Politique de confidentialité

1. Responsable du traitement

Crew Manager est engagé dans la protection de vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD · Règlement UE 2016/679) et à la loi Informatique et Libertés modifiée.

2. Données collectées

2.1 Données de compte

• Adresse e-mail (identifiant de connexion) et nom d'affichage
• Mot de passe, stocké sous forme hachée, jamais en clair
• Photo de profil (facultative), hébergée sur nos serveurs
• Si vous vous connectez avec Google, ou avec Discord pour les comptes qui l'utilisent : les informations transmises par ce service (nom, adresse e-mail, photo de profil, identifiant du compte et, pour Discord, nom d'utilisateur) et les jetons de connexion associés
• Préférences d'affichage et de notification, date de dernière activité

2.2 Données de vos organisations

Saisies par vous et par les collaborateurs de votre organisation :

• Organisation : nom, description, logo, images et informations de la page publique si vous l'activez
• Collaborateurs : nom, adresse e-mail d'invitation, poste et historique des changements de poste, rôle, profil de droits, étiquettes, responsable dans l'organigramme, date d'arrivée
• Absences : type, dates, motif éventuel et suite donnée à la demande
• Tâches, commentaires, événements et inscriptions, rappels, notes partagées, messages du chat et fichiers joints, sondages, opérations de budget
• Journal d'activité de l'organisation : action effectuée, auteur, date, adresse IP et navigateur
• Notifications

2.3 Candidatures

Les formulaires publics de recrutement recueillent, selon les champs choisis par l'organisation : nom, adresse e-mail, âge, profil LinkedIn, téléphone, disponibilités, expérience, motivations, réponses aux questions libres et fichiers joints. Certains formulaires plus anciens demandent aussi un identifiant Discord. S'y ajoutent les messages échangés avec l'organisation, ainsi que le statut, la décision et les notes de l'organisation sur la candidature.

2.4 Agenda et budget reliés

• Si vous reliez Google Agenda : les jetons d'accès (chiffrés) et l'adresse e-mail du compte relié. Les événements que vous créez sont envoyés vers cet agenda.
• Si vous reliez un compte Stripe ou une boutique en ligne à un budget : les clés d'accès (chiffrées), puis le montant et le libellé des paiements reçus, avec le nom de l'acheteur et l'article quand la boutique les transmet.

2.5 Messages envoyés depuis le site

• Assistant du site : nom (facultatif), adresse e-mail, message, page consultée, échange avec l'assistant et adresse IP. Quand vous indiquez qu'une réponse n'est pas utile, l'échange est transmis à l'équipe, sans adresse e-mail.
• Signalement de problème depuis l'application : adresse e-mail, titre, description, page concernée, navigateur et taille de l'écran.

2.6 Données techniques

• Adresse IP et navigateur (sessions de connexion, journaux, protection contre les abus)
• Pages consultées sur le site, avec l'adresse IP, pour mesurer la fréquentation. Aucun outil de mesure d'audience tiers n'est utilisé.
• Clics sur un lien de parrainage ou de partenaire, avec l'adresse IP
• Cookies de session (authentification uniquement)

2.7 Données de facturation

Les données de paiement (numéro de carte, etc.) sont traitées exclusivement par Stripe et ne transitent jamais par nos serveurs. Nous ne conservons que le statut d'abonnement, la formule souscrite et les identifiants Stripe nécessaires à la gestion de votre compte.

3. Finalités et base légale

• Exécution du contrat · Fourniture du service, gestion de votre compte et de votre abonnement, envoi des e-mails liés au service (invitation, réinitialisation du mot de passe, suite donnée à une candidature).
• Intérêt légitime · Sécurité du service (détection de fraudes, logs d'accès), amélioration des fonctionnalités.
• Obligation légale · Conservation des données de facturation (obligation fiscale française, 10 ans).

