Politique de Confidentialité

Nous collectons les données suivantes :

• Compte : email, nom complet, langue, fuseau horaire.
• Tenant : nom entreprise, secteur (vertical), pays.
• Métier : employés (nom, email, téléphone, contrat), clients, plannings, interventions.
• Photos : avatars employés stockés dans Supabase Storage (bucket privé tenant).
• Audit logs : toute action sensible (création, modification, suppression) avec userId + timestamp.
• Technique : adresse IP, user-agent, logs serveur (durée 30 jours).
• Paiement : géré par Stripe Inc. — nous ne stockons pas vos données bancaires.

• Fournir le Service (planification, gestion équipe).
• Communications transactionnelles (bienvenue, invitations, paiements).
• Facturation et obligations légales comptables.
• Amélioration produit (statistiques anonymes uniquement).
• Sécurité (détection abus, prévention fraude).

• Exécution du contrat (CGU) pour la fourniture du Service.
• Obligation légale pour la facturation et l'archivage comptable.
• Intérêt légitime pour la sécurité et l'amélioration produit.

• Compte actif : tant que le compte est actif.
• Tenant : durée de la souscription + 30 jours (corbeille).
• Audit logs : 24 mois.
• Logs techniques : 30 jours.
• Factures : 10 ans (obligation légale).
• Backups DB : 30 jours rolling.

• Base de données : Supabase (région eu-west-3, Paris).
• Fichiers (photos, documents) : Supabase Storage, même région.
• Hébergement web : Vercel (régions EU prioritaires).
• Emails : Resend (US sous régime Data Processing Addendum avec SCCs).
• Paiements : Stripe Ireland (UE).

• Middleware Next.js (vérification session + appartenance tenant).
• Couche applicative Drizzle (force `tenant_id` filter).
• Row-Level Security Postgres (dernier rempart).

• Accès : obtenir une copie de vos données.
• Rectification : corriger des données inexactes.
• Effacement (« droit à l'oubli ») : demander la suppression.
• Limitation : geler un traitement.
• Portabilité : récupérer vos données dans un format structuré (CSV/JSON).
• Opposition : refuser un traitement (newsletter, etc.).
• Plainte auprès de la CNIL en cas de désaccord.

• Supabase Inc. (hébergement DB + auth)
• Vercel Inc. (hébergement web)
• Stripe Ireland (paiements)
• Resend (emails transactionnels)