Politique de confidentialité

Le responsable de traitement est Chroma Production (entité exploitant l'outil). Les décisions relatives aux finalités et moyens de traitement sont prises en interne.

• Contact général : juhel@chroma.local
• DPO : pas de DPO désigné à ce jour (structure sous seuils) — contact direct via Juhel Sangla.

Nous limitons la collecte aux données strictement nécessaires au pilotage de l'activité.

Profil

email, nom, téléphone, rôle (admin, project_manager, staff, freelance).

Authentification

hash du mot de passe (jamais en clair, bcrypt), cookies de session, secrets MFA (chiffrés au repos), jetons de récupération.

Métier

events créés ou édités, needs, shifts, vendors, invitations émises / acceptées, commentaires.

Technique

adresse IP, user-agent, appareils de confiance (MFA trusted devices), journal d'audit (audit log).

Exclu

pas de géolocalisation, pas d'analytics tiers, pas de tracking cross-site, pas de cookies publicitaires.

• Exécution du contrat interne :permettre à l'équipe d'utiliser l'app pour piloter les events, gérer les équipes et les fournisseurs.
• Sécurité :authentification, MFA, détection d'abus, audit log des actions sensibles.
• Obligations légales :conservation des traces d'audit et des données liées aux events pour répondre aux obligations comptables / fiscales.

Exécution du contrat

données de profil et d'authentification — nécessaires pour vous donner accès à l'app.

Intérêt légitime

audit log, sécurité, rate limiting — proportionnés au but de protéger l'activité et les données des clients.

Obligation légale

conservation 5 ans des données contractuelles rattachées aux events archivés (cadre comptable et fiscal français).

Vos données sont partagées avec les sous-traitants techniques suivants, chacun encadré par un DPA (Data Processing Agreement) standard :

Vercel Inc. (US)

hébergement de l'application — DPA standard, SCCs pour transfert UE → US.

Neon Inc. (EU)

base de données Postgres — hébergement EU, DPA standard.

Resend (US)

envoi d'emails transactionnels (connexion, invitations, exports) — DPA standard, SCCs.

Anthropic (US)

assistance IA lors de l'import de devis (classification des lignes) — DPA standard, SCCs. Seules les descriptions d'items sont transmises, aucune donnée personnelle identifiante.

Upstash (EU / US)

cache distribué utilisé pour le rate limiting — pas de données personnelles, seulement des identifiants opaques.

Sentry (optionnel)

monitoring d'erreurs — PII anonymisée avant envoi si activé.

Profil utilisateur

tant que le compte est actif + 30 jours de grâce après suppression (soft-delete), puis suppression définitive.

Sessions

30 jours d'inactivité — régénération automatique à chaque connexion.

Audit log

24 mois en base chaude + jusqu'à 5 ans en archive froide pour répondre aux besoins d'enquête et obligations légales.

Backups

30 jours de point-in-time recovery (Neon) + snapshots jusqu'à 12 mois.

Invitations

7 jours (TTL) — expiration automatique si non utilisées.

Conformément au RGPD, vous disposez des droits suivants, exerçables directement depuis l'app ou par email :

Droit d'accès

depuis /settings/profile → « Exporter mes données » (export JSON envoyé par email).

Droit de rectification

depuis /settings/profile → édition du nom, téléphone et email.

Droit à l'effacement

depuis /settings/profile → « Supprimer mon compte » (soft-delete 30 jours puis suppression définitive).

Droit à la portabilité

inclus dans l'export d'accès — JSON machine-readable.

Droit d'opposition

révocation de l'accès par un administrateur via /settings/org/members.

Droit de plainte

auprès de la CNIL — www.cnil.fr.

Chroma n'utilise que des cookies strictement fonctionnels :

• cookie de session (authentification NextAuth),
• cookie MFA-OK (preuve du challenge second facteur),
• cookie trusted device (optionnel, appareils de confiance).

Pas d'analytics, pas de traceur publicitaire — aucun consentement CNIL n'est donc requis (exemption article 82 LIL pour les cookies strictement nécessaires).

Certains sous-traitants (Vercel, Resend, Anthropic) hébergent ou traitent des données aux États-Unis. Ces transferts sont encadrés par :

• des Clauses Contractuelles Types (SCCs) validées par la Commission européenne,
• l'adhésion de ces acteurs au Data Privacy Framework UE — États-Unis lorsque applicable.

En cas d'objection, une bascule vers Anthropic Bedrock EU (région Frankfurt) peut être étudiée sur demande.

Pour toute question relative à cette politique ou à vos données, contactez : juhel@chroma.local.

Nous pouvons mettre à jour cette politique ; la date figurant en tête de document reflète la dernière révision. Les modifications significatives sont notifiées par email via Resend.