1) Responsable de traitement et contact

Responsable : CLUSTOR (SAS), 61 rue de Lyon, 75012 Paris, France (SIREN 990 559 627). Contact/DPO : contact@clustor.app

2) Champ d'application

La présente politique décrit les traitements de données personnelles réalisés dans le cadre : (i) de l'utilisation du site et de la plateforme CLUSTOR par les clients B2B et leurs utilisateurs, (ii) de la gestion des comptes, de la facturation, du support, et (iii) des services d'analyse IA appliqués à des contenus fournis par les clients (dont CV/documents).

3) Rôles (responsable vs sous-traitant)

CLUSTOR agit comme Responsable de traitement pour les données de compte, facturation, prospection, support, sécurité et analytics.

CLUSTOR agit comme Sous-traitant pour les Données Client traitées via la plateforme (documents, CV, métadonnées), sur instructions du Client (responsable). Les obligations de sous-traitance sont détaillées dans l'Annexe DPA.

4) Catégories de données traitées

Identification et compte : nom, prénom, email professionnel, agence/entreprise, rôle, paramètres.
Usage/technique : logs applicatifs, adresses IP, identifiants de session, évènements analytiques.
Contenus opérationnels : documents et CV importés, contenus textuels et fichiers associés.
Facturation : coordonnées de facturation, détail des abonnements, montants, transactions.
Support : messages, échanges avec l'équipe, pièces jointes.

5) Finalités et bases légales

Fourniture du service, gestion des comptes et abonnements : exécution du contrat.
Sécurité, prévention de la fraude, journalisation : intérêt légitime et obligations légales.
Support client et communication opérationnelle : exécution du contrat/intérêt légitime.
Facturation et comptabilité : obligations légales.
Analytics produit (PostHog EU) et mesure d'audience (GA le cas échéant) : consentement lorsque requis et intérêt légitime en B2B pour l'amélioration du service (paramétrage minimisant l'atteinte à la vie privée).

6) Destinataires et sous-traitants

Les données peuvent être traitées par les prestataires suivants, aux seules fins nécessaires :

Vercel (hébergement applicatif – UE/France)
Supabase (base de données Postgres et auth – région France)
Microsoft Azure (stockage et traitements IA – régions France)
PostHog (analytics – ingestion EU)
Sentry (observabilité – EU)
OVH (registre de domaine)
Provider e-mail SMTP (envoi et journaux d'e-mails transactionnels)

Des intégrations tierces optionnelles (ex. Boondmanager) peuvent impliquer des transferts contrôlés par le Client.

7) Localisation des traitements – Transferts

Les ressources applicatives, la base de données et le stockage sont configurés en France/UE. Si, exceptionnellement, des transferts hors UE étaient nécessaires (ex. CDN global), CLUSTOR s'engage à mettre en place des garanties appropriées (clauses contractuelles types, mesures complémentaires) et à en informer le Client.

8) Durées de conservation (référentiel B2B)

Compte et contrats : durée de la relation et jusqu'à 3 ans après la fin pour la preuve (sauf obligations plus longues).
Contenus opérationnels (documents/CV) : durée de l'abonnement + purge à la résiliation ou sur instruction du Client ; backups selon cycles techniques.
Journaux techniques/sécurité : jusqu'à 12 mois, sauf nécessité d'enquête prolongée.
Analytics (évènements agrégés) : 13 mois maximum.
Facturation/Comptabilité : 10 ans (obligations légales).
Tickets de support : 3 ans après clôture.

9) Droits des personnes

Accès, rectification, effacement, limitation, opposition, portabilité, directives post mortem. Pour exercer vos droits : contact@clustor.app. En cas de doute raisonnable, une vérification d'identité peut être requise. Réclamation possible auprès de la CNIL (www.cnil.fr).

10) Cookies et traceurs

Voir la Politique cookies pour le détail des catégories, finalités, durées et modalités de consentement/retrait. Une preuve du consentement peut être conservée (p. ex. table « cookie_consent_stats »).

