Politique de confidentialité

1. Qui traite vos données

Pour les données nécessaires à la gestion des comptes, de la facturation et de la sécurité du service, le responsable du traitement est :

• KersAI Factory, Entrepreneur individuel (EI)
• SIRET : 520 870 999 00023
• Adresse : 16 rue Saint-Joseph, 78150 Le Chesnay
• Contact, y compris pour la protection des données : [email protected]

L’exploitant assure lui-même la fonction de délégué à la protection des données.

Pour les contenus saisis dans un espace (projets, tickets, commentaires, fichiers), le responsable du traitement est l’organisation cliente ; KersAI Factory agit comme son sous-traitant (article 28 du RGPD), dans les conditions prévues par les CGV (/cgv/). Pour exercer vos droits sur ces contenus, adressez-vous d’abord à l’organisation qui vous a invité.

2. Données traitées

• Compte : prénom, nom, adresse électronique, mot de passe (haché, jamais stocké en clair), secret de double authentification (chiffré), codes de secours (hachés), langue, fuseau horaire, préférences d’affichage et de notification.
• Connexion et sécurité : adresse IP, date et méthode de connexion, actions sensibles inscrites au journal d’audit de l’espace.
• Contenus : projets, tickets, commentaires, pièces jointes, historique des modifications, saisis par les utilisateurs.
• Facturation : nom de l’organisation, adresse électronique de l’administrateur, adresse de facturation et numéro de TVA éventuel, historique des factures. Les données de carte bancaire sont saisies et conservées par Stripe uniquement.
• Courriels : destinataire, objet et date des courriels envoyés par le service (journal d’envoi).
• Inscription : informations saisies dans le formulaire et adresse IP, le temps de confirmer l’adresse électronique.
• Aides de l’IA (offres payantes, si l’organisation ne les a pas désactivées) : pour chaque demande, l’aide utilisée, le modèle, le nombre de jetons et le coût estimé, rattachés à l’utilisateur qui l’a faite.

3. Finalités et bases légales

• Fournir le service : création et gestion des comptes, authentification, collaboration, notifications — exécution du contrat (article 6.1.b du RGPD).
• Facturer les abonnements et tenir la comptabilité — exécution du contrat et obligation légale (article 6.1.c).
• Assurer la sécurité du service : journal d’audit, limitation des tentatives de connexion, protection contre les robots, détection des abus — intérêt légitime (article 6.1.f).
• Répondre aux demandes de support — exécution du contrat.

Le service ne fait ni profilage, ni décision automatisée, ni publicité, et ne revend aucune donnée. L’application ne contient aucun outil de mesure d’audience.

4. Durées de conservation

• Comptes et contenus : tant que l’espace existe. Un compte supprimé par un administrateur est anonymisé.
• Espace fermé à la demande du client : suppression dans les 30 jours. Espace en lecture seule : suppression au bout de 12 mois, après deux préavis (voir les CGV).
• Journal d’audit : 365 jours par défaut (réglable de 90 jours à 10 ans avec l’offre Organisation).
• Journal d’envoi des courriels et notifications lues : 90 jours par défaut.
• Fichiers d’import : 30 jours ; archives d’export : 24 heures ; demandes d’inscription non confirmées : 24 heures.
• Journaux techniques du serveur web (dont adresses IP) : 90 jours.
• Sauvegardes : 30 jours.
• Factures et pièces comptables : 10 ans (obligation légale).

Les comptes inactifs depuis 24 mois sont signalés aux administrateurs de l’espace, qui décident de leur suppression.

5. Destinataires et sous-traitants

Les données d’un espace ne sont accessibles qu’à ses utilisateurs, selon les droits que leur donnent les administrateurs, et à l’exploitant pour le support, la maintenance et la sécurité. Le service fait appel aux sous-traitants suivants :

• Contabo GmbH (Allemagne) : hébergement des serveurs et des données.
• Cloudflare, Inc. (États-Unis) : protection du réseau, distribution des pages et protection anti-robot (Turnstile) ; les échanges transitent par son réseau.
• Stripe Payments Europe, Ltd. (Irlande) : paiement des abonnements et émission des factures.
• Scaleway SAS (France) : envoi des courriels du service.
• Google (Google Drive) : stockage des sauvegardes quotidiennes.
• Mistral AI (France) : aides de l’IA des offres payantes (filtre de recherche en langage courant, découpage d’une épopée, résumé d’une discussion, préparation d’une rétrospective de sprint), seulement quand un utilisateur en fait la demande. Traitement dans l’Union européenne ; les données transmises ne servent pas à entraîner les modèles. Mistral AI conserve les demandes reçues pour surveiller les abus de son service, en tant que responsable de ce traitement et selon sa propre politique de conservation (https://legal.mistral.ai/terms/privacy-policy).

Une demande à l’assistant transmet à Mistral AI le strict nécessaire : le texte de la recherche, ou le titre et la description de l’épopée, ou les commentaires du ticket à résumer, dont les auteurs sont remplacés par des repères anonymes. La réponse est une simple suggestion : rien n’est créé ni modifié sans validation de l’utilisateur, et l’administrateur de l’espace peut désactiver ces aides à tout moment. Les doublons signalés à la création d’un ticket sont calculés par Jalonio lui-même, sans IA.

Cloudflare et Google peuvent traiter des données hors de l’Union européenne. Ces transferts sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) et par les clauses contractuelles types de la Commission européenne.

Si votre organisation active la connexion unique (OIDC, ProConnect, annuaire LDAP), des données d’identification sont échangées avec le fournisseur d’identité qu’elle a choisi.

6. Cookies et stockage local

Le service ne dépose que des cookies strictement nécessaires, exemptés de consentement :

• jalonio_session : maintient votre connexion (7 jours, ou 30 minutes d’inactivité et 12 heures au plus avec une session durcie) ; inaccessible aux scripts.
• jalonio_sso : protège le retour du fournisseur d’identité lors d’une connexion unique (10 minutes).
• jalonio_mercure : autorise la réception des mises à jour en temps réel des projets auxquels vous avez accès (durée de la session).
• Cloudflare Turnstile, sur les pages d’inscription et de connexion : vérifie que vous n’êtes pas un robot, sans traçage publicitaire.

Le navigateur conserve aussi localement votre choix de thème clair ou sombre, qui ne quitte pas votre appareil.

Le site de présentation jalonio.fr, distinct de l’application, mesure sa fréquentation avec Matomo, hébergé par l’éditeur, en mode sans cookie : pages consultées, site de provenance, type d’appareil et de navigateur, sans suivi d’un site à l’autre ni recoupement avec votre compte. Ces statistiques servent uniquement à améliorer le site (intérêt légitime) et sont conservées 25 mois au plus.

7. Sécurité

Les échanges sont chiffrés (HTTPS). Les mots de passe sont hachés (Argon2id), les secrets de double authentification chiffrés, les droits contrôlés pour chaque action. Les tentatives de connexion sont limitées, les actions sensibles tracées dans un journal d’audit chaîné dont l’intégrité est vérifiable, et la double authentification est proposée à tous.

8. Vos droits

Conformément au RGPD, vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Vous pouvez exporter vos données personnelles depuis votre profil, et votre organisation peut exporter l’ensemble de ses données à tout moment.

Pour exercer vos droits, écrivez à [email protected]. Nous répondons dans un délai d’un mois.

9. Réclamation

Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous pouvez adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, https://www.cnil.fr.