir des directives sur le sort de vos données après votre décès.

Pour exercer ces droits, écrivez-nous à info@nexus-system.fr ou utilisez la page de contact. Nous répondons dans un délai d'un mois, porté à trois mois pour les demandes complexes, et nous pouvons vous demander un justificatif d'identité en cas de doute raisonnable.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL, autorité de contrôle française.

Vous pouvez demander vous-même, à tout moment et sans passer par nous, la suppression définitive de votre compte, de vos boîtiers et de leur historique depuis la page dédiée : account.nexus-system.fr/delete.

La suppression prend effet sous 30 jours sur les systèmes actifs, puis disparaît des sauvegardes chiffrées au fil de leur rotation, sous 30 jours supplémentaires. Certaines données peuvent être conservées au-delà lorsque la loi l'impose.

Vous pouvez aussi révoquer l'accès de Nexus System à votre compte Google depuis la page des applications tierces de votre compte Google. Cette révocation empêche toute connexion ultérieure via Google, mais ne supprime pas à elle seule votre compte Nexus System.

Nous n'utilisons aucun cookie publicitaire : ni pixel de réseau social, ni régie publicitaire, ni revente de votre navigation.

Témoins strictement nécessaires, déposés sans consentement préalable car le service ne peut pas fonctionner sans eux :

• le cookie de session, qui vous maintient connecté d'un espace Nexus System à l'autre ;
• un stockage local (localStorage) qui retient votre langue, votre choix de thème clair ou sombre et votre décision sur le bandeau cookies ;
• les témoins déposés par Cloudflare Turnstile pendant la vérification anti-robots.

Mesure d'audience : nous utilisons Google Analytics 4 pour savoir quelles pages sont consultées et améliorer le site. Ce traceur n'est chargé qu'après votre accord explicite : tant que vous n'avez pas répondu au bandeau, ou si vous avez refusé, aucun script Google n'est injecté et aucune requête ne part vers Google.

Une fois accepté, Google Analytics dépose des cookies (_ga, _ga_*) et traite votre adresse IP, les pages consultées, la durée des visites et des informations sur votre navigateur et votre appareil. Ces données ne servent qu'à mesurer l'audience du site : elles ne sont pas utilisées pour de la publicité ciblée et ne sont jamais rapprochées de votre compte Nexus System.

Vous pouvez revenir sur votre choix à tout moment via le lien Cookies en bas de page, qui rouvre le bandeau. Un refus ne restreint l'accès à aucune partie du site.

Nos formulaires (contact, bêta test, lettre d'information) sont protégés par Cloudflare Turnstile, un outil qui distingue les visiteurs humains des robots afin d'éviter les envois automatisés. Selon le réglage du widget, la vérification peut se faire entièrement en arrière-plan, sans affichage ni action de votre part.

Pour cela, Turnstile traite des signaux techniques : votre adresse IP, l'empreinte TLS de votre navigateur, l'en-tête User-Agent, ainsi que la clé de site et le domaine d'origine. Cloudflare indique ne pas être en mesure d'identifier directement une personne à partir de ces signaux, qui sont strictement nécessaires à la détection des robots.

Cloudflare agit comme sous-traitant lorsqu'il traite ces signaux pour protéger notre site, et comme responsable de traitement lorsqu'il les utilise pour améliorer ses propres capacités de détection.

Ce traitement est décrit dans l'Addendum de confidentialité Turnstile de Cloudflare, qui complète sa politique de confidentialité.

Nexus System n'est pas destiné aux personnes de moins de 16 ans et nous ne collectons pas sciemment leurs données. Si vous êtes titulaire de l'autorité parentale et pensez que votre enfant nous a transmis des informations, écrivez-nous à info@nexus-system.fr : nous les supprimerons.

Ce document peut évoluer pour refléter des changements du service ou de la réglementation. La date de dernière mise à jour figure en haut de la page.

En cas de changement substantiel — nouvelle finalité, nouvelle catégorie de données collectées, nouveau sous-traitant important — nous vous prévenons par courriel ou par une notification dans l'application avant son entrée en vigueur.

Pour toute question sur ce document ou sur le traitement de vos données : info@nexus-system.fr, ou via la page de contact.

Document lié : Conditions générales d'utilisation.