Politique de confidentialité

1. Qui nous sommes et comment nous joindre

VARANTECH ENERJİ SAN. TİC. LTD. ŞTİ. (« Quote3D », « nous ») exploite le service Quote3D à l’adresse quote3d.com. Nous sommes établis à Ankara, en Türkiye.

Nous n’avons pas désigné de délégué à la protection des données. Nous n’y sommes pas tenus, car nous n’effectuons pas de suivi à grande échelle de personnes et nous ne traitons pas de catégories particulières de données à grande échelle à titre d’activité de base.

Représentant dans l’Union européenne (article 27 du RGPD) : « REPRÉSENTANT UE — à compléter avant publication ». Représentant au Royaume-Uni (article 27 du UK GDPR) : « REPRÉSENTANT UK — à compléter avant publication ».

Tant que ces mentions ne sont pas complétées, les personnes situées dans l’Union européenne et au Royaume-Uni doivent nous contacter directement à [email protected] ; nous répondrons dans les délais légaux indiqués à la section 11.

• Adresse postale : Fevzi Çakmak Mah. Orhan Gazi Cad. No:92/A, Sincan, Ankara, Türkiye
• Adresse e-mail pour toute question de confidentialité, y compris les demandes et les réclamations : [email protected]

2. Quand c’est nous qui décidons, et quand c’est votre fournisseur

Il existe deux situations distinctes, et vos droits s’exercent différemment dans chacune.

Nous sommes responsable du traitement lorsque vous traitez directement avec nous : vous visitez quote3d.com, créez un compte, téléversez un modèle, demandez un devis, souscrivez un abonnement, utilisez l’API avec vos propres identifiants ou contactez le support. La présente politique couvre ce traitement.

Nous sommes sous-traitant lorsque vous nous atteignez via le site d’un tiers. Nos clients intègrent un widget Quote3D sur leurs propres sites. Si vous avez téléversé un fichier pour obtenir un devis auprès d’un atelier d’impression, cet atelier est le responsable du traitement et décide des finalités du traitement de vos données ; nous agissons sur ses instructions. Dans ce cas, exercez vos droits auprès de lui. Si vous nous écrivez à nous, nous ne répondrons pas sur le fond, car ce ne sont pas nos données — nous vous inviterons à le contacter et nous l’informerons de votre demande. Les conditions régissant cette relation figurent dans notre Accord de traitement des données.

3. Ce que nous collectons et d’où cela provient

L’essentiel provient directement de vous. Lorsque ce n’est pas le cas, la source est nommée.

Nous ne demandons pas de catégories particulières de données au sens de l’article 9 du RGPD, et le service n’est pas conçu pour en recevoir. Sachez qu’un modèle anatomique, dentaire ou prothétique peut porter des informations de santé. Si tel est votre cas d’usage, contactez-nous avant de téléverser afin que nous convenions des conditions adaptées.

4. Pourquoi nous traitons vos données et sur quelle base légale

Une base légale est indiquée par finalité, et non sous forme de liste générale. Lorsque nous nous fondons sur l’intérêt légitime, l’intérêt concerné est nommé et nous l’avons mis en balance avec vos droits.

Nous n’utilisons ni vos données à caractère personnel, ni vos fichiers téléversés, ni votre géométrie pour entraîner des modèles d’apprentissage automatique. Nous ne vendons pas de données à caractère personnel. Nous n’utilisons pas les contenus téléversés à des fins publicitaires.

5. La fourniture de données est-elle obligatoire ?

L’article 13, paragraphe 2, point e), exige que nous soyons clairs sur ce point.

• Une adresse e-mail est une exigence contractuelle : sans elle nous ne pouvons ni créer un compte, ni vous authentifier, ni vous envoyer le devis. Si vous ne la fournissez pas, nous ne pouvons pas fournir le service.
• Un fichier de modèle est nécessaire à l’exécution du contrat de devis. Sans fichier, il n’y a rien à analyser, donc aucun devis ne peut être produit.
• Les coordonnées de facturation sont une exigence contractuelle et légale pour les formules payantes. Sans elles, un abonnement ne peut être ni établi ni facturé.
• Les cookies de mesure d’audience et de publicité sont entièrement facultatifs. Les refuser ne vous coûte rien : le service fonctionne à l’identique.
• Les données techniques et de sécurité sont collectées automatiquement dans le cadre du traitement d’une requête sur internet et ne peuvent pas être désactivées pendant l’utilisation du service.

