Privacy Policy

Optional analytics and diagnostics

You can choose audience analytics and session diagnostics separately. Google Analytics, provided by Google Ireland Limited, measures visits, campaign sources and conversions using browser identifiers, page views and usage events. It loads only after you consent to analytics. Its _ga and _ga_* cookies last up to 6 months (180 days), without extending their expiry on each visit. We do not send account identifiers, email addresses or the contents of your VMs to Google Analytics.

Optional session diagnostics uses self-hosted Sentry for masked session replay to understand navigation and errors. Replay starts only after you consent to this purpose. It masks text and inputs, blocks media and sensitive dashboard content, and excludes console logs and network request bodies. Technical error monitoring used to operate and secure the service is separate from this optional replay.

Accept, reject or customize these optional purposes without affecting access to Suji. Use “Privacy settings” in the footer to change or withdraw consent at any time; withdrawal stops future collection for the selected purpose and removes Google Analytics cookies when analytics is disabled. The __Host-suji_consent_v3 cookie remembers your choices for up to 6 months (180 days), separately on suji.cloud and app.suji.cloud. Campaign attribution is stored in your browser tab for up to 24 hours and cleared when analytics consent is withdrawn.

Google may process analytics data outside the European Union. Learn more in Google’s privacy policy and how Google uses information from sites that use its services. Contact [email protected] to exercise your data rights.

1. Data Controller

• Name: Farid Naderi EI
• Address: 1 Rue Marguerin, 75014 Paris, France
• Email: [email protected]

2. Data Collected

We collect the following categories of data:

• Account information: name, email address
• Connection data: IP address, connection logs, browser type
• Payment data: payment information is processed by our provider Stripe and is not stored on our servers
• Usage data: VM configuration, dashboard usage history
• Audience measurement and attribution: browser identifiers, page views, usage events, and the campaign parameters (UTM tags) present in the link you arrived through, so we can tell which campaigns bring people to Suji
• VM and app data: configuration and metadata of your VMs and the apps you install on them. The contents of your VMs belong to you; we access them only as needed to operate the Service

3. Purpose of Processing

Your personal data is processed for the following purposes:

• Service delivery: managing your account and deploying instances
• Billing: prepaid credit management, top-ups, and invoicing
• Support: responding to your requests and providing technical assistance
• Security: protecting the platform and detecting abuse
• Improvement: analytics and service enhancement
• Legal compliance: fulfilling regulatory obligations

4. Legal Basis

• Contract performance: account management, service delivery, billing
• Legitimate interest: security and essential service reliability
• Legal obligation: retention of billing data
• Consent: Google Analytics cookies and audience measurement, optional session replay, and marketing communications (where applicable)

5. Data Retention

• Account data: retained while your account is active. When you close your account, it enters a 30-day grace window during which you can restore it; after 30 days the account and its personal data are permanently deleted
• VM and app data: stored on the VM's disk, which is deleted with the VM when you destroy it. Snapshots are separate copies with their own lifecycle: manual snapshots are kept until you delete them while your account is funded. If your credit balance reaches €0, the VM is terminated with an automatic snapshot, and all snapshots and volumes enter a 7-day retention window before permanent deletion (lifted if you top up in time)
• Billing data: retained for 10 years in accordance with French tax law
• Connection logs: retained for 12 months in accordance with legal requirements
• Cookies: necessary session cookies support sign-in. The __Host-suji_consent_v3 cookie remembers optional privacy choices for up to 6 months (180 days). Google Analytics cookies last up to 6 months (180 days), without extending their expiry on each visit

6. Your Rights under GDPR

Under the GDPR and the French Data Protection Act, you have the following rights:

• Right of access: obtain confirmation that your data is being processed and receive a copy
• Right to rectification: request correction of inaccurate or incomplete data
• Right to erasure: request deletion of your personal data, subject to legal retention obligations
• Right to restriction: request suspension of data processing in certain cases
• Right to portability: receive your data in a structured, machine-readable format. You can export your account data yourself from Settings → Data in the dashboard, or contact us at [email protected]
• Right to object: object to the processing of your data on legitimate grounds

To exercise these rights, contact us at: [email protected]

We undertake to respond to your request within one month.

