Politique de confidentialité

En résumé

Knot Tools™ n’utilise aucun cookie publicitaire ni pixel publicitaire sur son site marketing, ni police de caractères externe. Une mesure d’audience sans cookie est assurée par Cloudflare Web Analytics (détail en section 2).

Si vous utilisez les produits commerciaux Knot Pro Pack ou Knot Migration, des traitements supplémentaires interviennent pour gérer votre licence, traiter votre paiement et, si vous le choisissez, alimenter une télémétrie technique strictement encadrée. Ces traitements sont décrits aux sections 2 à 8 ci-dessous.

Aucune donnée métier de votre instance Dolibarr ne quitte votre serveur. Les instantanés et rapports produits par Knot Migration sont anonymisés dès la collecte et demeurent stockés chez vous.

1. Responsable de traitement

Le responsable de traitement est Monsieur Sébastien Lucien AUDEL, entrepreneur individuel exerçant sous le nom commercial EXIATIS, dont le siège est situé Quartier Monnerot, 97231 Le Robert, Martinique, France (SIREN 798 027 397, SIRET 798 027 397 00024).

Aucun délégué à la protection des données (DPO) n’a été désigné, l’entreprise n’y étant pas légalement tenue (article 37 du RGPD). Toute question relative à la présente politique peut être adressée par courriel à contact at knot dot tools ou par voie postale à l’adresse du siège.

2. Traitements liés au site marketing knot.tools

Le site marketing est statique. Il n’utilise aucun cookie publicitaire, aucun pixel publicitaire, aucune police externe. Une mesure d’audience sans cookie est assurée par Cloudflare Web Analytics (voir ci-dessous). Les autres traitements liés au site (démo, documentation, téléchargements, formulaire bêta, courriel) sont décrits dans les sous-sections suivantes.

Si vous nous contactez par courriel (contact at knot dot tools) : votre adresse électronique et le contenu de votre message sont reçus dans notre messagerie hébergée par IONOS SE (Allemagne, UE/EEE). Ils sont traités sur la base de votre demande (intérêt légitime, art. 6.1.f du RGPD) et conservés pendant une durée maximale de 3 ans à compter du dernier échange. Vous pouvez à tout moment demander leur effacement par retour de courriel.

Mesure d’audience — Cloudflare Web Analytics

Le tableau de bord Cloudflare injecte une balise de mesure d’audience Cloudflare Web Analytics (Cloudflare Inc., États-Unis) sur knot.tools. Ce service est sans cookie : aucun cookie n’est déposé pour cette mesure. Cloudflare peut traiter l’adresse IP (et des métadonnées techniques de requête) afin de produire des statistiques d’audience agrégées.

Finalité : mesure d’audience du site marketing. Base légale : intérêt légitime (art. 6.1.f du RGPD). Transfert : traitement par Cloudflare Inc. encadré par les Clauses contractuelles types de la Commission européenne (décision 2021/914) et le DPA Cloudflare, déjà cités pour Cloudflare dans la présente politique. Aucune bannière de consentement n’est requise au titre de cette mesure, faute de cookie publicitaire.

2.1 Comptes démo Knot Core en libre-service (/try/)

La page /try/ permet de générer un accès temporaire à la démo partagée demo.knot.tools sans création de compte commercial et sans collecte d’adresse électronique sur knot.tools.

Données traitées par Knot Tools™ (responsable de traitement)

Ces données sont pseudonymes : le visiteur ne peut pas réidentifier lui-même le hash d’IP. Toute demande d’opposition peut être adressée à contact at knot dot tools ; l’effet pratique reste limité tant qu’aucune identité directe n’est collectée sur knot.tools.

Aucun cookie n’est déposé par knot.tools sur /try/ (préférence de thème éventuelle : stockage local du navigateur uniquement, hors cookie traceur).

Vérification anti-bot — Cloudflare Turnstile (sous-traitant)

Avant la génération d’un accès, un widget Cloudflare Turnstile vérifie que la demande n’est pas automatisée. Cloudflare peut traiter :

• l’adresse IP du visiteur ;
• le User-Agent ;
• des signaux techniques anti-bot (sans profilage publicitaire côté knot.tools).

Finalité : prévention d’attaques automatisées. Base légale : intérêt légitime (art. 6.1.f). Transfert : traitement par Cloudflare Inc. (États-Unis) encadré par les Clauses contractuelles types de la Commission européenne (décision 2021/914) et le DPA Cloudflare. Cloudflare indique que Turnstile n’utilise pas de cookie de suivi publicitaire : annonce produit Turnstile. Si cette pratique évoluait, la présente politique serait mise à jour et, le cas échéant, un consentement explicite serait sollicité.