6. Qui reçoit vos données

Il s’agit de catégories et de destinataires nommés, et non d’une référence vague à des « partenaires de confiance ». La liste complète des sous-traitants ultérieurs, avec les données que chacun reçoit et le lieu de traitement, est publiée à l’adresse /legal/subprocessors.

Chacun d’eux est lié par un contrat qui limite ce qu’il peut faire des données. Nous ne communiquons de données à caractère personnel à personne d’autre.

• Lemon Squeezy — marchand officiel pour les formules payantes : paiement, encaissement, détermination des taxes et de la TVA, facturation, renouvellements. Reçoit votre nom, votre e-mail, votre pays de facturation et vos coordonnées de facturation.
• Google — fait fonctionner l’assistant d’assistance en direct par IA via l’API Gemini. Reçoit le texte intégral des messages que vous y saisissez ainsi que les réponses. Il ne reçoit ni vos fichiers téléversés, ni votre géométrie, ni vos identifiants, ni vos données de facturation.
• Google — reCAPTCHA pour la protection contre les robots, nécessaire et chargé sans consentement distinct ; Tag Manager et la mesure d’audience, qui ne se chargent que si vous acceptez les cookies d’audience ; AdSense, qui ne se charge que si vous acceptez les cookies marketing ; et la connexion fédérée, si vous la choisissez.
• Meta — connexion fédérée, uniquement si vous la choisissez.
• Notre prestataire d’acheminement d’e-mails — messages transactionnels tels que liens de connexion, vérification, réinitialisation de mot de passe et avis de facturation.
• Nos prestataires d’hébergement, de base de données et de cache — ils détiennent l’ensemble des données stockées, les fichiers téléversés étant conservés sous forme chiffrée.
• Les juridictions, régulateurs et autres autorités compétentes, lorsque la loi nous impose une divulgation.
• Un acquéreur ou un successeur, en cas de cession ou de réorganisation de l’entreprise. Nous vous en informerions avant que vos données ne passent à un autre responsable du traitement.

7. Transferts internationaux

Nous sommes établis en Türkiye, et les serveurs qui font fonctionner le service, hébergent la base de données et stockent vos fichiers sont situés en Türkiye, exploités pour notre compte par VG Telekomünikasyon Tic. Ltd. Şti. Vos fichiers téléversés ne quittent donc pas la Türkiye. Certains de nos autres prestataires — paiement, assistant IA, protection contre les robots et, si vous y consentez, mesure d’audience et publicité — traitent des données aux États-Unis et dans l’Union européenne.

Tant que la Commission européenne n’en adopte pas, il n’existe pas de décision d’adéquation pour la Türkiye. Lorsque nous transférons des données à caractère personnel depuis l’Espace économique européen ou le Royaume-Uni vers un prestataire situé en dehors, nous nous fondons sur les clauses contractuelles types approuvées par la décision d’exécution (UE) 2021/914 de la Commission et, pour le Royaume-Uni, sur l’International Data Transfer Addendum. Vous pouvez obtenir une copie des clauses sur lesquelles nous nous fondons, ainsi que de l’analyse de transfert qui les sous-tend, en écrivant à [email protected].

Un point est souvent énoncé de manière erronée, aussi l’énonçons-nous correctement : lorsque vous vous trouvez dans l’Espace économique européen et que vous nous transmettez vous-même vos propres données — en vous inscrivant, en téléversant un fichier ou en écrivant au support —, il ne s’agit pas d’un transfert soumis au chapitre V du RGPD, car vous n’êtes pas exportateur de données. Ce que couvre le chapitre V, c’est le flux de nos clients professionnels vers nous, et nos flux ultérieurs vers les prestataires nommés à la section 6. Ce sont ces transferts que les clauses ci-dessus protègent.

Lorsque le droit turc s’applique, nous nous fondons sur les mécanismes prévus à l’article 9 de la loi n° 6698 et effectuons dans les délais toute déclaration exigée par la réglementation applicable.

8. Combien de temps nous les conservons

Des durées concrètes, comme l’exige l’article 13, paragraphe 2, point a). Elles sont appliquées par une tâche de nettoyage planifiée, et non simplement souhaitées.

Lorsqu’un enregistrement relève de plusieurs durées, la plus longue s’applique, et uniquement pour la finalité qui la justifie.

