---
export const prerender = true;

import LegalLayout from "../layouts/LegalLayout.astro";
---

<LegalLayout
  title="Politique de confidentialité"
  description="Politique de confidentialité de Rubis sur l'ongle — comment nous collectons, utilisons et protégeons vos données personnelles, conformément au RGPD."
  eyebrow="Données personnelles · RGPD"
  h1={`Politique de <em>confidentialité</em>`}
  lede="Cette page décrit comment Rubis sur l'ongle collecte, utilise et protège vos données personnelles, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés modifiée."
  lastUpdated="7 mai 2026"
>
  <div class="toc" aria-label="Sommaire">
    <p class="toc-title">Sommaire</p>
    <ol>
      <li><a href="#responsable">Responsable du traitement</a></li>
      <li><a href="#donnees">Données collectées</a></li>
      <li><a href="#finalites">Finalités et bases légales</a></li>
      <li><a href="#sous-traitants">Sous-traitants et hébergement</a></li>
      <li><a href="#duree">Durée de conservation</a></li>
      <li><a href="#droits">Vos droits</a></li>
      <li><a href="#cookies">Cookies</a></li>
      <li><a href="#securite">Sécurité</a></li>
      <li><a href="#reclamation">Réclamation auprès de la CNIL</a></li>
      <li><a href="#evolutions">Évolutions de cette politique</a></li>
    </ol>
  </div>

  <h2 id="responsable">1. Responsable du traitement</h2>
  <p>
    Le responsable du traitement de vos données est <strong>Arthur Barré</strong>, éditeur du service Rubis sur l'ongle (cf. <a href="/mentions-legales">mentions légales</a>).
  </p>
  <div class="callout">
    <p>
      <strong>Pour toute question liée à vos données</strong> :
      <a href="mailto:contact@rubis.pro">contact@rubis.pro</a>
    </p>
  </div>

  <h2 id="donnees">2. Données collectées</h2>
  <p>
    Nous collectons uniquement les données strictement nécessaires au fonctionnement du service. Aucune donnée n'est revendue à des tiers à des fins commerciales.
  </p>

  <h3>2.1 Données d'inscription et de compte</h3>
  <ul>
    <li><strong>Email</strong> (identifiant de connexion + canal de notification check-in)</li>
    <li><strong>Mot de passe</strong> (stocké de manière chiffrée et irréversible)</li>
    <li><strong>Nom complet</strong> (signature des relances)</li>
    <li><strong>Nom de l'organisation et SIRET</strong> (optionnel, pour les mises en demeure formelles)</li>
  </ul>

  <h3>2.2 Données métier saisies par l'utilisateur</h3>
  <ul>
    <li><strong>Factures</strong> : numéro, montant, dates d'émission et d'échéance, fichier PDF/image source</li>
    <li><strong>Clients du user</strong> : nom, email, téléphone, adresse, SIRET (si fourni)</li>
    <li><strong>Plans de relance</strong> et templates d'emails que l'utilisateur configure</li>
  </ul>
  <p>
    <strong>Important</strong> : les données des <em>clients finaux</em> du user sont collectées par l'utilisateur lui-même qui en est responsable de traitement vis-à-vis de ses clients. Rubis agit en tant que sous-traitant au sens de l'article 28 du RGPD pour ces données. Un avenant DPA peut être fourni sur demande.
  </p>

  <h3>2.3 Données techniques et journaux</h3>
  <ul>
    <li>Journaux de connexion (adresse IP, date) — conservés à des fins de sécurité</li>
    <li>Cookie de session pour maintenir la connexion</li>
    <li>Identifiants techniques de notre prestataire de paiement (en cas d'abonnement payant)</li>
  </ul>

  <h2 id="finalites">3. Finalités et bases légales</h2>
  <table class="def-table">
    <thead>
      <tr>
        <th>Finalité</th>
        <th>Base légale</th>
      </tr>
    </thead>
    <tbody>
      <tr><td>Fourniture du service (relances, OCR, dashboard)</td><td>Exécution du contrat (art. 6.1.b RGPD)</td></tr>
      <tr><td>Facturation et abonnement</td><td>Exécution du contrat + obligation légale (comptable)</td></tr>
      <tr><td>Sécurité du service (anti-fraude, logs)</td><td>Intérêt légitime (art. 6.1.f)</td></tr>
      <tr><td>Support utilisateur</td><td>Exécution du contrat</td></tr>
      <tr><td>Statistiques d'usage anonymisées</td><td>Intérêt légitime — pas de profiling individuel</td></tr>
      <tr><td>Communication commerciale</td><td>Consentement explicite (opt-in à l'inscription)</td></tr>
    </tbody>
  </table>

