Éditeur : Les Clés, société par actions simplifiée (SAS) au capital de 30 000,00 euros

Siège social : 2 A La Burotte, 88120 Basse-sur-le-Rupt

Immatriculation : RCS Épinal 930 333 554 (SIREN 930 333 554, SIRET du siège 930 333 554 00028)

Représentée par : Julie Beckendorf, Directrice

Contact données personnelles : dpo@tarao.eu

Version : 1.0

Date d’entrée en vigueur : 31/07/2026

La présente Politique de confidentialité décrit la manière dont la société Les Clés traite les données à caractère personnel dans le cadre de la solution Tarao (application web et mobile, Back Office et site internet associés), conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Loi Informatique et Libertés »).

Elle complète les Conditions Générales de Vente (« CGV ») et les Conditions Générales d’Utilisation (« CGU ») de Tarao. Les termes commençant par une majuscule non définis dans la présente politique ont la signification qui leur est donnée dans les CGV et les CGU.

Cette politique s’adresse à toutes les personnes physiques dont les données sont traitées dans le cadre de Tarao :

• Les représentants et interlocuteurs du Client (signataires, contacts administratifs et de facturation) ;
• Les Utilisateurs habilités par le Client (Administrateurs, Collaborateurs, Contacts de confiance, Gestionnaires de dépôt-relais) ;
• Les Contacts externes, personnes extérieures à l’organisation du Client dont les coordonnées et la signature sont enregistrées lors de la remise d’un Trousseau, sans qu’elles disposent d’un accès à l’application ;
• Les prospects et visiteurs du site internet de Tarao.

Selon les traitements, Les Clés intervient en deux qualités distinctes au sens du RGPD :

Les Clés détermine les finalités et les moyens des traitements suivants, dont elle est responsable : la gestion de la relation contractuelle et commerciale avec le Client (comptes, abonnements, commandes d’Étiquettes, facturation, recouvrement), le support, la sécurité et l’administration technique de la solution, l’amélioration de Tarao, la prospection commerciale auprès de professionnels et la gestion du site internet.

Pour les données saisies et générées dans le cadre de l’utilisation opérationnelle de Tarao (gestion des Trousseaux, des biens, des Transferts, des Réservations, des Contenus, y compris les coordonnées et signatures des Contacts externes), le Client détermine les finalités et les moyens du traitement : il en est le responsable. Les Clés traite ces données pour le compte du Client, en qualité de sous-traitant au sens de l’article 28 du RGPD, dans les conditions de l’article 7 de la présente politique et, le cas échéant, de l’accord de traitement des données (DPA) conclu avec le Client.

• Données d’identification et de contact : nom, prénom, adresse email professionnelle, numéro de téléphone, fonction, organisation de rattachement ;
• Données de compte et d’authentification : adresse email de connexion, codes de sécurité temporaires, Profil et habilitations, journaux de connexion ;
• Données d’utilisation : actions réalisées dans l’application (créations, modifications, scans, Transferts, Réservations), horodatages, notifications ;
• Données relatives aux Transferts : identité et coordonnées du détenteur et du destinataire (y compris Contact externe), durée de remise, signature tracée sur écran ;
• Contenus : notes, commentaires, photographies, vidéos, documents et enregistrements audio associés aux Trousseaux, Objets suivis et biens, dans la mesure où ils comportent des données personnelles ;
• Données de facturation et de paiement : coordonnées de facturation, historique des factures ; les données de carte bancaire sont collectées et traitées directement par le prestataire de paiement Stripe et ne sont pas conservées par Les Clés ;
• Données de prospection et de navigation : coordonnées professionnelles des prospects, données de navigation sur le site internet (voir article 11).

Les données sont collectées directement auprès des personnes concernées ou, s’agissant notamment des Contacts externes et des Utilisateurs créés par le Client, auprès du Client et de ses Utilisateurs. Tarao ne collecte pas de données dites « sensibles » au sens de l’article 9 du RGPD, et le Client s’engage à ne pas en enregistrer dans la solution.

Le QR code figurant sur les Étiquettes ne comporte aucune donnée personnelle lisible en clair : il est constitué d’identifiants techniques exploitables uniquement depuis l’application, par une personne habilitée.

