Politique de confidentialité

1. Responsable du traitement

Elni Consulting SRL, Rue Grande Coyarde 7, 1367 Ramillies, Belgique — BE 1002.511.925.

Pour toute question ou pour exercer vos droits : privacy@climatememory.com.

Nous n'avons pas désigné de délégué à la protection des données : notre activité ne relève d'aucun des cas où le RGPD l'impose (article 37).

2. Ce que nous traitons, et pourquoi

Compte : adresse électronique, nom d'affichage éventuel, langue, identifiant opaque du fournisseur d'identité si vous utilisez Google ou GitHub. Finalité : vous authentifier et vous joindre. Base légale : exécution du contrat.

Facturation : pays, éventuellement raison sociale et numéro de TVA, ainsi que l'index de vos factures. Finalité : établir des factures conformes et appliquer la TVA correcte. Base légale : obligation légale.

Usage de l'API : identifiant de la clé, horodatage à la minute, endpoint appelé et coût en crédits. Finalité : facturer, appliquer les quotas, détecter les abus. Base légale : exécution du contrat et intérêt légitime. Ces enregistrements ne contiennent ni les paramètres de vos requêtes, ni les coordonnées demandées.

Sécurité : empreinte tronquée et salée de l'adresse IP au moment d'une connexion ou d'une action sensible, et agent utilisateur. Finalité : détecter un usage anormal. Base légale : intérêt légitime. Nous ne conservons pas les adresses IP elles-mêmes.

Consentements : la preuve, horodatée, de l'acceptation des documents contractuels et, le cas échéant, de la renonciation au droit de rétractation. Base légale : obligation légale (RGPD art. 7 §1 et CDE art. VI.53).

3. Ce que nous ne faisons pas

Nous ne vendons ni ne louons vos données. Nous ne les utilisons pas pour de la publicité ciblée. Nous ne pratiquons aucune décision automatisée produisant des effets juridiques à votre égard, ni aucun profilage.

Nous ne conservons aucun mot de passe, puisque nous n'en utilisons pas.

4. Destinataires

Hébergement : OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France. Les serveurs et les bases de données sont situés dans l'Union européenne.

Réseau de diffusion et protection : Cloudflare, Inc., qui traite les adresses IP des visiteurs pour filtrer les attaques.

Paiement : Stripe Payments Europe, Ltd., Dublin, Irlande, qui agit comme responsable de traitement pour les données de paiement et conserve seul les données de carte.

Courrier électronique transactionnel : Amazon Web Services EMEA SARL (Amazon SES, région de Paris), Luxembourg. Boîtes aux lettres : OVHcloud (service Zimbra), France.

Ces prestataires agissent sur instruction et sont liés par contrat. Aucune donnée n'est transférée hors de l'Espace économique européen, sauf par Cloudflare, Stripe et Amazon Web Services dans le cadre de leurs mécanismes de transfert légalement encadrés.

5. Durées de conservation

Compte : tant qu'il existe, puis effacement à votre demande.

Factures et données de facturation : sept ans à compter de la clôture de l'exercice, comme l'impose la législation comptable belge. Cette conservation survit à une demande d'effacement (RGPD art. 17 §3 b), mais la facture conservée n'est plus rattachée à un compte actif.

Journaux d'usage : treize mois glissants.

Sessions : trente jours après leur dernière utilisation.

Liens de connexion : quinze minutes, puis suppression au plus tard sous sept jours.

Événements de paiement bruts reçus de Stripe : quatre-vingt-dix jours, et immédiatement en cas d'effacement du compte concerné.

6. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité prévus par les articles 15 à 22 du RGPD.

L'effacement se déclenche depuis votre espace client, sans démarche ni délai d'attente : il révoque vos clés, supprime vos identifiants de connexion et vos sessions, efface les données d'identification de votre compte et détache vos factures, qui restent conservées sans donnée personnelle rattachée. L'opération est irréversible.

Vous pouvez aussi nous écrire à privacy@climatememory.com. Nous répondons dans un délai d'un mois.

7. Réclamation

Si notre réponse ne vous satisfait pas, vous pouvez saisir l'Autorité de protection des données (APD/GBA), Rue de la Presse 35, 1000 Bruxelles, Belgique — https://www.autoriteprotectiondonnees.be.

L'autorité compétente est belge et non française : notre établissement principal se trouve en Belgique.

8. Sécurité

Les clés d'API et les jetons de session ne sont jamais stockés en clair : seule leur empreinte cryptographique est conservée, ce qui rend une copie de la base inutilisable pour se connecter.

Les rôles de base de données sont séparés : le processus qui répond aux requêtes de l'API n'a aucun droit de lecture sur les tables contenant des données personnelles. Ce n'est pas une consigne interne, c'est une contrainte appliquée par le serveur.

Les échanges sont chiffrés en transit. En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous notifions l'autorité dans les 72 heures et vous informons lorsque le risque est élevé.

9. Modification

Toute modification substantielle de cette politique vous est notifiée par courrier électronique. La version en vigueur porte la date affichée en tête de page.