Politique de Confidentialité (RGPD)
Dernière mise à jour : 20 janvier 2026
1) Responsable de traitement et contact
Responsable : CLUSTOR (SAS), 26 rue des Bleuets, 57155 Marly, France (SIREN 990 559 627). Contact/DPO : contact@clustor.app
2) Champ d'application
La présente politique décrit les traitements de données personnelles réalisés dans le cadre : (i) de l'utilisation du site et de la plateforme CLUSTOR par les clients B2B et leurs utilisateurs, (ii) de la gestion des comptes, de la facturation, du support, et (iii) des services d'analyse IA appliqués à des contenus fournis par les clients (dont CV/documents).
3) Rôles (responsable vs sous-traitant)
CLUSTOR agit comme Responsable de traitement pour les données de compte, facturation, prospection, support, sécurité et analytics.
CLUSTOR agit comme Sous-traitant pour les Données Client traitées via la plateforme (documents, CV, métadonnées), sur instructions du Client (responsable). Les obligations de sous-traitance sont détaillées dans l'Annexe DPA.
4) Catégories de données traitées
- Identification et compte : nom, prénom, email professionnel, agence/entreprise, rôle, paramètres.
- Usage/technique : logs applicatifs, adresses IP, identifiants de session, évènements analytiques.
- Contenus opérationnels : documents et CV importés, contenus textuels et fichiers associés.
- Facturation : coordonnées de facturation, détail des abonnements, montants, transactions.
- Support : messages, échanges avec l'équipe, pièces jointes.
5) Finalités et bases légales
- Fourniture du service, gestion des comptes et abonnements : exécution du contrat.
- Sécurité, prévention de la fraude, journalisation : intérêt légitime et obligations légales.
- Support client et communication opérationnelle : exécution du contrat/intérêt légitime.
- Facturation et comptabilité : obligations légales.
- Analytics produit (PostHog EU) et mesure d'audience (GA le cas échéant) : consentement lorsque requis et intérêt légitime en B2B pour l'amélioration du service (paramétrage minimisant l'atteinte à la vie privée).
6) Destinataires et sous-traitants
Les données peuvent être traitées par les prestataires suivants, aux seules fins nécessaires :
- Vercel (hébergement applicatif – UE/France)
- Supabase (base de données Postgres et auth – région France)
- Microsoft Azure (stockage et traitements IA – régions France)
- PostHog (analytics – ingestion EU)
- Sentry (observabilité – EU)
- OVH (registre de domaine)
- Provider e-mail SMTP (envoi et journaux d'e-mails transactionnels)
Des intégrations tierces optionnelles (ex. Boondmanager) peuvent impliquer des transferts contrôlés par le Client.
7) Localisation des traitements – Transferts
Les ressources applicatives, la base de données et le stockage sont configurés en France/UE. Si, exceptionnellement, des transferts hors UE étaient nécessaires (ex. CDN global), CLUSTOR s'engage à mettre en place des garanties appropriées (clauses contractuelles types, mesures complémentaires) et à en informer le Client.
8) Durées de conservation (référentiel B2B)
- Compte et contrats : durée de la relation et jusqu'à 3 ans après la fin pour la preuve (sauf obligations plus longues).
- Contenus opérationnels (documents/CV) : durée de l'abonnement + purge à la résiliation ou sur instruction du Client ; backups selon cycles techniques.
- Journaux techniques/sécurité : jusqu'à 12 mois, sauf nécessité d'enquête prolongée.
- Analytics (évènements agrégés) : 13 mois maximum.
- Facturation/Comptabilité : 10 ans (obligations légales).
- Tickets de support : 3 ans après clôture.
9) Droits des personnes
Accès, rectification, effacement, limitation, opposition, portabilité, directives post mortem. Pour exercer vos droits : contact@clustor.app. En cas de doute raisonnable, une vérification d'identité peut être requise. Réclamation possible auprès de la CNIL (www.cnil.fr).
10) Cookies et traceurs
Voir la Politique cookies pour le détail des catégories, finalités, durées et modalités de consentement/retrait. Une preuve du consentement peut être conservée (p. ex. table « cookie_consent_stats »).
11) Sécurité
Mesures techniques et organisationnelles : hébergement France/UE, chiffrement en transit, contrôles d'accès et permissions, RLS en base, journalisation (PostHog/Sentry), sauvegardes. En cas de violation de données, CLUSTOR notifiera la CNIL et/ou les personnes concernées lorsque requis.
12) Sous-traitance ultérieure
CLUSTOR peut faire évoluer sa liste de sous-traitants. Le Client sera informé par un moyen raisonnable. Le Client peut s'opposer pour motifs légitimes lorsque la nature du traitement s'en trouve significativement affectée.
13) Modifications
CLUSTOR peut modifier la présente politique. La version en vigueur est publiée sur le site ; l'usage continu vaut acceptation.
14) Dispositions complémentaires (CCPA/CPRA – Californie)
Pour les utilisateurs californiens, vous disposez notamment de droits d'accès, de suppression et d'opt‑out concernant la « vente » ou le « partage » de données à des fins de publicité comportementale au sens de la CPRA. CLUSTOR ne vend ni ne partage vos données au sens de la CPRA. Vous pouvez exercer vos droits en nous écrivant à : contact@clustor.app (objet : CCPA/CPRA). Les paramètres cookies/traceurs figurent dans la Politique cookies.
15) Transparence IA et non‑entraînement des modèles
Sauf accord écrit spécifique, CLUSTOR n'utilise pas les Données Client pour entraîner des modèles d'IA génériques. Les traitements IA sont strictement limités à la fourniture des fonctionnalités demandées (analyse de documents/CV, génération de contenus associés) pour le compte du Client. Des ajustements dédiés (fine‑tuning par tenant) ne sont réalisés que sur base contractuelle documentée.
16) Contenu généré automatiquement et décisions
Les sorties issues de l'IA peuvent comporter des erreurs ou biais ; une supervision humaine est requise. CLUSTOR n'opère pas de décisions entièrement automatisées produisant des effets juridiques à votre encontre sans intervention humaine. Des informations d'explicabilité/justifications peuvent être fournies dans une mesure raisonnable.
17) Droit applicable – Juridiction
La présente politique est soumise au droit français. Tout litige relatif à son interprétation ou à son exécution relève de la compétence des tribunaux de Metz, sauf dispositions d'ordre public contraires.