Politique de confidentialité

Version du 17 octobre 2026

Cette politique explique quelles données personnelles nous traitons quand vous utilisez le site holboxdesign.com, la plateforme Holbox et les logiciels Rio, menDelayiev et Holbox Bridge, pourquoi, combien de temps, et comment exercer vos droits. Elle applique le Règlement général sur la protection des données (RGPD) et la loi Informatique et Libertés.

1. Responsable du traitement

Vera Cruz Video, [À COMPLÉTER : forme juridique, siège, n° RCS], qui exploite Holbox (voir les mentions légales).
Pour toute question sur vos données : contact@holboxdesign.com.

2. Données traitées, finalités et durées

Données	Pourquoi	Base légale	Durée de conservation
Compte : identifiant, adresse e-mail, mot de passe (jamais stocké en clair : empreinte bcrypt), rôle, langue, thème, image de profil (facultative), date de création, date et version des conditions acceptées	Créer et gérer votre compte, vous identifier, vous écrire au sujet du service	Exécution du contrat	Tant que le compte existe ; effacées à sa suppression
Sécurité : secret de double authentification (chiffré), codes de secours (empreintes), appareils de confiance, sessions de connexion, tentatives de connexion échouées, liens et codes de changement de mot de passe, liens de confirmation d'adresse e-mail, liens de choix d'un nouveau pseudo	Protéger l'accès à votre compte	Intérêt légitime et obligation de sécurité (art. 32 RGPD)	Appareil de confiance : 30 jours ; session : 30 jours au plus ; tentatives échouées : 15 minutes ; liens et codes : supprimés un jour après expiration ou utilisation
Vos contenus : projets, documents, fichiers importés, bibliothèque personnelle, rapports et leurs versions, partages	Fournir le service	Exécution du contrat	Tant que le compte existe ou jusqu'à ce que vous les supprimiez
Utilisation : temps d'utilisation cumulé par module (Électricité, Plan, Scène 3D…), date de dernière activité, nombre de PDF créés	Améliorer le service, connaître les comptes en ligne avant une maintenance	Intérêt légitime	Tant que le compte existe (compteurs cumulés, pas d'historique détaillé de navigation)
Support : sujet, message, pièces jointes, réponses	Traiter vos demandes	Exécution du contrat	Pièces jointes supprimées à la fermeture du ticket ; ticket supprimé 2 ans après sa fermeture
Invitation : adresse e-mail de la personne invitée	Envoyer l'invitation à créer un compte	Intérêt légitime	30 jours après l'expiration ou l'utilisation de l'invitation
Comptes Entreprise : nom de l'entreprise, membres	Gérer les accès partagés de l'entreprise	Exécution du contrat	Tant que l'entreprise existe
Logiciels Rio et menDelayiev : nom de l'ordinateur, système d'exploitation, versions installées, empreinte de l'ordinateur (calculée sur l'ordinateur, jamais son identifiant réel), dates d'appairage et de dernière connexion	Licence : au plus 2 ordinateurs par compte, vérification de l'abonnement au moins tous les 30 jours	Exécution du contrat	Tant que l'ordinateur est associé au compte (retirable dans Holbox › Applications)
Abonnement : formule, statut, dates (début, échéance, premier abonnement), identifiant client chez Stripe, retards de paiement et rappels envoyés, accès offert le cas échéant ; montants et factures (conservés par Stripe)	Facturer, gérer l'abonnement et l'accès au service, vous prévenir d'un paiement non passé	Exécution du contrat ; obligation légale	Tant que le compte existe ; factures et pièces comptables : 10 ans (article L.123-22 du Code de commerce)
Programme fabricants (seulement si vous faites une demande) : entreprise (nom, raison sociale, pays, adresse, site web, marques, numéro d'immatriculation et résultat de sa vérification), demandeur (prénom, nom, fonction, téléphone facultatif), type et fichiers de la pièce d'identité du demandeur (chiffrés), date d'acceptation des conditions du programme ; organisation (identifiant entreprise, membres), invitations de collègues (adresse e-mail) ; application Holbox Design Manufacturer Edition : produits envoyés (fiche, fichiers joints, échanges avec l'administrateur, auteur de chaque envoi), connexions de l'application (nom de l'ordinateur, version, date de dernière utilisation)	Vérifier qu'une demande vient bien d'un fabricant, puis gérer son organisation et son équipe	Exécution du contrat ; intérêt légitime (éviter les demandes frauduleuses)	Pièce d'identité : supprimée dès la décision (validation ou refus) ou au retrait de la demande ; demande en attente d'un complément sans réponse : supprimée après 60 jours ; demande refusée : supprimée 1 an après la décision ; organisation, demande validée et produits envoyés : tant que l'organisation existe (un produit publié reste dans la bibliothèque) ; connexions de l'application : jusqu'à leur déconnexion (depuis l'application ou la page Applications du site), au plus 1 an sans utilisation ; invitations : 30 jours après leur expiration ou leur utilisation

Le temps d'utilisation des logiciels est compté sur votre ordinateur et n'est jamais envoyé. Vos shows Rio, vos médias et vos mesures menDelayiev restent sur votre ordinateur ; menDelayiev efface ses enregistrements dès qu'ils sont analysés. Les pages web locales de Rio (télécommande audio, vue réalisateur) fonctionnent uniquement sur votre réseau local et ne passent pas par nos serveurs.

Nous ne faisons ni publicité, ni profilage, ni revente de données, et nous n'utilisons aucun outil de mesure d'audience externe.

3. Qui peut voir vos données

Les administrateurs de Holbox (personnel de Vera Cruz Video), pour gérer les comptes, répondre au support et assurer la modération de la bibliothèque. Un administrateur peut consulter la bibliothèque personnelle d'un compte pour la modération ou pour l'aider ; il ne consulte pas vos projets, sauf partage de votre part. Seul un administrateur voit la pièce d'identité d'une demande fabricant, le temps de la vérifier.
Les personnes avec qui vous partagez un projet, un document ou un lien. Un lien de partage est consultable par toute personne qui le possède, jusqu'à ce que vous le révoquiez.
Nos sous-traitants, uniquement pour ce qui les concerne :
- o2switch (hébergement du site, des données et des e-mails) — France ;
- Stripe (paiement des abonnements ; Stripe Payments Europe, Irlande) — Stripe traite vos données de paiement ; nous ne recevons jamais votre numéro de carte ;
- jsDelivr (réseau de diffusion qui fournit à votre navigateur certaines bibliothèques logicielles libres) — reçoit, comme tout site consulté, l'adresse IP de votre navigateur, mais aucune donnée de votre compte.
Les registres publics d'entreprises, pour une demande fabricant uniquement : le numéro d'immatriculation saisi (et rien d'autre) est envoyé par notre serveur à l'Annuaire des entreprises de l'État français (France) ou au service VIES de la Commission européenne (numéro de TVA), qui confirment qu'il existe.

Les polices de caractères sont servies par notre propre serveur : votre navigateur ne contacte pas Google.

4. Où sont vos données

Vos données sont hébergées en France. Le paiement par Stripe peut impliquer un transfert hors de l'Union européenne ; il est alors encadré par les garanties prévues par le RGPD (clauses contractuelles types de la Commission européenne, cadre de protection des données UE–États-Unis).

5. Cookies et stockage dans le navigateur

Holbox n'utilise que des éléments strictement nécessaires à son fonctionnement, qui ne demandent pas votre consentement :

cookie de session (rester connecté, 30 jours au plus) ;
cookie « appareil de confiance » (seulement si vous cochez la case lors de la double authentification, 30 jours) ;
préférence de langue (cookie et stockage local) et préférences d'affichage (stockage local).

Aucun cookie publicitaire, de mesure d'audience ou de réseau social.

6. Sécurité

Connexion chiffrée (HTTPS), mots de passe hachés (bcrypt), secrets de double authentification chiffrés, double authentification obligatoire pour les administrateurs, tentatives de connexion limitées, fichiers de chaque compte isolés, liens de partage et d'invitation conservés uniquement sous forme d'empreinte. Vous pouvez activer la double authentification dans Mon compte.