  <h2 id="sous-traitants">4. Sous-traitants et hébergement</h2>
  <p>
    L'application, la base de données et les fichiers utilisateurs sont hébergés <strong>en France</strong>. Trois sous-traitants spécialisés interviennent pour des fonctions ciblées&nbsp;:
  </p>
  <table class="def-table">
    <thead>
      <tr>
        <th>Sous-traitant</th>
        <th>Rôle &amp; localisation</th>
      </tr>
    </thead>
    <tbody>
      <tr><td><strong>Stripe</strong></td><td>Traitement des paiements. Hébergement&nbsp;: Union européenne.</td></tr>
      <tr><td><strong>Resend</strong></td><td>Envoi des emails transactionnels et de relance. Hébergement&nbsp;: Union européenne (clauses contractuelles types pour les éventuels traitements hors UE).</td></tr>
      <tr><td><strong>Mistral AI</strong></td><td>Reconnaissance du texte sur les factures importées. Hébergement&nbsp;: France.</td></tr>
    </tbody>
  </table>
  <p>Aucun transfert de données hors Union européenne n'a lieu sans encadrement contractuel approprié.</p>

  <h2 id="duree">5. Durée de conservation</h2>
  <ul>
    <li><strong>Compte utilisateur actif</strong> : conservation tant que le compte est ouvert.</li>
    <li><strong>Compte supprimé</strong> : suppression complète des données dans un délai de 30 jours, hors obligations comptables.</li>
    <li><strong>Factures émises et payées</strong> : conservation 10 ans (obligation comptable, art. L.123-22 du Code de commerce).</li>
    <li><strong>Logs techniques</strong> : 30 jours.</li>
    <li><strong>Données Stripe (factures d'abonnement)</strong> : selon politique de Stripe (en général 10 ans).</li>
  </ul>

  <h2 id="droits">6. Vos droits</h2>
  <p>Conformément au RGPD, vous disposez à tout moment des droits suivants&nbsp;:</p>
  <ul>
    <li><strong>Droit d'accès</strong> à vos données personnelles</li>
    <li><strong>Droit de rectification</strong> en cas de données inexactes</li>
    <li><strong>Droit à l'effacement</strong> (« droit à l'oubli »)</li>
    <li><strong>Droit à la portabilité</strong> dans un format lisible (export JSON sur demande)</li>
    <li><strong>Droit à la limitation</strong> du traitement</li>
    <li><strong>Droit d'opposition</strong> au traitement pour motif légitime</li>
    <li><strong>Droit de retirer votre consentement</strong> à tout moment, sans rétroactivité</li>
  </ul>
  <p>
    Pour exercer ces droits, écrivez-nous à <a href="mailto:contact@rubis.pro">contact@rubis.pro</a> en précisant l'email associé à votre compte. Nous répondons dans un délai maximal d'un mois (extensible à trois mois pour les demandes complexes, avec information dans le mois initial).
  </p>

  <h2 id="cookies">7. Cookies</h2>
  <p>Nous utilisons exclusivement des <strong>cookies strictement nécessaires</strong> au fonctionnement du service. Aucun cookie publicitaire ni de mesure d'audience tierce n'est déposé.</p>
  <p>Un cookie de session permet de maintenir la connexion à votre compte. Aucun consentement préalable n'est requis pour ces cookies fonctionnels (article 82 de la loi Informatique et Libertés).</p>

  <h2 id="securite">8. Sécurité</h2>
  <p>Nous mettons en œuvre les mesures techniques et organisationnelles appropriées pour préserver la confidentialité, l'intégrité et la disponibilité de vos données : chiffrement des échanges, contrôle des accès, sauvegardes régulières et journalisation des opérations sensibles.</p>

  <h2 id="reclamation">9. Réclamation auprès de la CNIL</h2>
  <p>
    Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la
    <a href="https://www.cnil.fr/fr/plaintes" target="_blank" rel="noopener">
      Commission Nationale de l'Informatique et des Libertés (CNIL)
    </a>.
  </p>

  <h2 id="evolutions">10. Évolutions de cette politique</h2>
  <p>Nous pouvons modifier cette politique pour refléter des évolutions légales, techniques ou organisationnelles. Toute modification substantielle sera annoncée par email aux utilisateurs concernés au moins 30 jours avant son entrée en vigueur.</p>
</LegalLayout>
