Politique de confidentialité

1. Introduction

Haruna SARL, éditeur du service Cipia, s'engage à protéger la vie privée des utilisateurs du Service. Cette politique explique quelles données sont collectées, à quelles fins, sur quelle base légale, et quels sont vos droits conformément au Règlement général sur la protection des données (RGPD, règlement (UE) 2016/679) et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »).

Cette politique est complétée, sur les aspects techniques et opérationnels, par notre politique de gestion des données.

2. Responsable du traitement

Le responsable du traitement est Haruna SARL, représentée par sa gérante Alina Constantin. Le référent RGPD interne est Stéphane Jambu, directeur de la publication (coordonnées complètes dans les mentions légales). Pour toute question relative à vos données personnelles : contact@cipia.fr.

3. Personnes concernées

Cipias'adresse à cinq grandes catégories de professionnels :

• les organismes de formation certifiés Qualiopi (référents veille, dirigeants, équipes pédagogiques)
• les restaurateurs et acteurs agroalimentaires soumis aux principes HACCP
• les professionnels de santé en exercice libéral (médecins, kinésithérapeutes, infirmiers, etc.)
• les avocats indépendants et collaborateurs de cabinets
• les experts-comptables indépendants et collaborateurs de cabinets

Les données collectées sont strictement professionnelles. Aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions, données biométriques) n'est collectée.

4. Données collectées

Les données traitées sont les suivantes :

• Inscription compte : email professionnel, prénom, nom, mot de passe (stocké chiffré via bcrypt avec coût ≥ 12)
• Profil professionnel : secteur(s) sélectionné(s) parmi les 5 disponibles, nom du cabinet ou de la structure, ville/région, fonction ; pour les organismes de formation, optionnellement SIRET et NDE pour la génération du rapport d'audit Qualiopi
• Préférences de veille : mots-clés d'alerte, indicateurs/référentiels suivis (Qualiopi 23-26, HACCP, recommandations HAS, jurisprudences, BOFiP), régions ciblées
• Activité applicative : articles marqués comme lus, intéressants, à exploiter ; statut des actions internes
• Données de paiement : jeton sécurisé Stripe (token), historique de facturation. Aucune donnée de carte bancaire n'est stockée par Haruna SARL ; les données de carte sont collectées et conservées exclusivement par Stripe (PCI-DSS niveau 1)
• Membres d'équipe (plan Cabinet) : emails et noms des collaborateurs invités, rôles (owner, admin, member)
• Données techniques : logs d'accès, adresse IP, agent utilisateur (conservation limitée à 6 mois pour la sécurité)

5. Finalités du traitement

• Fourniture du Service de veille réglementaire (collecte, classification IA et restitution d'articles selon le secteur de l'abonné)
• Envoi de la newsletter hebdomadaire
• Génération de rapports de veille au format PDF (audit Qualiopi, traçabilité interne, conformité)
• Gestion des abonnements payants, des essais gratuits de 14 jours et de la facturation
• Support client et réponse aux demandes
• Sécurité du Service (détection de fraude, lutte contre les abus, protection contre le scraping)
• Amélioration du Service via statistiques agrégées et anonymisées

6. Bases légales (article 6 RGPD)

• Consentement (art. 6.1.a) : inscription à la newsletter gratuite (Cipia Newsletter) et envoi de communications marketing facultatives
• Exécution du contrat (art. 6.1.b) : fourniture des Services payants Cipia Solo et Cipia Cabinet, gestion des accès, facturation
• Obligation légale (art. 6.1.c) : conservation des factures (10 ans, article L.123-22 du Code de commerce), réponse aux réquisitions judiciaires
• Intérêt légitime (art. 6.1.f) : sécurité du Service, prévention de la fraude, amélioration et statistiques agrégées, journalisation des accès

7. Destinataires et sous-traitants

Vos données peuvent être transmises aux sous-traitants suivants, liés à Haruna SARL par un accord de traitement des données (DPA) conforme à l'article 28 du RGPD :

• Hetzner Online GmbH (Allemagne, datacenter UE) — hébergement applicatif et base de données
• Stripe Payments Europe Ltd. (Irlande) — traitement des paiements et tokenisation des cartes bancaires
• Sendinblue SAS / Brevo (France) — envoi de la newsletter hebdomadaire
• Resend, Inc. (USA, encadré par les Clauses Contractuelles Types) — emails transactionnels (confirmation d'inscription, invitations d'équipe, factures)
• Anthropic PBC (USA, encadré par les CCT) — classification par intelligence artificielle. Les contenus traités par l'IA sont des textes officiels publics (Légifrance, BOAMP, BOFiP, etc.) ; aucune donnée personnelle utilisateur n'est transmise à Anthropic dans le cadre du traitement IA
• OVH SAS (France) — gestion du nom de domaine

Haruna SARL ne vend ni ne loue vos données personnelles à des tiers. Aucune donnée n'est utilisée à des fins publicitaires, de profilage commercial externe ou de revente.

8. Durées de conservation

• Compte utilisateur : durée d'utilisation du Service + 3 ans après dernière connexion
• Factures et données de paiement : 10 ans (obligation comptable, article L.123-22 du Code de commerce)
• Logs techniques et adresses IP : 6 mois
• Liste newsletter : jusqu'à désinscription, puis 3 ans pour la preuve du consentement
• Demandes de support : 2 ans après clôture

9. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès à vos données (art. 15)
• Droit de rectification (art. 16)
• Droit à l'effacement, dit « droit à l'oubli » (art. 17)
• Droit à la limitation du traitement (art. 18)
• Droit à la portabilité des données (art. 20)
• Droit d'opposition (art. 21)
• Droit de définir des directives post-mortem (art. 85 loi Informatique et Libertés)
• Droit de retirer son consentement à tout moment, sans effet rétroactif

Pour exercer ces droits, écrivez à contact@cipia.fr avec une copie d'une pièce d'identité. Haruna SARL répond dans un délai maximum d'un mois (prolongeable de deux mois pour les demandes complexes, art. 12 RGPD).

10. Sécurité

Haruna SARL met en œuvre les mesures techniques et organisationnelles suivantes pour protéger vos données : chiffrement TLS 1.3 en transit, hashage bcrypt des mots de passe (coût ≥ 12), isolation des sessions via iron-session, sauvegardes quotidiennes chiffrées, accès restreint au serveur applicatif via clé SSH, journalisation des accès administratifs.

11. Cookies

Cipiautilise uniquement des cookies strictement nécessaires au fonctionnement du Service (cookie de session d'authentification, cookie CSRF, jeton Stripe lors d'une transaction). Ces cookies ne nécessitent pas de consentement au titre de l'article 82 de la loi Informatique et Libertés. Aucun cookie publicitaire, aucun cookie de mesure d'audience tierce et aucun traceur tiersn'est déposé.

12. Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données n'est pas conforme à la réglementation, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.