• Fichiers téléversés n’ayant produit aucun devis : supprimés 24 heures après le téléversement. Il s’agit d’un réglage de l’exploitant ; s’il est modifié, la présente politique est modifiée avec lui, et vous pouvez nous demander sur quelle valeur il est réglé aujourd’hui.
• Fichiers téléversés ayant produit un devis : supprimés 365 jours après leur dernière utilisation. Demander un nouveau devis à partir d’un fichier remet ce délai à zéro. L’exploitant peut raccourcir cette durée dans les paramètres d’administration ; si elle est modifiée, la présente politique est modifiée avec elle.
• Enregistrements de devis, c’est-à-dire le prix, les paramètres et les mesures dérivées sans le fichier : conservés tant que votre compte est ouvert, afin que votre historique de devis reste à votre disposition.
• Résultats dérivés de l’analyse géométrique : conservés dans un cache partagé indexé par l’empreinte du contenu du fichier, afin qu’un fichier identique n’ait pas à être recalculé. Ils contiennent des mesures, non le contenu du fichier, et le lien avec votre compte est supprimé lorsque le fichier l’est.
• Journaux d’audit, journaux d’utilisation de l’API et journaux système : 90 jours. L’adresse IP et l’agent utilisateur enregistrés avec un devis sont effacés au terme du même délai ; l’enregistrement du devis est conservé, seuls ces deux champs sont vidés. Il s’agit d’un réglage de l’exploitant ; s’il est modifié, la présente politique est modifiée avec lui, et vous pouvez nous demander sur quelle valeur il est réglé aujourd’hui.
• Jetons de réinitialisation de mot de passe et de vérification d’e-mail : 7 jours. Sessions de téléversement utilisées : 24 heures.
• Données de compte : conservées tant que votre compte est ouvert. Vous pouvez supprimer le compte vous-même depuis les paramètres du tableau de bord, et cela se produit immédiatement plutôt que sous 30 jours. Avant que vous ne confirmiez, cet écran énumère chaque enregistrement qui survit à la suppression ainsi que la raison juridique de chacun.
• Enregistrements de consentement, y compris la copie du texte que vous avez accepté : conservés 3 ans après la fin de l’abonnement, car ils constituent notre preuve de ce qui a été convenu. Le droit américain relatif au renouvellement automatique nous l’impose également.
• Documents de facturation, de comptabilité et fiscaux : conservés pendant la durée exigée par le droit fiscal applicable, laquelle survit au compte.
• Sauvegardes chiffrées : écrasées selon leur cycle de rotation et supprimées au plus tard 35 jours après la suppression des données du système actif. Jusque-là, elles ne servent qu’à la reprise après sinistre.

9. Comment nous les protégeons

Nous décrivons nos mesures avec précision plutôt qu’en termes généraux, car une allégation de sécurité exagérée constitue en elle-même un risque juridique et parce que nous sommes tenus par ce que nous publions ici.

La limite de cette protection, énoncée sans détour : le chiffrement au repos protège le support de stockage. Ce n’est pas un chiffrement de bout en bout. Le service doit déchiffrer un modèle pour l’analyser, nous sommes donc techniquement en mesure d’accéder au contenu des fichiers, et vous ne devez pas supposer le contraire.

Aucun système n’est absolument sûr. Si une violation de données à caractère personnel susceptible d’engendrer un risque élevé pour vos droits et libertés survient, nous vous en informerons sans retard injustifié et nous notifierons les autorités compétentes dans les délais qui nous sont applicables.

• Les fichiers téléversés sont chiffrés au repos avec AES-256-GCM, au moyen d’une clé dérivée pour chaque fichier via HKDF-SHA256 à partir d’une clé maîtresse et d’un sel aléatoire propre au fichier.
• Le format de fichier stocké porte un identifiant de clé, de sorte que les clés maîtresses peuvent être renouvelées et retirées sans réécrire les fichiers existants.
• Les fichiers sont stockés en trames authentifiées de 256 Ko. Chaque trame porte sa propre étiquette d’authentification, et le nonce et les données authentifiées supplémentaires de chaque trame la lient à sa position et à la fin de fichier, de sorte que les trames ne peuvent être réordonnées ni supprimées, ni le flux tronqué, sans détection.
• Le trafic vers et depuis nos interfaces publiques est protégé par TLS.
• L’accès aux données de production est fondé sur les rôles et accordé selon le principe du besoin d’en connaître ; les fichiers sont isolés par compte avec des permissions de système de fichiers restrictives ; les jetons d’API sont à portée limitée et soumis à limitation de débit ; des échecs de connexion répétés verrouillent le compte.
• Les sauvegardes sont chiffrées. La disponibilité du service est supervisée. Les durées de conservation sont appliquées par des tâches planifiées, et non par de bonnes intentions.
• Les modifications sont couvertes par une suite de tests automatisés, comprenant des contrôles de non-régression qui vérifient l’application des consentements et le contenu de ces documents juridiques.

