Politique de confidentialité

1. Responsable de traitement

Le responsable de traitement est [À compléter : raison sociale, adresse], joignable à contact@clapfi.fr. [À compléter : désigner un référent / DPO le cas échéant]

2. Données traitées

Données de compte

• Identité et coordonnées professionnelles des utilisateurs (nom, prénom, email, organisation, rôle) ;
• Journaux de connexion et d'activité (adresse IP, navigateur, horodatage) tenus à des fins de sécurité et de traçabilité d'audit.

Données importées par les organisations clientes

• Écritures comptables (grands livres) et pièces justificatives des œuvres traitées ;
• Données de paie des salariés des productions : identité, fonction, rémunération, nationalité et résidence fiscale — ces deux derniers éléments étant requis par les critères d'éligibilité du crédit d'impôt (CGI art. 220 sexies).

Pour ces données importées, l'organisation cliente agit en qualité de responsable de traitement et ClapFi en qualité de sous-traitant au sens de l'art. 28 RGPD. [À compléter : référencer le DPA annexé au contrat de service]

3. Finalités et bases légales

• Fourniture du service (calculs, contrôles, exports) — exécution du contrat ;
• Sécurité, traçabilité et journaux d'accès — intérêt légitime ;
• Réponse aux demandes de démonstration — mesures précontractuelles ;
• Facturation et obligations comptables — obligation légale.

Aucune donnée n'est utilisée à des fins publicitaires ni cédée à des tiers.

4. Sous-traitants et hébergement

• OVHcloud (France) — hébergement applicatif (Gravelines), base de données (Gravelines) et stockage de fichiers (Paris) ;
• Clerk — gestion de l'authentification des comptes ;
• Resend (région UE) — envoi des emails transactionnels.

Les données comptables et de paie sont hébergées exclusivement en France. Lorsqu'un prestataire est susceptible de traiter des données hors de l'Union européenne, ce transfert est encadré par des clauses contractuelles types.

5. Durées de conservation

• Données de compte : durée du contrat, puis [À compléter : durée, ex. 3 ans] ;
• Données importées (comptabilité, paie, justificatifs) : durée du contrat ; suppression ou restitution en fin de contrat selon les modalités du contrat de service ;
• Journaux de sécurité et d'accès : [À compléter : durée, ex. 12 mois] ;
• Projets supprimés par l'utilisateur : corbeille 30 jours, puis suppression définitive.

6. Sécurité

Les accès sont authentifiés et cloisonnés par organisation (isolation multi-tenant), les échanges sont chiffrés (TLS), les fichiers sont servis exclusivement via des accès authentifiés, et les actions sensibles sont journalisées. Les accès des auditeurs externes sont nominatifs, limités dans le temps, tracés et révocables.

7. Cookies

La plateforme utilise uniquement des cookies strictement nécessaires au fonctionnement du service (session d'authentification, préférences d'affichage). Aucun cookie publicitaire ou de mesure d'audience tierce n'est déposé. Ces cookies étant exemptés de consentement, aucun bandeau n'est requis en l'état.

La fréquentation du site est mesurée avec un outil que ClapFi héberge lui-même en France (Umami). Cette mesure ne dépose aucun cookie, ne conserve pas l'adresse IP en clair, ne suit pas les visiteurs d'un site à l'autre et respecte le signal « Do Not Track » du navigateur. Elle produit uniquement des statistiques agrégées (pages consultées, provenance, appareil) et relève de l'exemption de consentement prévue par la CNIL pour les outils de mesure d'audience strictement nécessaires.

8. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez de droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition sur vos données personnelles. Vous pouvez les exercer en écrivant à contact@clapfi.fr. Vous pouvez également saisir la CNIL (cnil.fr). Pour les données importées par votre employeur ou son cabinet, adressez-vous en premier lieu à l'organisation concernée, responsable de traitement.