Politique de confidentialité

Cette politique décrit comment Kadran traite les données personnelles, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés.

1. Responsable de traitement et rôles

Pour les données des comptes et de l'utilisation du Service, l'éditeur de Kadran agit en responsable de traitement. Pour les données que les organisations enregistrent dans le Service (clients, contacts, documents), l'éditeur agit en sous-traitant de l'organisation, qui reste responsable de traitement.

À compléter avant la mise en production : identité du responsable de traitement et contact du référent RGPD/DPO.

2. Données traitées et finalités

• Compte et organisation (identité, e-mail, entreprise) — fourniture du Service (exécution du contrat).
• Données métier de l'organisation (clients, devis, factures, paiements, dépenses, documents importés) — fourniture du Service (contrat, pour le compte de l'organisation).
• Contenus soumis à l'assistant (textes, notes vocales, photos de justificatifs) — production de propositions soumises à validation (contrat).
• Journaux techniques et d'audit — sécurité, traçabilité légale des documents (intérêt légitime et obligations légales).
• Facturation de l'abonnement — obligations comptables et fiscales.

3. Sous-traitants et transferts hors UE

• Amazon Web Services (hébergement, région Paris eu-west-3) — données hébergées en France.
• Stripe (paiement des abonnements) — les données de carte ne transitent jamais par nos serveurs.
• Anthropic (fonctions d'assistance IA, États-Unis) — lorsque les fonctions IA sont activées, les contenus soumis (texte, audio transcrit, documents) sont traités par ce fournisseur dans le cadre d'un accord de sous-traitance avec clauses contractuelles types (art. 46 RGPD) et sans conservation à des fins d'entraînement. Les fonctions IA peuvent être désactivées dans les paramètres de l'organisation.

4. Durées de conservation

• Compte : durée de vie du compte, puis 30 jours (export possible) avant suppression.
• Documents de facturation et journal d'audit associé : 10 ans (obligation légale, art. L123-22 du Code de commerce).
• Journaux techniques : 12 mois maximum.

5. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Exercice : privacy@solopilot.fr. Vous pouvez saisir la CNIL (cnil.fr) si vous estimez vos droits non respectés. Les personnes figurant dans les données d'une organisation (ex. clients d'un artisan) exercent leurs droits auprès de cette organisation ; nous l'assistons dans leur traitement.

6. Sécurité

Chiffrement en transit (TLS) et au repos, isolation stricte des organisations, contrôle d'accès par rôles, journalisation des actions sensibles, sauvegardes chiffrées, authentification renforcée. Les mots de passe sont hachés avec Argon2id.