10. Traitement automatisé

Un devis est produit automatiquement : le moteur découpe votre modèle et calcule un prix sans examen humain. Nous avons pris position sur ce que cela signifie juridiquement plutôt que de laisser la question de côté.

Selon notre appréciation, un devis de prix automatisé pour un travail d’impression n’est pas une décision produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire au sens de l’article 22, paragraphe 1, du RGPD. C’est une estimation de prix que vous êtes libre d’accepter, de refuser ou d’obtenir ailleurs, et rien de vos droits ou de votre statut n’en est modifié.

Nous ne traitons donc pas l’établissement du devis comme une décision automatisée au sens de l’article 22. Si vous n’êtes pas d’accord dans votre cas particulier, écrivez-nous : vous pouvez demander que la base d’un devis soit expliquée et réexaminée par une personne. En droit turc, l’article 11, paragraphe 1, point g), de la loi n° 6698 vous donne un droit exprès de vous opposer à un résultat produit exclusivement par une analyse automatisée lorsqu’il joue en votre défaveur, et nous l’honorerons.

11. Vos droits

Sous réserve du droit qui vous est applicable, vous disposez des droits suivants. Vous les exercez tous de la même manière : envoyez un e-mail à [email protected] depuis l’adresse figurant sur votre compte, ou donnez-nous suffisamment d’éléments pour retrouver vos enregistrements.

Lorsque la loi turque n° 6698 s’applique, son article 11 vous donne en outre le droit de savoir si vos données ont été transférées sur le territoire national ou à l’étranger et à qui, de demander que des tiers soient informés d’une correction ou d’une suppression, et de réclamer réparation du préjudice résultant d’un traitement illicite.

Ces demandes sont gratuites. Nous accusons réception d’une demande sous 5 jours ouvrés et y répondons sous 30 jours. Lorsqu’une demande est complexe, nous pouvons prolonger ce délai et vous en indiquerons la raison avant l’expiration du délai initial. Nous vous demanderons de justifier votre identité, et rien de plus.

Si vous êtes mécontent de la manière dont nous avons traité une demande, dites-le-nous. Nous accusons réception des réclamations sous 30 jours et vous indiquons ce que nous comptons faire.

• Accès — obtenir la confirmation que nous traitons ou non vos données, une copie de celles-ci et les informations de la présente politique telles qu’elles vous concernent.
• Rectification — faire corriger des données inexactes et compléter des données incomplètes.
• Effacement — faire supprimer vos données lorsque les conditions légales sont réunies. Vous n’avez pas à le demander : les paramètres du tableau de bord comportent un bouton de suppression qui efface le compte immédiatement. Avant que vous ne confirmiez, il nomme chaque enregistrement qu’une obligation légale nous impose de conserver, et pourquoi.
• Limitation — faire limiter le traitement le temps qu’un litige sur l’exactitude ou la licéité soit résolu.
• Opposition — vous opposer à un traitement fondé sur nos intérêts légitimes, pour des raisons tenant à votre situation particulière. Nous cesserons, sauf à démontrer des motifs légitimes impérieux prévalant sur vos intérêts.
• Portabilité — recevoir les données que vous nous avez fournies dans un format structuré, couramment utilisé et lisible par machine, et les faire transmettre à un autre responsable du traitement lorsque c’est techniquement possible. Les paramètres du tableau de bord comportent un bouton de téléchargement qui produit cela sous la forme d’un unique fichier JSON. Vos secrets d’API en sont délibérément exclus.
• Retrait du consentement — à tout moment, pour tout ce que nous faisons sur la base du consentement, sans affecter la licéité du traitement antérieur au retrait. Le consentement aux cookies se retire via la bannière cookies ; le consentement à l’assistant et aux e-mails marketing se retire en nous écrivant.
• Réclamation auprès d’une autorité de contrôle — dans l’Espace économique européen, l’autorité de votre pays de résidence, de travail ou du lieu de la violation alléguée ; au Royaume-Uni, l’Information Commissioner’s Office ; en Türkiye, l’Autorité de protection des données personnelles (KVKK). Vous n’êtes pas tenu de vous plaindre d’abord auprès de nous.

12. Cookies, Do Not Track et Global Privacy Control

Nous utilisons quatre catégories de cookies : nécessaires, mesure d’audience, marketing et fonctionnels. Tout, sauf les cookies nécessaires, est désactivé par défaut et ne se charge qu’après votre acceptation via notre bannière cookies. Notre Politique relative aux cookies décrit chaque catégorie.

