Confidentialité et mesure d’audience

1. Responsable du traitement et contact

Le responsable du traitement est MATOUG Abdelaziz — nom commercial Arsenal Communication, domicilié professionnellement au 113 Faubourg Lacapelle, 82000 Montauban, France. Toute question ou demande d’exercice des droits peut être adressée à contact@arsenal-communication.com ou via le formulaire de contact. Aucun délégué à la protection des données n’est requis au regard de l’échelle actuelle des traitements.

2. Données collectées

• identité du titulaire du compte, adresse électronique et identifiants d’authentification ;
• confirmation de la qualité professionnelle, version des CGV et horodatage des acceptations constituant la preuve de commande ;
• état de l’abonnement, identifiants client, paiement et abonnement Stripe, état de facturation et échéance, sans conservation par L’Arsenal du numéro complet de carte ;
• messages adressés au support et informations volontairement fournies ;
• compteurs d’utilisation de l’Assistant Arsenal, volumes agrégés de jetons et texte de la conversation affichée pendant la session du navigateur ;
• événements d’audience interne, page consultée, identifiants pseudonymes de session et de visiteur, source, campagne, appareil, navigateur, pays ou ville approximative fournis par l’infrastructure, sans conservation de l’adresse IP brute ;
• journaux techniques et de sécurité nécessaires au fonctionnement et à la protection du service.

3. Finalités et bases légales

• Exécution du contrat : créer le compte, encaisser le paiement, activer et administrer l’abonnement, fournir les ressources et le support ;
• Obligations légales : facturation, comptabilité, conservation des preuves et réponse aux demandes légalement fondées ;
• Intérêts légitimes : sécuriser le service, prévenir les abus, diagnostiquer les incidents, mesurer l’usage agrégé et améliorer l’offre professionnelle ;
• Consentement : Google Analytics 4 s’il est configuré et tout dispositif facultatif exigeant un consentement.

4. Sous-traitants et destinataires

Les données sont accessibles uniquement à l’éditeur et aux prestataires nécessaires à l’opération concernée : OpenAI Sites et Cloudflare pour l’hébergement et la diffusion, Supabase pour l’authentification, Stripe pour le paiement et la facturation, Resend pour les e-mails transactionnels, OpenAI pour la génération des réponses de l’Assistant Arsenal, et Google uniquement si GA4 est configuré et accepté. OVHcloud opère les services de domaine et d’e-mail professionnel. Les données ne sont ni vendues ni louées.

5. Transferts hors Espace économique européen

Certains prestataires peuvent traiter des données hors de l’Espace économique européen. Ces transferts reposent, selon les cas, sur une décision d’adéquation, les clauses contractuelles types de la Commission européenne ou un autre mécanisme valide proposé par le prestataire. Des informations complémentaires peuvent être demandées à L’Arsenal.

6. Assistant Arsenal

Le message de l’utilisateur, les échanges récents et le contexte de la fiche concernée sont transmis à l’API d’OpenAI uniquement pour générer la réponse demandée. La conservation de la réponse par l’API est désactivée dans la requête. La conversation visible reste dans la session du navigateur ; L’Arsenal enregistre seulement le compteur d’usage pseudonyme ou rattaché au compte et les volumes agrégés. L’utilisateur ne doit pas saisir de données personnelles, sensibles, confidentielles ou juridiquement protégées qui ne seraient pas indispensables.

7. Durées de conservation

• données du compte et de l’abonnement actif : pendant la relation contractuelle, puis jusqu’à cinq ans pour la preuve et la gestion des litiges ;
• factures et pièces comptables : dix ans à compter de la clôture de l’exercice concerné ;
• acceptations des CGV et preuve de commande : cinq ans à compter de la commande ou de la fin du contrat lorsque cette durée est nécessaire à la preuve ;
• messages de support et de prospects : pendant leur traitement, puis jusqu’à trois ans après le dernier échange utile, sauf litige justifiant une conservation plus longue ;
• événements et sessions d’audience : vingt-cinq mois maximum ;
• identifiant visiteur interne : treize mois maximum, sans prolongation automatique ;
• compteurs d’usage IA : période en cours puis jusqu’à douze mois pour la prévention des abus et le rapprochement des coûts ;
• journaux de sécurité : en principe douze mois maximum, sauf incident ou obligation légale justifiant une durée supérieure.

8. Droits des personnes

Sous réserve des conditions prévues par la réglementation, chaque personne peut demander l’accès, la rectification, l’effacement, la limitation et la portabilité de ses données, et s’opposer aux traitements fondés sur l’intérêt légitime. Le consentement peut être retiré à tout moment sans remettre en cause les traitements antérieurs. La demande doit permettre d’identifier le compte concerné ; un justificatif d’identité n’est demandé qu’en cas de nécessité raisonnable. Une réponse est normalement apportée sous un mois. Une réclamation peut être introduite auprès de la CNIL sur cnil.fr.

9. Mesure d’audience, cookies et stockage local

10. Sécurité et évolution

Les autorisations côté serveur, le chiffrement HTTPS, la restriction de l’administration, les mesures des prestataires et le paiement via Stripe protègent le service. Aucun système n’offre une sécurité absolue. Toute modification substantielle de la politique est datée et, lorsqu’elle affecte le contrat ou les choix de l’utilisateur, signalée dans le service ou par e-mail.