Politique de confidentialité

1. Responsable de traitement et DPO

Profeeld - Entreprise individuelle représentée par Godefroy Grandin [En cours de création]. Contact pour toute demande relative à vos données : contact@profeeld.com. Profeeld n'a pas désigné de DPO externe (early stage, traitements non sensibles à grande échelle au sens art. 37 RGPD) ; les missions DPO sont exercées en interne par le fondateur.

2. Finalités, bases légales, données

3. Destinataires et sous-traitants

• Supabase (hébergement DB + auth, UE - Francfort)
• Vercel (hébergement frontend, US/UE)
• Stripe (paiement, US/UE - PCI-DSS)
• Resend (email transactionnel, US)
• PostHog (analytics, instance UE)
• Sentry (monitoring, instance UE)
• AI providers : Google (Gemini), Mistral (UE), Perplexity (US)
• Meta Platforms (publicité, US) - responsable conjoint (art. 26 RGPD) et non simple sous-traitant : le Meta Pixel collecte des données sur notre site et les transmet à Meta, qui les traite également pour ses propres finalités publicitaires. Ces données lui sont transmises de deux façons, sous votre consentement publicitaire : par le Meta Pixel (navigateur) et par la Conversions API (depuis notre serveur : email haché + identifiant _fbp). Ce co-traitement est encadré par les Meta Business Tools Terms (Controller Addendum). Vous pouvez exercer vos droits directement auprès de Profeeld (contact@profeeld.com) ou de Meta.

4. Durées de conservation

• Comptes actifs : durée du compte + 3 ans après dernier contact.
• LinkedIn imports : J+90 suppression auto.
• Purchase consents : 5 ans (prescription contractuelle).
• Consentement prospection (nurture) : preuve conservée 3 ans après le dernier contact, ou jusqu'au retrait du consentement (désinscription en un clic dans chaque email).
• Analytics : 12 mois (PostHog), 90 jours (Sentry).
• Cookies publicitaires Meta (_fbp, _fbc) : 90 jours.
• Factures : 10 ans (obligation comptable).

5. Droits des personnes (art. 15 à 22 RGPD)

• Accès (art. 15), rectification (art. 16), effacement (art. 17), limitation (art. 18), portabilité (art. 20), opposition (art. 21), retrait du consentement à tout moment.
• Exercice : contact@profeeld.com. SLA réponse : 72h (engagement Profeeld), traitement complet < 1 mois (art. 12.3 RGPD).
• Réclamation possible auprès de la CNIL (www.cnil.fr).

6. Import LinkedIn (information art. 14 pour les tiers)

Les contacts LinkedIn (relations 1er degré) d'un utilisateur Profeeld sont traités sur la base de l'intérêt légitime (LIA documentée chiffrée). Données : nom, prénom, poste, entreprise, URL profil public. Pas de données sensibles. Pas d'enrichissement externe, pas de revente.

L'information individuelle aux tiers est dispensée au titre de l'art. 14.5.b RGPD (effort disproportionné — volume estimé < 500 contacts par utilisateur, coût marginal de notification individuelle disproportionné par rapport au risque résiduel sur la base d'une LIA chiffrée). Tout tiers peut exercer son droit d'opposition par deux canaux : (1) email à contact@profeeld.com, (2) formulaire dédié sur /legal/dpo (sélection "opposition" + URL de profil LinkedIn comme identifiant). Suppression sous 72h. Suppression automatique J+90 dans tous les cas.

7. Transferts hors UE (chapitre V RGPD)

Une partie de nos données est hébergée et traitée dans l'Union européenne (base de données Supabase à Francfort, analytics PostHog et monitoring Sentry en instance UE, sous-traitant IA Mistral en France).

Certains destinataires traitent des données aux États-Unis (Stripe, Resend, Vercel, Google/Gemini, Perplexity, Meta Platforms). Pour ces transferts, nous nous appuyons sur :

• la décision d'adéquation EU-US Data Privacy Framework lorsque le destinataire est certifié (Stripe, Resend, Vercel, Google, Meta Platforms) ;
• à défaut, les Clauses Contractuelles Types de la Commission UE (décision 2021/914) prévues par le contrat de traitement du sous-traitant ;
• des mesures complémentaires : chiffrement en transit (TLS 1.3), chiffrement au repos, minimisation des données transmises.

