2.1. Introduction
BeauDossier s'engage à protéger la vie privée des utilisateurs de son Service. La présente Politique de Confidentialité explique quelles données personnelles nous collectons, pourquoi nous les collectons, comment nous les utilisons et quels sont vos droits.
Cette politique est conforme au Règlement Général sur la Protection des Données (UE 2016/679, "RGPD") et à la loi française Informatique et Libertés du 6 janvier 1978 modifiée.
2.2. Responsable du traitement
Hajar Bouzekri (BeauDossier)
- 200 rue de la Croix Nivert, 75015 Paris, France
- SIREN 899 874 226
- Email : contact@beaudossier.fr
2.3. Données collectées
2.3.1. Données fournies par vous lors de l'inscription
- Adresse email
- Nom et prénom (optionnel)
- Mot de passe (haché de manière irréversible, jamais accessible en clair)
2.3.2. Données fournies lors de l'utilisation du Service
- Contenus des documents créés (présentations et one pagers)
- Inputs d'onboarding et de génération IA
- Préférences (thème visuel, logo personnalisé, etc.)
2.3.3. Données de paiement (uniquement plans payants)
Les données de paiement (numéro de carte, date d'expiration, CVV) sont traitées exclusivement par Stripe. BeauDossier ne stocke aucune donnée de carte bancaire. BeauDossier conserve uniquement :
- Identifiant client Stripe
- Statut d'abonnement (plan actif, dates)
- Factures (10 ans, obligation comptable)
2.3.4. Données techniques collectées automatiquement
- Adresse IP (anonymisée pour les analytics)
- Type de navigateur et système d'exploitation
- Logs d'usage du Service (pour sécurité et débogage)
- Rapports d'erreurs techniques (Sentry), pouvant inclure un enregistrement de la page affichée au moment d'une erreur
- Cookies (voir Politique de cookies)
2.3.5. Données sensibles
BeauDossier ne collecte AUCUNE donnée sensible au sens de l'article 9 du RGPD (données de santé, opinions politiques, origine ethnique, orientation sexuelle, etc.). Si vous incluez de telles données dans le contenu de vos documents, vous le faites sous votre seule responsabilité et nous vous recommandons fortement de ne pas le faire.
2.4. Finalités et bases légales
| Finalité | Base légale | Données utilisées |
|---|---|---|
| Création et gestion de votre compte | Exécution du contrat (art. 6.1.b RGPD) | Email, nom, mot de passe |
| Fourniture du Service (génération IA) | Exécution du contrat | Inputs utilisateurs, contenus créés |
| Facturation et comptabilité | Obligation légale (art. 6.1.c RGPD) | Identité, montant, factures |
| Support client | Intérêt légitime (art. 6.1.f RGPD) | Email, contenu de la demande |
| Sécurité du Service (détection abus) | Intérêt légitime | Logs, IP |
2.5. Durée de conservation
- Compte actif : durée de votre abonnement + 3 ans après dernière connexion
- Compte supprimé par l'utilisateur : 30 jours pour permettre la rétractation, puis suppression définitive
- Factures : 10 ans (obligation fiscale française)
- Logs techniques : 12 mois maximum
- Cookies de consentement : 13 mois maximum
2.6. Sous-traitants et co-responsable de traitement
BeauDossier fait appel à différents prestataires techniques qui traitent vos données pour fournir le Service. Tous sont engagés par contrat (Data Processing Agreement) à respecter le RGPD.
Important, distinction juridique : la plupart de nos prestataires agissent comme sous-traitants (Data Processors) qui traitent vos données exclusivement pour notre compte selon nos instructions. Clerk fait exception : pour les informations de compte (email, nom, mot de passe haché, identifiants de session), Clerk agit comme co-responsable de traitement (independent controller) au sens du RGPD. Cela signifie que Clerk peut utiliser ces données pour ses propres finalités liées à la sécurité, à l'administration et à l'amélioration de son service d'authentification.