2.2 Centre de documentation docs.knot.tools

Le sous-domaine docs.knot.tools héberge la documentation utilisateur statique de Knot Tools™ (guides, FAQ, dépannage).

• Aucun cookie n’est déposé par docs.knot.tools : pas de session, pas d’analytics, pas de traceur publicitaire.
• Stockage local du navigateur (localStorage) : Starlight peut mémoriser uniquement votre préférence d’affichage clair/sombre (starlight-theme). Cette donnée reste sur votre appareil et n’est jamais transmise à nos serveurs ; elle n’est pas un cookie au sens CNIL/RGPD.
• Recherche Pagefind : l’index de recherche est téléchargé puis interrogé entièrement dans votre navigateur. Vos requêtes de recherche ne sont pas envoyées à un service tiers ni journalisées par Knot Tools™.
• Pas de CDN tiers au démarrage : polices, scripts et assets sont servis depuis docs.knot.tools (hébergement Plesk, UE).

Aucune donnée personnelle n’est collectée pendant une simple consultation de la documentation, sauf les journaux techniques habituels de l’hébergeur (adresse IP, horodatage, URL demandée) pour la sécurité et la disponibilité du service.

2.3 Téléchargement Knot Core (/downloads/knot-core/)

Les liens /downloads/knot-core/latest (ou une version précise X.Y.Z) permettent de télécharger l’archive ZIP du module Knot Core (GPL). Aucun compte n’est requis.

ipinfo.io (Cloudflare Inc., États-Unis) peut traiter l’IP lors de la lookup géo, encadré par les Clauses contractuelles types (décision 2021/914) et le DPA Cloudflare. Aucun cookie n’est déposé par knot.tools lors du téléchargement.

Quota anti-abus : 10 téléchargements non-bot par adresse IP sur 1 heure. Les clients automatisés évidents (curl, robots) sont marqués comme bots : le ZIP peut être servi, mais ils ne déclenchent pas de notification instantanée et ne consomment pas le quota humain.

2.4 Demande d’accès bêta extensions (/beta/)

La page /beta/ permet de demander l’accès bêta aux extensions commerciales Knot Pro Pack et Knot Migration. Knot Core se télécharge séparément, sans formulaire.

Les données sont transmises à license.knot.tools (backend Knot Tools™) après validation anti-bot.

Un widget Cloudflare Turnstile protège le formulaire (mêmes garanties que la section 2.1). Aucun cookie marketing n’est déposé par knot.tools sur /beta/.

3. Traitements liés à license.knot.tools (portail commercial)

Le portail license.knot.tools permet l’achat, le renouvellement, l’activation et le téléchargement des extensions commerciales Knot Pro Pack et Knot Migration. Informations réglementaires complémentaires sur le portail : license.knot.tools/legal. Identité éditrice knot.tools : mentions légales.

3.1. Données de commande et de facturation

Les données complètes de carte bancaire ne sont jamais accessibles à l’éditeur. Elles sont collectées et traitées par Stripe Payments Europe Ltd, sous-traitant certifié PCI-DSS niveau 1 (cf. section 7).

3.2. Données de licence et d’activation

L’empreinte d’instance est un hash cryptographique calculé localement à partir de paramètres d’installation (URL, identifiant d’entité, sel local). Il n’est pas réversible vers l’URL d’origine par l’éditeur.

3.3. Cookie de session administrateur

Le portail utilise un unique cookie de session strictement nécessaire à l’authentification de l’administrateur Client. Conformément à l’article 82 de la loi « Informatique et Libertés » modifiée, ce cookie est exempté de consentement préalable. Il :

• ne contient aucune donnée de profilage ;
• expire à la fermeture du navigateur ou après 24 h d’inactivité ;
• n’est ni relié à un cookie tiers ni utilisé à des fins analytiques.

4. Traitements liés au module Knot Migration installé chez le Client

4.1. Anonymisation et minimisation côté produit

Knot Migration est conçu pour traiter exclusivement la structure de votre instance Dolibarr (noms des tables, des colonnes, des classes PHP, modules installés). Aucune donnée métier n’est jamais lue ni transmise hors de votre serveur.

Les compteurs agrégés produits par les analyseurs (par exemple nombre approximatif de factures) sont arrondis aux ordres de grandeur (10, 100, 1 000, 10 000…) avant tout traitement ou transmission éventuelle, conformément aux principes de minimisation (art. 5.1.c du RGPD) et de protection des données dès la conception (art. 25 du RGPD).

