Dossalis › Confidentialité
Politique de confidentialité
Dernière mise à jour : 20 septembre 2026
Quelles données nous traitons, sur quelle base juridique, pendant combien de temps et qui d'autre les voit. Sans clauses recopiées : uniquement ce qui se passe réellement chez Dossalis.
Rédigée pour respecter le Règlement (UE) 2016/679 et la loi espagnole 3/2018, et pour être comprise à la première lecture.
1. Deux rôles distincts, à ne pas confondre
Dossalis traite des données dans deux situations que la loi sépare, et dont la responsabilité diffère :
- En tant que responsable de traitement, pour vos données si vous visitez ce site, faites le test ou demandez des informations, ainsi que pour les données de votre compte dans le panneau : l'inscription, les personnes qui y accèdent et le journal des connexions. C'est nous qui décidons de leur sort, et cette politique les couvre.
- En tant que sous-traitant, pour les données qu'un client saisit dans son panneau — contacts de ses fournisseurs, personnel réalisant les vérifications. Ces données restent celles de l'entreprise cliente : nous ne les traitons que pour son compte et sur ses instructions, dans le cadre de l'accord de sous-traitance de l'article 28 du Règlement, qui fait partie des conditions et est accepté à la création du compte. Si vous êtes salarié ou fournisseur de l'un de nos clients et souhaitez exercer un droit, adressez-vous à cette entreprise, pas à nous ; nous l'assistons.
2. Qui traite vos données
| Responsable | Oscar Escanez Abad |
|---|---|
| Numéro d'identification | 23302634T |
| Siège | Calle Trece de Septiembre, n.º 10, 1.º, 30310 Cartagena (Murcia), España |
| Contact vie privée | info@dossalis.com |
Nous ne sommes pas tenus de désigner un délégué à la protection des données. Si cela change, ses coordonnées seront publiées ici.
3. Ce que nous traitons, exactement
| Quoi | Pour quoi | Base juridique | Combien de temps |
|---|---|---|---|
| Nom, courriel, téléphone si vous le donnez, entreprise et activité | Répondre à votre demande | Votre consentement à l'envoi du formulaire | 1 an à compter du dernier contact |
| Réponses au test et courriel | Vous envoyer le résultat et, si vous le cochez, le courriel hebdomadaire | Votre consentement, retirable en un clic | Jusqu'au retrait ; 2 ans au maximum sans interaction |
| Compte : nom de l'établissement, e-mail, activité, région et si vous importez | Vous inscrire et vous fournir le service, gratuit ou payant | Exécution du contrat | Tant que le compte est ouvert. Une inscription non confirmée est supprimée au bout de 7 jours ; un compte fermé, au bout de 30 ; un compte gratuit où personne ne se connecte pendant 24 mois est fermé après un avis par e-mail donné 30 jours à l'avance |
| Personnes qui accèdent au panneau : e-mail, nom si vous le donnez, autorisation et date de la dernière connexion | Que chaque personne ait son propre accès et puisse se le voir retirer | Exécution du contrat | Tant qu'elle a accès ; supprimé avec le compte |
| Si vous vous connectez avec Google : l'identifiant que Google attribue à votre compte, votre e-mail vérifié et votre nom | Vous connecter sans mot de passe | Exécution du contrat, à votre demande lorsque vous cliquez sur « Se connecter avec Google » | Tant que le compte est ouvert |
| Données de votre entreprise, produits, fournisseurs, vérifications et justificatifs | Fournir le service (ici, nous agissons comme sous-traitant du client) | Exécution du contrat | Tant que le compte est ouvert ; à sa fermeture, 30 jours puis suppression. « Télécharger tout » permet de les récupérer avant |
| Attestations de vérification : nom de l'établissement, date, type et empreinte du document | Permettre à qui reçoit une attestation de la vérifier avec son code sur le site | Exécution du contrat, à la demande du client qui l'émet | Tant que le compte est ouvert. La page de vérification n'affiche que ces quatre données, et seulement à qui possède le code |
| Journal d'activité : ce qui a été fait, quand et depuis quel réseau (tronqué) | Sécurité et pouvoir démontrer ce qui a été vérifié et quand | Intérêt légitime à la sécurité et à la preuve du service | Conservé en chaîne, car supprimer une ligne casserait la preuve de toutes les autres. Ne conserve pas le contenu du dossier, et à la suppression du compte, il n'est plus relié à des noms ou des e-mails |
| Facturation | Obligations fiscales et comptables | Obligation légale | 6 ans (art. 30 du Code de commerce espagnol) |
| Données techniques de l'envoi : réseau d'origine, date et heure, navigateur | Freiner le spam et l'abus des formulaires | Intérêt légitime à maintenir le service | Effacées automatiquement par rotation |
| Sauvegardes | Récupérer le service en cas de panne du serveur | Intérêt légitime et obligation de sécurité de l'article 32 | 60 jours. Ce qui est supprimé disparaît des sauvegardes dans ce délai ; les justificatifs supprimés, dès le lendemain |
Un détail que peu de sites mentionnent : nous ne conservons pas votre adresse IP complète. Elle est tronquée au réseau avant d'être écrite — les trois premiers groupes en IPv4 — parce que cela suffit à distinguer un robot d'un client et évite de conserver une donnée qui vous identifie.
4. Ce que nous ne faisons pas
- Nous ne vous suivons pas. Ce site ne dépose aucun cookie, n'utilise aucun stockage local et n'embarque aucune mesure d'audience : ni Google Analytics, ni pixels publicitaires, ni boutons de réseaux sociaux. Le panneau utilise uniquement les cookies techniques indispensables pour maintenir votre session et celle qui mémorise la langue choisie ; elles sont toutes répertoriées dans la politique de cookies.
