Politique de confidentialité

Sommaire

1. • 1. Responsable du traitement
2. • 2. Données collectées
3. • 3. Finalités et bases légales
4. • 4. Matching IA et profilage
5. • 5. Durées de conservation
6. • 6. Sous-traitants
7. • 7. Transferts hors Union européenne
8. • 8. Vos droits
9. • 9. Cookies
10. • 10. Candidatures à la bêta (formulaire /beta)

1. Responsable du traitement

• • Maxence Verdun, porteur de projet, SAS HarmoniConnect en cours de création, Le Mans, Sarthe (72), France
• • Contact : maxenceverdun@harmoni-connect.com
• • Contact protection des données : maxenceverdun@harmoni-connect.com

2. Données collectées

• • Identifiants et données de profil : email, alias, rôle, biographie, genres musicaux, expérience, objectifs.
• • Données d'usage : logs d'événements, journal d'accès Vault, historique de matching.
• • Données de collaboration : fichiers déposés dans le Vault (métadonnées uniquement pour le matching, aucune analyse audio), partages, contrats signés.
• • Données de communication : messages, notifications.
• • Données techniques : token de session (cookie HttpOnly, 7 jours), logs de sécurité.

3. Finalités et bases légales

• • Fourniture du service de mise en relation et de collaboration musicale. Base légale : exécution du contrat (art. 6§1(b) RGPD).
• • Matching par algorithme déterministe (suggestions de collaborateurs). Base légale : exécution du contrat (art. 6§1(b) RGPD).
• • Couche IA du matching (30 % du score, API Claude d'Anthropic). Base légale : intérêt légitime (art. 6§1(f) RGPD), avec droit d'opposition effectif et sans conséquence (art. 21, voir section 8).
• • Sécurité, traçabilité et prévention des abus (journalisation d'audit). Base légale : intérêt légitime (art. 6§1(f) RGPD).
• • Amélioration de la qualité produit sur base de métriques agrégées anonymisées. Base légale : intérêt légitime.
• • Consentement explicite pour les fonctionnalités optionnelles (préférences de matching, track of the day). Base légale : consentement (art. 6§1(a) RGPD).

4. Matching IA et profilage

• • HarmoniConnect calcule un score de compatibilité entre utilisateurs (matching) en combinant un algorithme heuristique (70 %) et l'API Claude Haiku d'Anthropic (30 %).
• • Ce traitement constitue du profilage au sens de l'article 4§4 du RGPD : il utilise vos attributs artistiques déclarés pour prédire une compatibilité artistique.
• • Données utilisées : rôle principal, rôles secondaires, genres, objectifs, influences (4 max), écoute du moment, disponibilité. Aucun fichier audio, aucune biographie, aucune localisation, aucun nom ni email n'est transmis à l'API IA.
• • L'utilisation de l'API Claude Haiku implique un transfert de données vers les serveurs d'Anthropic PBC, situés aux États-Unis (voir section 7, Transferts hors UE).
• • Vous disposez d'un droit d'opposition à ce profilage (voir section 8, Vos droits).

5. Durées de conservation

• • Données de compte actif : conservées pendant la durée du contrat de service.
• • Journaux de sécurité (VaultAccessLog) : 12 mois glissants, purgés automatiquement.
• • Journaux d'audit courants (AuditEvent) : 12 mois, purgés automatiquement.
• • Journaux d'audit liés aux contrats signés (AuditEvent CONTRACT_*) : 5 ans (prescription contractuelle art. 2224 C.civ.).
• • Contrats signés (PDFs) : durée justifiée par l'intérêt légitime des parties pour la preuve de leurs droits, minimum 5 ans, pouvant aller jusqu'à la durée de protection de l'œuvre.
• • Tokens de session (RefreshToken) : 7 jours, purgés automatiquement à expiration.
• • Après résiliation : anonymisation ou suppression dans un délai de 90 jours.
• • Données Vault : conservées tant que le compte est actif ; supprimables sur demande.