Les rapports d’analyse générés par Knot Migration restent intégralement stockés sur votre instance. L’éditeur n’y a jamais accès, sauf si vous lui transmettez explicitement un extrait dans le cadre d’une demande d’assistance support.

4.2. Pseudonymisation des noms de modules

Les noms techniques des modules « custom » susceptibles d’être indirectement identifiants sont pseudonymisés (hash + numéro d’ordre, classe ModuleNamePseudonymizer) avant toute transmission éventuelle dans les rapports PDF exportés ou dans la télémétrie opt-in de niveau 2.

4.3. Modale d’acquittement au premier export PDF

Au premier export de rapport PDF par un utilisateur Dolibarr donné, une modale informative présente le contenu et la portée du document. L’acquittement est journalisé (table llx_knot_migration_pdf_export_acks) à des fins de traçabilité.

4.4. Audit semestriel d’anonymisation

L’éditeur réalise un audit semestriel des règles d’anonymisation afin de s’assurer qu’aucune donnée personnelle ne fuit accidentellement dans les instantanés ou rapports transmis à ses serveurs. Les conclusions de cet audit sont conservées en interne pendant 5 ans.

5. Télémétrie produit Knot Migration

Knot Migration intègre une fonction de télémétrie organisée en trois niveaux indépendants, conçue selon le principe de protection des données dès la conception (art. 25 du RGPD).

Niveau 1 — Strictement nécessaire au service (activé par défaut, sans opt-in)

Ce niveau couvre uniquement :

• la validation périodique de votre licence : envoi du activation_code, du fingerprint d’instance, d’un horodatage, d’une signature cryptographique ;
• la journalisation des erreurs critiques sous forme de codes anonymisés (par exemple E_LICENSE_EXPIRED, E_SCANNER_TIMEOUT), avec la version de Knot Migration et la version de PHP — sans pile d’appels, sans message libre, sans donnée métier, sans adresse IP nominative.

Cette télémétrie est nécessaire pour permettre à l’éditeur d’honorer son engagement contractuel de disponibilité du service et d’assistance. Elle repose sur la nécessité contractuelle (art. 6.1.b RGPD) conjointement avec un intérêt légitime au regard de la sécurité du service (art. 6.1.f RGPD). Aucun consentement spécifique n’est sollicité. Durée de conservation maximale : 12 mois.

Niveau 2 — Amélioration du produit (opt-in, désactivé par défaut)

Si vous activez ce niveau depuis l’écran « Confidentialité & télémétrie » dans l’administration Knot Migration, peuvent être transmis :

• la version de Dolibarr, de PHP et de Knot Core utilisée ;
• la liste des modules tiers détectés sur votre instance (nom technique et version uniquement ; pseudonymisation par hash + ordre lorsque le nom peut être indirectement identifiant) ;
• la durée des analyses ;
• la taille agrégée de l’instance (nombre approximatif d’enregistrements par grande famille, sans données nominatives, arrondie à un ordre de grandeur).

Aucune configuration de module, aucun secret, aucune donnée métier ne sont transmis. Base légale : consentement (art. 6.1.a RGPD). Durée maximale : 24 mois. Révocable à tout moment, sans impact sur le fonctionnement du logiciel.

Niveau 3 — Catalogue collaboratif (opt-in, désactivé par défaut, indépendant du niveau 2)

Vos retours qualitatifs sur la compatibilité des modules tiers (court champ libre : « fonctionne », « erreurs mineures », « incompatible », etc.) alimentent un catalogue collaboratif entre utilisateurs de Knot Migration. Base légale : consentement (art. 6.1.a RGPD). Durée maximale : 36 mois. Révocable à tout moment.

Conformité à l’article 7 §4 du RGPD (consentement libre)

Le retrait du consentement aux niveaux 2 ou 3 est sans incidence sur la disponibilité ou le fonctionnement du niveau 1 et du produit. Conformément à l’article 7 §4 du RGPD, l’exécution du contrat n’est pas subordonnée au consentement aux niveaux 2 ou 3.

Traçabilité des consentements

Chaque action utilisateur (activation ou désactivation) produit une entrée dans le registre des consentements, conservée 5 ans, comportant : identifiant de l’utilisateur Dolibarr ayant agi, niveau concerné, action (octroi ou retrait), horodatage UTC, version du composant d’interface, version de la présente politique, hash de preuve d’information préalable.

6. Soumissions volontaires de modules

Knot Migration permet de soumettre volontairement la fiche technique d’un module Dolibarr inconnu aux fins d’enrichissement du catalogue collaboratif.