7. Right to Lodge a Complaint

If you believe that the processing of your personal data constitutes a violation of the GDPR, you have the right to lodge a complaint with the French Data Protection Authority (CNIL):

• Address: CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Website: www.cnil.fr

8. Third-Party Processors

We use the following third-party service providers to operate the Service:

• Stripe (San Francisco, USA): payment processing
• Hetzner Online GmbH (Gunzenhausen, Germany): cloud hosting
• Cloudflare, Inc. (San Francisco, USA): network, DNS, and HTTPS ingress
• Resend: transactional email delivery
• Google Ireland Limited (Dublin, Ireland): Google Analytics audience measurement, only with your consent

Error monitoring runs on self-hosted infrastructure within the EU and does not involve a third-party processor. Optional Google Analytics audience measurement is provided by Google as described above.

9. International Transfers

Your data may be transferred to processors located outside the European Union (for example, Stripe for payment processing, Cloudflare for network services, and Google for analytics). In such cases, we ensure that these transfers are governed by appropriate safeguards (EU Standard Contractual Clauses, adequacy decisions, etc.).

Our cloud hosting infrastructure is located within the European Union (Germany and Finland). This does not mean that all data processed by our other service providers remains in the EU.

10. Security

We implement appropriate technical and organisational measures to ensure the security and confidentiality of your personal data, including encryption of data in transit, encryption of sensitive values such as credentials and two-factor secrets before they are stored, instance isolation via dedicated virtual machines, and access control.

11. Changes to This Policy

We reserve the right to modify this privacy policy at any time. Any changes will be published on this page with an updated date. In the event of a material change, we will notify you by email.

Mesure d’audience et diagnostics facultatifs

Vous pouvez choisir séparément la mesure d’audience et le diagnostic des sessions. Google Analytics, fourni par Google Ireland Limited, mesure les visites, leur provenance et les conversions à l’aide d’identifiants de navigateur, de pages consultées et d’événements d’utilisation. Il est chargé uniquement après votre accord pour la mesure d’audience. Ses cookies _ga et _ga_* sont conservés 6 mois maximum (180 jours), sans prolongation de leur expiration à chaque visite. Nous ne transmettons à Google Analytics ni identifiants de compte, ni adresses email, ni contenu de vos VM.

Le diagnostic facultatif des sessions utilise Sentry auto-hébergé pour reconstituer des sessions masquées et comprendre la navigation et les erreurs. Il démarre uniquement après votre accord pour cette finalité. Les textes et champs sont masqués, les médias et contenus sensibles du tableau de bord sont bloqués, et les journaux de console et corps des requêtes réseau sont exclus. La supervision technique des erreurs nécessaire au fonctionnement et à la sécurité du service est distincte de ces sessions facultatives.

Vous pouvez accepter, refuser ou personnaliser ces finalités sans conséquence sur l’accès à Suji. Le lien « Privacy settings » ou « Confidentialité », selon la langue de la page, en bas de page permet de modifier ou retirer votre consentement à tout moment ; le retrait arrête les collectes futures pour la finalité concernée et supprime les cookies Google Analytics si la mesure d’audience est désactivée. Le cookie __Host-suji_consent_v3 conserve vos choix pendant 6 mois maximum (180 jours), séparément sur suji.cloud et app.suji.cloud. L’attribution des campagnes est conservée dans l’onglet du navigateur pendant 24 heures maximum et supprimée au retrait du consentement à la mesure d’audience.

Google peut traiter les données de mesure d’audience hors de l’Union européenne. Consultez la politique de confidentialité de Google et les informations sur l’utilisation des données provenant des sites qui utilisent ses services. Contactez [email protected] pour exercer vos droits.

1. Responsable du traitement

• Nom : Farid Naderi EI
• Adresse : 1 Rue Marguerin, 75014 Paris, France
• Email : [email protected]

2. Données collectées

Nous collectons les catégories de données suivantes :

• Données d'identification : nom, prénom, adresse email
• Données de connexion : adresse IP, logs de connexion, type de navigateur
• Données de paiement : les informations de paiement sont traitées par notre prestataire Stripe et ne sont pas stockées sur nos serveurs
• Données d'utilisation : configuration des VM, historique d'utilisation du tableau de bord
• Mesure d'audience et attribution : identifiants de navigateur, pages consultées, événements d’utilisation et paramètres de campagne (balises UTM) présents dans le lien par lequel vous êtes arrivé, afin d'identifier les campagnes qui font connaître Suji
• Données des VM et des applications : configuration et métadonnées de vos VM et des applications que vous y installez. Le contenu de vos VM vous appartient ; nous n'y accédons que dans la mesure nécessaire au fonctionnement du Service

3. Finalités du traitement

Vos données personnelles sont traitées pour les finalités suivantes :

• Gestion de votre compte utilisateur et authentification
• Fourniture et gestion du Service (déploiement et administration d'instances)
• Facturation : gestion du crédit prépayé, rechargements et factures
• Communication relative au Service (notifications, support technique)
• Amélioration du Service et statistiques d'utilisation
• Respect des obligations légales et réglementaires

