MySparks — Politique de Confidentialité

• Responsable du traitement : Luca Guegan
• Qualité : Entrepreneur Individuel (micro-entreprise)
• Adresse : 356 Avenue d'Aix-les-Bains, 73000 Chambéry, France
• Email : lucavg94@icloud.com
• Site web : mysparks.fr

Aucun Délégué à la Protection des Données (DPO) n'est désigné, l'Éditeur ne remplissant pas les conditions de désignation obligatoire prévues à l'article 37 du RGPD (entité publique, traitements à grande échelle, traitements systématiques de données sensibles). Toute demande relative à la protection des données personnelles doit être adressée directement à l'Éditeur à l'adresse email susmentionnée.

2.1 Données fournies directement par l'Utilisateur

• Données d'identification et de contact : nom complet, adresse email, numéro de téléphone, photo de profil (avec fonctionnalité de recadrage intégré) ;
• Données de profil : biographie personnelle, comptes de réseaux sociaux (Instagram, Facebook, TikTok, Snapchat) avec contrôle individuel de visibilité (Public / Amis seulement / Privé) ;
• Données relatives aux contacts trackés : nom, prénom, téléphone, email, catégorie (Couple / Travail / Famille / Autre), notes libres, photo, dates importantes (naissance, anniversaire de relation, dates personnalisées) ;
• Journal d'appels : date et heure, durée, direction (entrant/sortant), note de qualité (1-5), humeur (5 niveaux : très positif à très négatif), résumé textuel libre, tags personnalisés, pièces jointes (fichiers, images, enregistrements audio) ;
• Données d'humeurs quotidiennes et journal émotionnel : émoji, note (1-5), texte libre, humeur liée à un contact ou globale, entrées textuelles libres associées aux humeurs ;
• Données CRM (plan Business) : informations sur les leads (nom, entreprise, email, téléphone, statut, score de qualification), opportunités (étapes du pipeline, montants, probabilités), devis (lignes de facturation, conditions, signatures électroniques), commissions ;
• Données de paiement : traitées exclusivement par Stripe (voir Article 4.3 des CGU). L'Éditeur ne reçoit ni ne stocke les numéros de carte bancaire ou autres données de paiement sensibles.

2.2 Données collectées automatiquement

• Données de connexion et de navigation : adresse IP, type et version du navigateur, système d'exploitation, langue, pages visitées, fonctionnalités utilisées, date et heure de connexion, durée de session ;
• Données d'utilisation et d'interaction : clics, actions effectuées dans l'Application, préférences de navigation, paramètres choisis (thème, langue, taille de police) ;
• Données analytiques : statistiques agrégées et anonymisées sur l'utilisation des fonctionnalités, performances de l'Application.

2.3 Données relatives aux tiers saisis par l'Utilisateur

L'Utilisateur peut saisir des données personnelles relatives à des tiers (contacts, leads, clients, prospects). Dans ce contexte, l'Utilisateur agit en qualité de responsable du traitement pour ces données tierces, et l'Éditeur en qualité de sous-traitant.

2.4 Catégories particulières de données (données sensibles)

Certaines fonctionnalités de l'Application sont susceptibles de générer ou de traiter des données pouvant être qualifiées de catégories particulières au sens de l'article 9 du RGPD :

• Les données d'humeurs, d'émotions et de bien-être émotionnel enregistrées par l'Utilisateur peuvent, dans certains contextes, être révélatrices de l'état de santé mentale ou psychologique de la personne concernée.
• Les analyses de sentiment produites par les Services IA sur la base de ces données peuvent renforcer ce caractère sensible.

Le traitement de ces données repose sur le consentement explicite de l'Utilisateur, recueilli lors de l'activation de ces fonctionnalités (article 9.2.a du RGPD). L'Utilisateur peut retirer son consentement à tout moment en désactivant ces fonctionnalités depuis les paramètres de son compte.