4. Pourquoi et sur quelles bases légales ?

Les traitements dont Les Clés est responsable reposent sur les finalités et bases légales suivantes :

Finalité	Base légale	Personnes concernées
Gestion des comptes, abonnements et commandes d’Étiquettes	Exécution du contrat (art. 6.1.b RGPD)	Représentants du Client, Administrateurs
Authentification et gestion des accès des Utilisateurs	Exécution du contrat	Utilisateurs
Facturation, comptabilité, recouvrement	Obligation légale (art. 6.1.c) et exécution du contrat	Contacts de facturation
Support technique et fonctionnel	Exécution du contrat	Utilisateurs, représentants du Client
Sécurité de la solution, prévention des fraudes, journalisation	Intérêt légitime (art. 6.1.f) : sécuriser le service	Utilisateurs
Amélioration de Tarao, statistiques d’usage agrégées	Intérêt légitime : améliorer le service	Utilisateurs
Prospection commerciale auprès de professionnels	Intérêt légitime : développer l’activité B2B	Prospects, représentants du Client
Gestion du site internet et mesure d’audience	Intérêt légitime ou consentement selon les traceurs (voir art. 11)	Visiteurs

Les traitements opérés pour le compte du Client (article 2.2) reposent sur les bases légales déterminées par le Client, en sa qualité de responsable de traitement ; il lui appartient notamment d’informer ses collaborateurs et les tiers concernés.

5. Le cas particulier des Contacts externes

Lors de la remise d’un Trousseau à une personne extérieure à l’organisation du Client (intervenant, prestataire, locataire, etc.), l’Utilisateur saisit dans l’application les coordonnées de cette personne et la durée prévue de la remise ; la personne valide la remise en signant sur l’écran du terminal de l’Utilisateur. Elle ne crée aucun compte et ne dispose d’aucun accès à l’application.

Ce traitement est mis en œuvre sous la responsabilité du Client, pour ses besoins de traçabilité. Les Clés y intervient exclusivement en qualité de sous-traitant. Conformément aux CGV et aux CGU, le Client et ses Utilisateurs s’engagent à informer le Contact externe, au moment de la remise, de l’enregistrement de celle-ci dans TARAO et du traitement de ses coordonnées et de sa signature.

Le Contact externe peut exercer ses droits (article 10) auprès du Client, responsable de traitement. S’il s’adresse directement à Les Clés, sa demande est transmise sans délai au Client concerné, Les Clés apportant au Client toute l’assistance requise pour y répondre.

6. Qui accède aux données ?

Les données sont accessibles, dans la limite de leurs attributions et de leur besoin d’en connaître :

• Aux personnels habilités de Les Clés (support, administration technique, gestion commerciale) ;
• Aux Utilisateurs du Client, dans la limite des habilitations définies par le Client ;
• Aux sous-traitants ultérieurs de Les Clés, listés ci-dessous, intervenant pour les stricts besoins du service.

Prestataire	Prestation	Localisation et garanties
OVH SAS	Hébergement de la solution et des Données	Union européenne (France)
Stripe	Traitement des paiements par carte bancaire	Transfert possible vers les États-Unis, encadré par le cadre de protection des données UE–États-Unis (Data Privacy Framework) et/ou les clauses contractuelles types de la Commission européenne
Brevo	Envoi des emails transactionnels (codes de connexion, notifications)

En dehors de ces prestataires, Les Clés ne transfère pas de données personnelles en dehors de l’Union européenne. Les Clés ne vend ni ne loue les données personnelles à des tiers. Des données peuvent enfin être communiquées aux autorités légalement habilitées à en connaître, sur demande fondée en droit.

La liste des sous-traitants ultérieurs est tenue à jour et communiquée au Client sur demande. Le Client est informé de tout changement de sous-traitant ultérieur dans les conditions du DPA ou, à défaut, avec un préavis raisonnable lui permettant de formuler des objections légitimes.

Pour les traitements opérés pour le compte du Client, Les Clés s’engage, conformément à l’article 28 du RGPD, à :

• Ne traiter les données que sur instruction documentée du Client, matérialisée par les CGV, les CGU, le paramétrage de la solution et, le cas échéant, le DPA ;
• Garantir la confidentialité des données et s’assurer que les personnes autorisées à les traiter sont soumises à une obligation de confidentialité ;
• Mettre en œuvre les mesures techniques et organisationnelles appropriées visées à l’article 9 ;
• Ne recruter de sous-traitant ultérieur que dans les conditions de l’article 6 ;
• Assister le Client, dans la mesure du possible, pour répondre aux demandes d’exercice de droits et pour ses obligations en matière de sécurité, de notification de violations et d’analyses d’impact ;
• Notifier au Client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance ;
• Au terme du contrat, restituer puis supprimer les données dans les conditions de l’article 9 des CGV (réversibilité) ;
• Mettre à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations et permettre la réalisation d’audits, dans des conditions raisonnables convenues entre les parties.

