Politique de confidentialité

Deux rôles distincts

L'Éditeur intervient à deux titres, et les droits ne s'exercent pas au même endroit selon le cas.

• Responsable de traitement pour les données du compte et de la facturation : c'est lui qui décide de les collecter, pour gérer la relation client.
• Sous-traitant, au sens de l'article 28 du RGPD, pour les données de chantier que le Client dépose — maquettes, adresses d'instance, discussions. L'Éditeur les traite sur instruction du Client et pour son seul compte. Si ces données concernent des personnes, c'est le Client qui en est responsable devant elles.

Responsable de traitement

Identité

[[À COMPLÉTER : raison sociale]]

Adresse

[[À COMPLÉTER : adresse du siège social]]

Contact

[[À COMPLÉTER : adresse de contact pour les demandes RGPD]]

Délégué

[[À COMPLÉTER : coordonnées du délégué à la protection des données, ou la mention qu'aucun n'a été désigné et pourquoi]]

Ce qui est collecté

Compte

• Adresse électronique, nom si le Client le renseigne, date de création.
• Condensat du mot de passe (scrypt). Le mot de passe en clair n'est ni stocké ni journalisé.
• Finalité : ouvrir et sécuriser l'accès. Base légale : exécution du contrat.

Projets et chantiers

• Nom du projet, version d'Odoo visée, adresse de l'instance, nom de la base, identifiant de connexion Odoo, dépôt et noms des branches de staging et de production, nom du module.
• Contenu intégral des maquettes déposées, avec leur historique de versions et leur empreinte.
• Pages du projet, leur état d'avancement et leur template cible.
• Messages du fil de discussion, avec l'adresse électronique de leur auteur.
• Écritures XML proposées par le moteur, et leur historique.
• Passages en staging et en production : plan, statut, référence de sauvegarde déclarée par le Client.
• Finalité : exécuter le service. Base légale : exécution du contrat.

Audits d'instance

• Adresse de l'instance, nom de la base, identifiant de connexion, version d'Odoo, noms des sites, nombre de pages et de vues, constats produits, et le cas échéant la synthèse rédigée.
• Finalité : rendre le résultat de l'audit et permettre au Client de le retrouver. Base légale : exécution du contrat.

Journaux applicatifs

Le serveur écrit huit sortes d'entrées, et pas davantage : une connexion (adresse électronique), une inscription (adresse électronique), un audit (nom d'hôte de l'instance, adresse électronique du Client, nombre de constats), et cinq entrées d'incident qui ne portent que le type de l'erreur rencontrée — jamais son contenu.

Le serveur frontal tient par ailleurs un journal d'accès classique (adresse IP, date, chemin demandé), à des fins de sécurité et de diagnostic. Base légale : intérêt légitime à assurer la sécurité du service.

Facturation

[[À COMPLÉTER : données de facturation conservées par l'Éditeur : raison sociale, adresse, numéro de TVA, historique des factures]]. Les données de carte bancaire ne sont jamais reçues par l'Éditeur : elles sont saisies chez le prestataire de paiement.

Ce qui n'est pas collecté

Ces points sont vérifiables dans le code, et ils sont la contrepartie de la confiance demandée au Client.

• Aucune clé d'API n'est journalisée, jamais, dans aucun cas. Aucune écriture de journal n'en contient.
• La clé d'API Anthropic du Client n'est jamais conservée. Elle arrive avec la requête, sert à rédiger la synthèse, et disparaît avec elle.
• La clé d'API Odoo n'est pas conservée pour l'audit gratuit. Sur un chantier, le Client peut demander qu'elle le soit, pour ne pas la ressaisir à chaque relevé : elle est alors chiffrée, avec un secret qui réside dans l'environnement d'exécution et non dans la base — copier la base ne suffit donc pas à la lire. Elle n'est jamais réaffichée, s'efface d'un bouton, et est détruite à la clôture du chantier. C'est un choix du Client, jamais un préalable.
• Aucune mesure d'audience : pas de Google Analytics, pas de Matomo, pas de pixel.
• Aucune ressource chargée depuis un tiers : ni police de caractères, ni script, ni image hébergée ailleurs. Une page du service ne fait aucune requête vers un domaine que le Client n'a pas choisi.
• Aucun cookie publicitaire ou de suivi, et aucune revente ni partage de données à des fins commerciales.
• Aucune écriture dans l'instance Odoo du Client. L'adaptateur d'accès est en lecture seule par construction.