Chaque traitement mis en œuvre repose sur une base légale conforme à l'article 6 du RGPD, identifiée ci-après :

• Fourniture du service, gestion du compte et des fonctionnalités contractuelles → Base légale : exécution du contrat (article 6.1.b RGPD) ;
• Traitement des paiements, gestion des abonnements, émission des factures → Base légale : exécution du contrat (article 6.1.b RGPD) ;
• Fonctionnalités d'intelligence artificielle (transcription, analyse de sentiment, insights, scoring) → Base légale : exécution du contrat (article 6.1.b RGPD) avec consentement spécifique pour les données sensibles (article 9.2.a RGPD) ;
• Envoi de notifications de rappel, alertes relationnelles, rapports périodiques → Base légale : exécution du contrat (article 6.1.b RGPD) ;
• Amélioration de l'Application, analyse statistique agrégée → Base légale : intérêts légitimes de l'Éditeur (article 6.1.f RGPD) ;
• Communications marketing et newsletters → Base légale : consentement de l'Utilisateur (article 6.1.a RGPD), révocable à tout moment ;
• Respect des obligations légales comptables, fiscales et de sécurité → Base légale : obligation légale (article 6.1.c RGPD) ;
• Prévention de la fraude, de la sécurité et des abus → Base légale : intérêts légitimes de l'Éditeur (article 6.1.f RGPD).

4.1 Sous-traitants de l'Éditeur

L'Éditeur a recours aux sous-traitants suivants, avec lesquels des contrats de traitement de données conformes à l'article 28 du RGPD ont été conclus ou sont en cours de formalisation :

• Base44 (hébergement, authentification, infrastructure) — Localisation des serveurs : à préciser auprès de Base44 ;
• Stripe Inc. (traitement des paiements, gestion des abonnements, historique de facturation) — Siège : San Francisco, CA, USA. Transferts encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne ;
• Anthropic PBC (modèle Claude Sonnet pour les Services IA) — Siège : San Francisco, CA, USA. Transferts encadrés par les CCT ;
• OpenAI OpCo, LLC (modèle GPT-4 pour les Services IA) — Siège : San Francisco, CA, USA. Transferts encadrés par les CCT ;
• Google LLC (modèle Gemini Pro pour les Services IA, Google Calendar, Gmail) — Siège : Mountain View, CA, USA. Transferts encadrés par les CCT ;
• Notion Labs Inc. (intégration CRM Notion, plan Business) — Siège : San Francisco, CA, USA. Transferts encadrés par les CCT ;
• Meta Platforms Ireland Limited (agent WhatsApp IA) — Siège : Dublin, Irlande. Transferts encadrés dans le cadre de l'UE.

4.2 Autres destinataires éventuels

• Autorités judiciaires, administratives ou réglementaires habilitées, sur réquisition légale ;
• Conseils juridiques, commissaires aux comptes, dans le strict cadre de leurs missions professionnelles.

Les données personnelles ne sont en aucun cas vendues, louées, échangées ou cédées à titre onéreux à des tiers à des fins commerciales.

Les données personnelles sont conservées pour la durée strictement nécessaire aux finalités pour lesquelles elles ont été collectées, conformément aux principes de minimisation et de limitation de conservation prévus à l'article 5.1.e du RGPD :

• Données de compte (identité, email, profil) : durée d'activité du compte + 3 ans à compter de la dernière connexion ;
• Journal d'appels et contacts trackés : durée d'activité du compte + 1 an ;
• Données d'humeurs et journal émotionnel : durée d'activité du compte uniquement. Suppression immédiate sur demande de l'Utilisateur ;
• Données de paiement et factures : 10 ans à compter de l'émission (article L.123-22 du Code de commerce, obligation comptable légale) ;
• Données CRM — leads et opportunités : durée de la relation commerciale + 3 ans ;
• Devis signés électroniquement : 5 ans à compter de la signature (article L.110-4 du Code de commerce) ;
• Logs de connexion et données de sécurité : 12 mois (recommandation CNIL) ;
• Données analytiques anonymisées : conservation illimitée (non concernées par le RGPD en raison de leur anonymisation effective).

En cas de suppression du compte par l'Utilisateur, les données personnelles sont supprimées dans un délai de trente (30) jours ouvrables, à l'exception des données soumises à une obligation légale de conservation.