11) Sécurité

Mesures techniques et organisationnelles : hébergement France/UE, chiffrement en transit, contrôles d'accès et permissions, RLS en base, journalisation (PostHog/Sentry), sauvegardes. En cas de violation de données, CLUSTOR notifiera la CNIL et/ou les personnes concernées lorsque requis.

12) Sous-traitance ultérieure

CLUSTOR peut faire évoluer sa liste de sous-traitants. Le Client sera informé par un moyen raisonnable. Le Client peut s'opposer pour motifs légitimes lorsque la nature du traitement s'en trouve significativement affectée.

13) Modifications

CLUSTOR peut modifier la présente politique. La version en vigueur est publiée sur le site ; l'usage continu vaut acceptation.

14) Dispositions complémentaires (CCPA/CPRA – Californie)

Pour les utilisateurs californiens, vous disposez notamment de droits d'accès, de suppression et d'opt‑out concernant la « vente » ou le « partage » de données à des fins de publicité comportementale au sens de la CPRA. CLUSTOR ne vend ni ne partage vos données au sens de la CPRA. Vous pouvez exercer vos droits en nous écrivant à : contact@clustor.app (objet : CCPA/CPRA). Les paramètres cookies/traceurs figurent dans la Politique cookies.

15) Transparence IA et non‑entraînement des modèles

Sauf accord écrit spécifique, CLUSTOR n'utilise pas les Données Client pour entraîner des modèles d'IA génériques. Les traitements IA sont strictement limités à la fourniture des fonctionnalités demandées (analyse de documents/CV, génération de contenus associés) pour le compte du Client. Des ajustements dédiés (fine‑tuning par tenant) ne sont réalisés que sur base contractuelle documentée.

16) Contenu généré automatiquement et décisions

Les sorties issues de l'IA peuvent comporter des erreurs ou biais ; une supervision humaine est requise. CLUSTOR n'opère pas de décisions entièrement automatisées produisant des effets juridiques à votre encontre sans intervention humaine. Des informations d'explicabilité/justifications peuvent être fournies dans une mesure raisonnable.

17) Droit applicable – Juridiction

La présente politique est soumise au droit français. Tout litige relatif à son interprétation ou à son exécution relève de la compétence des tribunaux de Paris, sauf dispositions d'ordre public contraires.

18) Données issues des API Google (Limited Use)

Lorsqu'un utilisateur connecte volontairement son compte Google à CLUSTOR, la plateforme accède uniquement aux données nécessaires aux fonctionnalités qu'il a demandées, via les niveaux d'accès suivants :

gmail.send : envoi des e-mails que l'utilisateur a rédigés et validés dans l'interface CLUSTOR (comptes rendus de réunion aux participants, relances candidats et clients). CLUSTOR ne lit pas, ne liste pas et ne stocke pas la boîte de réception.
calendar.events : lecture des réunions à venir et création ou mise à jour des événements liés aux entretiens.

L'utilisation et le transfert par CLUSTOR des informations reçues des API Google respectent la Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), y compris les exigences Limited Use.

Ces données ne sont jamais vendues, ni transférées à des tiers autres que les sous-traitants techniques listés à la section 6, ni exploitées à des fins publicitaires, ni utilisées pour entraîner des modèles d'IA génériques ou généralisés. Elles ne sont lues par un humain que dans les cas autorisés : accord explicite de l'utilisateur, nécessité pour la sécurité (enquête sur un abus), respect d'une obligation légale, ou traitement de données agrégées et anonymisées.

L'utilisateur peut révoquer cet accès à tout moment depuis ses paramètres CLUSTOR ou depuis https://myaccount.google.com/permissions. Les jetons d'accès et de rafraîchissement associés sont alors supprimés de nos systèmes.

Contact

contact@clustor.app

Politique de Confidentialité (RGPD)