1. Collecte des données

Nous collectons différentes catégories de données : (1) données d'identité que vous fournissez directement (nom, adresse email, avatar) ; (2) données d'usage générées par votre utilisation du service (événements, tâches, listes d'invités, modèles) ; (3) historique de conversation avec l'assistant IA ; (4) données techniques collectées automatiquement pour la sécurité (adresse IP, type de navigateur, type d'appareil, journaux de connexion) ; (5) données de paiement traitées exclusivement par Stripe — nous n'avons jamais accès à vos numéros de carte bancaire.

2. Base légale & Utilisation

Nous traitons vos données sur les bases légales suivantes : l'exécution du contrat (article 6, §1, b du RGPD) pour fournir les fonctionnalités essentielles du service ; votre consentement (article 6, §1, a du RGPD) pour les cookies non essentiels et les outils d'analyse ; notre intérêt légitime (article 6, §1, f du RGPD) pour la sécurité, la prévention des abus et l'amélioration du produit. Nous ne vendons jamais vos données à des tiers.

3. Stockage & Sous-traitants

Vos données sont confiées aux sous-traitants suivants : Firebase / Google Cloud (régions UE Belgique/Allemagne) pour l'hébergement, la base de données et l'authentification ; Stripe (Irlande, UE) pour le traitement des paiements, conforme PCI-DSS ; Google Gemini API (Google LLC) pour l'assistant IA — seuls les messages de chat et les données d'événements/tâches que vous soumettez à l'assistant sont envoyés, et aucune donnée n'est utilisée pour l'entraînement des modèles (conditions Gemini API Enterprise) ; Sentry (Functional Software Inc., USA) pour le monitoring des erreurs, avec Clauses Contractuelles Types RGPD signées ; Cloudflare Turnstile (Cloudflare Inc., USA) pour la protection anti-bot, sans cookies ni fingerprinting ; Firebase Auth pour la gestion des jetons d'authentification.

4. Conservation des données

Nous conservons vos données selon les durées suivantes : données de compte tant que le compte est actif ; événements en corbeille (suppression douce) 7 jours avant purge définitive ; demande de suppression de compte traitée sous 30 jours maximum pour l'effacement complet des bases de production ; sauvegardes conservées jusqu'à 90 jours ; factures conservées 10 ans (obligation légale, article L123-22 du Code de commerce) ; journaux serveurs et de sécurité conservés 12 mois maximum (recommandation CNIL).

5. Vos droits (RGPD)

Conformément au RGPD, vous disposez des droits suivants sur vos données : droit d'accès, droit de rectification, droit à l'effacement (« droit à l'oubli »), droit à la portabilité, droit d'opposition (article 21) et droit à la limitation du traitement (article 18). Pour exercer ces droits, contactez-nous à contact@getdraftline.com. Vous avez également le droit d'introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) via https://www.cnil.fr.

6. Cookies

Nous utilisons uniquement des cookies strictement nécessaires (authentification, session, sécurité) déployés sans consentement préalable, conformément à l'article 82 de la loi Informatique et Libertés. Tout cookie analytique ou non essentiel nécessite votre consentement explicite (opt-in) via la bannière de cookies.

7. Âge minimum

DraftLine est réservé aux personnes âgées d'au moins 15 ans, conformément à l'article 8 du RGPD et à l'article 45 de la loi Informatique et Libertés. En créant un compte, vous confirmez avoir 15 ans ou plus. Si nous découvrons qu'un compte a été créé par un mineur de moins de 15 ans sans consentement parental vérifiable, nous procéderons à sa suppression dans les plus brefs délais. Les parents qui souhaitent signaler un tel compte peuvent nous contacter à contact@getdraftline.com.

8. Responsable de traitement

Le responsable du traitement des données est Samy Bouayad, micro-entrepreneur, SIRET 100 583 715 00014, adresse postale 153 avenue du Général George S. Patton, 35000 Rennes. Contact pour toute question relative à vos données : contact@getdraftline.com. Nous nous engageons à répondre dans un délai d'un mois (extensible à 3 mois pour les demandes complexes, conformément à l'article 12 du RGPD).

9. Sécurité & violations de données

Nous appliquons des mesures techniques et organisationnelles appropriées : chiffrement en transit (HTTPS/TLS 1.3), chiffrement au repos (Firebase), règles d'accès Firestore strictes (least privilege), authentification forte, monitoring d'erreurs (Sentry), protection anti-bot (Cloudflare Turnstile), audits réguliers. En cas de violation de données présentant un risque pour vos droits et libertés, nous notifierons la CNIL sous 72 heures (RGPD art. 33) et vous informerons directement sans délai injustifié si le risque est élevé (art. 34).

Politique de Confidentialité