Chaque soumission fait l’objet d’un consentement explicite et distinct au moment de l’envoi (case à cocher non pré-cochée, libellé clair décrivant le contenu transmis). Aucun consentement global ou rétroactif n’est exigé.

Données transmises : charge utile JSON anonymisée contenant le nom technique du module (modifiable par l’utilisateur avant envoi), sa version, ses dépendances déclarées, ses tables et hooks déclarés. Aucune configuration utilisateur, aucun secret, aucune donnée métier.

Adresse de courriel optionnelle : vous pouvez indiquer un contact pour être informé des suites données à votre soumission. Elle est conservée séparément, uniquement à cette fin, et supprimée sur demande ou après deux ans sans activité.

Droit à l’effacement spécifique : vous pouvez demander la suppression d’une soumission en écrivant à contact at knot dot tools en précisant la référence de la soumission. Effet visé sous 30 jours.

7. Sous-traitants

Cette liste est tenue à jour. Toute évolution substantielle est notifiée par mise à jour de la présente politique.

8. Transferts hors Union européenne

L’essentiel des traitements demeure dans l’EEE :

• IONOS SE (Allemagne) : site marketing, messagerie, backend du portail — pas de transfert hors UE aux fins décrites ci-dessus.
• Stripe Payments Europe Ltd (Irlande) : traitements principaux en UE.

Des transferts vers les États-Unis peuvent intervenir pour :

• Stripe — transferts internes vers Stripe Inc., encadrés par les Clauses contractuelles types (décision 2021/914) et, le cas échéant, le cadre EU–US Data Privacy Framework lorsque Stripe Inc. est certifié ;
• Cloudflare (Web Analytics sur knot.tools ; Turnstile sur /try/ et /beta/) — traitement par Cloudflare Inc. encadré par les Clauses contractuelles types (décision 2021/914) et le DPA Cloudflare (lien).

Aucun autre transfert hors UE délibéré n’est mis en œuvre par l’éditeur pour les finalités décrites dans la présente politique.

9. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d’accès : obtenir copie des données personnelles que nous détenons vous concernant ;
• Droit de rectification : corriger toute donnée inexacte ;
• Droit à l’effacement (« droit à l’oubli ») : sous réserve de nos obligations légales de conservation (notamment pièces comptables : 10 ans) ;
• Droit à la limitation du traitement ;
• Droit d’opposition  aux traitements fondés sur l’intérêt légitime ;
• Droit à la portabilité ;
• Droit de retirer votre consentement, pour les traitements fondés sur le consentement, à tout moment, sans porter atteinte à la licéité des traitements antérieurs ;
• Droit d’introduire une réclamation auprès de la CNIL : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France — www.cnil.fr.

Pour exercer ces droits, écrivez à contact at knot dot tools en précisant votre demande. Réponse sous un mois (prorogeable de deux mois lorsque la complexité ou le volume l’exige, après information préalable).

10. Sécurité

L’éditeur met en œuvre les mesures techniques et organisationnelles appropriées :

• Chiffrement en transit : communications HTTP avec license.knot.tools en TLS 1.2 minimum.
• Chiffrement de bout en bout : instantanés de référence livrés au Client sont chiffrés avec sa clé publique.
• Cloisonnement : données de licence, télémétrie et soumissions stockées séparément.
• Sauvegardes : chiffrées, conservées dans l’EEE.
• Contrôle d’accès : accès restreint au personnel habilité, journaux conservés.
• Audit semestriel d’anonymisation (cf. section 4.4).

En cas de violation de données personnelles susceptible d’engendrer un risque pour vos droits et libertés, l’éditeur en notifie la CNIL sous 72 h (art. 33 RGPD) et vous informe sans délai injustifié (art. 34 RGPD).

11. Évolutions de la présente politique

La présente politique peut être modifiée pour tenir compte de l’évolution réglementaire, des produits ou des sous-traitants. Toute évolution substantielle affectant les niveaux 2 ou 3 de télémétrie ou les sous-traitants traitant des données personnelles fait l’objet d’une information par courriel aux Clients concernés.

Chaque version est archivée avec identifiant de version et peut être obtenue sur demande à contact at knot dot tools.

12. Contact

Pour toute question relative à la présente politique ou à l’exercice de vos droits :

• Courriel : contact at knot dot tools
• Voie postale : Sébastien AUDEL — EXIATIS, Quartier Monnerot, 97231 Le Robert, Martinique, France.

Vous pouvez également saisir la CNIL : www.cnil.fr/fr/plaintes.