POLITIQUE DE CONFIDENTIALITÉ — QANARY Version en vigueur au 27 mai 2026.

PRÉAMBULE ET IDENTITÉ : La présente Politique de Confidentialité décrit la manière dont la société QANARY (ci-après « QANARY » ou « le Fournisseur ») collecte, utilise et protège les données à caractère personnel dans le cadre de ses Services de test automation. QANARY, SAS au capital de 60 000 euros, immatriculée au RCS de GRENOBLE sous le numéro SIREN 100 667 419 (SIRET : 100 667 419 00012), dont le siège social est situé au 29 Chem. du Vieux Chêne, 38240 Meylan, France, agit en qualité de Responsable de Traitement pour ses propres besoins (gestion des comptes, marketing, prospection, mesure d’audience) et en qualité de Sous-traitant pour le compte de ses Clients concernant les données injectées dans la Plateforme. Le responsable du traitement est Monsieur Antoine BOUCHET, Président. Contact : [email protected].

ARTICLE 1 – DONNÉES COLLECTÉES ET ORIGINES : QANARY collecte des données directement auprès de l’utilisateur ou via l’usage de la Plateforme. Les catégories de données traitées incluent : (i) Coordonnées de contact : nom, prénom, adresse e-mail professionnelle ; (ii) Informations professionnelles : titre du poste, fonction, nom de l’entreprise ; (iii) Informations de trafic web : données fournies par le navigateur telles que le type de navigateur, la langue, l’adresse du site référent et l’adresse IP collectée exclusivement pour des impératifs de sécurité et de prévention des fraudes ; (iv) Informations de compte : identifiants de connexion (pas de mot de passe, l’authentification reposant sur un lien magique transmis par courrier électronique) ; (v) Workflow et contenus : toute donnée ou métadonnée rendue disponible lors de l’utilisation de la plateforme d’automatisation par IA ; (vi) Données de mesure d’audience et d’analyse d’usage, collectées via l’outil PostHog uniquement après recueil du consentement préalable de l’Utilisateur : enregistrements de session (interactions clavier et souris avec masquage par défaut des champs de saisie sensibles, mots de passe et moyens de paiement), événements d’interface (clics, navigation, fonctionnalités utilisées), journaux applicatifs côté navigateur (erreurs JavaScript, traces de console), identifiant technique pseudonyme PostHog, et métadonnées techniques associées (URL, user-agent, résolution d’écran). QANARY peut également collecter des informations issues de bases de données publiques ou de tiers à des fins de prospection commerciale sur la base de son intérêt légitime.

ARTICLE 2 – FINALITÉS ET BASES LÉGALES DU TRAITEMENT : Le traitement des données repose sur les bases légales suivantes : (i) Exécution du contrat : gestion des demandes de contact, support technique, fourniture et surveillance des Services ; (ii) Intérêt légitime : amélioration de la Plateforme, prospection commerciale directe via des sources professionnelles, et sécurisation des infrastructures ; (iii) Consentement : envoi de newsletters et d’offres promotionnelles via un système de double opt-in, ainsi que mesure d’audience comportementale, enregistrement de sessions et capture de journaux applicatifs via PostHog, conformément à l’article 82 de la loi Informatique et Libertés et à l’article 6.1.a) du RGPD ; ce consentement est recueilli préalablement à tout dépôt de traceurs au moyen du bandeau dédié, et peut être retiré à tout moment, sans justification et sans frais, depuis le lien « Gérer mes cookies » présent en pied de page de la Plateforme ; (iv) Obligations légales : facturation et comptabilité. QANARY se réserve le droit d’utiliser des versions anonymisées et décontextualisées des scénarios de tests pour l’amélioration de ses modèles d’IA, ce traitement n’étant plus soumis au RGPD une fois l’anonymisation irréversible effectuée.

ARTICLE 3 – DROITS DES UTILISATEURS ET EXERCICE : Chaque utilisateur dispose des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de ses données. L’utilisateur peut également définir des directives post-mortem concernant le sort de ses données. Ces droits s’exercent par simple demande par e-mail à [email protected]. En cas de litige non résolu, une réclamation peut être déposée auprès de la CNIL.