Catégorie de données	Durée de conservation
Données de compte et d’utilisation de la solution (Trousseaux, Transferts, Réservations, Contenus, signatures)	Durée du contrat, puis restitution et suppression définitive dans les conditions de l’article 9 des CGV (demande de restitution sous 30 jours, suppression sous 60 jours au plus), sous réserve des obligations légales de conservation
Journaux de connexion et d’actions	Douze (12) mois maximum en base active, à des fins de sécurité et de preuve
Données de facturation et pièces comptables	Dix (10) ans à compter de la clôture de l’exercice, conformément au Code de commerce
Documents contractuels et preuves d’acceptation	Cinq (5) ans à compter de la fin du contrat (prescription de droit commun)
Données de prospection	Trois (3) ans à compter du dernier contact émanant du prospect
Données de navigation et traceurs	Selon les durées propres à chaque traceur, dans la limite de treize (13) mois (voir article 11)

À l’issue de ces durées, les données sont supprimées de manière définitive ou anonymisées de façon irréversible.

Les Clés met en œuvre des mesures techniques et organisationnelles appropriées au regard des risques, notamment : hébergement en France auprès d’OVH, chiffrement des communications (TLS), authentification par lien et code de sécurité à usage limité, gestion des habilitations par Profils, cloisonnement des données entre Clients, journalisation des accès et des actions, sauvegardes régulières et procédures de gestion des incidents.

Par conception, les Étiquettes ne portent aucune donnée personnelle lisible : la perte ou le vol d’une Étiquette ne donne accès à aucune information sur l’Objet suivi, le Client ou les personnes concernées.

En cas de violation de données susceptible d’engendrer un risque pour les droits et libertés des personnes, Les Clés notifie la violation à la CNIL et, le cas échéant, aux personnes concernées, dans les conditions des articles 33 et 34 du RGPD, et en informe le Client lorsqu’elle agit en qualité de sous-traitant.

Conformément au RGPD et à la Loi Informatique et Libertés, toute personne concernée dispose des droits suivants, dans les conditions et limites prévues par la réglementation : droit d’accès, de rectification, d’effacement, de limitation du traitement, d’opposition, de portabilité, ainsi que du droit de définir des directives relatives au sort de ses données après son décès.

• Pour les traitements dont Les Clés est responsable (article 2.1) : les demandes sont adressées à Les Clés, par email à dpo@tarao.eu ou par courrier au siège social. Une réponse est apportée dans un délai d’un (1) mois, prorogeable de deux (2) mois pour les demandes complexes ;
• Pour les traitements opérés pour le compte du Client (article 2.2), notamment les données des Utilisateurs et des Contacts externes liées à l’usage de la solution : les demandes sont adressées au Client, responsable de traitement. Toute demande reçue directement par Les Clés est transmise sans délai au Client concerné.

En cas de demande manifestement infondée ou excessive, Les Clés peut refuser d’y donner suite dans les conditions de l’article 12 du RGPD. Toute personne concernée dispose par ailleurs du droit d’introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

L’application Tarao utilise les seuls traceurs strictement nécessaires à son fonctionnement (authentification, maintien de session, sécurité), exemptés de consentement.

Le site internet de Tarao peut utiliser des traceurs de mesure d’audience et, le cas échéant, d’autres traceurs soumis à consentement. Dans ce cas, une bannière de recueil du consentement permet d’accepter, de refuser ou de paramétrer les traceurs, et le consentement peut être retiré à tout moment.

12. Mineurs

Taraoest une solution professionnelle destinée à des personnes majeures agissant dans un cadre professionnel. Elle n’est pas destinée aux mineurs et Les Clés ne collecte pas sciemment de données les concernant.

13. Modification de la présente politique

Les Clés peut modifier la présente politique afin de refléter les évolutions de la solution, de la réglementation ou de ses pratiques. Toute modification substantielle est portée à la connaissance des personnes concernées par notification dans l’application, par email ou par publication sur le site, avec indication de la date de mise à jour. La version en vigueur est celle accessible depuis l’application et le site de Tarao.

14. Contact

Pour toute question relative à la présente politique ou au traitement de vos données :

Les Clés SAS, 2 A La Burotte, 88120 Basse-sur-le-Rupt — dpo@tarao.eu.

Version 1.0 — Entrée en vigueur : 31/07/2026