Politique de confidentialité

Version 1.0 — Effective au 17 mai 2026.

1. Qui est responsable des traitements ?

Le responsable du traitement est :

AGNINGORA Elie, entrepreneur individuel — SIREN 878 944 628, siège : 34 rue Germain, 69006 Lyon.

Contact dédié données personnelles : rgpd@volumii.fr.

Lorsque vous utilisez Volumii pour gérer les contacts de vos propres clients (personnes physiques), vous êtes le responsable du traitement de ces données et Volumii agit en tant que sous-traitant au sens de l'article 28 du RGPD. Un accord spécifique (DPA) est mis à votre disposition pour encadrer ce rôle.

2. Quelles données collectons-nous ?

2.1 — Lorsque vous créez un compte

• Identifiants : nom, prénom, e-mail, mot de passe (haché).
• Informations professionnelles : raison sociale du studio, SIRET, adresse, logo, IBAN.

2.2 — Lorsque vous utilisez le Service

• Contenus que vous saisissez : projets, devis, factures, documents, fichiers téléversés.
• Données techniques : adresse IP, navigateur, système d'exploitation, horodatage des connexions.
• Données d'usage produit (PostHog) : pages visitées, événements clés (création d'un projet, création d'un devis…), sous réserve de votre consentement aux cookies de mesure d'audience.

2.3 — Lorsque vous payez

• Données de paiement : gérées intégralement par Stripe, certifié PCI-DSS. Volumii ne stocke que l'identifiant client Stripe, le statut d'abonnement, les montants facturés.

2.4 — Lorsque vous écrivez à notre support

• Échanges e-mail conservés pour la durée nécessaire au traitement de votre demande.

3. Pourquoi traitons-nous ces données ? Sur quelle base ?

| Finalité | Base légale RGPD | |---|---| | Fourniture du Service (compte, projets, documents) | Exécution du contrat (art. 6-1-b) | | Facturation et recouvrement | Obligation légale (art. 6-1-c) | | Sécurité et lutte anti-fraude | Intérêt légitime (art. 6-1-f) | | Mesure d'audience produit (PostHog) | Consentement (art. 6-1-a) | | Suivi des erreurs (Sentry) | Intérêt légitime (art. 6-1-f) avec exclusion des PII | | Communication marketing | Consentement (art. 6-1-a), opt-in | | Réponses aux demandes RGPD | Obligation légale (art. 6-1-c) |

4. Combien de temps conservons-nous vos données ?

| Catégorie | Durée | |---|---| | Compte actif | Tant que l'abonnement est actif | | Compte résilié | 30 jours après résiliation (puis suppression) | | Données comptables (factures, signatures de contrats) | 10 ans (art. L123-22 Code de commerce) | | Logs techniques | 6 mois (Délibération CNIL 2021-122) | | Logs de connexion sensibles | 12 mois | | Données de prospection commerciale | 3 ans à compter du dernier contact | | Cookies de mesure d'audience | 13 mois maximum | | Réclamations support | 3 ans après clôture |

5. À qui sont transmises vos données ?

Volumii fait appel à des sous-traitants strictement nécessaires à la fourniture du Service. La liste à jour est publiée et maintenue à l'adresse volumii.fr/legal/sous-traitants. Les principaux sont :

| Sous-traitant | Rôle | Localisation | Garantie | |---|---|---|---| | Supabase Inc. | Hébergement base de données et fichiers | Allemagne (UE) | Hébergement EU | | Vercel Inc. | Hébergement application | Europe (Francfort, Allemagne) | Hébergement EU · DPF pour la société US | | Stripe Payments Europe Ltd | Traitement des paiements | Irlande (UE) + US | PCI-DSS + DPF | | Resend Inc. | Envoi d'e-mails transactionnels | États-Unis | Data Privacy Framework | | OpenAI LLC | Génération de contenu IA (briefs, concepts) | États-Unis | Data Privacy Framework + Zero Data Retention | | PostHog Inc. (région EU) | Analyse d'usage produit | Allemagne (UE) | Hébergement EU | | Sentry / Functional Software Inc. | Suivi des erreurs | États-Unis (config EU disponible) | Data Privacy Framework | | Yousign SAS | Signature avancée (option) | France (UE) | RGPD natif |

Aucune donnée n'est vendue, louée ou cédée à des tiers à des fins commerciales.

6. Vos données quittent-elles l'Union européenne ?

Certaines opérations impliquent des transferts hors UE (États-Unis principalement). Ces transferts sont encadrés par :

• la décision d'adéquation Data Privacy Framework UE-US du 10 juillet 2023, pour les sous-traitants certifiés (Stripe, Resend, OpenAI, Sentry, Vercel, PostHog) ;
• les clauses contractuelles types de la Commission européenne (Décision 2021/914) à titre subsidiaire.

7. Quels sont vos droits ?

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès à vos données.
• Rectification des données inexactes.
• Effacement (« droit à l'oubli ») dans les limites des obligations légales.
• Limitation du traitement.
• Opposition au traitement fondé sur l'intérêt légitime ou la prospection.
• Portabilité de vos données dans un format structuré.
• Retrait du consentement à tout moment lorsque le traitement est fondé sur celui-ci.
• Définir des directives relatives au sort de vos données après votre décès (art. 85 LIL).

Pour exercer ces droits : rgpd@volumii.fr, en joignant un justificatif d'identité si nécessaire. Nous répondons sous un mois maximum, prolongeable de deux mois en cas de demande complexe (avec information dans le mois).

Si notre réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la CNIL (3 Place de Fontenoy, 75007 Paris — cnil.fr).

8. Comment protégeons-nous vos données ?

• Chiffrement TLS 1.2+ pour tous les échanges.
• Mots de passe stockés avec hachage Argon2 / bcrypt.
• Isolation par studio (Row Level Security PostgreSQL).
• Sauvegardes chiffrées quotidiennes, conservées 30 jours.
• 2FA disponible sur tous les comptes, obligatoire pour les administrateurs.
• Aucune équipe technique n'accède aux contenus utilisateur en dehors d'une demande explicite de support (avec consentement écrit).

9. Cookies

L'usage des cookies est décrit en détail dans notre Politique cookies. Vous pouvez à tout moment modifier vos préférences via le lien « Gérer mes cookies » présent dans le pied de page.

10. Intelligence artificielle générative

Les briefs et descriptions de projet que vous soumettez aux fonctions IA peuvent être envoyés à OpenAI. Pour minimiser le risque :

• nous avons activé l'option Zero Data Retention lorsque celle-ci est disponible ;
• nous filtrons les données les plus sensibles avant transmission ;
• nous vous recommandons de ne pas inclure de données particulièrement sensibles (informations médicales, opinions politiques, etc.) dans les briefs.

11. Mineurs

Le Service est destiné à des professionnels majeurs. Aucun compte ne peut être ouvert par une personne mineure.

12. Modifications

La présente Politique peut être modifiée. Toute modification substantielle est notifiée à l'Utilisateur par e-mail. La version la plus à jour est toujours accessible à volumii.fr/confidentialite.