Cookies

Un seul cookie est déposé : le cookie de session, qui porte l'identifiant de connexion sous forme signée. Il est marqué Secure, HttpOnly et SameSite=Lax, et expire au bout de sept jours.

Ce cookie est strictement nécessaire à la fourniture d'un service expressément demandé par l'utilisateur. Il relève donc de l'exemption de consentement prévue par l'article 82 de la loi Informatique et Libertés : aucun bandeau n'est affiché, parce qu'il n'y a rien à consentir.

Destinataires et transferts

Les données ne sont communiquées à aucun tiers en dehors des prestataires techniques strictement nécessaires, dont la liste détaillée — rôle, données concernées, localisation — est publiée sur la page sous-traitants et hébergeurs.

En résumé : le serveur applicatif est en France, la base de données dans l'Union européenne (Irlande). Un seul flux sort de l'Union, vers les États-Unis, et uniquement si le Client le déclenche en saisissant sa propre clé Anthropic pour obtenir une synthèse. Sans cette clé, aucune donnée ne quitte l'Union européenne.

Durées de conservation

• Compte : conservé tant que l'abonnement est actif, puis [[À COMPLÉTER : délai de conservation du compte après la fin de l'abonnement]].
• Données de chantier : conservées tant que le projet existe. Le Client peut supprimer un projet à tout moment ; la suppression efface immédiatement et définitivement les maquettes, les pages, les messages, les propositions et les déploiements de ce projet.
• Audits : à noter, un audit n'est pas rattaché à un projet mais au compte. Supprimer un projet ne supprime pas les audits. Ils sont effacés à la suppression du compte, ou sur demande.
• Journaux applicatifs et journaux d'accès : [[À COMPLÉTER : durée de conservation des journaux, à fixer et à mettre en œuvre — la CNIL recommande six mois pour les journaux de sécurité]].
• Pièces comptables : dix ans, en application de l'article L123-22 du code de commerce.

Sécurité

• Chiffrement TLS de bout en bout ; l'application n'est pas joignable autrement.
• Mots de passe conservés sous forme de condensat scrypt.
• Sessions signées, cookies Secure / HttpOnly / SameSite=Lax.
• Limitation des tentatives de connexion, et verrouillage au niveau du serveur frontal.
• Cloisonnement des comptes : chaque lecture en base est filtrée par l'identifiant du Client. Connaître l'identifiant d'un projet ne suffit pas à y accéder.
• Garde contre les requêtes vers des adresses non publiques, appliquée deux fois indépendamment.
• Le navigateur qui charge des pages arbitraires est isolé dans un conteneur sans aucun port exposé.
• Accès au serveur par clé uniquement, mises à jour de sécurité automatiques.

Vos droits

Toute personne dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de ses données après son décès.

Ces droits s'exercent à [[À COMPLÉTER : adresse de contact pour les demandes RGPD]]. Une réponse est apportée dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe. Une preuve d'identité peut être demandée en cas de doute raisonnable.

Effacement du compte. Le Client peut demander la suppression de son compte et de tout ce qui s'y rattache — projets, maquettes, discussions, audits. La demande est exécutée dans le délai ci-dessus, sous réserve des pièces comptables que la loi impose de conserver. Le Client peut par ailleurs supprimer lui-même un projet à tout moment depuis l'interface.

Lorsque l'Éditeur agit comme sous-traitant, une demande émanant d'une personne dont les données figureraient dans un chantier est transmise au Client, qui en est responsable, et traitée sur son instruction.

Toute personne peut introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — ou sur www.cnil.fr.

Violation de données

En cas de violation de données à caractère personnel, l'Éditeur notifie la CNIL dans les 72 heures lorsque l'article 33 du RGPD l'exige, informe les personnes concernées lorsque l'article 34 l'exige, et informe sans délai injustifié le Client lorsque la violation porte sur des données traitées pour son compte.