ARTICLE 4 – CONSERVATION ET LOCALISATION DES DONNÉES : Les données personnelles sont conservées pendant la durée de la relation contractuelle. En cas de compte inactif, les données sont supprimées après un délai maximal de trois (3) ans. Les documents comptables sont conservés dix (10) ans. Les enregistrements de session, événements et journaux applicatifs collectés via PostHog sont conservés pendant une durée maximale de trente (30) jours à compter de leur collecte, à l’issue de laquelle ils sont supprimés ou agrégés de manière irréversible. QANARY garantit que l’hébergement principal de la Plateforme est situé au sein de l’Union Européenne. Les données collectées via PostHog sont hébergées sur l’infrastructure européenne de PostHog (région UE, Francfort, Allemagne). Les courriers électroniques transactionnels acheminés par Resend sont traités sur l’infrastructure européenne du prestataire (région UE, Dublin, Irlande). Les communications marketing acheminées par Brevo sont traitées sur l’infrastructure européenne du prestataire. Ces traitements ne donnent lieu à aucun transfert hors Union Européenne. Par exception, certaines catégories limitées de données sont transmises à des prestataires établis aux États-Unis : (i) les adresses IP des Utilisateurs sont transmises à ipinfo.io aux seules fins de sécurité et de prévention des fraudes, sans réutilisation ultérieure ; (ii) les prompts en langage naturel et les captures d’écran des interfaces testées par l’Utilisateur sont transmis à OpenAI aux fins de mise en œuvre des fonctionnalités d’intelligence artificielle, et conservés par OpenAI pendant une durée maximale de trente (30) jours à des fins de détection d’abus, sans être utilisés pour l’entraînement de ses modèles. Ces transferts sont encadrés par les Clauses Contractuelles Types adoptées par la Commission Européenne. En cas d’utilisation ultérieure d’outils tiers (paiement, analytique, emailing) pouvant impliquer un transfert hors UE, QANARY s’engage à ce que ces transferts soient encadrés par des garanties appropriées équivalentes.

ARTICLE 5 – DESTINATAIRES ET SÉCURITÉ : L’accès aux données à caractère personnel est strictement limité aux équipes internes de QANARY habilitées en raison de leurs fonctions, ainsi qu’aux sous-traitants techniques agissant sur instruction documentée de QANARY au titre de l’article 28 du RGPD. À la date des présentes, ces sous-traitants comprennent notamment : OVH (hébergement de la Plateforme, Union Européenne) ; PostHog (mesure d’audience, enregistrement de sessions et capture de journaux applicatifs, hébergement région UE) ; Resend (acheminement des courriers électroniques transactionnels liés à l’utilisation des Services, notamment liens d’authentification, notifications de plan, rapports d’exécution et alertes opérationnelles) ; Brevo (acheminement des newsletters et communications marketing adressées sur la base du consentement de l’Utilisateur) ; ipinfo.io (enrichissement de l’adresse IP de l’Utilisateur aux seules fins de sécurité et de prévention des fraudes, sans conservation ni réutilisation ultérieure de la donnée enrichie au-delà du contrôle de sécurité) ; et OpenAI (mise en œuvre des fonctionnalités d’intelligence artificielle de la Plateforme, comprenant la transmission de prompts en langage naturel et de captures d’écran des interfaces testées par l’Utilisateur, aux fins de génération, d’interprétation et de réparation autonome des scénarios de tests ; les données ainsi transmises ne sont pas utilisées par OpenAI pour l’entraînement de ses modèles, conformément à la politique applicable à son interface de programmation, et sont conservées par OpenAI pendant une durée maximale de trente (30) jours à des fins de détection d’abus). Un accord de traitement (DPA) a été conclu avec chacun de ces sous-traitants. QANARY met en œuvre des mesures de sécurité techniques (chiffrement SSL/TLS, hachage, masquage des champs sensibles dans les enregistrements de session) et organisationnelles pour prévenir tout accès non autorisé. En cas de violation de données présentant un risque élevé, QANARY notifiera la CNIL sous 72 heures et les utilisateurs concernés dans les meilleurs délais.

ARTICLE 6 – COOKIES, TRACEURS ET ENREGISTREMENT DE SESSIONS : La Plateforme utilise deux catégories distinctes de traceurs. (i) Traceurs strictement nécessaires : ils sont indispensables au fonctionnement des Services (gestion de la session authentifiée, protection contre la falsification de requête CSRF, mémorisation des préférences d’affichage) et ne requièrent pas de consentement préalable conformément à l’article 82 de la loi Informatique et Libertés. Le cookie de session a une durée de vie maximale de trente (30) jours. (ii) Traceurs soumis à consentement : déposés et activés uniquement après recueil du consentement préalable de l’Utilisateur via le bandeau dédié, ils permettent la mesure d’audience, l’enregistrement de sessions et la capture de journaux applicatifs au moyen de l’outil PostHog (cookies et entrées de stockage local préfixés « ph_ », durée maximale de trente (30) jours). L’enregistrement de sessions consiste en la captation différée des interactions de l’Utilisateur avec l’interface (mouvements de souris, clics, frappes clavier, navigation), à des fins d’amélioration de l’ergonomie et de diagnostic d’incidents ; les champs de saisie, mots de passe et moyens de paiement sont masqués par défaut et ne sont jamais transmis à PostHog. L’Utilisateur peut à tout moment, sans justification et sans frais, accepter, refuser ou retirer son consentement aux traceurs soumis à consentement depuis le lien « Gérer mes cookies » présent en pied de page de la Plateforme ; le refus ou le retrait du consentement n’affecte pas la disponibilité ou la qualité des Services. L’Utilisateur peut également paramétrer son navigateur pour refuser le dépôt des traceurs strictement nécessaires, étant précisé que cela peut dégrader le fonctionnement de la Plateforme.

ARTICLE 7 – MODIFICATIONS ET CONTACT : QANARY peut modifier la présente politique à tout moment. Toute modification substantielle sera notifiée par e-mail avec un préavis de trente (30) jours. Pour toute question, contactez le support à [email protected].