Politique de confidentialité

Sommaire

1. • 1. Responsable du traitement
2. • 2. Données collectées
3. • 3. Finalités et bases légales
4. • 4. Matching IA et profilage
5. • 5. Durées de conservation
6. • 6. Sous-traitants
7. • 7. Transferts hors Union européenne
8. • 8. Vos droits
9. • 9. Cookies
10. • 10. Candidatures à la bêta (formulaire /beta)

1. Responsable du traitement

• • Maxence Verdun, porteur de projet, SAS HarmoniConnect en cours de création, Le Mans, Sarthe (72), France
• • Contact : maxenceverdun@harmoni-connect.com
• • Contact protection des données : maxenceverdun@harmoni-connect.com

2. Données collectées

• • Identifiants et données de profil : email, alias, rôle, biographie, genres musicaux, expérience, objectifs.
• • Données d'usage : logs d'événements, journal d'accès Vault, historique de matching.
• • Données de collaboration : fichiers déposés dans le Vault (métadonnées uniquement pour le matching, aucune analyse audio), partages, contrats signés.
• • Données de communication : messages, notifications.
• • Données techniques : token de session (cookie HttpOnly, 7 jours), logs de sécurité.

3. Finalités et bases légales

• • Fourniture du service de mise en relation et de collaboration musicale. Base légale : exécution du contrat (art. 6§1(b) RGPD).
• • Matching par algorithme déterministe (suggestions de collaborateurs). Base légale : exécution du contrat (art. 6§1(b) RGPD).
• • Couche IA du matching (30 % du score, API Claude d'Anthropic). Base légale : intérêt légitime (art. 6§1(f) RGPD), avec droit d'opposition effectif et sans conséquence (art. 21, voir section 8).
• • Sécurité, traçabilité et prévention des abus (journalisation d'audit). Base légale : intérêt légitime (art. 6§1(f) RGPD).
• • Amélioration de la qualité produit sur base de métriques agrégées anonymisées. Base légale : intérêt légitime.
• • Consentement explicite pour les fonctionnalités optionnelles (préférences de matching, track of the day). Base légale : consentement (art. 6§1(a) RGPD).

4. Matching IA et profilage

• • HarmoniConnect calcule un score de compatibilité entre utilisateurs (matching) en combinant un algorithme heuristique (70 %) et l'API Claude Haiku d'Anthropic (30 %).
• • Ce traitement constitue du profilage au sens de l'article 4§4 du RGPD : il utilise vos attributs artistiques déclarés pour prédire une compatibilité artistique.
• • Données utilisées : rôle principal, rôles secondaires, genres, objectifs, influences (4 max), écoute du moment, disponibilité. Aucun fichier audio, aucune biographie, aucune localisation, aucun nom ni email n'est transmis à l'API IA.
• • L'utilisation de l'API Claude Haiku implique un transfert de données vers les serveurs d'Anthropic PBC, situés aux États-Unis (voir section 7, Transferts hors UE).
• • Vous disposez d'un droit d'opposition à ce profilage (voir section 8, Vos droits).

5. Durées de conservation

• • Données de compte actif : conservées pendant la durée du contrat de service.
• • Journaux de sécurité (VaultAccessLog) : 12 mois glissants, purgés automatiquement.
• • Journaux d'audit courants (AuditEvent) : 12 mois, purgés automatiquement.
• • Journaux d'audit liés aux contrats signés (AuditEvent CONTRACT_*) : 5 ans (prescription contractuelle art. 2224 C.civ.).
• • Contrats signés (PDFs) : durée justifiée par l'intérêt légitime des parties pour la preuve de leurs droits, minimum 5 ans, pouvant aller jusqu'à la durée de protection de l'œuvre.
• • Tokens de session (RefreshToken) : 7 jours, purgés automatiquement à expiration.
• • Après résiliation : anonymisation ou suppression dans un délai de 90 jours.
• • Données Vault : conservées tant que le compte est actif ; supprimables sur demande.

6. Sous-traitants

• • Scaleway SAS (Groupe Iliad, France) : hébergement et stockage des données. Infrastructure UE exclusivement.
• • Yousign SAS (France) : signature électronique eIDAS. Traite les noms, emails et documents des signataires. Infrastructure UE.
• • Anthropic PBC (États-Unis) : API d'intelligence artificielle pour le matching. Traite les données de profil textuelles. Transfert hors UE encadré par les Clauses Contractuelles Types (CCT) 2021, module 2 (voir section 7).
• • Plausible Insights OÜ (Estonie, Union européenne) : mesure d'audience sans cookie ni identifiant individuel (statistiques agrégées de fréquentation). Infrastructure UE.

7. Transferts hors Union européenne

• • Les données de profil utilisées pour le calcul du score de matching (rôle principal, rôles secondaires, genres, objectifs, influences (4 max), écoute du moment, disponibilité) sont transmises à l'API Claude Haiku d'Anthropic PBC, société de droit américain (San Francisco, CA).
• • Ce transfert est encadré par les Clauses Contractuelles Types adoptées par la Commission européenne (décision d'exécution 2021/914, module 2 : responsable du traitement vers sous-traitant).
• • Aucune autre donnée personnelle n'est transférée hors de l'Union européenne.
• • Hébergement et stockage des fichiers Vault : Union européenne exclusivement (Scaleway, France/Pays-Bas).

8. Vos droits

• • Droit d'accès à vos données (art. 15 RGPD) : maxenceverdun@harmoni-connect.com
• • Droit de rectification (art. 16) : maxenceverdun@harmoni-connect.com
• • Droit à l'effacement (art. 17) : maxenceverdun@harmoni-connect.com
• • Droit à la limitation du traitement (art. 18) : maxenceverdun@harmoni-connect.com
• • Droit à la portabilité (art. 20) : export en libre-service depuis Réglages → « Exporter mes données » (profil complet ; messages, matching et journal limités aux derniers enregistrements). Export intégral sur demande à maxenceverdun@harmoni-connect.com.
• • Droit d'opposition au profilage par matching IA (art. 21) : maxenceverdun@harmoni-connect.com. Vous pouvez vous opposer à l'utilisation de vos données pour le matching IA sans que cela affecte votre accès aux autres fonctionnalités.
• • Droit de retirer votre consentement à tout moment pour les traitements fondés sur le consentement.
• • Délai de traitement : 30 jours calendaires maximum.
• • Droit de recours auprès de la CNIL : cnil.fr

9. Cookies

• • HarmoniConnect dépose un unique cookie strictement nécessaire : le token de refresh (HttpOnly, SameSite=Strict, 7 jours).
• • Ce cookie est exempté du recueil du consentement (directive ePrivacy art. 5§3). Aucun cookie analytique ou publicitaire n'est utilisé.
• • Voir la politique cookies complète : /legal/cookies

10. Candidatures à la bêta (formulaire /beta)

• • Données collectées : profil déclaré, nom ou pseudo, contact (email ou téléphone), ville et rôle (optionnels), réponses au questionnaire et verbatims libres.
• • Finalités : sélection des bêta-testeurs (mesures précontractuelles, art. 6§1(b) RGPD) et statistiques agrégées anonymisées (intérêt légitime).
• • Citation publique : le pseudo et le verbatim d'un candidat ne sont publiés sur le site qu'avec son consentement explicite (case dédiée du formulaire) et après modération.
• • Durée de conservation : 12 mois maximum à compter de la candidature, puis purge automatique.
• • Droits : accès, rectification, effacement et opposition à tout moment : maxenceverdun@harmoni-connect.com (aucune création de compte n'est nécessaire pour les exercer).