Politique de confidentialité

1. Distinction des rôles (contrôleur de données vs sous-traitant)

Conformément aux articles 4(7) et 4(8) du Règlement Général sur la Protection des Données (RGPD), deux cadres juridiques distincts s'appliquent selon le type de données traitées :

2. Responsable du traitement et délégué à la protection des données (DPO)

Le responsable du traitement est l'entité exploitante d'Aurabase (Art. 13.1.a du RGPD) :

3. Données personnelles collectées et exigence contractuelle (Art. 13.2.e)

Nous collectons uniquement les informations strictement nécessaires à la fourniture et à la sécurité de nos services :

• Données du compte (obligatoires pour l'exécution du service) : Adresse e-mail, nom d'utilisateur, nom de l'organisation et hachage de mot de passe cryptographique (salés individuellement).
• Données de facturation (exigence contractuelle et légale) : Coordonnées de facturation, numéro d'identification TVA et identifiants client Mollie. Les coordonnées bancaires et les numéros de carte de paiement sont traités directement par Mollie et ne transitent jamais par nos serveurs.
• Données techniques et journaux d’accès (intérêt légitime de sécurité) : Adresse IP de connexion, type de navigateur (agent utilisateur), jetons de session et horodatages des requêtes API Gateway.
• Données de télémétrie : Métriques agrégées d’utilisation des ressources (RAM, CPU, volume de stockage, connexions simultanées) requises pour la gestion de la capacité.

4. Finalités et bases juridiques du traitement

5. Résidence des données et souveraineté européenne

Lors de la création de votre projet, vous sélectionnez votre région d'hébergement principale. Les bases de données principales, les réplicas en lecture, les sauvegardes et les buckets de stockage résident physiquement dans la région sélectionnée (par exemple, France (Paris fr-par) sur l'infrastructure gérée par Scaleway ou L'Allemagne sur Hetzner).

6. Liste des sous-traitants ultérieurs

Conformément à l'article 28 du RGPD, voici la liste exhaustive de nos sous-traitants techniques intervenant dans la fourniture de nos services :

7. Transferts de données hors Union européenne (Art. 44 à 49)

Aurabase donne la priorité à l'infrastructure d'hébergement et de stockage 100% situé au sein de l’Union Européenne (France et Allemagne), à l’abri des législations extraterritoriales telles que le CLOUD Act américain.

Dans le cas où des transferts techniques secondaires vers des prestataires situés en dehors de l'Espace Économique Européen (EEE) deviendraient nécessaires (notamment pour l'envoi global de SMS via Twilio ou de notifications push mobiles via Apple et Google), Aurabase veille à ce que ces transferts soient strictement encadrés par :

• L'adhésion à la UE-États-Unis Cadre de confidentialité des données (DPF) où l'entité destinataire est certifiée.
• Exécution de Clauses contractuelles types (CCS) adoptée par la Commission européenne (Décision d’exécution 2021/914).
• Application de Règles d'entreprise contraignantes (BCR) dûment approuvé par les autorités de contrôle européennes.

8. Durées de conservation des données (Art. 13.2.a)

• Données du compte actif : Conservé pendant toute la durée d'activation du compte et jusqu'à la résiliation effective.
• Suppression de compte/projet : Purge complète et irréversible des bases de données et des volumes de stockage dans un délai maximum de 72 heures.
• Journaux d'audit et de sécurité : Conservé pendant 365 jours glissants pour les obligations d'investigation en matière de sécurité, de prévention de la fraude et de contrôle légal des comptes.
• Documents de facturation et documents comptables : Archivage légal pendant 10 ans conformément à la réglementation commerciale et fiscale en vigueur.

9. Vos droits RGPD et délais de réponse statutaires (articles 12 et 15 à 22)

Conformément aux articles 12 à 22 du Règlement Général sur la Protection des Données (RGPD) et à la législation applicable en matière de protection des données, vous disposez des droits suivants sur vos données personnelles :

• Droit d’accès (Art. 15) : Vous pouvez obtenir la confirmation du traitement de vos données personnelles, ainsi qu'une copie complète dans un format intelligible.
• Droit de rectification (article 16) : Vous pouvez demander la correction immédiate ou la complétion d’informations inexactes ou incomplètes.
• Droit à l’effacement / Droit à l’oubli (Art. 17) : Vous pouvez demander la suppression définitive de vos données personnelles (hors obligations légales de conservation fiscale et comptable).
• Droit à la limitation du traitement (article 18) : Vous pouvez demander le gel temporaire du traitement en cas de contestation ou de vérification.
• Droit à la portabilité des données (article 20) : Vous pouvez recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON, CSV, SQL dump) pour les transmettre à un autre contrôleur.
• Droit d’opposition (art. 21) : Vous pouvez à tout moment vous opposer, pour des motifs légitimes, au traitement de vos données personnelles.
• Directives post-mortem : Vous disposez du droit de définir des directives générales ou spécifiques concernant la conservation, l'effacement et la divulgation de vos données personnelles après votre décès.

10. Absence de prise de décision automatisée et de profilage (Art. 13.2.f & 22)

Conformément aux articles 13(2)(f) et 22 du RGPD, Aurabase vous informe qu'elle ne s'engage pas dans une prise de décision entièrement automatisée ni dans tout profilage des utilisateurs ou de leur comportement.

Aucun algorithme de prise de décision, système d’évaluation automatisé ou modèle d’intelligence artificielle ne produit d’effets juridiques vous concernant ou ne vous affecte de manière significative de manière similaire sans intervention et examen humains efficaces.

11. Mesures de sécurité techniques et organisationnelles (TOM - Art. 32)

• Cryptage : Données cryptées au repos via AES-256 et en transit via TLS 1.3 avec Perfect Forward Secrecy.
• Isolement mutualisé : Séparation logique des projets avec application native de la sécurité au niveau des lignes (RLS) de PostgreSQL.
• Contrôles d'accès : Authentification multifacteur (MFA TOTP), jetons d'accès à durée limitée et rotation automatisée des clés API.

12. Cookies et technologies de suivi

Aurabase utilise pas de trackers publicitaires tiers. Les seuls cookies utilisés sont des cookies techniques strictement nécessaires au maintien de votre session et à assurer la sécurité des applications. Pour plus de détails, consultez notre politique de cookies.

13. Notification d'incident et de violation de sécurité (articles 33 et 34)

En cas de violation avérée de données personnelles présentant un risque pour vos droits et libertés, Aurabase s'engage à en informer l'autorité de contrôle compétente (CNIL) dans un délai maximum. 72 heures après en avoir pris connaissance et en informer sans délai les clients concernés ainsi que les mesures correctives prises.

14. Réclamations auprès de l'Autorité de Contrôle (CNIL - Art. 77)

Si vous croyez, après nous avoir contactés au confidentialité@aurabase.cloud, que le traitement de vos données personnelles n'est pas conforme à la réglementation applicable en matière de protection des données, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente :