Privacy Policy Politique de Confidentialité Datenschutzerklärung

1. Data Controller 1. Responsable du Traitement 1. Verantwortlicher

UPPYA is operated by Naam Consulting S.à r.l., a company registered in Luxembourg. UPPYA est opéré par Naam Consulting S.à r.l., société immatriculée au Luxembourg. UPPYA wird von Naam Consulting S.à r.l., einer in Luxemburg registrierten Gesellschaft, betrieben.

For any data protection inquiry, contact us at: Pour toute demande relative à la protection des données, contactez-nous à : Für Datenschutzanfragen kontaktieren Sie uns unter: privacy@uppya.lu

2. Data We Process 2. Données Traitées 2. Verarbeitete Daten

UPPYA processes data strictly necessary for the orchestration of recycling logistics flows: UPPYA traite les données strictement nécessaires à l'orchestration des flux logistiques de recyclage : UPPYA verarbeitet ausschließlich Daten, die für die Orchestrierung von Recycling-Logistikflüssen erforderlich sind:

• Account data: name, email, company, role — for authentication and role-based access Données de compte : nom, e-mail, entreprise, rôle — pour l'authentification et le contrôle d'accès basé sur les rôles Kontodaten: Name, E-Mail, Unternehmen, Rolle — für Authentifizierung und rollenbasierte Zugriffskontrolle
• Operational data: delivery plans, dispatches, shipments, weighing records — for logistics orchestration Données opérationnelles : plans de livraison, dispatches, expéditions, registres de pesée — pour l'orchestration logistique Betriebsdaten: Lieferpläne, Dispatches, Sendungen, Wiegeprotokolle — für Logistik-Orchestrierung
• Compliance data: EWC codes, DIWASS notification IDs, Annex VII documents — for regulatory compliance Données de conformité : codes EWC, identifiants de notification DIWASS, documents Annexe VII — pour la conformité réglementaire Compliance-Daten: EWC-Codes, DIWASS-Notifizierungs-IDs, Anhang-VII-Dokumente — für regulatorische Compliance
• Operator identifiers: EORI, DIWASS Operator IDs, VAT numbers — for cross-border waste shipment traceability Identifiants opérateurs : EORI, IDs Opérateurs DIWASS, numéros de TVA — pour la traçabilité des transferts transfrontaliers de déchets Betreiberkennungen: EORI, DIWASS-Betreiber-IDs, USt-IdNr. — für grenzüberschreitende Abfallverbringungsverfolgung
• Driver data: name, license number, phone, safety certification status — for driver safety protocol Données chauffeurs : nom, numéro de permis, téléphone, statut de certification sécurité — pour le protocole de sécurité chauffeur Fahrerdaten: Name, Führerscheinnummer, Telefon, Sicherheitszertifizierungsstatus — für das Fahrersicherheitsprotokoll
• Audit logs: timestamped records of all actions — for full traceability and compliance audits Journaux d'audit : enregistrements horodatés de toutes les actions — pour la traçabilité complète et les audits de conformité Audit-Logs: zeitgestempelte Aufzeichnungen aller Aktionen — für vollständige Rückverfolgbarkeit und Compliance-Audits

3. Legal Basis 3. Base Juridique 3. Rechtsgrundlage

We process personal data under the following legal bases per GDPR (EU) 2016/679: Nous traitons les données personnelles selon les bases juridiques suivantes du RGPD (UE) 2016/679 : Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen der DSGVO (EU) 2016/679:

• Contractual necessity (Art. 6(1)(b)): processing required to provide the UPPYA platform services Nécessité contractuelle (Art. 6(1)(b)) : traitement requis pour fournir les services de la plateforme UPPYA Vertragserfüllung (Art. 6(1)(b)): Verarbeitung zur Bereitstellung der UPPYA-Plattformdienste erforderlich
• Legal obligation (Art. 6(1)(c)): compliance with EU Regulation 1013/2006 (waste shipment), DIWASS requirements, and national waste tracking regulations Obligation légale (Art. 6(1)(c)) : conformité au Règlement UE 1013/2006 (transfert de déchets), exigences DIWASS et réglementations nationales de suivi des déchets Rechtliche Verpflichtung (Art. 6(1)(c)): Einhaltung der EU-Verordnung 1013/2006 (Abfallverbringung), DIWASS-Anforderungen und nationaler Abfallnachverfolgungsvorschriften
• Legitimate interest (Art. 6(1)(f)): audit trail, fraud prevention, and platform security Intérêt légitime (Art. 6(1)(f)) : piste d'audit, prévention de la fraude et sécurité de la plateforme Berechtigtes Interesse (Art. 6(1)(f)): Audit-Trail, Betrugsprävention und Plattformsicherheit

4. Data Residency & Security 4. Résidence des Données & Sécurité 4. Datenresidenz & Sicherheit

All data is hosted within the European Union. For on-premise deployments, data remains within the client's own infrastructure. Toutes les données sont hébergées au sein de l'Union Européenne. Pour les déploiements on-premise, les données restent dans l'infrastructure propre du client. Alle Daten werden innerhalb der Europäischen Union gehostet. Bei On-Premise-Deployments verbleiben die Daten in der eigenen Infrastruktur des Kunden.

• Encryption in transit (TLS 1.3) and at rest (AES-256) Chiffrement en transit (TLS 1.3) et au repos (AES-256) Verschlüsselung bei der Übertragung (TLS 1.3) und im Ruhezustand (AES-256)
• Role-based access control (RBAC) with 7 distinct roles Contrôle d'accès basé sur les rôles (RBAC) avec 7 rôles distincts Rollenbasierte Zugriffskontrolle (RBAC) mit 7 verschiedenen Rollen
• Multi-tenant isolation: each organization's data is strictly separated Isolation multi-tenant : les données de chaque organisation sont strictement séparées Multi-Tenant-Isolation: Daten jeder Organisation sind strikt getrennt
• BCrypt password hashing (cost factor 12) Hachage de mot de passe BCrypt (facteur de coût 12) BCrypt-Passwort-Hashing (Kostenfaktor 12)
• CSRF protection on all forms Protection CSRF sur tous les formulaires CSRF-Schutz auf allen Formularen
• Complete audit trail of all user actions Piste d'audit complète de toutes les actions utilisateur Vollständiger Audit-Trail aller Benutzeraktionen

5. Data Sharing 5. Partage des Données 5. Datenweitergabe

UPPYA shares data only when required: UPPYA partage les données uniquement lorsque requis : UPPYA gibt Daten nur bei Bedarf weiter:

• DIWASS (EU Hub): waste shipment notifications and movement documents, as required by Regulation 1013/2006 DIWASS (Hub UE) : notifications de transfert de déchets et documents de mouvement, conformément au Règlement 1013/2006 DIWASS (EU Hub): Abfallverbringungsnotifizierungen und Begleitdokumente, wie von Verordnung 1013/2006 vorgeschrieben
• Client's ERP: order and goods receipt data, via the client-configured integration ERP du client : données de commandes et de réception de marchandises, via l'intégration configurée par le client ERP des Kunden: Auftrags- und Wareneingangsdaten über die vom Kunden konfigurierte Integration
• Competent Authorities: only through the DIWASS platform, never directly Autorités compétentes : uniquement via la plateforme DIWASS, jamais directement Zuständige Behörden: nur über die DIWASS-Plattform, niemals direkt

We do not sell, rent, or share personal data with third parties for marketing purposes. Nous ne vendons, ne louons ni ne partageons aucune donnée personnelle avec des tiers à des fins marketing. Wir verkaufen, vermieten oder teilen personenbezogene Daten nicht mit Dritten zu Marketingzwecken.

6. Data Retention 6. Conservation des Données 6. Datenspeicherung

Operational data is retained for the duration of the service contract. Audit logs are retained for 7 years after the last transaction, in compliance with EU waste shipment record-keeping requirements. Upon contract termination, data is exported to the client and securely deleted within 90 days. Les données opérationnelles sont conservées pendant la durée du contrat de service. Les journaux d'audit sont conservés 7 ans après la dernière transaction, conformément aux exigences de conservation des registres de transfert de déchets de l'UE. En cas de résiliation du contrat, les données sont exportées vers le client et supprimées de manière sécurisée dans les 90 jours. Betriebsdaten werden für die Dauer des Servicevertrags gespeichert. Audit-Logs werden 7 Jahre nach der letzten Transaktion aufbewahrt, gemäß den EU-Anforderungen zur Aufbewahrung von Abfallverbringungsunterlagen. Bei Vertragsbeendigung werden die Daten an den Kunden exportiert und innerhalb von 90 Tagen sicher gelöscht.

7. Your Rights 7. Vos Droits 7. Ihre Rechte

Under GDPR, you have the right to: En vertu du RGPD, vous avez le droit de : Gemäß DSGVO haben Sie das Recht auf:

• Access your personal data Accéder à vos données personnelles Zugang zu Ihren personenbezogenen Daten
• Rectify inaccurate data Rectifier les données inexactes Berichtigung ungenauer Daten
• Request erasure (subject to legal retention obligations) Demander la suppression (sous réserve des obligations légales de conservation) Löschung (vorbehaltlich gesetzlicher Aufbewahrungspflichten)
• Restrict processing Limiter le traitement Einschränkung der Verarbeitung
• Data portability Portabilité des données Datenübertragbarkeit
• Object to processing Vous opposer au traitement Widerspruch gegen die Verarbeitung
• Lodge a complaint with the CNPD (Commission Nationale pour la Protection des Données, Luxembourg) Déposer une plainte auprès de la CNPD (Commission Nationale pour la Protection des Données, Luxembourg) Einreichung einer Beschwerde bei der CNPD (Commission Nationale pour la Protection des Données, Luxemburg)

Contact us at privacy@uppya.lu to exercise any of these rights. Contactez-nous à privacy@uppya.lu pour exercer l'un de ces droits. Kontaktieren Sie uns unter privacy@uppya.lu, um eines dieser Rechte auszuüben.

8. Cookies 8. Cookies 8. Cookies

UPPYA uses only strictly necessary session cookies for authentication and CSRF protection. We do not use tracking cookies, analytics pixels, or advertising cookies. UPPYA utilise uniquement des cookies de session strictement nécessaires pour l'authentification et la protection CSRF. Nous n'utilisons pas de cookies de suivi, de pixels analytiques ni de cookies publicitaires. UPPYA verwendet ausschließlich strikt notwendige Session-Cookies für Authentifizierung und CSRF-Schutz. Wir verwenden keine Tracking-Cookies, Analyse-Pixel oder Werbe-Cookies.