Do Not Track : notre service ne réagit pas différemment à un signal Do Not Track du navigateur. Il n’existe pas de norme sectorielle convenue sur la manière dont un site devrait y réagir, et nous préférons vous le dire clairement plutôt que de laisser entendre une protection que nous n’offrons pas.

Global Privacy Control : nous respectons bien le signal Global Privacy Control. Lorsque votre navigateur en envoie un, nous le traitons comme un refus des cookies de mesure d’audience et de marketing, et ces technologies ne sont pas chargées. Le signal prévaut sur une acceptation antérieure dans notre bannière, car un refus qu’un clic précédent pourrait annuler ne serait pas un refus. Si vous souhaitez activer la mesure d’audience ou la publicité, désactivez le signal dans votre navigateur.

Autres parties collectant des données d’un site à l’autre : si — et seulement si — vous acceptez les cookies de mesure d’audience ou de marketing, Google peut collecter des informations sur votre activité sur ce site et les combiner dans le temps avec des informations provenant d’autres sites, en sa qualité de prestataire de mesure d’audience et de publicité. Si vous refusez ces catégories, cette collecte n’a pas lieu ici. Les technologies nécessaires, dont reCAPTCHA, fonctionnent en tout état de cause, mais elles servent la sécurité et non la constitution d’un profil vous concernant.

13. Californie

Cette section est fournie aux résidents de Californie. Nous n’atteignons pas actuellement les seuils qui soumettent une entreprise au California Consumer Privacy Act, mais nous publions cette information parce que le California Online Privacy Protection Act s’applique quelle que soit notre taille, et parce que nous préférons que vous puissiez vérifier.

Vous pouvez demander l’accès à vos informations personnelles, leur suppression et leur correction, et vous ne serez pas traité différemment pour l’avoir demandé. Utilisez la voie de contact indiquée à la section 11.

Lorsque nous agissons en qualité de prestataire de services pour l’un de nos clients professionnels, nous traitons les informations de ses consommateurs uniquement selon ses instructions et selon les conditions contractuelles définies dans notre Accord de traitement des données.

• Catégories d’informations personnelles collectées au cours des 12 derniers mois : identifiants (nom, e-mail, identifiant de compte, adresse IP) ; informations commerciales (abonnement, formule et enregistrements de transactions) ; activité internet (pages consultées, interaction avec le service) ; géolocalisation déduite uniquement au niveau du pays à partir de votre adresse IP, à des fins fiscales et linguistiques ; et le contenu que vous soumettez, c’est-à-dire vos fichiers et vos messages au support.
• Sources : vous, votre navigateur, notre prestataire de paiement et le fournisseur d’identité que vous choisissez pour vous connecter.
• Finalités commerciales : celles indiquées à la section 4.
• Catégories de tiers auxquels nous divulguons : ceux nommés à la section 6.
• Nous ne vendons pas d’informations personnelles et n’en avons pas vendu au cours des 12 mois écoulés.
• Partage à des fins de publicité comportementale intercontextuelle : nos technologies publicitaires ne se chargent que si vous avez accepté les cookies marketing. Si vous les acceptez, la publicité qui en résulte peut constituer un « partage » au sens du droit californien. Refuser les cookies marketing, ou envoyer un signal Global Privacy Control, y met fin.
• Nous ne collectons pas sciemment d’informations personnelles auprès de personnes de moins de 18 ans, et nous ne vendons ni ne partageons donc les informations personnelles de mineurs.
• Conservation : comme indiqué à la section 8.

14. Âge

Le service s’adresse aux personnes âgées de 18 ans ou plus. Vous devez avoir 18 ans pour créer un compte, et les formules payantes requièrent la capacité de contracter.

Nous ne collectons pas sciemment de données à caractère personnel auprès de personnes de moins de 18 ans. Si vous pensez qu’un mineur nous a communiqué des données à caractère personnel, écrivez à [email protected] et nous les supprimerons. Si vous êtes parent ou tuteur et souhaitez vérifier, contactez-nous et nous vous aiderons.

15. Modifications de la présente politique

La date d’effet en haut de cette page est la date à laquelle la rédaction actuelle a pris effet. Elle ne change que lorsque la rédaction change, de sorte que vous pouvez vous y fier.

Lorsque nous apportons une modification substantielle — qui affecte ce que nous collectons, pourquoi, qui le reçoit, combien de temps nous le conservons ou vos droits —, nous en informerons les titulaires de compte par e-mail au moins 30 jours avant son entrée en vigueur, et nous indiquerons ce qui a changé. Lorsqu’une modification requiert votre consentement, nous le demanderons plutôt que de le présumer.

Les versions antérieures sont disponibles sur demande.