Conformément aux articles 15 à 22 du RGPD et aux articles 48 à 52 de la loi Informatique et Libertés modifiée, toute personne concernée dispose des droits suivants :

• Droit d'accès (art. 15 RGPD) : obtenir la confirmation que des données vous concernant sont traitées et en obtenir une copie ;
• Droit de rectification (art. 16 RGPD) : faire corriger des données inexactes ou faire compléter des données incomplètes vous concernant ;
• Droit à l'effacement / droit à l'oubli (art. 17 RGPD) : obtenir la suppression de vos données dans les cas prévus par le RGPD, sous réserve des obligations légales de conservation ;
• Droit à la limitation du traitement (art. 18 RGPD) : obtenir la restriction du traitement de vos données dans certaines circonstances ;
• Droit à la portabilité (art. 20 RGPD) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine. Ce droit est facilité par la fonction d'export JSON intégrée à l'Application (paramètres > Export des données) ;
• Droit d'opposition (art. 21 RGPD) : vous opposer au traitement de vos données fondé sur les intérêts légitimes de l'Éditeur, et vous opposer sans motif au traitement à des fins de prospection commerciale ;
• Droit de retrait du consentement : retirer votre consentement à tout moment pour les traitements fondés sur votre consentement ;
• Droit de ne pas faire l'objet d'une décision entièrement automatisée (art. 22 RGPD) ;
• Droit de définir des directives post-mortem : conformément à l'article 85 de la loi Informatique et Libertés.

Pour exercer l'un de ces droits, adressez votre demande par email à lucavg94@icloud.com en précisant votre identité et la nature du droit exercé. L'Éditeur s'engage à répondre dans un délai d'un (1) mois à compter de la réception de la demande.

Si vous estimez que vos droits n'ont pas été respectés après avoir contacté l'Éditeur, vous avez le droit d'introduire une réclamation auprès de la CNIL — 3 Place de Fontenoy – TSA 80715 – 75334 Paris Cedex 07 — www.cnil.fr — Tél : 01 53 73 22 22.

Conformément à l'article 32 du RGPD, l'Éditeur met en œuvre les mesures techniques et organisationnelles appropriées suivantes :

7.1 Mesures techniques

• Authentification et gestion des mots de passe déléguées à Base44 (pas d'accès aux mots de passe en clair par l'Éditeur) ;
• Chiffrement de toutes les communications entre l'Application et les serveurs via le protocole HTTPS/TLS (version 1.2 minimum) ;
• Isolation stricte des données : chaque Utilisateur n'accède qu'à ses propres données ;
• Validation cryptographique des webhooks Stripe (signature HMAC-SHA256) ;
• Tokens de signature électronique sécurisés (UUID v4 cryptographiquement aléatoires) avec horodatage ;
• Audit log complet et immuable des actions sensibles dans le module CRM ;
• Contrôle de visibilité granulaire par entrée de données ;
• Protection anti-clickjacking : le checkout Stripe est bloqué si l'Application est intégrée dans un iframe ;
• Journaux d'accès et de sécurité conservés pendant 12 mois.

7.2 Mesures organisationnelles

• Accès aux données limité aux personnes strictement habilitées par leur rôle ;
• Page d'administration et outils DevTools réservés aux administrateurs avec vérification de rôle côté serveur ;
• Sensibilisation aux bonnes pratiques de sécurité.

7.3 Notification des violations de données

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, l'Éditeur s'engage à :

• Notifier la violation à la CNIL dans un délai de soixante-douze (72) heures suivant sa prise de connaissance, conformément à l'article 33 du RGPD ;
• Notifier les personnes concernées dans les meilleurs délais lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, conformément à l'article 34 du RGPD.

L'Application n'est pas destinée aux enfants de moins de treize (13) ans. L'Éditeur ne collecte pas sciemment de données personnelles relatives à des enfants âgés de moins de treize (13) ans.

Pour les Utilisateurs âgés de treize (13) à quinze (15) ans inclus, le consentement au traitement des données personnelles doit être donné ou autorisé par le titulaire de l'autorité parentale, conformément à l'article 8 du RGPD et à l'article 45 de la loi Informatique et Libertés.

