Politique de confidentialité

Responsable du traitement

Le responsable du traitement de vos données personnelles est MINDSERSIT, une société par actions simplifiée unipersonnelle (SASU) au capital social de 100 €, dont le siège social est situé 155B rue Marcel Mérieux, 69007 Lyon, France, RCS Lyon 983 970 245, TVA intracommunautaire FR 54 983 970 245. Contact : hello@mindsers.it.

Données collectées

• Votre compte : votre adresse e-mail, votre langue, une empreinte de votre mot de passe (jamais le mot de passe lui-même) et la date de confirmation de l’adresse.
• Vos sessions : une empreinte du cookie de session, l’agent utilisateur et l’adresse IP de votre navigateur, ainsi que la date de dernière utilisation.
• Les liens envoyés par e-mail pour confirmer votre adresse ou réinitialiser votre mot de passe : conservés sous forme d’empreintes.
• Vos clés fournisseur chiffrées et, pour certains fournisseurs, leur région et votre déclaration réservant les budgets aux adultes.
• Vos budgets : leur nom, montant, modèles, dates, titulaire et bénéficiaire. L’adresse liée à une invitation et l’empreinte du secret de son lien.
• Pour chaque requête effectuée avec un budget : le modèle, le nombre de tokens, le coût, l’identifiant de requête du fournisseur et la date. Jamais le prompt ni la réponse.
• Liens de groupe : leurs paramètres et les adresses ou domaines indiqués. Pour chaque demande : le compte du demandeur, l’empreinte de sa boîte de réception, son domaine et la décision d’attribution. Le propriétaire du lien voit l’adresse de chaque demandeur.
• Places et paiements : vos places et leur historique, vos identifiants client et abonnement Stripe et les identifiants des événements de paiement Stripe. Jamais les coordonnées de votre carte.
• Chez Stripe, pour un achat : votre adresse e-mail, l’adresse de facturation servant au calcul de la taxe, le numéro de TVA de votre entreprise si vous le fournissez et vos factures.
• Journaux serveur : les opérations du service et les identifiants de compte et de budget. Jamais de prompt, de clé ou de jeton.

Les données envoyées par un bénéficiaire transitent par le service vers le fournisseur d’IA du titulaire, puis la réponse revient sans être stockée. Le fournisseur les traite selon ses propres conditions et sa politique de confidentialité.

Finalités

• Fourniture du service : votre compte, vos clés, les budgets attribués et reçus et le relevé de leurs dépenses.
• Facturation : vos places et vos achats.
• Sécurité : maintien de la connexion, limitation des tentatives répétées, détection des abus et vérification des nouveaux mots de passe dans les fuites de données connues.
• E-mails de service : confirmation d’adresse, réinitialisation du mot de passe et informations sur votre compte ou vos places.

Hébergement et conservation

L’ensemble est hébergé en France par OVHcloud.

• Votre compte est conservé jusqu’à sa suppression. Celle-ci efface votre adresse, l’empreinte du mot de passe et vos clés fournisseur et met fin aux sessions ; le compte vide est conservé uniquement pour assurer la cohérence des enregistrements associés.
• Une session dure 7 jours, ou 90 si vous restez connecté, et est renouvelée pendant son utilisation ; elle est supprimée après expiration. Un lien envoyé par e-mail est supprimé après expiration.
• Les budgets, leurs requêtes et leurs coûts sont conservés comme relevé des dépenses, même après suppression du compte, sans l’adresse qui l’identifiait.
• Les adresses figurant sur un lien de groupe sont supprimées 30 jours après sa clôture.
• Les places et leur historique sont conservés comme relevé des achats et de l’utilisation.
• Vos factures et votre fiche client Stripe sont conservées dix ans, conformément à l’article L. 123-22 du Code de commerce, y compris après suppression du compte. Elles ne contiennent que les données nécessaires à la facturation.
• Les compteurs de tentatives répétées conservent une empreinte de votre adresse e-mail ou IP, jamais l’adresse elle-même, uniquement pendant leur fenêtre de comptage.
• Les journaux serveur sont conservés 30 jours.

Vos droits (RGPD)

Le RGPD vous reconnaît les droits d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité et d’opposition. Vous pouvez les exercer :

• directement dans l’application pour la plupart : retrait d’une clé, révocation d’un budget, suppression du compte ;
• en écrivant à hello@mindsers.it.

Vous pouvez également adresser une réclamation à la CNIL (www.cnil.fr).

Cookies

Aucune donnée n’est lue ou écrite sur votre appareil à des fins de suivi, d’analyse d’audience ou de publicité. Les cookies ci-dessous sont nécessaires au fonctionnement et à la mémorisation de vos préférences ; aucun bandeau de consentement n’est requis.

• tom_session : maintient votre connexion. Durée de vie : la session.
• tom_csrf : protège vos formulaires contre les requêtes forgées par un autre site. Durée de vie : la session.
• tom_language : mémorise la langue choisie. Durée de vie : un an.
• Lors d’un paiement, les pages Stripe et son portail client déposent leurs propres cookies sur leur domaine pour sécuriser les paiements et prévenir la fraude, selon la politique de Stripe.

Le site ne mesure pas son audience.

Bases légales

• Exécution du contrat (art. 6.1.b) : votre compte, vos clés, vos budgets et leurs relevés, vos places et les e-mails de service.
• Obligation légale (art. 6.1.c) : vos factures, conservées dix ans.
• Intérêt légitime (art. 6.1.f) : sécurité, compteurs de tentatives répétées et vérification des mots de passe compromis.

Sous-traitants

Nous utilisons les prestataires suivants :

• OVHcloud (France) : hébergement de l’application, de la base de données et de leurs sauvegardes.
• Resend (Irlande) : envoi des e-mails de service. Votre adresse e-mail lui est transmise uniquement à cette fin.
• Have I Been Pwned : vérifie les nouveaux mots de passe dans les fuites connues. Seuls les cinq premiers caractères de l’empreinte SHA-1 du mot de passe lui sont transmis, jamais le mot de passe.
• Stripe Payments Europe, Ltd. (Irlande) : paiement des places, factures et taxes. Stripe peut transférer certaines données à Stripe, Inc. aux États-Unis ; ces transferts sont encadrés par le cadre de protection des données UE–États-Unis et les clauses contractuelles types de la Commission européenne.

Lorsqu’un autre prestataire traite des données hors de l’Union européenne, le transfert est encadré par les garanties requises par le RGPD, notamment les clauses contractuelles types de la Commission européenne.

Droit applicable

Cette politique est régie par le droit français.