Politique de confidentialité

1. Responsable du traitement

Crew Manager est engagé dans la protection de vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD · Règlement UE 2016/679) et à la loi Informatique et Libertés modifiée.

2. Données collectées

2.1 Données de compte

• Adresse e-mail (identifiant de connexion)
• Nom d'affichage
• Photo de profil (optionnelle, hébergée sur le serveur)
• Mot de passe (stocké sous forme de hash bcrypt, jamais en clair)

2.2 Données d'utilisation

• Données liées à vos organisations (membres, rôles, tâches, absences, sanctions, messages de chat)
• Données de candidatures (formulaires de recrutement publics)
• Journaux d'activité de votre organisation (actions effectuées, horodatage)
• Notifications

2.3 Données techniques

• Adresse IP (journaux de connexion, protection contre les abus)
• Cookies de session (authentification uniquement)
• Navigateur et système d'exploitation (logs d'erreur)

2.4 Données de facturation

Les données de paiement (numéro de carte, etc.) sont traitées exclusivement par Stripe et ne transitent jamais par nos serveurs. Nous ne conservons que le statut d'abonnement, le plan souscrit et les identifiants Stripe nécessaires à la gestion de votre compte.

3. Finalités et base légale

• Exécution du contrat · Fourniture du service, gestion de votre compte et de votre abonnement.
• Intérêt légitime · Sécurité du service (détection de fraudes, logs d'accès), amélioration des fonctionnalités.
• Obligation légale · Conservation des données de facturation (obligation fiscale française, 10 ans).
• Consentement · Envoi d'e-mails transactionnels (invitation, réinitialisation de mot de passe). Vous pouvez retirer ce consentement à tout moment.

4. Durée de conservation

• Données de compte actif : conservées tant que le compte existe.
• Après suppression du compte : données supprimées sous 30 jours, sauf obligation légale contraire.
• Données de facturation : conservées 10 ans (obligation fiscale).
• Journaux de sécurité (logs) : conservés 90 jours.
• Candidatures de recrutement : conservées jusqu'à suppression par l'organisation concernée.

5. Destinataires des données

Vos données sont accessibles uniquement :

• Aux membres de votre organisation (selon les permissions définies par votre administrateur) ;
• Aux sous-traitants techniques listés ci-dessous, dans la stricte limite de leurs missions ;
• Aux autorités compétentes si la loi l'exige.

Nos sous-traitants techniques :

• Vercel Inc. Hébergement du frontend (USA protégé par clauses contractuelles types)
• Amazon Web Services · Hébergement backend et base de données (EU · région Europe)
• Stripe Inc. Traitement des paiements (USA certifié PCI-DSS)
• Resend Inc. · Envoi d'e-mails transactionnels

6. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès · Obtenir une copie de vos données.
• Droit de rectification · Corriger des données inexactes (depuis vos paramètres de profil).
• Droit à l'effacement · Demander la suppression de votre compte et de vos données.
• Droit à la portabilité · Recevoir vos données dans un format structuré et lisible par machine.
• Droit d'opposition · Vous opposer à certains traitements fondés sur l'intérêt légitime.
• Droit à la limitation · Demander la suspension temporaire du traitement.

Pour exercer ces droits, contactez-nous à contact@kalveo.fr. Nous répondrons dans un délai maximum de 30 jours. En cas de réponse insatisfaisante, vous pouvez introduire une réclamation auprès de la CNIL.

7. Cookies

Crew Manager utilise uniquement des cookies techniques strictement nécessaires au fonctionnement du service :

• Cookie de session (better-auth.session_token) : maintient votre connexion. Durée : session ou 30 jours si "Se souvenir de moi". Aucun consentement requis (art. 82 loi Informatique et Libertés).

Aucun cookie publicitaire, de profilage ou de tracking tiers n'est déposé.

8. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données :

• Connexions chiffrées TLS/HTTPS en transit ;
• Mots de passe hachés (bcrypt) ;
• Accès à la base de données non exposé sur Internet ;
• Authentification par token sécurisé (Better Auth) ;
• Rate limiting et en-têtes de sécurité HTTP (Helmet).

9. Transferts hors UE

Certains sous-traitants (Vercel, Stripe) sont établis aux États-Unis. Ces transferts sont encadrés par des Clauses Contractuelles Types approuvées par la Commission Européenne, conformément à l'article 46 du RGPD.

10. Modifications

Toute modification substantielle de la présente politique vous sera notifiée par e-mail au moins 30 jours avant son entrée en vigueur. L'utilisation continue du service vaudra acceptation de la nouvelle politique.

Pour toute question relative à la protection de vos données : contact@kalveo.fr