Politique de confidentialité

Responsable du traitement des données sur ce site :

Xellux Titulaire : Can Yigit Bgm.-Reuter-Str. 10 28327 Brême Allemagne E-mail : info@xellux.com

2.1 Lors de la visite du site

Lorsque tu consultes notre site, le navigateur de ton appareil envoie automatiquement des informations à notre serveur. Ces informations sont enregistrées temporairement dans un fichier journal :

• Adresse IP de l'appareil demandeur • Date et heure de l'accès • Nom et URL du fichier consulté • URL de référence • Navigateur et système d'exploitation utilisés

2.2 Lors de l'utilisation de notre formulaire de contact

Si tu nous contactes via le formulaire, une adresse e-mail valide est nécessaire pour que nous puissions associer et traiter ta demande. Les autres informations sont facultatives.

Tes données personnelles ne sont transmises à des tiers que dans les cas suivants :

• Tu as donné ton consentement explicite • La transmission est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice • La transmission est exigée par la loi • Elle est nécessaire à l'exécution d'une relation contractuelle

Pour le fonctionnement du site et des produits, nous faisons appel aux sous-traitants suivants (art. 28 RGPD) :

• Hetzner Online GmbH, Allemagne : hébergement de l'application et des bases de données sur des serveurs en Allemagne • Cloudflare, Inc., États-Unis : service réseau et sécurité (proxy/CDN) en amont de notre site ; des données de connexion comme l'adresse IP sont traitées à cette occasion • Stripe : traitement des paiements ; tu saisis les données de carte directement chez Stripe, elles ne sont pas stockées sur nos serveurs • Resend, États-Unis : envoi des e-mails système de Xellux ID, par exemple pour confirmer ton adresse e-mail, et de la newsletter « Xellux Neuigkeiten » • Google Ireland Limited, Irlande : boîte e-mail et calendrier (Google Workspace), par exemple pour les rendez-vous que tu réserves via le chat ou une page de réservation • Anthropic, PBC, États-Unis : modèle de langage pour l'assistant de chat sur notre site (section 7) ; le transfert repose sur des clauses contractuelles types (art. 46 par. 2 let. c RGPD)

Lorsque des données sont ainsi transmises aux États-Unis, cela se fait sur la base de la décision d'adéquation relative au EU-US Data Privacy Framework (art. 45 RGPD), dans le cadre duquel ces prestataires sont certifiés, complétée par des clauses contractuelles types (art. 46 par. 2 let. c RGPD). Pour Anthropic, seules les clauses contractuelles types s'appliquent.

Nous utilisons des cookies sur notre site. Il s'agit de petits fichiers que ton navigateur crée automatiquement et enregistre sur ton appareil lorsque tu visites notre site. La plupart des cookies que nous utilisons sont des cookies de session, supprimés automatiquement après ta visite. D'autres cookies restent sur ton appareil jusqu'à ce que tu les supprimes, notamment les cookies techniquement nécessaires à la connexion et à la gestion de session (par ex. jeton de session de la Xellux ID). La base juridique des cookies techniquement nécessaires est le § 25 al. 2 n° 2 TDDDG en liaison avec l'art. 6 al. 1 lit. b et f RGPD.

Nous utilisons le logiciel d'analyse web Umami, que nous exploitons nous-mêmes sur notre propre infrastructure, sous le sous-domaine unami.xellux.com. Umami fonctionne sans cookies et sans suivi cross-device, et ne collecte que des statistiques d'usage agrégées (par exemple pages consultées, référent, type de navigateur et d'appareil, pays). Aucune donnée n'est transmise à des tiers et aucune adresse IP complète n'est conservée durablement ; l'identification de visiteurs individuels est impossible.

La base légale est l'art. 6 § 1 f) RGPD. Notre intérêt légitime réside dans une analyse de l'usage de notre site respectueuse de la vie privée et à faible portée, visant à améliorer notre offre. Comme aucun profil personnel n'est créé et qu'aucun cookie n'est déposé, un consentement au titre du § 25 TDDDG n'est pas nécessaire.

Dans la mesure où nos produits intègrent des fonctions d'intelligence artificielle, celles-ci ne traitent des données personnelles que si c'est nécessaire à la fourniture de la fonction concernée (art. 6 § 1 b) RGPD) ou s'il existe un intérêt légitime à fournir et améliorer cette fonction (art. 6 § 1 f) RGPD). Les fonctions d'IA sont signalées comme telles (cf. art. 50 du règlement (UE) 2024/1689).

