Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est :

Mohammed Amine Derbal
Entrepreneur individuel (micro-entreprise)
33 Rue des Terres au Curé, 75013 Paris, France
SIRET : 978 400 893 00019
Email : amine@complypme.fr

Mohammed Amine Derbal assure également les fonctions de point de contact pour toute question relative à la protection des données (article 37 du RGPD).

2. Données collectées et finalités

2.1 Données de compte et de contact

2.2 Données du questionnaire de diagnostic

Les réponses aux 28 questions du diagnostic AI Act, qui peuvent inclure : nature des outils IA utilisés, processus internes, usages métiers, maturité documentaire, niveau de gouvernance.

• Finalité : génération du rapport personnalisé d'auto-diagnostic
• Base légale : exécution du contrat (art. 6.1.b RGPD)

2.3 Données de paiement

Les données de paiement (numéro de carte, date d'expiration, CVV) sont collectées directement par Stripe et ne transitent jamais par les serveurs de ComplyPME. ComplyPME conserve uniquement : identifiant de transaction Stripe, montant, date, statut.

• Finalité : exécution de la transaction, comptabilité, lutte contre la fraude
• Base légale : exécution du contrat + obligation légale (art. L123-22 du Code de commerce)

2.4 Données de facturation

• Finalité : émission et conservation des factures
• Base légale : obligation légale (art. L123-22 du Code de commerce)
• Durée de conservation : 10 ans

2.5 Données techniques et de navigation

• Adresse IP, type de navigateur, pages visitées, durée de session
• Finalité : mesure d'audience, amélioration du service, sécurité
• Base légale : intérêt légitime (art. 6.1.f RGPD) pour les données strictement nécessaires ; consentement (art. 6.1.a) pour les outils de mesure d'audience non exemptés
• Voir la Politique de cookies pour le détail

2.6 Données de communication

Si vous nous écrivez (email, formulaire de contact), nous conservons le contenu de l'échange.

• Finalité : traitement de votre demande, support client
• Base légale : intérêt légitime
• Durée de conservation : 3 ans à compter du dernier contact

2.7 Newsletter

Si vous vous inscrivez à notre newsletter via le formulaire dédié :

• Données : adresse email
• Finalité : envoi d'informations sur les évolutions de l'AI Act
• Base légale : consentement (art. 6.1.a RGPD)
• Double opt-in : un email de confirmation vous est envoyé. L'inscription n'est validée qu'après clic sur le lien de confirmation.
• Désinscription : un lien de désinscription est présent dans chaque email

3. Destinataires des données

Vos données personnelles peuvent être transmises aux sous-traitants techniques suivants, dans la stricte mesure nécessaire à l'exécution de leurs prestations.

3.1 Liste exhaustive des sous-traitants

Chacun de ces sous-traitants est engagé par un Data Processing Agreement (DPA) conforme au RGPD.

3.2 Transferts hors Union européenne

Plusieurs sous-traitants sont situés aux États-Unis (Vercel, Resend, Anthropic, Google, Microsoft). Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne dans sa décision d'exécution (UE) 2021/914 du 4 juin 2021, conformément aux articles 44 à 49 du RGPD.

Concernant Anthropic spécifiquement : les données transmises ne sont pas utilisées pour entraîner les modèles d'IA. Elles peuvent être conservées jusqu'à 30 jours à des fins de sécurité et de détection d'abus, puis sont supprimées par Anthropic.

3.3 Autres destinataires

Vos données peuvent être transmises à des autorités administratives ou judiciaires si une obligation légale nous y contraint (réquisition, contrôle CNIL, contrôle fiscal).

Vos données ne sont jamais vendues, louées ou cédées à des tiers à des fins commerciales.

4. Durées de conservation

À l'expiration du contrat, vos données de service sont supprimées sous 30 jours. Les données comptables sont conservées selon les obligations légales applicables, dans un environnement sécurisé et à accès restreint.

5. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité de vos données :

• Chiffrement des données en transit (HTTPS / TLS 1.2 minimum)
• Chiffrement des données au repos (Supabase, AES-256)
• Authentification renforcée pour les comptes administrateurs
• Accès aux données limité au strict nécessaire (principe du moindre privilège)
• Sauvegardes régulières de la base de données
• Sous-traitants sélectionnés sur leurs garanties de sécurité (DPA, certifications ISO 27001 ou SOC 2 pour les principaux)

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à notifier la CNIL dans les 72 heures (art. 33 RGPD) et à vous informer si le risque est élevé (art. 34 RGPD).

6. Vos droits

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (art. 15) : obtenir la confirmation que vos données sont traitées et en recevoir une copie
• Droit de rectification (art. 16) : corriger des données inexactes ou incomplètes
• Droit à l'effacement (art. 17) : demander la suppression de vos données (sous réserve des obligations légales de conservation)
• Droit à la limitation du traitement (art. 18) : restreindre l'usage de vos données dans certains cas
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré et lisible
• Droit d'opposition (art. 21) : vous opposer au traitement pour des motifs légitimes
• Droit de retirer votre consentement à tout moment, lorsque le traitement est fondé sur le consentement (newsletter, cookies)
• Droit de définir des directives relatives au sort de vos données après votre décès (loi Informatique et Libertés, art. 85)

6.1 Comment exercer vos droits

Adressez votre demande par email à amine@complypme.fr en précisant la nature de votre demande. Une pièce d'identité pourra vous être demandée en cas de doute raisonnable sur votre identité.

Nous répondons dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois en cas de complexité ou de demandes multiples (art. 12 RGPD).

6.2 Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés :

7. Décisions automatisées et profilage

Le rapport ComplyPME est généré à partir de vos réponses au questionnaire via un traitement algorithmique assisté par intelligence artificielle (Anthropic Claude).

Ce traitement ne produit pas d'effet juridique à votre égard et ne vous affecte pas de manière significative au sens de l'article 22 du RGPD : il s'agit d'un rapport informatif d'auto-diagnostic que vous restez libre d'utiliser, de partager ou d'ignorer.

Vous conservez la possibilité de contester le contenu du rapport, de demander une revue manuelle, ou d'obtenir des explications sur la logique sous-jacente en nous contactant à amine@complypme.fr.

8. Cookies et traceurs

L'utilisation de cookies et traceurs sur complypme.fr est encadrée par notre Politique de cookies.

9. Modifications de la politique

La présente politique peut être modifiée pour tenir compte d'évolutions réglementaires, techniques ou de notre service. La date de dernière mise à jour est indiquée en haut du document. En cas de modification substantielle, nous vous en informerons par email ou par notification dans votre espace client.

Les versions antérieures de cette politique sont archivées et peuvent être obtenues sur simple demande à amine@complypme.fr.

10. Contact

Pour toute question relative à vos données personnelles ou à l'exercice de vos droits :

Mohammed Amine Derbal
Point de contact RGPD pour ComplyPME
Email : amine@complypme.fr
Adresse : 33 Rue des Terres au Curé, 75013 Paris, France