Politique de Confidentialité

Introduction

Oussama Makni, entrepreneur individuel (EI), exerçant sous le nom commercial « Spine Studio » (ci-après « Spine Studio » ou « nous »), éditeur de la plateforme SpineOS, accessible à l'adresse www.spinestudio.dev, s'engage à protéger la vie privée de ses utilisateurs conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés du 6 janvier 1978 modifiée.

La présente politique de confidentialité décrit les données personnelles que nous collectons, les finalités de leur traitement, les bases légales applicables, ainsi que les droits dont vous disposez.

1. Responsable du traitement

Le responsable du traitement des données personnelles est:

• Oussama Makni, entrepreneur individuel (EI), exerçant sous le nom commercial « Spine Studio »
• 100 rue Jean Jaurès, 94800 Villejuif, France
• Email: contact@spinestudio.dev

2. Données personnelles collectées

Nous collectons les catégories de données suivantes:

Données d'identification

Nom, prénom, adresse email, photo de profil (via OAuth GitHub/Google), identifiant utilisateur.

Données de connexion

Adresse IP, type de navigateur, système d'exploitation, pages visitées, date et heure de connexion.

Données d'utilisation

Informations relatives à l'utilisation des machines virtuelles (création, démarrage, arrêt), aux tâches planifiées, à l'activité des agents IA, aux échanges de l'entretien d'accueil, et aux interactions avec l'interface de la plateforme.

Données de paiement

Les données de paiement (numéro de carte bancaire, etc.) sont collectées et traitées exclusivement par notre prestataire de paiement Stripe. Spine Studio n'a pas accès aux données bancaires complètes.

3. Finalités du traitement

Vos données personnelles sont traitées pour les finalités suivantes:

• Fourniture du service - Création et gestion de votre compte, provisionnement des machines virtuelles, exécution des tâches.
• Facturation - Gestion des abonnements et des paiements via Stripe.
• Amélioration du service - Analyse de l'utilisation de la plateforme via PostHog (mesure d'audience, enregistrement des sessions, détection des erreurs) pour améliorer l'expérience utilisateur.
• Sécurité - Détection et prévention des fraudes, abus et incidents de sécurité.
• Communication - Envoi de notifications liées au service (alertes, mises à jour, incidents).
• Obligations légales - Respect des obligations comptables, fiscales et légales.

4. Bases légales du traitement

• Exécution du contrat (article 6.1.b RGPD) - Pour la fourniture du service et la gestion de votre compte.
• Intérêt légitime (article 6.1.f RGPD) - Pour la sécurité de la plateforme, ainsi que pour la supervision de sa disponibilité. Cette supervision mérite d'être détaillée, parce qu'elle s'exerce sans votre consentement : lorsque votre session ne peut pas être renouvelée, un signalement technique est enregistré afin que la panne nous soit visible. Ce signalement ne dépose rien sur votre terminal. Le soumettre à votre consentement à la mesure d'audience reviendrait à nous rendre aveugles à une panne précisément chez les utilisateurs qui ont refusé cette mesure.
• Consentement (article 6.1.a RGPD) - Pour la mesure d'audience et l'enregistrement des sessions (PostHog), et pour les cookies correspondants. Tant que vous n'avez pas accepté, ce service n'est pas chargé. Vous pouvez retirer votre consentement à tout moment, aussi simplement que vous l'avez donné : voir notre politique de cookies.
• Obligation légale (article 6.1.c RGPD) - Pour les obligations comptables et fiscales.

5. Destinataires des données

Vos données personnelles sont communiquées, dans la mesure nécessaire à chaque finalité, aux destinataires suivants :

• Stripe - Traitement des paiements des abonnements payants.
• PostHog (serveurs situés dans l'Union européenne) - Mesure d'audience, enregistrement des sessions dont le texte affiché et le contenu des champs de formulaire sont masqués, et détection des erreurs.
• Resend - Envoi des courriers électroniques liés au service (vérification de l'adresse, réinitialisation du mot de passe, notifications) et transmission des messages envoyés au moyen du formulaire de contact.
• Fournisseurs de connexion (GitHub, Google) - Authentification, lorsque vous choisissez de vous connecter avec l'un de ces comptes.
• Telegram - Notifications internes adressées à Spine Studio, qui contiennent notamment le nom et l'adresse électronique des nouveaux utilisateurs et abonnés, ainsi que les signalements de problème envoyés depuis la plateforme (identifiant de l'utilisateur, message saisi et lien vers l'enregistrement de la session).
• Anthropic - Modèle d'intelligence artificielle qui conduit l'entretien d'accueil : il reçoit ce que vous écrivez et transmettez pendant cet entretien.
• Service de reconnaissance vocale de votre navigateur - Lorsque vous utilisez la dictée dans la conversation avec un agent, la reconnaissance vocale est assurée par votre navigateur. Par défaut, le navigateur envoie alors l'enregistrement de votre voix à un service de reconnaissance vocale en ligne désigné par son éditeur, qui le traite selon les conditions de ce navigateur. Seul le texte reconnu est inséré dans votre message.
• Autorités compétentes - En cas d'obligation légale.