Si l'Éditeur prend connaissance qu'un enfant de moins de treize (13) ans lui a communiqué des données personnelles sans consentement parental, il prendra les mesures nécessaires pour supprimer ces données dans les meilleurs délais. Tout signalement peut être adressé à lucavg94@icloud.com.

L'Application utilise des cookies et technologies similaires. Conformément à l'article 82 de la loi Informatique et Libertés et aux lignes directrices de la CNIL, les cookies suivants sont utilisés :

• Cookies strictement nécessaires (exemptés de consentement) : cookies de session, cookies d'authentification, cookies de préférences techniques. Ces cookies sont indispensables au fonctionnement de l'Application ;
• Cookies analytiques (soumis à consentement préalable) : cookies permettant de mesurer l'audience et l'utilisation de l'Application (données agrégées et anonymisées dans la mesure du possible).

L'Utilisateur peut, à tout moment, configurer son navigateur ou son appareil mobile pour refuser ou supprimer les cookies. Cette configuration peut affecter certaines fonctionnalités de l'Application.

Plusieurs sous-traitants de l'Éditeur sont établis aux États-Unis (Anthropic, OpenAI, Google, Stripe, Notion). Les données personnelles traitées par ces sous-traitants font l'objet de transferts vers les États-Unis.

Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne par décision du 4 juin 2021 (2021/914/UE), qui constituent une garantie appropriée au sens de l'article 46 du RGPD.

L'Éditeur vérifie régulièrement que ces garanties demeurent effectives et adaptées au cadre juridique applicable.

11.1 Utilisateurs de l'Union européenne

Le traitement de vos données personnelles est intégralement conforme au RGPD. L'autorité de contrôle compétente pour les résidents français est la CNIL (www.cnil.fr). Les résidents des autres États membres peuvent s'adresser à l'autorité de contrôle de leur pays de résidence.

11.2 Utilisateurs au Royaume-Uni

Le traitement de vos données est conforme au UK GDPR (retained EU law) et au Data Protection Act 2018. L'autorité de contrôle compétente est l'Information Commissioner's Office (ICO) — www.ico.org.uk.

11.3 Utilisateurs en Californie (CCPA/CPRA)

Les résidents de Californie bénéficient de droits spécifiques en vertu du California Consumer Privacy Act (CCPA) tel qu'amendé par le California Privacy Rights Act (CPRA, en vigueur depuis le 1er janvier 2023) :

• Droit de savoir : connaître les catégories de données personnelles collectées, les finalités de collecte, et les catégories de tiers destinataires ;
• Droit de suppression : demander la suppression des données personnelles vous concernant ;
• Droit de rectification : faire corriger les données inexactes vous concernant ;
• Droit d'opt-out de la vente ou du partage des données personnelles : MySparks ne vend pas et ne partage pas vos données à des fins publicitaires ;
• Droit à la limitation de l'utilisation des données sensibles ;
• Droit à la non-discrimination pour l'exercice de vos droits CPRA.

Pour exercer ces droits, contactez l'Éditeur à : lucavg94@icloud.com. L'Éditeur s'engage à répondre dans un délai de quarante-cinq (45) jours, prorogeable une fois.

11.4 Utilisateurs au Canada (LPRPDE / Loi 25 du Québec)

Pour les résidents canadiens, et notamment québécois, le traitement de vos données est conforme à la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25, en vigueur depuis septembre 2022). Vous disposez des droits d'accès, de rectification et de retrait du consentement reconnus par cette loi.

La présente Politique de Confidentialité peut être modifiée par l'Éditeur, notamment pour se conformer à toute évolution légale, réglementaire ou jurisprudentielle, ou pour tenir compte de nouvelles fonctionnalités de l'Application. La version en vigueur est consultable à tout moment sur l'Application à l'adresse mysparks.fr.

En cas de modification substantielle affectant les droits des personnes concernées, l'Éditeur s'engage à notifier les Utilisateurs par email au minimum trente (30) jours avant l'entrée en vigueur des modifications. La date de dernière mise à jour figure en en-tête du présent document.