Politique de confidentialité

La présente politique décrit la manière dont Scruti collecte et traite les données personnelles de ses utilisateurs, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi « Informatique et Libertés ».

1. Responsable de traitement

Le responsable de traitement est : [À COMPLÉTER : raison sociale], [À COMPLÉTER : adresse du siège], joignable à l'adresse [À COMPLÉTER : email de contact].

Délégué à la protection des données (DPO), le cas échéant : [À COMPLÉTER : contact DPO si désigné].

2. Données collectées

• Données de compte : adresse e-mail et données d'authentification nécessaires à la création et à la gestion du compte.
• Données de paiement : les paiements sont traités par Stripe. Scruti ne collecte ni ne conserve les numéros de carte bancaire ; seules des informations limitées (statut d'abonnement, identifiants de transaction) sont conservées.
• Données d'usage : historique des conversations et des requêtes adressées à l'assistant, données techniques de fonctionnement et journaux de connexion.

3. Finalités et bases légales

• Fourniture et gestion du service, du compte et des abonnements — exécution du contrat (art. 6.1.b RGPD).
• Facturation et gestion des paiements — exécution du contrat et obligations légales (art. 6.1.b et 6.1.c RGPD).
• Amélioration, sécurité et bon fonctionnement du service — intérêt légitime (art. 6.1.f RGPD).
• Communications optionnelles (le cas échéant) — consentement (art. 6.1.a RGPD).

4. Destinataires et sous-traitants

Pour fournir le service, Scruti recourt aux sous-traitants suivants :

• Stripe (traitement des paiements). Les données de paiement sont transmises directement à Stripe.
• Anthropic (Claude) (génération des réponses de l'assistant IA). Les requêtes saisies par l'Utilisateur, ainsi que le contexte nécessaire à leur traitement, sont transmis à l'API d'Anthropic afin de produire les réponses.
• Voyage AI (génération d'embeddings, le cas échéant) : [À COMPLÉTER : confirmer si Voyage AI utilisé en prod].
• Hébergeur : [À COMPLÉTER : hébergeur — nom, raison sociale et adresse].

Ces sous-traitants n'utilisent les données que pour les besoins du service et conformément aux instructions de Scruti.

5. Durée de conservation

• Données de compte : [À COMPLÉTER : durée — ex. pendant la durée du compte puis X mois]
• Historique de conversations : [À COMPLÉTER : durée]
• Données de facturation : [À COMPLÉTER : durée — obligation légale, généralement 10 ans pour les pièces comptables]
• Journaux techniques : [À COMPLÉTER : durée]

6. Transferts hors Union européenne

Certains sous-traitants (notamment Anthropic et Stripe) sont susceptibles de traiter des données en dehors de l'Union européenne, en particulier aux États-Unis. Ces transferts sont encadrés par des garanties appropriées telles que les clauses contractuelles types de la Commission européenne et/ou des mécanismes de certification reconnus. [À COMPLÉTER : vérifier et préciser le mécanisme de transfert pour chaque sous-traitant]

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants : droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci.

Vous pouvez exercer ces droits en écrivant à [À COMPLÉTER : email de contact]. Vous disposez également du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

8. Cookies et traceurs

L'application utilise un stockage local (localStorage) du navigateur pour conserver le jeton d'authentification nécessaire au fonctionnement du service ; ce mécanisme est strictement nécessaire et ne sert pas à des fins de suivi publicitaire. À ce jour, le site n'utilise pas de cookies tiers de mesure d'audience ou de publicité. [À COMPLÉTER : confirmer l'absence ou la présence de traceurs/cookies tiers et adapter cette section en conséquence]

9. Sécurité

Scruti met en œuvre des mesures techniques et organisationnelles appropriées afin de protéger les données contre tout accès, altération ou divulgation non autorisés.

Dernière mise à jour : [À COMPLÉTER : date]