4. Durée de conservation

• Données de compte actif : conservées tant que le compte existe.
• Après suppression du compte : données supprimées sous 30 jours, sauf obligation légale contraire.
• Données de facturation : conservées 10 ans (obligation fiscale).
• Journal d'activité des organisations (auteur, action, adresse IP, navigateur) : conservé tant que l'organisation existe.
• Candidatures de recrutement : conservées jusqu'à suppression par l'organisation concernée.

5. Destinataires des données

Vos données sont accessibles uniquement :

• Aux collaborateurs de votre organisation, selon les droits définis par son administrateur ;
• Pour une candidature : aux personnes de l'organisation qui ont accès au recrutement ;
• Aux sous-traitants techniques listés ci-dessous, dans la stricte limite de leurs missions ;
• Aux autorités compétentes si la loi l'exige.

Nos sous-traitants techniques :

• Vercel Inc. · Hébergement du site (États-Unis, clauses contractuelles types)
• Contabo GmbH · Hébergement de l'API et de la base de données (serveurs en France · UE)
• Stripe Inc. · Traitement des paiements (États-Unis, certifié PCI-DSS)
• Resend Inc. · Envoi d'e-mails transactionnels (États-Unis, clauses contractuelles types)
• Discord Inc. · Réception par l'équipe des signalements de problème envoyés depuis l'application (États-Unis)
• Google · Police d'icônes chargée depuis Google Fonts (votre adresse IP lui est transmise)
• Giphy · Recherche de GIF dans le chat, quand vous l'utilisez

Si vous vous connectez avec Google ou Discord, ou si vous reliez Google Agenda ou un compte Stripe, les échanges avec ce service ont lieu à votre demande et relèvent aussi de sa propre politique de confidentialité.

6. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès · Obtenir une copie de vos données.
• Droit de rectification · Corriger des données inexactes (depuis vos paramètres de profil).
• Droit à l'effacement · Demander la suppression de votre compte et de vos données.
• Droit à la portabilité · Recevoir vos données dans un format structuré et lisible par machine.
• Droit d'opposition · Vous opposer à certains traitements fondés sur l'intérêt légitime.
• Droit à la limitation · Demander la suspension temporaire du traitement.

Pour exercer ces droits, contactez-nous à llwebsite@outlook.fr. Nous répondrons dans un délai maximum de 30 jours. En cas de réponse insatisfaisante, vous pouvez introduire une réclamation auprès de la CNIL.

7. Cookies

Crew Manager utilise uniquement des cookies techniques strictement nécessaires au fonctionnement du service :

• Cookie de session (better-auth.session_token) : maintient votre connexion. Durée : 7 jours, prolongée quand vous utilisez le service. Aucun consentement requis (art. 82 loi Informatique et Libertés).

Aucun cookie publicitaire, de profilage ou de tracking tiers n'est déposé. Le navigateur garde aussi quelques préférences en stockage local (thème, organisation active, affichage des listes, code de parrainage), qui restent sur votre appareil.

8. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données :

• Connexions chiffrées TLS/HTTPS en transit ;
• Mots de passe hachés (scrypt) ;
• Clés d'accès aux agendas et aux comptes Stripe reliés chiffrées en base ;
• Accès à la base de données non exposé sur Internet ;
• Sessions de connexion gérées par Better Auth ;
• Rate limiting et en-têtes de sécurité HTTP (Helmet).

9. Transferts hors UE

Certains sous-traitants (Vercel, Stripe, Resend, Discord, Google, Giphy) sont établis aux États-Unis. Ces transferts sont encadrés par des Clauses Contractuelles Types approuvées par la Commission Européenne, conformément à l'article 46 du RGPD.

10. Modifications

Toute modification substantielle de la présente politique vous sera notifiée par e-mail au moins 30 jours avant son entrée en vigueur. L'utilisation continue du service vaudra acceptation de la nouvelle politique.

Pour toute question relative à la protection de vos données : llwebsite@outlook.fr