Lorsque vous connectez vous-même un service tiers à la plateforme, par exemple un fournisseur de modèles d'intelligence artificielle au moyen de votre propre clé ou de votre propre compte, un connecteur tel que Notion, Canva ou Google, ou un canal Telegram, les données que vos agents transmettent à ce service le sont sur votre instruction et selon les conditions de ce service.

Certains de ces destinataires traitent vos données en dehors de l'Espace économique européen, notamment aux États-Unis. Chaque transfert repose sur les garanties que le destinataire publie :

• Stripe - Le contrat est conclu avec Stripe Payments Europe, Limited, établie en Irlande. Stripe, Inc. adhère au cadre de protection des données UE-États-Unis (Data Privacy Framework), et l'accord de traitement des données de Stripe prévoit les clauses contractuelles types de la Commission européenne.
• PostHog - PostHog, Inc., établie aux États-Unis, héberge ces données dans l'Union européenne. Elle adhère au Data Privacy Framework, et son accord de traitement des données prévoit les clauses contractuelles types.
• Resend - Plus Five Five, Inc., qui exploite Resend et effectue ses principaux traitements aux États-Unis, adhère au Data Privacy Framework, et son accord de traitement des données prévoit les clauses contractuelles types.
• GitHub et Google - GitHub, Inc. et Google LLC adhèrent au Data Privacy Framework et recourent aux clauses contractuelles types pour les transferts qu'une décision d'adéquation ne couvre pas.
• Telegram - Telegram Messenger Inc., établie hors de l'Espace économique européen, indique conserver aux Pays-Bas les données des comptes ouverts depuis l'Espace économique européen, et encadrer par des clauses contractuelles types les transferts vers les sociétés de son groupe établies aux îles Vierges britanniques et à Dubaï. Aucun de ces deux territoires ne bénéficie d'une décision d'adéquation.
• Anthropic - Le responsable du traitement pour l'Espace économique européen est Anthropic Ireland, Limited, établie en Irlande. Anthropic indique transférer les données vers les États-Unis et d'autres pays en s'appuyant sur des décisions d'adéquation, sur des clauses contractuelles types et, dans certains cas, sur les dérogations prévues par la réglementation.

Le Data Privacy Framework bénéficie d'une décision d'adéquation de la Commission européenne (décision d'exécution (UE) 2023/1795 du 10 juillet 2023). Les clauses contractuelles types sont celles adoptées par la Commission européenne (décision d'exécution (UE) 2021/914 du 4 juin 2021). Chaque destinataire publie ces garanties sur son site, et vous pouvez nous demander les informations correspondantes en écrivant à contact@spinestudio.dev.

Nous ne vendons jamais vos données personnelles à des tiers.

6. Hébergement des données

Les données personnelles et les machines virtuelles sont hébergées sur un serveur dédié OVH SAS situé en France:

• OVH SAS
• 2 rue Kellermann, 59100 Roubaix, France
• Site web: ovhcloud.com

Les données de compte, de facturation et d'utilisation, ainsi que la base de données de la plateforme, sont hébergées en France, dans le respect de la réglementation européenne.

Pendant la phase actuelle de test de la plateforme, une partie des machines virtuelles peut être exécutée sur un serveur d'essai fourni par OVH Australia PTY LTD, société du groupe OVHcloud, situé en Australie. L'Australie ne bénéficie pas d'une décision d'adéquation de la Commission européenne ; ce transfert repose sur les clauses contractuelles types de la Commission européenne prévues par l'accord de traitement des données du groupe OVHcloud. Ce serveur a vocation à être retiré ; à son retrait, l'ensemble des machines virtuelles sera à nouveau hébergé en France et la présente section sera mise à jour.

Hormis ce serveur d'essai, aucun transfert de données hors de l'Union européenne n'est effectué pour l'hébergement.

7. Durée de conservation

• Données de compte - Conservées pendant la durée de l'utilisation du service, puis 3 ans après la dernière activité.
• Données de connexion - Conservées 12 mois conformément à la réglementation.
• Données de facturation - Conservées 10 ans conformément aux obligations comptables.
• Machines virtuelles - Les données stockées dans les VMs sont supprimées à la suppression de la machine virtuelle par l'Utilisateur.

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants:

• Droit d'accès - Obtenir la confirmation du traitement de vos données et en recevoir une copie.
• Droit de rectification - Demander la correction de vos données inexactes ou incomplètes.
• Droit à l'effacement - Demander la suppression de vos données dans les conditions prévues par le RGPD.
• Droit à la limitation - Demander la limitation du traitement de vos données.
• Droit à la portabilité - Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d'opposition - Vous opposer au traitement de vos données pour des motifs légitimes.

Pour exercer vos droits, contactez-nous à contact@spinestudio.dev. Nous répondrons dans un délai de 30 jours.

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL: www.cnil.fr.

9. Cookies

La plateforme utilise des cookies. Pour en savoir plus, consultez notre Politique de cookies.

10. Modifications de la politique

Nous nous réservons le droit de modifier la présente politique de confidentialité à tout moment. Les modifications prennent effet dès leur publication sur la plateforme. Nous vous invitons à consulter régulièrement cette page.

11. Contact

Pour toute question relative à la protection de vos données personnelles:

• Email: contact@spinestudio.dev
• Courrier: à l'adresse indiquée à l'article 1