Politique de Confidentialité

Le responsable du traitement des données est :

Nous utilisons vos données pour :

• Fournir nos services : création de compte, accès à la plateforme, gestion des tâches, cartographie patrimoniale, espace sécurisé de stockage, annuaire de professionnels
• Personnaliser l'expérience : adapter les recommandations et le contenu en fonction de votre situation
• Communiquer :envoi d'emails transactionnels (confirmation de compte, réinitialisation de mot de passe, notifications), rappels de tâches
• Améliorer nos services :analyse du trafic, statistiques d'utilisation, détection de bugs
• Sécurité : prévention de la fraude, respect des obligations légales
• Support client : répondre à vos questions et résoudre les problèmes

Le traitement de vos données repose sur :

• L'exécution du contrat : fourniture des services auxquels vous avez souscrit
• Votre consentement : pour les cookies non essentiels et les communications marketing
• Notre intérêt légitime : amélioration des services, sécurité, statistiques
• Obligations légales : conservation des données comptables, lutte contre la fraude

Vos données peuvent être partagées avec :

• Notre équipe : personnel habilité de Should-r (accès limité au strict nécessaire)
• Sous-traitants techniques :
  • Vercel Inc. (États-Unis) — hébergement du site web
  • Supabase Inc. (serveur hébergé en France) — hébergement de la base de données, authentification, stockage de fichiers
  • Stripe Inc. (États-Unis) — traitement des paiements sécurisés
  • Resend(États-Unis) — envoi d'emails transactionnels
  • PostHog(hébergé en Europe — eu.posthog.com) — analyse d'audience anonymisée du site vitrine
• Autorités : sur réquisition judiciaire ou obligation légale

Nous ne vendons jamais vos données à des tiers. Chaque sous-traitant est lié par un accord de traitement des données (DPA) conforme au RGPD.

Certains de nos sous-traitants sont situés hors de l'Union Européenne (notamment aux États-Unis). Les données de la base de données (Supabase) sont hébergées sur un serveur situé en France.

Pour les transferts vers les États-Unis, nos sous-traitants adhèrent au EU-US Data Privacy Framework(décision d'adéquation de la Commission européenne du 10 juillet 2023), qui garantit un niveau de protection adéquat des données personnelles.

Pour les transferts vers d'autres pays tiers, nous nous appuyons sur les Clauses Contractuelles Types (CCT)adoptées par la Commission européenne, conformément à l'article 46 du RGPD.

Nous conservons vos données selon les durées suivantes :

• Compte actif :pendant toute la durée d'utilisation du service
• Après suppression du compte : vos données sont conservées pendant une période de grâce de 90 jours durant laquelle vous pouvez demander la restauration de votre compte. Passé ce délai, vos données sont supprimées définitivement et de manière irréversible
• Données comptables : 10 ans (obligation légale — Art. L123-22 du Code de commerce)
• Logs de connexion : 12 mois
• Cookies : 13 mois maximum (conformément aux recommandations de la CNIL)

Passé ces délais, vos données sont supprimées ou anonymisées de manière irréversible.

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données :

• Chiffrement SSL/TLS pour toutes les communications
• Chiffrement des mots de passe (bcrypt)
• Chiffrement de bout en bout de l'espace sécurisé de stockage et des notes sensibles (AES-256-GCM, clés RSA-4096, dérivation PBKDF2)
• Hébergement sécurisé certifié SOC 2 Type II (Vercel, Supabase)
• Sauvegardes quotidiennes automatiques
• Authentification à deux facteurs (disponible pour les comptes professionnels)
• Surveillance et détection des intrusions 24/7
• Accès restreint aux données (principe du moindre privilège)
• Journalisation des accès et des modifications (logs d'audit)

Conformément aux articles 33 et 34 du RGPD, en cas de violation de données à caractère personnel susceptible d'engendrer un risque pour vos droits et libertés :

• Nous notifions la CNIL dans un délai de 72 heures après en avoir pris connaissance
• Si la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés, nous vous en informons dans les meilleurs délais par email et/ou via une notification sur la plateforme
• Nous documentons toute violation dans un registre interne, incluant la nature de la violation, ses effets probables et les mesures prises pour y remédier

Nous nous réservons le droit de modifier cette politique de confidentialité à tout moment.

En cas de modification substantielle, nous vous en informerons par email ou via une notification sur la plateforme au moins 30 jours avant l'entrée en vigueur des changements.

Votre utilisation continue des services après ces modifications vaut acceptation de la nouvelle politique.

La présente Politique de Confidentialité est régie par le droit français et le Règlement (UE) 2016/679 (RGPD).

Pour toute question concernant cette politique de confidentialité ou le traitement de vos données :