1. Responsable de traitement
Vincent Dorange (Éditeur de ACF Compliance), SIREN [à compléter], domicilié [adresse à compléter]. Contact DPO : dpo@acf-compliance.com.
2. Catégories de données collectées
Données d'identification (nom, email, entreprise, fonction). Données de connexion (logs, IP hashée anonymisée, user-agent). Données d'usage (interactions plateforme, prompts ACF Genius). Données de facturation (via Stripe). Données soumises par l'utilisateur (systèmes IA inventoriés, fiches, documents).
3. Finalités du traitement
Fourniture du service SaaS (gouvernance IA). Facturation et comptabilité. Sécurité (anti-spam, anti-fraude, rate limiting). Amélioration produit (sur données agrégées anonymisées uniquement). Communication produit (newsletter ACF Pulse, opt-in uniquement).
4. Base légale
Exécution du contrat (souscription au service). Intérêt légitime (sécurité plateforme, fraude). Consentement (newsletter, cookies non essentiels). Obligation légale (facturation, conservation des logs sécurité).
5. Durées de conservation
Données de compte : durée de la relation contractuelle + 3 ans. Données de facturation : 10 ans (obligation légale). Logs sécurité : 12 mois. Audit trail Decision Engine : 7 ans (conformité IA Act). Cookies analytiques (Plausible) : pas de cookies, agrégation seule.
6. Sous-traitants
Vercel Inc. (hébergement, Frankfurt EU). Supabase (base de données, région EU). Anthropic (ACF Genius, modèle Claude, US — sans rétention training). Stripe (paiement). Resend (envoi emails transactionnels). Plausible (analytics agrégés, sans cookies, EU). La liste complète et à jour est disponible sur demande.
7. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité, et d'opposition au traitement. Pour exercer vos droits : dpo@acf-compliance.com. Vous pouvez également déposer une réclamation auprès de la CNIL (www.cnil.fr).
8. Sécurité
ACF Compliance applique : chiffrement TLS 1.3 en transit, AES-256 au repos, hashing des IP (RGPD), bcrypt pour les secrets, RLS Supabase, rate limiting, audit trail cryptographique. Audit de sécurité externe annuel prévu.
9. Transferts hors UE
Les données sont hébergées principalement en UE (Vercel Frankfurt, Supabase EU). L'usage d'Anthropic (Claude) implique un transfert vers les USA, sous Clauses Contractuelles Types (SCC) Commission européenne 2021/914.
10. Mises à jour
La présente politique peut être mise à jour. Les changements majeurs sont notifiés par email aux utilisateurs au moins 30 jours à l'avance.