Conformité RGPD
Bases légales, droits des personnes et sous-traitants (Maxence Verdun, porteur de projet, SAS HarmoniConnect en cours de création).
Sommaire
- • 1. Bases légales des traitements
- • 2. Droits des personnes
- • 3. Profilage et matching IA
- • 4. Sous-traitants et transferts hors UE
- • 5. Sécurité des données
1. Bases légales des traitements
- • Exécution du contrat de service (art. 6§1(b) RGPD) : fourniture de la plateforme, matching entre utilisateurs, gestion des contrats et du Vault.
- • Intérêt légitime en matière de sécurité (art. 6§1(f) RGPD) : journalisation d'audit et prévention des abus. Intérêt légitime : détecter les accès non autorisés et maintenir l'intégrité de la plateforme.
- • Consentement explicite (art. 6§1(a) RGPD) : fonctionnalités optionnelles (préférences de matching, track of the day). Retrait du consentement possible à tout moment.
2. Droits des personnes
- • Droit d'accès, rectification, suppression, opposition, portabilité : maxenceverdun@harmoni-connect.com
- • Droit d'opposition au profilage par matching IA (art. 21 RGPD) : vous pouvez vous opposer à l'utilisation de vos données de profil pour le calcul du score de matching IA.
- • Droit à la limitation du traitement : applicable sur demande motivée.
- • Délai de réponse : 30 jours calendaires.
- • Droit d'introduire une réclamation auprès de la CNIL (cnil.fr).
3. Profilage et matching IA
- • HarmoniConnect utilise un algorithme combinant heuristique (70 %) et IA Claude Haiku d'Anthropic (30 %) pour calculer un score de compatibilité entre utilisateurs.
- • Ce traitement constitue du profilage au sens de l'article 4§4 du RGPD.
- • Données utilisées : profil textuel (rôle principal, rôles secondaires, genres, objectifs, influences (4 max), écoute du moment, disponibilité). Aucun fichier audio, aucune biographie, aucune localisation transmis.
- • Vous disposez d'un droit d'opposition à ce profilage sans conséquence sur votre accès aux autres fonctionnalités.
4. Sous-traitants et transferts hors UE
- • Scaleway SAS (France) : hébergement et stockage. Infrastructure UE exclusivement. DPA signé.
- • Yousign SAS (France) : signature électronique eIDAS. Infrastructure UE. DPA signé.
- • Anthropic PBC (États-Unis) : API d'intelligence artificielle pour le matching. Transfert hors UE encadré par les Clauses Contractuelles Types 2021 (décision 2021/914, module 2).
- • Aucun autre transfert de données hors Union européenne. Liste complète des sous-traitants disponible sur demande à maxenceverdun@harmoni-connect.com
5. Sécurité des données
- • Chiffrement des mots de passe (bcrypt, 12 rounds).
- • Tokens de session hachés et stockés de manière sécurisée.
- • Journalisation d'audit en mode append-only : toute modification est tracée et non révocable.
- • Minimisation des données dans les logs : les clés sensibles (mot de passe, token, email, adresse IP) sont automatiquement filtrées des journaux.
- • Accès aux fichiers Vault protégé par URLs signées HMAC-SHA256 avec expiration.
- • Purge automatique des données temporaires (sessions expirées, logs > 12 mois).