- Nous ne chargeons rien de l'extérieur. Les polices et les images sont servies depuis notre propre serveur : ouvrir ce site ne déclenche aucune requête vers un domaine tiers. Votre IP ne sort pas de chez nous.
- Nous ne vendons ni ne cédons vos données à personne, même agrégées.
- Aucun profilage ni décision automatisée produisant des effets juridiques. Le test et le panneau calculent un résultat à partir de ce que vous saisissez ; il est indicatif et n'accorde ni ne refuse rien.
- Aucune prospection à froid ni démarchage téléphonique. Nous n'écrivons qu'à ceux qui l'ont demandé, et chaque courriel publicitaire porte son lien de désinscription. Les e-mails du panneau (liens de connexion, alertes d'expiration et actualités réglementaires sur les plans payants) font partie du service et ne sont envoyés qu'aux titulaires d'un compte.
5. Avec qui nous partageons, et pourquoi
Uniquement avec ceux qui sont nécessaires au fonctionnement du service :
- Hébergement du site et du panneau, dans l'Espace économique européen, en tant que sous-traitant pour notre compte.
- Courrier sortant, dans l'Espace économique européen, en tant que sous-traitant pour notre compte, pour vous envoyer les liens de connexion, les avis, le résultat du test et le courriel hebdomadaire.
- Prestataire de paiement (Stripe), uniquement si vous passez à un plan payant : il traite directement les données de carte, que nous ne voyons jamais, et agit en tant que responsable de traitement selon sa propre politique de confidentialité, qui inclut ses garanties pour les transferts hors de l'Espace économique européen.
- Google, uniquement si vous choisissez « Se connecter avec Google » : Google vous identifie sur sa page et nous renvoie votre identifiant, votre e-mail vérifié et votre nom. Ce qui se passe sur sa page relève de sa politique. Si vous ne cliquez pas sur ce bouton, le panneau ne communique rien à Google : même son logo n'est pas chargé depuis ses serveurs.
Si nous changeons ou ajoutons un prestataire, cette liste est mise à jour au préalable.
6. Données de santé : ce que le panneau ne stocke pas
Dossalis documente des produits et des fournisseurs, pas des patients. Le panneau n'a ni fiche patient, ni champ de diagnostic, ni historique clinique, et n'est pas conçu pour traiter des données de santé. Un enregistrement de réclamation note qu'il y a eu un incident sur une référence et un lot, pas sur qui.
Nous vous demandons de le maintenir ainsi : n'écrivez pas de données de santé ni d'identifiants de patients dans les champs de texte libre. Si de telles données apparaissaient malgré tout, elles resteraient sous la responsabilité de l'entreprise cliente et nous les traiterions comme sous-traitant avec le même devoir de secret — mais le plus sage est qu'elles n'entrent jamais.
7. Sécurité : ce que nous faisons et ce que nous ne faisons pas encore
Ce que nous faisons aujourd'hui : la connexion est chiffrée en transit (HTTPS) ; les données des formulaires sont stockées hors du dossier public du serveur, hors de portée d'un navigateur ; le site est servi avec des en-têtes de sécurité qui empêchent l'exécution de code d'un autre domaine et l'intégration du site dans une page tierce ; des limites par adresse et un frein global empêchent de saturer ou de faire tomber le formulaire ; les dossiers produits par le panneau sont scellés par leur empreinte SHA-256 et leur date, de sorte qu'une modification ultérieure soit détectable.
Dans le panneau : aucun mot de passe pour les clients (connexion avec Google ou avec un lien à usage unique qui expire au bout de quinze minutes) ; double facteur obligatoire pour les comptes d'administration ; chacun avec son propre accès, que le titulaire peut retirer immédiatement ; protection contre la falsification de requêtes sur tous les formulaires ; journal d'activité chaîné par empreinte SHA-256 ; sauvegarde quotidienne de la base et des justificatifs, vérifiée à chaque exécution.
Ce que nous ne faisons pas encore : nous n'avons pas de certification ISO 27001 ni équivalent, et nous n'allons pas prétendre le contraire tant que ce n'est pas le cas. Les sauvegardes sont encore hébergées sur le même serveur et ne sont pas chiffrées séparément ; quand elles seront déplacées ailleurs, ce sera indiqué ici avec la date.
8. Vos droits
Vous pouvez nous demander à tout moment et gratuitement d'accéder à vos données, de les rectifier, de les effacer, d'en limiter le traitement, de vous y opposer et d'en recevoir une copie dans un format portable. Si vous avez un compte, deux de ces actions sont accessibles en un clic dans le panneau, sous « Mon abonnement » : Télécharger tout (une copie complète au format ZIP) et Fermer mon compte (suppression sous 30 jours). Vous pouvez aussi retirer un consentement donné, sans effet sur ce qui a été fait auparavant.
Écrivez à info@dossalis.com en indiquant le droit que vous souhaitez exercer. Nous répondons sous un mois au plus tard. En l'absence de réponse ou si celle-ci ne vous satisfait pas, vous pouvez saisir l'Agence espagnole de protection des données (aepd.es) ou, en France, la CNIL (cnil.fr), sans frais et sans avocat. Si vous résidez dans un autre pays de l'Union européenne, par exemple en Belgique, vous pouvez aussi saisir l'autorité de protection des données de votre pays.
9. Mineurs et modifications
Le service s'adresse aux entreprises et aux professionnels. Il n'est pas destiné aux moins de quinze ans et nous ne collectons pas sciemment de données de personnes de cet âge.
En cas de modification importante, nous vous préviendrons par courriel avant son entrée en vigueur. La date en en-tête indique toujours la version en vigueur.