1. Responsable du traitement

​

• Société : KairoProject

• Adresse : 5 rue Meunier, 59700 Marc-en-Baroeul

• Contact RGPD / DPO : support@kairoproject.app

 

2. Finalités et bases légales

​

• FinalitéDescriptionBase légale

• Gestion des comptesAuthentification, personnalisation de l’espace solo/orgExécution du contrat

• Facturation & paiementsSouscription aux plans Starter/Pro et EntrepriseExécution du contrat / obligation légale

• Support & communicationEmails transactionnels, assistance, alertes incidentsIntérêt légitime / obligation de service

• Amélioration produitStatistiques agrégées, analyses anonymiséesIntérêt légitime (opt-out possible)

• IA / automatisationsAnalyse IA (optionnelle) des projetsConsentement explicite
   

3. Données collectées

• Identité / contact : nom, prénom, email.

• Données d’utilisation : portfolios, projets, tâches, historiques.

• Données de facturation : prix souscrits, statut abonnement, factures Stripe.

• Journaux techniques : date/heure, actions, adresses IP serveurs.

• Données IA : contenu saisi envoyé à l’API OpenAI (si activée).

​

4. Durées de conservation

• Compte actif : conservation tant que l’utilisateur utilise le service.

• Après suppression : purge immédiate des données actives, logs anonymisés sous 12 mois, documents comptables 10 ans.

• Backups : rotation <= 30 jours.

​

5. Droits des personnes

• Accès / rectification : support@kairoproject.app.

• Effacement & limitation : suppression via l’application + procédure backend, ou email.

• Portabilité : export JSON/CSV sur demande.

• Opposition / retrait consentement : désactivation IA, désinscription emails marketing.

• Réclamation : CNIL (www.cnil.fr).

​

6. Sous-traitants

Liste détaillée dans docs/rgpd/sous-traitants.md (Firebase, Stripe, Vercel, OpenAI, email provider). Chacun dispose d’un DPA et de garanties SCC.

​

7. Sécurité

• Chiffrement TLS + chiffrement au repos (Firebase).

• Contrôles d’accès IAM + MFA.

• Accès administrateurs Firestore limités aux situations de support ou maintenance, sur comptes nominatifs, journalisés (Cloud Logging) et justifiés par l’intérêt légitime de garantir le service.

• Audit logs et surveillance webhooks.

• Sauvegardes chiffrées, plan PRA/PCA.

​

8. Cookies & traceurs

• Cookies strictement nécessaires (auth session). Aucun cookie marketing par défaut.

• Si analytics/marketing activés : afficher un bandeau de consentement conforme (accept/refuser) et charger les scripts seulement après accord.

​

9. Mise à jour

Revision annuelle ou lors de tout changement majeur. Date de dernière mise à jour indiquée en entête.