Des copies de la base sont prises avant chaque mise à jour du site et conservées 90 jours. L'hébergeur réalise en outre des sauvegardes de son infrastructure, conservées 45 jours. Une donnée supprimée disparaît de ces copies à la fin de leur durée de conservation.

En cas de violation de données présentant un risque pour vous, nous la notifions à la CNIL dans les 72 heures et, si le risque est élevé, nous vous en informons.

7. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de définir des directives sur leur sort après votre décès.

Directement dans Holbox, page Mon compte : modifier votre adresse e-mail et votre mot de passe, télécharger toutes vos données (archive .zip lisible sans Holbox), supprimer votre compte (effacement immédiat et définitif de vos données, sauf obligation légale de conservation).
Par e-mail : contact@holboxdesign.com. Nous répondons dans un délai d'un mois.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL : www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

8. Mineurs

Holbox s'adresse aux professionnels et aux particuliers majeurs. Un mineur ne peut utiliser Holbox qu'avec l'accord de ses représentants légaux.

9. Modifications

Si cette politique change de façon importante, nous vous en informons et vous demandons de l'accepter à votre prochaine connexion.

Privacy policy

Version of 17 October 2026

This is a translation provided for convenience. The French version is the only legally binding one.

This policy explains which personal data we process when you use the holboxdesign.com website, the Holbox platform and the Rio, menDelayiev and Holbox Bridge software, why, for how long, and how to exercise your rights. It applies the General Data Protection Regulation (GDPR) and the French Data Protection Act.

1. Data controller

Vera Cruz Video, [TO BE COMPLETED: legal form, registered office, RCS number], which operates Holbox (see the legal notice).
For any question about your data: contact@holboxdesign.com.

2. Data processed, purposes and retention

Data	Why	Legal basis	Retention
Account: username, e-mail address, password (never stored in clear: bcrypt hash), role, language, theme, profile picture (optional), creation date, date and version of the accepted terms	Create and manage your account, identify you, write to you about the service	Performance of the contract	As long as the account exists; erased when it is deleted
Security: two-factor secret (encrypted), backup codes (hashes), trusted devices, login sessions, failed login attempts, password reset links and codes, e-mail address confirmation links, links to choose a new username	Protect access to your account	Legitimate interest and security obligation (GDPR art. 32)	Trusted device: 30 days; session: 30 days at most; failed attempts: 15 minutes; links and codes: deleted one day after expiry or use
Your content: projects, documents, imported files, personal library, reports and their versions, shares	Provide the service	Performance of the contract	As long as the account exists or until you delete it
Usage: cumulative time per module (Electrical, Plan, 3D Scene…), last activity date, number of PDFs created	Improve the service, know which accounts are online before maintenance	Legitimate interest	As long as the account exists (cumulative counters, no detailed browsing history)
Support: subject, message, attachments, replies	Handle your requests	Performance of the contract	Attachments deleted when the ticket is closed; ticket deleted 2 years after closing
Invitation: e-mail address of the invited person	Send the invitation to create an account	Legitimate interest	30 days after the invitation expires or is used
Business accounts: company name, members	Manage the company's shared access	Performance of the contract	As long as the company exists
Rio and menDelayiev software: computer name, operating system, installed versions, computer fingerprint (computed on the computer, never its real identifier), pairing and last connection dates	Licensing: at most 2 computers per account, subscription checked at least every 30 days	Performance of the contract	As long as the computer is linked to the account (removable in Holbox › Applications)
Subscription: plan, status, dates (start, renewal, first subscription), Stripe customer identifier, late payments and reminders sent, offered access where applicable; amounts and invoices (kept by Stripe)	Invoice and manage the subscription and access to the service, warn you of a failed payment	Performance of the contract; legal obligation	As long as the account exists; invoices and accounting records: 10 years (article L.123-22 of the French Commercial Code)
Manufacturer programme (only if you apply): company (name, legal name, country, address, website, brands, registration number and the result of its check), requester (first name, last name, job title, optional phone number), type and files of the requester's identity document (encrypted), date the programme terms were accepted; organisation (company identifier, members), colleague invitations (e-mail address); Holbox Design Manufacturer Edition application: products sent (data sheet, attached files, messages with the administrator, author of each submission), application sign-ins (computer name, version, last use date)	Check that an application really comes from a manufacturer, then manage its organisation and team	Performance of the contract; legitimate interest (preventing fraudulent applications)	Identity document: deleted as soon as the decision is made (approval or rejection) or when the application is withdrawn; application waiting for more information with no answer: deleted after 60 days; rejected application: deleted 1 year after the decision; organisation, approved application and products sent: as long as the organisation exists (a published product stays in the library); application connections: until they are disconnected (from the application or the Applications page of the website), at most 1 year without use; invitations: 30 days after they expire or are used