Nous n'utilisons pas les données personnelles de nos utilisateurs pour entraîner nos propres modèles d'IA. Lorsque des fournisseurs d'IA externes interviennent en tant que sous-traitants, cela se fait sur la base de contrats conformes à l'art. 28 RGPD ; les fournisseurs utilisés sont indiqués de façon transparente dans le produit concerné.

Aucune décision reposant exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques à ton égard ou t'affectant de manière significative de façon similaire (art. 22 RGPD), n'est prise.

Sur notre site, nous proposons un assistant de chat (Xellux Chatbot). Il répond aux questions à l'aide d'un système d'IA s'appuyant sur des contenus que nous avons validés à cet effet, et transmet ta demande à notre équipe si tu le souhaites. Au chargement d'une page, seul un petit script hébergé sur xellux.com est appelé pour afficher le bouton de chat ; pour des raisons techniques, notre serveur traite alors ton adresse IP. La conversation, ses paramètres et ses textes ne sont chargés que lorsque tu ouvres le chat.

Sont traités : tes messages dans le chat, l'adresse de la page sans paramètres, la langue, des identifiants aléatoires de visiteur et de conversation, ainsi que les informations que tu transmets toi-même dans des formulaires ou des cartes, par exemple nom, adresse e-mail, numéro de téléphone ou souhait de rendez-vous. Nous ne conservons l'adresse IP que sous forme de valeur de hachage changeant chaque jour, afin de prévenir les abus. C'est seulement au début d'une conversation que le chat enregistre ces identifiants dans la mémoire de session de ton navigateur, pour que la conversation soit conservée en cas de rechargement de la page ; ils disparaissent à la fermeture de l'onglet (§ 25 al. 2 n° 2 TDDDG). Le chat n'utilise ni cookies ni traceurs.

La finalité est de répondre à tes demandes et, si tu le souhaites, de les transmettre à notre équipe, de réserver un rendez-vous ou d'organiser un rappel. La base juridique est l'art. 6 al. 1 lit. b RGPD, dans la mesure où ta demande concerne un contrat ou sa conclusion, et sinon notre intérêt légitime à répondre rapidement aux demandes (art. 6 al. 1 lit. f RGPD).

Le chat ne transmet pas au système d'IA les messages contenant manifestement des données particulièrement sensibles, par exemple relatives à la santé, et ne les enregistre pas. Merci de ne pas saisir ce type d'informations dans le chat.

Les réponses sont générées par un modèle de langage d'Anthropic, PBC (États-Unis), que nous employons comme sous-traitant (art. 28 RGPD). À cette fin, ton message, les messages précédents de la même conversation et les contenus validés correspondants sont transmis à Anthropic. Selon les conditions commerciales d'Anthropic, ces données ne sont pas utilisées pour entraîner les modèles. Le transfert vers les États-Unis repose sur les clauses contractuelles types de la Commission européenne (art. 46 al. 2 lit. c RGPD), intégrées au contrat de sous-traitance conclu avec Anthropic.

Nous supprimons les conversations 90 jours après le dernier message, avec les données de formulaire et les fichiers téléchargés. Les coordonnées issues du chat sont supprimées après 90 jours sans utilisation. Si le chat transmet ta demande à notre équipe, une demande est créée dans notre service client ; si tu réserves un rendez-vous, il figure dans notre calendrier. Les deux sont supprimés dès qu'ils sont traités, sauf obligation légale de conservation contraire. Tes droits décrits à la section 10 s'appliquent également ici.

7.1 Liens d'invitation et page d'invitation

Lorsque tu ouvres un lien d'invitation (par exemple xellux.com/app/r/… ou un lien avec « ?ref= »), on enregistre le code d'invitation pendant 90 jours dans un cookie dédié (xlx_ref), pour que l'avantage de l'invitation te revienne lors d'une souscription ultérieure. Le cookie ne contient que le code. On comptabilise les clics sur un lien une fois par code, jour et visiteur ; on n'enregistre ni ton adresse IP ni l'identifiant de ton navigateur en clair, seulement un hachage non réversible de ceux-ci. La base légale du cookie est le § 25 al. 2 n° 2 TDDDG, et pour le comptage l'art. 6 al. 1 lit. f RGPD (intérêt légitime à l'attribution correcte et à la protection contre les abus).

Sur la page d'invitation n'apparaissent que les informations que la personne qui invite a elle-même autorisées (par exemple prénom, entreprise, photo). Cette autorisation constitue son consentement selon l'art. 6 al. 1 lit. a RGPD et peut être retirée à tout moment dans les paramètres ; son adresse e-mail n'y est jamais affichée.