4. Bases légales du traitement

• Exécution du contrat : gestion du compte, fourniture du Service, facturation
• Intérêt légitime : sécurité et fiabilité essentielle du Service
• Obligation légale : conservation des données de facturation
• Consentement : cookies et mesure d’audience Google Analytics, reconstitution facultative des sessions, et communications marketing (le cas échéant)

5. Durée de conservation

• Données de compte : conservées tant que le compte est actif. À la clôture du compte, un délai de grâce de 30 jours permet de le restaurer ; passé ce délai, le compte et ses données personnelles sont définitivement supprimés
• Données des VM et des applications : stockées sur le disque de la VM, supprimé avec elle lorsque vous la détruisez. Les instantanés sont des copies distinctes avec leur propre cycle de vie : les instantanés manuels sont conservés jusqu'à leur suppression par vos soins tant que le compte est approvisionné. Si votre solde atteint 0 €, la VM est résiliée avec un instantané automatique, et l'ensemble des instantanés et volumes entrent dans une fenêtre de rétention de 7 jours avant suppression définitive (levée si vous rechargez à temps)
• Données de facturation : conservées pendant 10 ans conformément aux obligations comptables et fiscales françaises
• Logs de connexion : conservés pendant 12 mois conformément aux obligations légales
• Cookies : les cookies de session nécessaires permettent la connexion. Le cookie __Host-suji_consent_v3 conserve vos choix facultatifs pendant 6 mois maximum (180 jours). Les cookies Google Analytics sont conservés 6 mois maximum (180 jours), sans prolongation de leur expiration à chaque visite

6. Vos droits (RGPD)

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès : obtenir la confirmation que des données vous concernant sont traitées et en obtenir une copie
• Droit de rectification : demander la correction de données inexactes ou incomplètes
• Droit d'effacement : demander la suppression de vos données personnelles, sous réserve des obligations légales de conservation
• Droit à la limitation du traitement : demander la suspension du traitement de vos données dans certains cas
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine. Vous pouvez exporter vos données de compte vous-même depuis Paramètres → Données du tableau de bord, ou nous contacter à [email protected]
• Droit d'opposition : vous opposer au traitement de vos données pour des motifs légitimes

Pour exercer ces droits, contactez-nous à : [email protected]

Nous nous engageons à répondre à votre demande dans un délai d'un mois.

7. Contact protection des données

Pour toute question relative à la protection de vos données personnelles :

• Email : [email protected]
• Adresse : 1 Rue Marguerin, 75014 Paris, France

8. Droit de réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• Adresse : CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Site web : www.cnil.fr

9. Sous-traitants

Nous faisons appel aux sous-traitants suivants pour le fonctionnement du Service :

• Stripe (San Francisco, États-Unis) : traitement des paiements
• Hetzner Online GmbH (Gunzenhausen, Allemagne) : hébergement cloud
• Cloudflare, Inc. (San Francisco, États-Unis) : réseau, DNS et ingress HTTPS
• Resend : envoi d'emails transactionnels
• Google Ireland Limited (Dublin, Irlande) : mesure d’audience Google Analytics, uniquement avec votre accord

La supervision des erreurs est réalisée sur une infrastructure auto-hébergée au sein de l'UE et ne fait pas appel à un sous-traitant tiers. La mesure d’audience facultative Google Analytics est fournie par Google, comme décrit ci-dessus.

10. Transferts internationaux

Vos données peuvent être transférées vers des sous-traitants situés en dehors de l'Union européenne (par exemple Stripe pour le paiement, Cloudflare pour les services réseau et Google pour la mesure d’audience). Dans ce cas, nous nous assurons que ces transferts sont encadrés par des garanties appropriées (clauses contractuelles types de la Commission européenne, décisions d'adéquation, etc.).

Notre infrastructure d’hébergement cloud est située au sein de l’Union européenne (Allemagne et Finlande). Cela ne signifie pas que toutes les données traitées par nos autres prestataires restent dans l’UE.

11. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour assurer la sécurité et la confidentialité de vos données personnelles, notamment le chiffrement des données en transit, le chiffrement des valeurs sensibles telles que les identifiants et les secrets de double authentification avant leur stockage, l'isolation des instances par machines virtuelles dédiées, et le contrôle d'accès.

12. Modifications

Nous nous réservons le droit de modifier la présente politique de confidentialité à tout moment. Toute modification sera publiée sur cette page avec une date de mise à jour. En cas de modification substantielle, nous vous en informerons par email.