Nous avons réalisé une analyse d'impact des transferts (Transfer Impact Assessment) couvrant nos destinataires américains, dont Meta, disponible sur demande à contact@profeeld.com.

8. Décisions automatisées (art. 22 RGPD)

L'attribution d'un profil professionnel à l'issue du bilan repose sur un traitement automatisé (scoring interne) pour adapter les contenus du service. Cette décision est :

• prise sur la base de réponses fournies volontairement,
• nécessaire à l'exécution du service (art. 22.2.a),
• assortie du droit d'intervention humaine : tout utilisateur peut contester son stade ou demander un examen humain en écrivant à contact@profeeld.com (endpoint dédié, traitement < 72h).

L'utilisateur peut également exprimer son point de vue et obtenir une explication sur la logique du scoring.

9. Cookies et traceurs (art. 82 LIL) {#cookies}

Profeeld utilise un bandeau de consentement granulaire : vous pouvez accepter ou refuser séparément la mesure d'audience et la publicité. Cookies présents :

• Strictement nécessaires (auth Supabase, session) - exemptés de consentement, durée session.
• Mesure d'audience PostHog (navigateur) - dépôt de cookies soumis à votre consentement (opt-in explicite via le bandeau). Aucun cookie de mesure d'audience n'est écrit dans votre navigateur avant ce consentement. Durée des cookies : 12 mois.
• Publicité Meta (_fbp, _fbc) - dépôt soumis à un consentement publicitaire distinct, refusable indépendamment de la mesure d'audience. Aucun cookie publicitaire n'est écrit avant ce consentement (le script Meta n'est téléchargé et initialisé qu'après recueil de votre consentement publicitaire). Durée : 90 jours. Ces cookies servent à mesurer l'efficacité de nos publicités ; les données correspondantes sont partagées avec Meta Platforms, responsable conjoint, qui les traite aussi pour son propre ciblage publicitaire.

L'utilisateur peut retirer son consentement à tout moment via le lien "Cookies" en pied de page : le bandeau est réinitialisé, le consentement publicitaire est révoqué — y compris la transmission côté serveur via la Conversions API (voir ci-dessous) — et les cookies _fbp/_fbc sont supprimés.

Mesure publicitaire côté serveur (Conversions API). En complément du Pixel, nous transmettons certains événements de conversion (Lead, Achat) directement depuis notre serveur à Meta via la Conversions API, avec un email haché (SHA-256) et l'identifiant _fbp. Cette transmission repose sur le même consentement publicitaire que le Pixel : elle n'a pas lieu si vous refusez la publicité, et cesse dès le retrait de votre consentement (le retrait est propagé à nos serveurs, qui n'envoient alors plus aucun événement à Meta).

Mesure d'audience côté serveur (sans cookie). Indépendamment des cookies, nous mesurons l'usage de notre service directement depuis nos serveurs (par exemple : étape atteinte dans le bilan, profil calculé). Ces mesures ne déposent ni ne lisent aucun cookie ou information sur votre appareil : elles ne relèvent donc pas du bandeau de consentement. Elles reposent sur notre intérêt légitime (art. 6.1.f RGPD) à comprendre et améliorer le service. Les données sont pseudonymes (un identifiant de session technique ; ni votre nom ni votre email ne sont transmis à l'outil), la géolocalisation est désactivée, l'outil est hébergé dans l'Union européenne et les données sont conservées 12 mois. Nous ne revendons ni n'enrichissons ces données. Conformément aux articles 21 (opposition) et 17 (effacement) du RGPD, vous pouvez vous opposer à cette mesure ou en demander l'effacement en écrivant à contact@profeeld.com (traitement sous 72h). L'analyse d'intérêt légitime correspondante est disponible sur demande.

10. Sécurité

Profeeld met en œuvre les mesures techniques et organisationnelles appropriées au sens de l'art. 32 RGPD : isolation des données par utilisateur, chiffrement en transit (TLS 1.3) et au repos, authentification scopée côté serveur, audit logs, rotation régulière des clés API, monitoring des erreurs en production, secrets chiffrés dans l'environnement de déploiement.

11. Contact

contact@profeeld.com - réponse sous 72h.