7.2 Souscription via une invitation

Si tu crées un compte ou une subscription via une invitation, on transmet au prestataire de paiement Stripe le code d'invitation ainsi que des hachages de l'adresse IP et de l'appareil, pour attribuer l'avantage et prévenir les abus. La personne qui invite sait seulement qu'une entreprise a démarré via son lien, et voit des chiffres comme « invité » et « payant », jamais ton nom ni tes coordonnées. La base légale est l'art. 6 al. 1 lit. b RGPD (octroi de l'avantage et du crédit) ainsi que lit. f (protection contre les abus).

7.3 Programme partenaire

Pour la participation au programme partenaire, on traite les informations issues de la candidature : entreprise, nom, adresse, pays, numéro de TVA intracommunautaire ou numéro fiscal, informations relatives au régime de franchise en base ainsi que coordonnées bancaires. On enregistre l'IBAN de façon chiffrée. Les partenaires ne voient aucune donnée client, uniquement des chiffres et des montants sans noms. La base légale est l'art. 6 al. 1 lit. b RGPD (contrat) et pour les documents fiscalement pertinents comme les avoirs, l'art. 6 al. 1 lit. c RGPD en lien avec le § 147 AO ; on les conserve pendant dix ans.

8.1 E-mails de service

Pour ton compte, on t'envoie des e-mails liés au contrat : la confirmation de ton adresse, un e-mail de bienvenue, des informations de connexion et de sécurité, des factures et des informations sur ton abonnement, ainsi que des notifications générées dans Xellux lui-même (par exemple quand quelqu'un te mentionne ou t'invite dans un commentaire). La base légale est l'art. 6 al. 1 lit. b RGPD. Ces e-mails ne contiennent pas de publicité et ne peuvent donc pas être désactivés ; tu gères les notifications dans les paramètres.

Dans les mentions et invitations, on affiche la photo de profil de la personne à l'origine de l'action, telle qu'elle apparaît dans le workspace. Dans les e-mails envoyés à des destinataires externes au workspace (par exemple une offre à signer), seul le logo de l'entreprise émettrice apparaît. L'image est chargée via une adresse identique pour tous les destinataires ; cela ne nous permet pas de savoir qui a ouvert un e-mail.

8.2 Newsletter « Actualités Xellux »

On ne t'envoie des actualités, conseils et offres sur Xellux que si tu les commandes expressément : via la case facultative et non précochée lors de l'inscription, ou via l'interrupteur « E-mails marketing » dans les paramètres. Tu reçois ensuite un e-mail de confirmation sans publicité ; tu n'es inscrit qu'après avoir cliqué sur le lien qu'il contient (double opt-in). La base légale est ton consentement (art. 6 al. 1 lit. a RGPD, § 7 al. 2 UWG).

Comme preuve de ton consentement, on enregistre ton adresse e-mail, le texte exact du consentement avec une valeur de contrôle, l'origine de l'inscription (inscription ou paramètres), les dates d'inscription et de confirmation, et, en cas d'inscription via un formulaire, un hash irréversible de ton adresse IP (art. 7 al. 1 et art. 6 al. 1 lit. c RGPD). On ne mesure ni l'ouverture des newsletters ni les clics.

Tu peux te désabonner de la newsletter à tout moment : en cliquant sur le lien de désabonnement présent dans chaque numéro, via l'interrupteur dans les paramètres, ou par e-mail à info@xellux.com. La désinscription prend effet immédiatement. On conserve ensuite l'entrée comme preuve et comme blocage, pour éviter de t'écrire à nouveau par erreur (art. 6 al. 1 lit. f RGPD) ; sur demande, on la supprime. La newsletter est envoyée via Resend (voir section 3).

Tu as le droit :

• d'obtenir des informations sur tes données traitées (art. 15 RGPD) • d'exiger la rectification de données inexactes (art. 16 RGPD) • d'exiger la suppression de tes données (art. 17 RGPD) • d'exiger la limitation du traitement (art. 18 RGPD) • de recevoir tes données dans un format transférable (art. 20 RGPD) • de t'opposer au traitement (art. 21 RGPD) • d'introduire une réclamation auprès d'une autorité de contrôle (art. 77 RGPD)

Lors de la consultation du site, nous transmettons les données de manière chiffrée via TLS (Transport Layer Security), avec le niveau de chiffrement le plus élevé pris en charge par ton navigateur. Une transmission chiffrée est signalée par le symbole du cadenas dans la barre d'adresse de ton navigateur.

La présente déclaration de confidentialité est à jour en octobre 2026. L'évolution de notre site web ou des exigences légales ou administratives peut rendre nécessaire la mise à jour de cette déclaration.