6. Sous-traitants

• • Google Ireland Limited (Union européenne) : authentification « Se connecter avec Google » (OAuth). Traite l'email, le nom et la photo de profil Google communiqués par l'utilisateur au moment de la connexion. Encadré par les clauses contractuelles types de Google le cas échéant pour tout transfert hors UE.
• • Render Services, Inc. (États-Unis) : hébergement de l'application et de l'API. Serveurs situés en Union européenne (Francfort, Allemagne). Encadré par un accord de traitement des données (DPA) incluant les Clauses Contractuelles Types (CCT).
• • Neon, Inc. (États-Unis) : base de données PostgreSQL managée. Serveurs situés en Union européenne. Encadré par un DPA incluant les CCT.
• • Upstash, Inc. (États-Unis) : cache et limitation de débit (Redis). Serveurs situés en Union européenne. Encadré par un DPA incluant les CCT.
• • Resend (Plus Five Five, Inc., États-Unis) : envoi des emails transactionnels. Traite l'adresse email du destinataire et le contenu des notifications. Encadré par un DPA incluant les CCT (voir section 7).
• • Scaleway SAS (Groupe Iliad, France) : stockage des fichiers (Vault, contrats, avatars). Données stockées en France (région Paris).
• • Yousign SAS (France) : signature électronique eIDAS. Traite les noms, emails et documents des signataires. Infrastructure UE.
• • Anthropic PBC (États-Unis) : API d'intelligence artificielle pour le matching. Traite les données de profil textuelles. Transfert hors UE encadré par les Clauses Contractuelles Types (CCT) 2021, module 2 (voir section 7).
• • Plausible Insights OÜ (Estonie, Union européenne) : mesure d'audience sans cookie ni identifiant individuel (statistiques agrégées de fréquentation). Infrastructure UE.

7. Transferts hors Union européenne

• • Les données de profil utilisées pour le calcul du score de matching (rôle principal, rôles secondaires, genres, objectifs, influences (4 max), écoute du moment, disponibilité) sont transmises à l'API Claude Haiku d'Anthropic PBC, société de droit américain (San Francisco, CA).
• • Ce transfert est encadré par les Clauses Contractuelles Types adoptées par la Commission européenne (décision d'exécution 2021/914, module 2 : responsable du traitement vers sous-traitant).
• • Les emails transactionnels sont envoyés via Resend (Plus Five Five, Inc., société de droit américain) : l'adresse email du destinataire et le contenu de la notification transitent par ce prestataire, dans le cadre d'un DPA incluant les Clauses Contractuelles Types.
• • Les serveurs applicatifs (Render), la base de données (Neon) et le cache (Upstash) sont situés en Union européenne. Ces prestataires étant des sociétés de droit américain, ces traitements sont encadrés par des DPA incluant les Clauses Contractuelles Types.
• • Stockage des fichiers Vault, contrats et avatars : France exclusivement (Scaleway, région Paris).

8. Vos droits

• • Droit d'accès à vos données (art. 15 RGPD) : maxenceverdun@harmoni-connect.com
• • Droit de rectification (art. 16) : maxenceverdun@harmoni-connect.com
• • Droit à l'effacement (art. 17) : maxenceverdun@harmoni-connect.com
• • Droit à la limitation du traitement (art. 18) : maxenceverdun@harmoni-connect.com
• • Droit à la portabilité (art. 20) : export en libre-service depuis Réglages → « Exporter mes données » (profil complet ; messages, matching et journal limités aux derniers enregistrements). Export intégral sur demande à maxenceverdun@harmoni-connect.com.
• • Droit d'opposition au profilage par matching IA (art. 21) : maxenceverdun@harmoni-connect.com. Vous pouvez vous opposer à l'utilisation de vos données pour le matching IA sans que cela affecte votre accès aux autres fonctionnalités.
• • Droit de retirer votre consentement à tout moment pour les traitements fondés sur le consentement.
• • Délai de traitement : 30 jours calendaires maximum.
• • Droit de recours auprès de la CNIL : cnil.fr

9. Cookies

• • HarmoniConnect dépose un unique cookie strictement nécessaire : le token de refresh (HttpOnly, SameSite=Strict, 7 jours).
• • Ce cookie est exempté du recueil du consentement (directive ePrivacy art. 5§3). Aucun cookie analytique ou publicitaire n'est utilisé.
• • Voir la politique cookies complète : /legal/cookies

10. Candidatures à la bêta (formulaire /beta)

• • Données collectées : profil déclaré, nom ou pseudo, contact (email ou téléphone), ville et rôle (optionnels), réponses au questionnaire et verbatims libres.
• • Finalités : sélection des bêta-testeurs (mesures précontractuelles, art. 6§1(b) RGPD) et statistiques agrégées anonymisées (intérêt légitime).
• • Citation publique : le pseudo et le verbatim d'un candidat ne sont publiés sur le site qu'avec son consentement explicite (case dédiée du formulaire) et après modération.
• • Durée de conservation : 12 mois maximum à compter de la candidature, puis purge automatique.
• • Droits : accès, rectification, effacement et opposition à tout moment : maxenceverdun@harmoni-connect.com (aucune création de compte n'est nécessaire pour les exercer).