Conformité RGPD
Bases légales, droits des personnes et sous-traitants (Maxence Verdun, porteur de projet, SAS HarmoniConnect en cours de création).
Sommaire
- • 1. Bases légales des traitements
- • 2. Droits des personnes
- • 3. Profilage et matching
- • 4. Sous-traitants et transferts hors UE
- • 5. Sécurité des données
1. Bases légales des traitements
- • Exécution du contrat de service (art. 6§1(b) RGPD) : fourniture de la plateforme, matching entre utilisateurs, gestion des contrats et du Vault.
- • Intérêt légitime en matière de sécurité (art. 6§1(f) RGPD) : journalisation d'audit et prévention des abus. Intérêt légitime : détecter les accès non autorisés et maintenir l'intégrité de la plateforme.
- • Consentement explicite (art. 6§1(a) RGPD) : fonctionnalités optionnelles (préférences de matching, track of the day). Retrait du consentement possible à tout moment.
2. Droits des personnes
- • Droit d'accès, rectification, suppression, opposition, portabilité : maxenceverdun@harmoni-connect.com
- • Droit d'opposition au profilage par la mise en relation (art. 21 RGPD) : vous pouvez vous opposer à l'utilisation de vos données de profil pour le calcul du score de compatibilité, en écrivant à maxenceverdun@harmoni-connect.com.
- • Droit à la limitation du traitement : applicable sur demande motivée.
- • Délai de réponse : 30 jours calendaires.
- • Droit d'introduire une réclamation auprès de la CNIL (cnil.fr).
3. Profilage et matching
- • HarmoniConnect calcule un score de compatibilité entre utilisateurs au moyen d'un algorithme déterministe, exécuté sur ses propres serveurs.
- • Ce traitement constitue du profilage au sens de l'article 4§4 du RGPD.
- • Données de profil que vous déclarez : rôle principal, rôles secondaires, rôles que vous recherchez (« Je cherche ») et contexte de la collaboration (« Pour »), genres, objectifs, influences (4 max), écoute du moment, disponibilité, niveau d'expérience, localisation (ville, département et région) et ouverture au travail à distance. Le calcul tient aussi compte du fait que votre profil est renseigné ou non (dont la présence d'une biographie, jamais son contenu). Aucun fichier audio n'entre dans ce calcul.
- • Signaux d'activité sur la plateforme : nombre de messages des 7 derniers jours, nombre de mises en relation, taux d'acceptation de vos demandes, ancienneté de votre dernier message, et note de retour laissée après une collaboration.
- • Effets possibles sur votre score : il peut être abaissé si votre profil est très incomplet, si l'historique de fiabilité est faible ou en cas d'inactivité de plus de 45 jours. Il sert uniquement à ordonner et à filtrer les suggestions de collaborateurs : un score bas peut vous rendre moins visible dans les suggestions d'autres membres, mais il ne conditionne l'accès à aucune fonctionnalité. Si vous indiquez être ouvert au travail à distance, l'éloignement géographique n'abaisse pas votre score.
- • La mise en relation n'utilise aucune intelligence artificielle : aucune donnée n'est transmise à un fournisseur d'intelligence artificielle.
- • Vous disposez d'un droit d'opposition à ce profilage sans conséquence sur votre accès aux autres fonctionnalités.
4. Sous-traitants et transferts hors UE
- • Render Services, Inc. (États-Unis) : hébergement de l'application et de l'API. Serveurs en Union européenne (Francfort). DPA incluant les Clauses Contractuelles Types.
- • Neon, Inc. (États-Unis) : base de données PostgreSQL managée, serveurs en Union européenne. Upstash, Inc. (États-Unis) : cache Redis, serveurs en Union européenne. DPA incluant les CCT.
- • Resend (Plus Five Five, Inc., États-Unis) : envoi des emails transactionnels (adresse email et contenu des emails, dont le contrat signé envoyé à chaque partie). DPA incluant les CCT.
- • Scaleway SAS (France) : stockage des fichiers (Vault, contrats, avatars), région Paris. DPA signé.
- • Liste complète des sous-traitants disponible sur demande à maxenceverdun@harmoni-connect.com
5. Sécurité des données
- • Chiffrement des mots de passe (bcrypt, 12 rounds).
- • Tokens de session hachés et stockés de manière sécurisée.
- • Journalisation d'audit en mode append-only : toute modification est tracée et non révocable.
- • Minimisation des données dans les logs : les clés sensibles (mot de passe, token, email, adresse IP) sont automatiquement filtrées des journaux.
- • Accès aux fichiers Vault protégé par URLs signées HMAC-SHA256 avec expiration.
- • Purge automatique des données temporaires (sessions expirées, logs > 12 mois).