Software usage time is counted on your computer and is never sent. Your Rio shows, your media and your menDelayiev measurements stay on your computer; menDelayiev deletes its recordings as soon as they are analysed. Rio's local web pages (audio remote, director view) only work on your local network and never go through our servers.

We do no advertising, no profiling, no data resale, and use no external audience measurement tool.

3. Who can see your data

Holbox administrators (Vera Cruz Video staff), to manage accounts, answer support requests and moderate the library. An administrator may view an account's personal library for moderation or to help; they do not view your projects unless you share them. Only an administrator sees the identity document of a manufacturer application, for the time needed to check it.
The people you share with: a project, a document or a link. A share link can be viewed by anyone who has it, until you revoke it.
Our processors, only for what concerns them:
- o2switch (hosting of the site, data and e-mails) — France;
- Stripe (subscription payments; Stripe Payments Europe, Ireland) — Stripe processes your payment data; we never receive your card number;
- jsDelivr (content delivery network that provides some open-source software libraries to your browser) — like any website you visit, it receives your browser's IP address, but no data from your account.
Public company registers, for a manufacturer application only: the registration number you enter (and nothing else) is sent by our server to the French government business directory (France) or to the European Commission VIES service (VAT number), which confirm that it exists.

Fonts are served by our own server: your browser does not contact Google.

4. Where your data is

Your data is hosted in France. Payment through Stripe may involve a transfer outside the European Union; it is then covered by the safeguards provided by the GDPR (European Commission standard contractual clauses, EU–US Data Privacy Framework).

5. Cookies and browser storage

Holbox only uses items that are strictly necessary for it to work, which do not require your consent:

session cookie (staying signed in, 30 days at most);
"trusted device" cookie (only if you tick the box during two-factor authentication, 30 days);
language preference (cookie and local storage) and display preferences (local storage).

No advertising, audience measurement or social network cookies.

6. Security

Encrypted connection (HTTPS), hashed passwords (bcrypt), encrypted two-factor secrets, mandatory two-factor authentication for administrators, limited login attempts, each account's files kept separate, share and invitation links stored only as hashes. You can enable two-factor authentication in My account.

Copies of the database are taken before each site update and kept for 90 days. The hosting provider also backs up its infrastructure; these backups are kept for 45 days. Deleted data disappears from these copies at the end of their retention period.

If a data breach puts you at risk, we notify the CNIL within 72 hours and, if the risk is high, we inform you.

7. Your rights

You have the right to access, rectify, erase, restrict, object to and port your data, and to set directives on what happens to it after your death.

Directly in Holbox, My account page: change your e-mail address and password, download all your data (.zip archive readable without Holbox), delete your account (immediate and permanent erasure of your data, except where the law requires us to keep it).
By e-mail: contact@holboxdesign.com. We reply within one month.

If you believe your rights are not respected, you can lodge a complaint with the CNIL (French data protection authority): www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France.

8. Minors

Holbox is intended for professionals and adult individuals. A minor may only use Holbox with the consent of their legal guardians.

9. Changes

If this policy changes significantly, we will let you know and ask you to accept it at your next sign-in.