Sous-traitants (Data Processors)
| Sous-traitant | Rôle | Localisation | Garanties |
|---|---|---|---|
| OpenAI Ireland Ltd. | Génération de contenu IA | Irlande (UE) | DPA signé, RGPD direct |
| Tavily | Recherche de données sourcées | États-Unis | DPA + SCC (transferts UE) |
| Supabase Inc. | Base de données et stockage | Singapour (serveurs UE pour clients EU) | DPA signé, SCC, TIA disponible |
| Stripe Payments Europe Ltd. | Traitement des paiements | Irlande (UE) | DPA inclus dans les Terms |
| Netlify, Inc. | Hébergement frontend | États-Unis | DPA, SCC |
| Railway Corporation | Hébergement backend | États-Unis | DPA, SCC |
| CloudConvert GmbH | Conversion de documents (export PPTX) | Allemagne (UE), région eu-central | DPA |
| Upstash / Redis | Stockage des compteurs de limitation de débit (rate limiting) | Allemagne (UE), région eu-central-1 (Francfort), sur AWS | DPA |
| CookieYes Limited | Gestion du consentement aux cookies | Royaume-Uni | Décision d'adéquation UE + SCC, DPA en vigueur |
| Sentry | Suivi des erreurs techniques ; peut enregistrer la page affichée au moment d'une erreur | Allemagne (UE), pour le site | Conformément aux conditions du prestataire |
| Google (Google Fonts) | Chargement des polices de caractères ; transmet l'adresse IP du visiteur à Google | Serveurs de Google | Conformément aux conditions du prestataire |
Co-responsable de traitement (Independent Controller)
| Service | Rôle | Localisation | Garanties |
|---|---|---|---|
| Clerk, Inc. | Authentification utilisateur (gestion comptes, sessions, mots de passe) | États-Unis | DPA + EU-U.S. Data Privacy Framework (DPF) + SCC. Représentant UE : VeraSafe Ireland Ltd. |
Concernant Clerk : pour les informations de compte que vous nous fournissez (email, nom, mot de passe), Clerk peut traiter ces données non seulement pour notre compte mais aussi pour ses propres finalités liées à la sécurité de son service, à la conformité légale et à l'amélioration de ses fonctionnalités. La politique de confidentialité complète de Clerk est consultable sur https://clerk.com/legal/privacy. Si vous souhaitez exercer des droits sur ces données auprès de Clerk directement, vous pouvez les contacter à privacy@clerk.dev.
Important concernant OpenAI : les données envoyées à OpenAI ne sont pas utilisées pour entraîner leurs modèles (politique par défaut de l'API OpenAI depuis mars 2023). OpenAI conserve les données 30 jours maximum pour modération de sécurité, puis les supprime.
2.7. Transferts de données hors UE
Certains de nos sous-traitants sont basés hors de l'Union européenne (États-Unis, Singapour). Ces transferts sont encadrés par des Clauses Contractuelles Types (Standard Contractual Clauses) approuvées par la Commission Européenne, qui garantissent un niveau de protection équivalent au RGPD.
2.8. Vos droits
En application du RGPD, vous disposez des droits suivants :
- Droit d'accès (art. 15) : obtenir une copie de vos données
- Droit de rectification (art. 16) : corriger des données inexactes
- Droit à l'effacement (art. 17) : demander la suppression de votre compte et de vos données
- Droit à la limitation (art. 18) : suspendre temporairement le traitement
- Droit à la portabilité (art. 20) : récupérer vos données dans un format structuré
- Droit d'opposition (art. 21) : vous opposer à certains traitements
- Droit de retirer votre consentement (art. 7) à tout moment
Comment exercer ces droits :
- Via la page Mes données dans les paramètres de votre compte (suppression et export en self-service)
- Par email à : contact@beaudossier.fr
- Délai de réponse : 1 mois maximum (prolongeable de 2 mois pour les demandes complexes)
2.9. Réclamation CNIL
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
- Site web : www.cnil.fr/fr/plaintes
- Adresse : 3 Place de Fontenoy - TSA 80715 - 75334 Paris Cedex 07
- Téléphone : 01 53 73 22 22
2.10. Sécurité
BeauDossier met en œuvre les mesures techniques et organisationnelles appropriées pour garantir la sécurité de vos données :
- Chiffrement HTTPS sur toutes les communications
- Mots de passe hachés (bcrypt via Clerk)
- Authentification à deux facteurs disponible
- Accès aux données limité strictement au personnel autorisé
- Sauvegardes régulières chiffrées
- Audit régulier des dépendances
2.11. Notification de violation
En cas de violation de données personnelles susceptible d'engendrer un risque élevé pour vos droits, BeauDossier s'engage à vous notifier dans les meilleurs délais, et au plus tard sous 72 heures après en avoir pris connaissance, conformément à l'article 33 du RGPD.
2.12. Modification de la politique
BeauDossier se réserve le droit de modifier la présente Politique de Confidentialité à tout moment. En cas de modification substantielle, vous serez informé par email et la nouvelle politique entrera en vigueur 30 jours après notification.